Beiträge

Cyber Resilience ist in aller Munde – Medien, Unternehmen, Hersteller und auch Regierungen diskutieren über diesen Nachfolger der klassischen IT Security mit wachsender Intensität. Doch was verbirgt sich hinter dem Konzept genau und wie können es Unternehmen umsetzen beziehungsweise was zeichnet Unternehmen aus, die bereits besonders widerstandsfähig gegen Cyber-Angriffe sind? Diesen Fragen sind wir bei Greenbone mit einer großangelegten globalen Studie in Zusammenarbeit mit dem Marktforschungsunternehmen Frost & Sullivan auf den Grund gegangen. Die Ergebnisse liegen nun in einem 52-seitigen Berichtsband vor.

Cyber Resilience

Die Zukunft der IT Security heißt Cyber Resilience, das wird immer mehr Verantwortlichen bewusst. Angesichts zunehmend aggressiverer Hacker-Strategien und steigender Technologiekomplexität können sie nicht länger darauf vertrauen, dass der IT-Security-Schutzwall um ihre Unternehmens-IT alle Angriffe abwehrt. Früher oder später wird ein Angreifer einen Weg finden – und was dann? Dann geht es darum, den Schaden so gut wie möglich einzudämmen und die Kerngeschäftsprozesse aufrechtzuerhalten, um Kunden weiterhin mit Produkten und Dienstleistungen zu versorgen.

Kernziel der Studie: Resilienz-Merkmale identifizieren

Wir bei Greenbone beschäftigen uns schon seit mehreren Jahren intensiv mit Cyber Resilience. Was macht sie aus? Welche Dimensionen gibt es zu beachten? Vor welchen individuellen Herausforderungen stehen Unternehmen in verschiedenen Branchen dabei? Welche Best Practices haben sich bewährt? Um Antworten auf diese und noch mehr Fragen zu finden, haben wir zusammen mit dem Marktforschungsunternehmen Frost & Sullivan eine großangelegte Studie durchgeführt. Unser Grundgedanke dabei war, besonders widerstandsfähige Unternehmen zu identifizieren und anschließend zu analysieren, was diese im Vergleich zu weniger widerstandfähigen Betrieben auszeichnet. Auf diese Weise lassen sich konkrete Handlungs- und Investitionsempfehlungen ableiten – die uns nicht zuletzt auch dabei helfen, unsere bewährte Schwachstellenmanagement-Technologie weiterzuentwickeln, die wir seit Kurzem auch als Managed Service anbieten.

Zufällig entdecktes Datenleck im Gesundheitssektor verzögert Veröffentlichung

Besonderes Augenmerk legen wir dabei auf Unternehmen in kritischen Infrastrukturen (KRITIS). Denn bei Ihnen geht es nicht nur um wirtschaftliche Einbußen oder Rufschädigungen – hier sind im Extremfall Menschenleben bedroht, wenn etwa medizinische Geräte ausfallen oder die Stromversorgung für die Bevölkerung zusammenbricht. Daher wollten wir die Studienergebnisse mit Praxisbeispielen aus eben diesen KRITIS-Sektoren anreichern – und stießen bei unseren Recherchen auf ein riesiges Datenleck im Gesundheitsbereich: Millionen Patientendatensätze und damit verknüpfte medizinische Bilder waren über eine Schwachstelle der PACS-Server (Picture Archiving and Communication Systems-Server), auf denen sie gespeichert sind, frei zugänglich – auch ohne jegliche Programmierkenntnisse. Komplette Krankengeschichten, inklusive persönlichen Daten wie Name und Geburtstag des Patienten sowie Name des behandelnden Arztes, konnten vollständig ausgelesen werden.

Ein Skandal, der für uns die Veröffentlichung der Studienergebnisse erst einmal in den Hintergrund rücken ließ. In Zusammenarbeit mit dem Bayerischen Rundfunk und der US-Investigativ-Plattform ProPublica, die über unsere Recherche berichteten, und anschließend mit Behörden und IT-Security-Spezialisten rund um den Globus setzten wir uns intensiv dafür ein, den freien Zugriff auf diese Patientendaten schnellstmöglich einzuschränken. Mit nur teilweisem Erfolg: Noch immer sind etwa 400 PACS-Systeme mit dem Internet verbunden und die darauf gespeicherten Patientendaten damit für jedermann zugänglich. Daher sind wir auch weiterhin in engem Austausch mit den zuständigen Behörden. Unseren Bericht zum Patientendatenleck gibt es hier zum Download.

Preview einiger Studienergebnisse

Neben unserer Arbeit im Gesundheitssektor bezogen wir in unsere Studie auch Unternehmen aus den Bereichen Energie, Finanzen, Telekommunikation, Transport und Wasser ein. Insgesamt befragten wir 370 Organisationen mit durchschnittlich 13.500 Mitarbeitern aus den fünf größten Volkswirtschaften der Welt: den USA, Großbritannien, Frankreich, Japan und Deutschland. Aus diesem breit gefächerten Studiendesign konnten wir neben Antworten auf unsere Kernfragen einige weitere interessante Erkenntnisse gewinnen:

US-Unternehmen sind Vorreiter in Sachen Cyber Resilience

Insgesamt sind nur 36 Prozent der befragten Unternehmen in hohem Maße Cyber-resilient. Die USA schneiden mit 50 Prozent am besten ab, europäische Unternehmen liegen im Mittelfeld und japanische Organisationen bilden mit nur 22 Prozent das untere Ende der Skala.

Sektor Transport am wenigsten widerstandsfähig gegen Cyber-Angriffe

Über alle Länder hinweg sind Finanz- und Telekommunikationsunternehmen (46 Prozent) am besten gegen Cyber-Angriffe gerüstet. Es folgen die Sektoren Wasser (36 Prozent), Gesundheit (34 Prozent) und Energie (32 Prozent). Bei Transportunternehmen erreichen nur 22 Prozent ein hohes Niveau an Cyber Resilience.

Nicht Budget, sondern Verständnis von Geschäftsprozessen ist entscheidend

Zwar haben die von uns identifizierten Cyber-resilienten Unternehmen im Schnitt einen größeren Umsatz und ein höheres IT-Budget. Detailanalysen zeigen jedoch, dass die keinesfalls entscheidend ist. Wichtiger ist vielmehr ein grundlegendes Verständnis der Geschäftsprozesse und ein Bewusstsein dafür, welches die geschäftskritischen digitalen Ressourcen im Unternehmen sind.

Elf Merkmale, die Cyber-resiliente Unternehmen auszeichnen

In unserer Untersuchung konnten wir drei Gruppen von Merkmalen identifizieren, die die Cyber-Resilienz von Unternehmen um den Faktor zwei, drei und sechs erhöhen. Daraus haben wir eine Art „Roadmap“ entwickelt, mit der Unternehmen ihren Reifegrad erhöhen und ein hohes Maß an Cyber Resilience schaffen können.
Den vollständigen Studien-Report inklusive Roadmap können Sie hier anfragen.

Schwerwiegende Sicherheitslücke in D-Link-Routern entdeckt

UPDATE: Patch für Anwender verfügbar, D-Link Support-Seiten aktualisiert

Bereits im November 2018 hat Greenbone eine schwerwiegende Sicherheitslücke in Routern von D-Link entdeckt und das Unternehmen darauf aufmerksam gemacht. Die Schwachstelle ist für Hacker einfach auszunutzen und ermöglicht unautorisierten Zugriff auf Netzwerke. Seit dem 19. März 2019 ist auf den Support-Seiten des Herstellers ein Patch verfügbar. Greenbone bietet seinen Kunden jedoch bereits seit Ende letzten Jahres einen entsprechenden Schwachstellentest (Vulnerability Tests, VT) im täglichen Security Feed.

Router sind die zentralen Dreh- und Angelpunkte in Netzwerken. Sie stellen die Internetverbindung für die angeschlossenen Laptops und PCs aber auch für Smart-Home- und Industrie-4.0-Anwendungen her. Doch trotzdem hier so viele Komponenten eines Netzwerks zusammenlaufen, ist es um die Sicherheit oftmals nicht gut bestellt. Im vergangenen Jahr fanden Forscher des American Consumer Institute bei 83 Prozent der innerhalb einer Studie untersuchten Routern bereits bekannte Sicherheitslücken. Über diese können sich Hacker unter Umständen Zugriff zum Gerät selbst und damit auch zum Netzwerk verschaffen. Insgesamt zählten die Forscher mehr als 30.000 Schwachstellen – 7 Prozent davon bergen ein kritisches und 21 Prozent ein hohes Risiko.

Designfehler macht die Modelle DWR und DAP angreifbar

Zu den bereits bekannten Schwachstellen in Routern kommen auch immer wieder neue hinzu. So haben unsere Sicherheitsforscher bei Greenbone im November 2018 eine schwerwiegende Sicherheitslücke in verschiedenen Routern des Herstellers D-Link gefunden. Betroffen sind mindestens die Modelle DWR und DAP. Auf Englisch würde man die Schwachstelle als „Unauthenticated Remote Code Execution“ bezeichnen, also eine Sicherheitslücke, bei der ein Angreifer ohne jegliche Authentifizierung Befehle auf dem Router ausführen kann. Im Fall der D-Link-Router kann sich ein Hacker sogar die vollen administrativen Rechte verschaffen. Es ist sehr wahrscheinlich, dass das NIST (National Institute of Standards and Technology) die höchstmögliche CVSS-Wertung (Common Vulnerability Scoring System) von 10.0 vergeben wird. 

Die Ursache ist vermutlich ein Design-Fehler. Bei den von uns getesteten Geräten fanden wir eine ausführbare Datei namens „EXCU_SHELL“, die sich mit einem sogenannten GET-Request aus dem Web-Browser aufrufen lässt. Diese ist für einige harmlose aber sinnvolle Operationen zuständig, wie zum Beispiel das Anzeigen von Informationen über die installierte Firmware-Version. Wenn man jedoch einige Parameter dieser Datei anpasst, lassen sich beliebige Befehle einschleusen und ausführen.

Zugriff auf Router ohne Authentifizierung möglich

Die Tragweite der gefundenen Sicherheitslücke ist gemäß der Marktpräsenz von D-Link hoch: Das Unternehmen ist einer der Top-Player auf dem globalen Wireless-Router-Markt und war 2017 mit einem Anteil von 24,1 Prozent Marktführer.

Darüber hinaus ist der Schweregrad der Lücke laut dem CVSS-Basis-Score-Rechner hoch und die Lücke relativ leicht auszunutzen: Die Datei „EXCU_SHELL“ ist nicht passwortgeschützt und Hacker können daher ohne Authentifizierung auf den Router und damit das zugehörige Netzwerk zugreifen. Einmal eingedrungen, lässt sich so der gesamte ein- und ausgehende Internet-Traffic einsehen, modifizieren und kontrollieren oder sogar Malware verbreiten.

In Zeiten von Smart Home und Industrie 4.0 kann dadurch erheblicher Schaden entstehen. Hackern steht mit einer Sicherheitslücken diesen Schweregrads sozusagen Tür und Tor zu Netzwerken offen – fatal wären die Folgen von Eingriffen in kritischen Infrastrukturen wie Gesundheitseinrichtungen oder Energieversorgern.

D-Link hat Sicherheits-Update am 19. März 2019 veröffentlicht

Nachdem Greenbone die Sicherheitslücke bereits im vergangenen November an D-Link gemeldet hat, ist für Anwender jetzt auch ein Patch verfügbar. Der Hersteller zeigte sich während der gesamten Zeit responsiv und bat uns, die CVE-Beantragung zu übernehmen. Informationen für Kunden auf der D-Link-Website und Patches sind inzwischen auch verfügbar.

Ursprünglich waren seit der Entdeckung der Schwachstelle schon mehr als 90 Tage vergangen – die Frist endete bereits am 11. Februar 2019. Daher handelten wir gemäß des Responsible Disclosure und veröffentlichten alle bisher verfügbaren Informationen, um Anwender zu schützen. Für Greenbone-Kunden war die Lücke bereits seit November 2018 über den täglichen Security Feed sichtbar.

Hersteller müssen handeln!

Angesichts der horrenden Anzahl von Sicherheitslücken auf Routern, ist die Schließung der D-Link-Lücke sicherlich nur ein Tropfen auf dem heißen Stein. Ja, die Anzahl an Schwachstellen ist einschüchternd – den Kopf in den Sand stecken aber keine Option. Vielmehr gilt es, so viele Hersteller wie möglich dazu zu bewegen oder wenn nötig auch zu zwingen, ihre Router abzusichern. Denn in einer vernetzen Welt wie der unseren steht zu viel auf dem Spiel. Hier erhalten Sie weitere allgemeine Informationen zum Thema IT-Sicherheit.

Schwachstellen für digitale Gegenangriffe zurückzuhalten, ist in höchstem Maße riskant

Sollten Staaten Schwachstellen zurückhalten, um die eigenen Möglichkeiten eines Hack Back zu stärken? Nein, meint Dirk Schrader, CMO von Greenbone Networks, Vulnerability-Management-Anbieter, als Reaktion auf den Spiegel-Artikel „Das Cyber-Dilemma“.

Gut gezielte Cyber-Angriffe können heute das gesellschaftliche Leben ganzer Staaten lahmlegen. Bei einem totalen Blackout der Energieversorgung würden etwa wichtige elektronische Geräte in Krankenhäusern ausfallen und Lebensmittelkühlketten nicht mehr funktionieren. Auch ließen sich keine Notrufe mehr tätigen und die Frischwasserversorgung wäre gefährdet. Es ist daher gut und wünschenswert, dass die Regierung darüber diskutiert, wie sie die eigenen kritischen Infrastrukturen bestmöglich vor böswilligen Cyber-Angriffen schützen kann. So sind Maßnahmen eins bis drei des vom Bundesverteidigungs- und Bundesinnenministeriums vorgestellten Fünf-Stufen-Plans absolut richtig und wichtig: Prävention von Cyber-Angriffen, Umleitung von Daten eines erkannten Angreifers und Aufklärung von Hacker-Offensiven.

Hack Backs haben unvorhersehbare Nebenwirkungen
Der in Stufe vier und fünf verfolgte Ansatz, gefundene Schwachstellen zurückzuhalten, sie also nicht zu veröffentlichen, um sie für einen sogenannten „Hack Back“ zu nutzen, ist jedoch schon aus technischer Sicht nicht praktikabel. So sollen sich Cyber-Experten in Stufe vier des Plans über eine bisher nicht veröffentlichte Schwachstelle Zugriff auf das IT-System des Hacker verschaffen, um Daten „zurückzuklauen“. Doch bereits hier lauern zahlreiche Fallstricke: Gibt es Kopien von den Daten? Sind die Daten verteilt gespeichert? Wem gehört der Server überhaupt? Und was ist, wenn der Server in einem befreundeten Land steht und Eigentum der dortigen Regierung ist?
Stufe 5 – die von Hackern genutzten Server zu zerstören – erinnert wiederum sehr an das Vorgehen der britischen Regierung nach den Snowden-Enthüllungen. Hier wurden Festplatten der britischen Tageszeitung „The Guardian“ mit Bohrern zerstört. Die Folge eines solchen Vorgehens: Nutzen auch andere unbeteiligte Einrichtungen den Server, wären auch deren Daten unwiederbringlich verloren. Insbesondere bei kritischen Infrastrukturen wie Krankenhäusern hätte dies fatale Folgen.
In diesem Zusammenhang stellt sich außerdem die bisher nicht thematisierte Frage, gegen wen solche Maßnahmen der Stufen 4 und 5 theoretisch gerichtet sein können – und dürfen. Wenn ausländische Dritte vom Hack Back betroffen sind, wertet deren Regierung das als Angriff und hackt auch zurück? Eine solche Spirale sollte verhindert werden.

Unveröffentlichte Schwachstellen sind immer ein Risiko
Darüber hinaus gibt es auch bei der Beschaffung von bisher unveröffentlichten Schwachstellen ein sehr konkretes Problem: Findet man selbst eine neue Sicherheitslücke, muss man immer davon ausgehen, dass feindlich gesinnte Hacker oder Regierungen ebenfalls auf diese aufmerksam werden. Es gilt also, die eigene Infrastruktur gegen einen Angriff über ebenjene Schwachstelle zu schützen. Doch wie gelingt das, wenn es dafür noch keinen Patch gibt? Die Thematik ist umso brisanter, wenn man das Wissen über eine Schwachstelle von einem Dritten gekauft hat. Denn Gegner sind natürlich in der Lage, das Gleiche zu tun.
Spätestens wenn die Schwachstelle für einen Hack Back genutzt wurde, ist sie ein maßgeblicher Risikofaktor, denn: Ab diesem Zeitpunkt ist sie bekannt, wird analysiert und von Gegnern eventuell ebenfalls für einen Angriff genutzt. Derselbe Mechanismus greift bei digitalen Schläferzellen – Schadsoftware, die über eine Schwachstelle unbemerkt im IT-System von potenziellen Gegnern platziert wird und bei Bedarf zum Einsatz kommt. Denn auch hier gilt: Ab ihrem Bekanntwerden – etwa indem die Schadsoftware gestartet wird – ist sie ein potenzielles Einfallstor in das eigene IT-System.

Fazit: Digitalen Waffen keinen Entwicklungsraum geben
Schwachstellen zurückzuhalten, um sie für Hack Backs zu nutzen, ist weder politisch, noch administrativ, noch technologisch tragbar. Schlussendlich erhöht jede nicht geschlossene Schwachstelle das Risiko eines erfolgreichen Angriffs. Die Folgen eines solchen sind in unserer komplex vernetzten Welt unvorhersehbar. Im schlimmsten Fall kommt es zu einem Kaskadeneffekt, der das komplette gesellschaftliche Leben zum Erliegen bringt. Dieses Risiko sollten Regierungen auf keinen Fall eingehen, denn sie sind für das Wohl der Bürger verantwortlich. Anstatt sich also um zwischenstaatliche Verfahren über die Weitergabe von Schwachstellen zu bemühen, sollte die politische Energie vielmehr auf die Ächtung von D-Waffen (digitalen Waffen) nach dem Vorbild des Genfer Protokolls zielen.

Die Greenbone Anwenderkonferenz Security Transparent findet in diesem Jahr am 8. Mai 2018 im Humboldt Carré Berlin statt. Im Fokus: Kritische Infrastrukturen und Cyber Resilience.

In diesem Jahr dreht sich auf unserer Anwenderkonferenz alles um die IT-Sicherheit von kritischen Infrastrukturen (KRITIS) – wie Energie, Gesundheit, Wasserversorgung oder Transport und Verkehr. Unternehmen in diesen Sektoren sind die Säulen unseres Gemeinwesens und Ausfälle könnten katastrophale Folgen haben – man male sich nur die dramatischen Auswirkungen eines Zusammenbruchs der Stromversorgung aus. Im Zuge der Digitalisierung hat sich die Sorge von Regierungen um kritische Infrastrukturen noch weiter verschärft. Denn durch immer mehr und immer komplexer ablaufende digitale Prozesse hat sich auch die Angriffsfläche für Hacker enorm vergrößert.
Paradigmenwechsel: Von Cyber Security zu Cyber Resilience
Natürlich möchten Unternehmen ihre IT am liebsten zu 100 Prozent „fail-safe“ absichern. Doch dies würde sie zu unflexibel und reaktionsschwach machen. Daher forcieren wir einen Paradigmenwechsel hin zu „safe-to-fail“. Das bedeutet: Unternehmen müssen ihren Betrieb auch dann aufrechterhalten könnten, wenn ein Angriff von außen gelingt – Widerstandsfähigkeit (engl. Resilience) ist hier das Schlüsselwort. Ein Wandel von Cyber Security hin zu Cyber Resilience ist also dringend notwendig. Welche Voraussetzungen dafür nötig sind und welche Rolle Schwachstellen-Management dabei spielt – darüber möchten wir auf der Security Transparent diskutieren.
Zu Gast sind Unternehmen und Institutionen aus den Sektoren Produktion, Gesundheit, Energie, Verwaltung und Telekommunikation. Zudem freuen wir uns auf spannende Vorträge und Workshops mit folgenden Sprechern:

  • Tim Philipp Schäfers, Cyber Security Consultant OEDIV (Dr. Oetker IT)
  • Ingo Bahn, IT-Sicherheitsbeauftragter, Gematik
  • Henry Hughes, Director IT Security, Jisc (Organisation zur Förderung digitaler Technologien in Forschung und Lehre), UK
  • Markus Böger, Polizeihauptkommissar Verfassungsschutz Niedersachsen
  • Sebastian Neef, IT Solutions Neef und Internetwache
  • Martin Herfurt, Senior Professional Services Consultant Greenbone Networks

Sie möchten an der Konferenz teilnehmen? Hier geht es direkt zur Online-Anmeldung. Weitere Informationen zur Security Transparent 2018 finden Sie hier.

Wir freuen uns auf eine spannende Konferenz mit Ihnen!