Warum Ursachen für Security Breaches unbekannt bleiben – Source: www.csoonline.com

Roman Samborskyi – Shutterstock.com

Laut der „Security Priorities Study 2024“ von Foundry/CSO kennen nur 67 Prozent der Sicherheitsverantwortlichen die Ursachen von Datensicherheitsvorfällen in ihrem Unternehmen. Zudem gibt ein Viertel der Befragten an, dass ihre Sicherheitstechnologien immer komplexer werden.

Folgende Faktoren erschweren es den Unternehmen, die Ursachen von Sicherheitsverletzungen zu identifizieren:

Erstens ist es nach wie vor eine große Herausforderung, einen Vorfall überhaupt zu bemerken. Laut einem Bericht von IBM benötigen Unternehmen durchschnittlich 207 Tage, um eine Datenpanne zu identifizieren – und weitere 70 Tage, um sie einzudämmen. Das bedeutet, dass die Ursachenanalyse frühestens neun Monate nach dem ersten Zugriff in Angriff genommen werden kann.

Zudem entwickeln die Angreifer immer raffiniertere Methoden, um unentdeckt zu bleiben. „Heutige Angriffe sind oft KI-gesteuert und auf Tarnung ausgelegt. Das macht es schwierig, Sicherheitsverletzungen von Anfang an zu erkennen“, erklärt Andrew Rose, CSO bei SoSafe. “Finanzielle Engpässe und ein Mangel an qualifizierten Cybersicherheitsexperten bedeuten, dass viele Organisationen nicht über die Ressourcen verfügen, um Bedrohungen schnell zu erkennen, zu untersuchen und zurückzuverfolgen.“

All diese Probleme werden durch die Herausforderungen bei der Sicherung von Remote-Arbeitsumgebungen und IoT-Geräten verschärft, von denen viele nie mit Blick auf Sicherheit entwickelt wurden. Dies führt zu Lücken in der Sichtbarkeit, die Angreifer leicht ausnutzen können.

Mangel an geeigneten Erkennungs- und Überwachungssystemen

Um die Ursache einer Sicherheitsverletzung zu finden, bedarf es einer soliden Überwachung und forensischer Fähigkeiten. Und wenn Sicherheitsmaßnahmen ausgelagert werden, was immer häufiger der Fall ist, kann mangelnde Vertrautheit mit dem Unternehmen eine Rolle spielen.

„Ich habe mehrfach erlebt, dass eine Sicherheitsverletzung über einen längeren Zeitraum unbemerkt blieb, weil die Funktion des Security Operations Centers (SOC) größtenteils an einen Drittanbieter ausgelagert war und dieser Drittanbieter den Kunden nicht über verdächtige Ereignisse informierte“, berichtet Brian Jack, CISO bei KnowBe4.

„SOCs von Drittanbietern mangelt es oft an Wissen, nicht an Fähigkeiten. Sie können oft nicht beurteilen, ob bestimmte Ereignisse, die Alarme auslösen, eine Untersuchung wert sind“, fügt der Sicherheitsexperte hinzu. “Es ist sehr hilfreich, wenn ein SOC Kenntnisse über das Unternehmen, die Mitarbeiter und mögliche organisatorische Veränderungen hat.

Keine Reaktion Vorbereitung auf Vorfälle

Ein klarer Incident Response Plan bereitet eine Organisation auf die Aufgabe vor, die Ursache eines Vorfalls zu untersuchen und zu identifizieren. Paul McLatchie, Berater für Sicherheitsstrategien bei Daisy Corporate Services, betont gegenüber CSO: „Bei Cyber-Verletzungen geht es nicht um das ‚ob‘, sondern um das ‚wann‘. Organisationen sollten daher einen Notfallplan haben, um auf solche Vorfälle vorbereitet zu sein.

Die Reaktion auf Cybervorfälle konzentriert sich auf die rasche Identifizierung von Sicherheitsereignissen und -vorfällen innerhalb der Organisation, die Validierung ihres Ausmaßes und ihrer Auswirkungen sowie die Einleitung wirksamer Maßnahmen zur Eindämmung und Behebung. Reaktionspläne müssen auch die Analyse nach dem Vorfall umfassen, um die Ursache eines Verstoßes zu ermitteln und Lehren aus der Vergangenheit zu ziehen. Auf diese Weise können Wiederholungen vermieden werden.

Unternehmen, die nicht in der Lage sind, aus Vorfällen zu lernen, sind sehr anfällig für weitere Verstöße. „Ein unwirksamer Plan oder Schritte, die nicht genau befolgt werden, führen zu Problemen“, warnt McLatchie. “Häufig ignorieren Organisationen die letzten Phasen eines Vorfallsreaktionsplans und kehren zu schnell zum Normalbetrieb zurück. Er fügt hinzu: “Dies führt zu einer unzureichenden Analyse der Ursachen des Vorfalls oder in einigen Fällen dazu, dass wichtige Beweise versehentlich vernichtet werden.

Jack von KnowBe4 stimmt zu, dass sich eine gründliche Analyse langfristig auszahlt. „Es kann kostspielig sein, die Protokolle so vieler IT-Assets wie möglich einzusehen und diese Protokolle lange genug aufzubewahren, um eine ausreichende Abdeckung für Untersuchungen zu haben“, erklärt der Experte. “Für eine frühzeitige Erkennung und umfassende Untersuchung größerer Sicherheitsverletzungen ist dies jedoch wichtig.“

Budgetbeschränkungen

Sicherheitsbudgets sind knapp. Viele Unternehmen können daher nicht in Ressourcen investieren, die das Aufspüren der Quelle einer Sicherheitsverletzung erleichtern.

Laut Graeme Stewart, Leiter des Bereichs Öffentlicher Sektor bei Check Point Software, wird sich dieses Problem noch verschärfen. „Angesichts knapper Budgets und Personalmangels steht die Wiederherstellung der Systeme im Vordergrund“, erklärt er. “Das bedeutet oft, zuerst den Brand zu löschen, dann die Folgen zu beseitigen und erst dann zu verstehen, was ihn überhaupt verursacht hat.

Knappe Budgets führen oft zu unterbesetzten Teams, begrenzten Kapazitäten für die Ursachenanalyse und unzureichenden forensischen Fähigkeiten. „Besonders kleine und mittlere Unternehmen stehen vor der Herausforderung, Probleme schnell zu erkennen“, betont Conor O’Neill, Cybersicherheitsexperte und CEO und Mitbegründer der Pentesting-Plattform OnSecurity.

„Kleine Unternehmen sind anfälliger für Cyber-Angriffe als große Unternehmen. Dies ist auf begrenzte Budgets und einen Mangel an internen Sicherheitsfunktionen zurückzuführen. Außerdem fehlt es an geschultem Personal, das weiß, wie man mit Datenpannen umgeht und sie verhindert. All das ist entscheidend, um Datenpannen zu erkennen“, so der Experte.

Angriffsmethoden werden immer ausgefeilter

Da die Angriffe immer raffinierter werden, ist es schwierig, die Ursache zu ermitteln, bemerkt Raj Samani, SVP und leitender Wissenschaftler bei der Sicherheitsfirma Rapid7: „Wir müssen erkennen, dass viele Bedrohungsgruppen Maßnahmen ergreifen, um ihre Spuren zu verwischen. Das erschwert jede Ermittlung. Aber das ist oft nur ein Teil des Grundes, warum es so schwierig ist, die Quelle der Verletzung zu identifizieren.“

Samani fügt hinzu: „Technologien helfen zwar bei den Ermittlungen. Aber die Zeit, die für die rückwirkende Untersuchung solcher Vorfälle aufgewendet wird, steht oft in keinem Verhältnis zur Dringlichkeit des nächsten Problems – oder sogar zur Notwendigkeit, die Umgebung wieder funktionsfähig zu machen.“

Viele Verstöße werden erst lange nach ihrem Auftreten entdeckt, und Verzögerungen erschweren die Ermittlung der Ursachen. Hier spielt die Zeit auf der Seite der Angreifer, da die Möglichkeiten der Computerforensik mit der Zeit abnehmen, da Daten verändert, überschrieben und gelöscht werden.

„Hacker finden immer neue Wege, sich in den regulären Netzwerkverkehr einzuschleusen, so dass es selbst für die besten Erkennungssysteme irgendwann schwierig wird“, sagt Peter Wood, CTO bei Spectrum Search. “Und während die Systeme vielleicht etwas Verdächtiges melden, ist es eine ganz andere Sache, herauszufinden, wo genau es herkommt.

Angreifer stehlen und verwenden zunehmend legitime Benutzerdaten, um unentdeckt zu bleiben, sich seitlich durch die Systeme zu bewegen und sich in die normalen Netzwerkaktivitäten einzufügen, fügt David Spencer, Leiter des technischen Produktmanagements bei Immersive Labs, hinzu.

„Die Situation wird dadurch noch komplizierter, dass die meisten Angriffe das Abfangen von Anmeldedaten aus Klartextdateien, Passwortmanagern oder Speicherabbildern beinhalten, wodurch es fast unmöglich wird, zwischen Angreifer und Opfer zu unterscheiden“, fügt er hinzu.

Komplexe und unverbundene Sicherheits-Stacks

Die Komplexität der Sicherheitstechnologien ist ebenfalls ein wachsendes Problem. Laut Benson Varghese, Gründer und geschäftsführender Gesellschafter der US-amerikanischen Anwaltskanzlei Varghese Summersett, verwenden viele Unternehmen mehrere Systeme, Anwendungen und Tools, die oft nicht integriert sind. „Wie bei einem Puzzle, bei dem nicht alle Teile vorhanden sind, ist es schwierig festzustellen, wo ein Verstoß stattgefunden hat, wenn die Systeme nicht zusammenpassen“, so Varghese.

Varghese berichtet, dass viele Kunden eine Mischung aus Sicherheitslösungen einsetzen, von denen einige veraltet sind oder nicht miteinander kommunizieren. „Der Verstoß eines Kunden blieb monatelang unentdeckt, weil sein Überwachungssystem nicht auf seine Sicherheitsinfrastruktur abgestimmt war.“

Viele Unternehmen haben mit technischen Schulden zu kämpfen und verlassen sich auf veraltete Systeme, die keine umfassenden Protokollierungsfunktionen bieten. Dies erschwert eine detaillierte Nachverfolgung und Analyse von Vorfällen.

„Eines der Hauptprobleme ist die Erkennung und Überwachung, die durch immer komplexere Sicherheitstechnologien erschwert wird“, sagt Kennet Harpsøe, leitender Sicherheitsforscher bei Logpoint. “Ohne eine kohärente Integration der Tools können kritische Indikatoren für Kompromisse leicht übersehen oder verzögert werden, so dass die Sicherheitsteams mit riesigen Datenmengen überfordert sind – eine Situation, in der das Signal oft im Rauschen der Fehlalarme untergeht.

Ben Jarlett, Senior Application Analyst an der London Metropolitan University, fügt hinzu: “Security Information and Event Management (SIEM)-Systeme und Extended Detection and Response (XDR)-Plattformen können helfen, aber sie erfordern eine angemessene Koordination, regelmäßige Updates und ein geschultes Management, um wirksam zu sein.

Jarlett fügt hinzu: “In vielen Fällen nutzen Unternehmen diese Systeme entweder nicht ausreichend oder sehen sich mit einer Flut von Fehlalarmen konfrontiert, die echte Bedrohungen verschleiern und die Identifizierung der Ursachen verzögern können.

Lewis Duke, Leiter SecOps und Threat Intelligence bei Trend Micro, ist der Ansicht, dass die Konsolidierung von Sicherheitstechnologien helfen kann. „Unternehmen sind viel besser vorbereitet, wenn sie konsolidierte und korrelierte Tools einsetzen, um einen echten Kontext zu bieten und den operativen Aufwand bei der Untersuchung zu reduzieren“, kommentiert der Sicherheitsexperte.

Dies ermöglicht eine schnellere und effektivere Reaktion auf Vorfälle und bietet klare Vorteile in Bezug auf Kosten und Fähigkeiten, die für den Betrieb eines reduzierten Technologie-Stacks erforderlich sind”, fügt er hinzu.

Alarmmüdigkeit

Sicherheitsüberwachungssysteme erzeugen täglich Millionen von Alarmmeldungen. „Analysten werden oft mit Warnmeldungen überflutet, was es schwierig macht, echte Bedrohungen zu isolieren und ihre Ursachen zu identifizieren“, erklärt Harpsøe von Logpoint.

„Aus diesem Grund ist eine bessere Integration von Erkennungswerkzeugen, eine effektivere Priorisierung von Warnmeldungen und ein strategischer Fokus auf die Aufrechterhaltung einer umfassenden Sichtbarkeit aller Assets erforderlich.“

Fehlende Sicherheitskultur

Einige Organisationen räumen der Cybersicherheit in ihrer Unternehmenskultur möglicherweise nicht die volle Priorität ein, was die Aufdeckung der Ursachen extrem erschwert.

„Obwohl viele Unternehmen die Bedeutung von Sicherheit erkennen, konzentrieren sie sich in erster Linie auf die Einhaltung von Vorschriften und investieren in Cybersicherheitstools. Damit erfüllen sie lediglich Mindeststandards, ohne eine proaktive Sicherheitsmentalität zu fördern“, kritisiert Jarlett von der London Metropolitan University.

Stephen McDermid, CISO für EMEA bei Okta, argumentiert, dass Sicherheitsverantwortliche die Führung bei der Schaffung einer offenen und reaktionsfähigen Sicherheitskultur in Unternehmen übernehmen müssen. „Es liegt in der Verantwortung des CISO, die Mitarbeiter zu ermutigen, Bedrohungen sichtbar zu machen und potenzielle Risiken zu eskalieren. Wenn Mitarbeiter Angst haben, Probleme anzusprechen und versuchen, sie selbst zu lösen, kann dies kritische Reaktionen verzögern“.

Lösungsansatz

Unternehmen können ihre Widerstandsfähigkeit erhöhen, indem sie in verbesserte Cybersicherheitsmaßnahmen, Mitarbeiterschulungen, Vorfallreaktionspläne und Investitionen in Erkennungs- und forensische Fähigkeiten investieren.

„Konzentrieren Sie sich auf die Prävention von Datenverletzungen. Schwachstellen und potenzielle Verletzungen sollten erkannt werden, bevor sie auftreten“, empfiehlt O’Neill von OnSecurity.