Die Angriffsfläche im Blick: Security-Audits für NIS2-Compliance

Sie sind hier: Das Magazin für alle IT-Security-Themen » Markt » Tipps & Hinweise

Online-Attacken mit KI und Deepfakes: In drei Schritten zum soliden Cyber-Recovery-Plan

Cyberbedrohungen werden immer komplexer und ausgefeilter. Die Zeiten, in denen Angreifer einfache Malware oder Phishing-Kampagnen einsetzten, sind vorbei

Von Tom Haak, CEO, Lywand Software

NIS2, die aktuelle Richtlinie zur Netzwerk- und Informationssicherheit verfolgt das Ziel, EU-weit das Cybersicherheitsniveau zu steigern. Auf die betroffenen Unternehmen kommen infolgedessen neue Rechenschaftspflichten über ihre Sicherheitslage zu. Dabei können IT-Dienstleister sie mit automatisierten Security-Audits unterstützen. Um den bestmöglichen Nutzen aus derartigen Angeboten ziehen und den geänderten Auflagen einfach entsprechen zu können, sollten Unternehmen ein paar Tipps beherzigen.

Die NIS2-Richtlinie verfolgt den Ansatz, mit Hilfe von rechtlichen Instrumenten eine Kultur der Sicherheit in allen Sektoren, die gesellschaftlich relevant und stark von Informations- und Kommunikationstechnologien abhängig und somit verwundbar sind, zu schaffen. Betroffene Unternehmen sind durch die NIS2-Richtlinie verpflichtet, "geeignete und verhältnismäßige technische operative und organisatorische Maßnahmen (zu) ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme (…) zu beherrschen und die Auswirkungen von Sicherheitsvorfällen (…) zu verhindern oder möglichst gering zu halten" (Amtsblatt der Europäischen Union L, 2022/2555, 14. Dezember 2022).

Dazu zählen unter anderem die Entwicklung von Konzepten für die Risikoanalyse und Sicherheit von Informationssystemen sowie Verfahren zur Bewertung der Wirksamkeit von Cybersicherheitsmaßnahmen. Aufsichtsbehörden können sich davon überzeugen, indem sie Nachweise anfordern oder Kontrollen vor Ort durchführen. Ebenfalls neu ist, dass der Geschäftsführung die Verantwortung für das Risikomanagement übertragen wird, für die sie gemäß der Richtlinie auch persönlich haftbar gemacht werden kann.

Von NIS2 betroffene Unternehmen müssen also verstehen, wie groß ihre Angriffsfläche und das Risiko eines Sicherheitsvorfalls ist und welche Maßnahmen erforderlich sind, um dieses Risiko so weit wie möglich zu reduzieren. Automatisierte Security-Audits, wie sie von zahlreichen IT-Dienstleistern und MSSPs angeboten werden, können sie dabei unterstützen.

Automatisierte Security-Audits für zielgerichtete Sicherheitsmaßnahmen

Automatisierung hat Security-Audits in den vergangenen Jahren deutlich vereinfacht und für eine breite Anwenderschicht erschwinglich gemacht. Was einst die Abstimmung eines Vor-Ort-Termins mit dem zuständigen IT-Dienstleister erforderte und eher selten in Anspruch genommen wurde, lässt sich nun zu einem Bruchteil der Kosten als SaaS nach Bedarf in beliebiger Häufigkeit durchführen. Derartige Lösungen scannen, ähnlich einem Pentest, die IT-Infrastruktur des Unternehmens und liefern anschließend einen detaillierten Ergebnisreport, der die Schwachstellen im System auflistet und eine Bewertung der Sicherheitslage vornimmt. Anschließend können Unternehmen mit ihren IT-Dienstleistern zielgerichtet geeignete Maßnahmen zur Verbesserung der Sicherheitslage abstimmen.

Tipps für Security-Audits mit Mehrwert

Mit automatisierten Security-Audits können Unternehmen nicht nur ein realistisches Bild ihrer Angriffsfläche erhalten, sondern auch die Entscheidungsprozesse rund um neue Sicherheitsmaßnahmen hilfreich unterstützen. Dazu sollten sie die folgenden Punkte beachten:

1) Auf eigenständige Security-Audit-Lösungen setzen

Unternehmen sollten sicherstellen, dass ihr IT-Dienstleister über eine eigenständige Lösung zur Durchführung von Security-Audits verfügt. Dies mag nicht immer transparent sein, da Security-Audits oftmals Bestandteil von Managed Services-Paketen sind, in denen die genutzten Produkte nicht aufgelistet sind. Es lohnt sich jedoch, dies zu überprüfen. Denn zahlreiche RMM-Lösungen (Remote Monitoring and Management), die IT-Dienstleister für ihre Kunden nutzen, bieten in ihrem Funktionsumfang eine Schwachstellenanalyse. Diese führen in der Regel allerdings nur einen Softwareversionsabgleich durch und erreichen somit nicht den Detailgrad, den eigenständige Security-Audit-Lösungen bieten können. Um ein möglichst konkretes Bild ihrer Sicherheitslage zu erhalten, sollten Unternehmen daher mit ihren IT-Dienstleistern klären, ob sie eine geeignete Lösung im Portfolio haben, beziehungsweise einsetzen.

2) Externe Infrastruktur in Scans einschließen

Was Security-Audits anbelangt, konzentrieren sich diese häufig auf interne Bereiche, wie die Windows-Server-Umgebungen. Doch die extern erreichbaren Elemente von IT-Infrastrukturen sind ebenfalls ein empfindlicher Bestandteil der Angriffsfläche. Sicherheitsrisiken können dort beispielsweise durch Fehlkonfigurationen in Servern oder Firewall, sowie Schwachstellen in Webanwendungen oder Websites entstehen. Diese können unter Umständen zu einer Kettenreaktion führen, die sich in andere Bereiche ausdehnen kann. Beispielsweise kann ein Datenleck in Folge eines Angriffs auf eine externe Website die Sicherheit der damit verbundenen Systeme gefährden.

Es ist daher unerlässlich, stets die gesamte Infrastruktur im Blick zu behalten, um ein realistisches Bild der gesamten Angriffsfläche zu erhalten. Unternehmen sollten sich bei ihren Dienstleistern erkundigen, ob auch die externe Infrastruktur in ihren Audits regelmäßig berücksichtigt.

3) Verständliche Reports verlangen

Mit NIS2 ist die IT-Sicherheit nicht mehr vorwiegend Sache der IT-Abteilung – nun ist auch die Geschäftsführung in der Pflicht. Ergebnisreports von Security-Audits erfüllen im Unternehmen eine wichtige Funktion, da sie für alle Verantwortlichen eine Entscheidungsgrundlage über weitere Maßnahmen im Risikomanagement bilden.

Während IT-Administratoren im Unternehmen eine möglichst detaillierte Ergebnisübersicht bevorzugen, um gegebenenfalls die Sachlage selbst nachvollziehen zu können, benötigen Geschäftsführer in erster Linie eine verständliche Darstellung der Zusammenhänge, eine Bewertung der gefundenen Schwachstellen sowie eine Priorisierung der erforderlichen Maßnahmen, um geeignete Entscheidungen treffen zu können. Unternehmen sollten daher Wert darauf legen, dass ihre IT-Dienstleister Security-Audit-Lösungen verwenden, die unterschiedlichen Reporting-Anforderungen gerecht werden können. Verständliche Berichte für alle Verantwortlichen schaffen eine einheitliche Gesprächsgrundlage, die die weitere Zusammenarbeit erleichtert.

Bessere Dokumentation und Auskunftsfähigkeit

NIS2 verlangt von Unternehmen, ihre Security-Kultur zu verändern: Sie müssen Kontrolle über ihre Angriffsfläche gewinnen, indem sie ihre IT-Infrastrukturen regelmäßig überprüfen. Zudem sollte auch die Geschäftsführung stets einen Überblick der aktuellen Sicherheitslage geben können. Richtig eingesetzt können geeignete Lösungen für automatisierte Security-Audits die Qualität der internen Dokumentation steigern und die Auskunftsfähigkeit gegenüber Aufsichtsbehörden verbessern und somit Unternehmen in diesem Wandel unterstützen. (Lywand Software: ra)

eingetragen: 26.07.24
Newsletterlauf: 20.09.24

Lywand Software: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Tipps & Hinweise

Tipps & Hinweise

Narrative Angriffe besser kommen sehen

Die Gefahr ist diffus und schwer greifbar: Während sich Unternehmen zunehmend in der komplexen Landschaft von Cyberangriffen zurechtfinden müssen, erweisen sich narrative Angriffe zusätzlich als besonders heimtückische Form, mit der Cyberkriminelle auch Unternehmen in Bedrängnis bringen können. Indem sie Fehlinformation streuen oder die Öffentlichkeit manipulieren und spalten, können diese Angriffe der Reputation und den Finanzen eines Unternehmens erheblichen Schaden zufügen.

Vorherrschaft im Ransomware-Bereich

Die Welt der Cyberkriminellen steht niemals still. Ein ständiger Wandel bringt regelmäßig neue Akteure hervor, die durch immer ausgefeiltere Technologien und Taktiken auffallen. Besonders dynamisch ist die Ransomware-Szene, in der verschiedene Gruppen miteinander im Wettbewerb um Affiliates (also kriminelle "Subunternehmer", welche ihre Erpressungs-Tools und -Dienste einsetzen) und die attraktivsten Angriffsziele stehen.

Wichtige Bereiche für die Zugriffskontrolle

Zugriffs-Zertifizierung beschreibt die unabhängige Prüfung der Zugriffsrechte durch einen Auditor. Dieser untersucht, ob die den Benutzern gewährten Rechte wirklich notwendig sind. Ein gründlicher Prozess zur Zertifizierung des Benutzerzugriffs stellt sicher, dass die digitale Identität jedes Mitarbeiters nur die Berechtigungen hat, welche für die Erfüllung seiner Aufgaben nötig sind.

Schwachstellen in Software gibt es jede Menge

Neue Schwachstellen schnellstmöglich zu schließen, ist eine zentrale Aufgabe für IT-Sicherheitsverantwortliche. Professionelle Hacker sind schnell über Lücken informiert und führen oft innerhalb von 24 Stunden Angriffe aus, um über diese neuen Einfallstore ins Unternehmensnetzwerk zu gelangen.

Besuchen Sie SaaS-Magazin.de

SaaS, On demand, ASP, Cloud Computing, Outsourcing >>>

Kostenloser Newsletter

Werktäglich informiert mit IT SecCity.de, Compliance-Magazin.de und SaaS-Magazin.de. Mit einem Newsletter Zugriff auf drei Online-Magazine. Bestellen Sie hier

Fachartikel

Grundlagen

Big Data bringt neue Herausforderungen mit sich

Die Digitale Transformation zwingt Unternehmen sich mit Big Data auseinanderzusetzen. Diese oft neue Aufgabe stellt viele IT-Teams hinsichtlich Datenverwaltung, -schutz und -verarbeitung vor große Herausforderungen. Die Nutzung eines Data Vaults mit automatisiertem Datenmanagement kann Unternehmen helfen, diese Herausforderungen auch mit kleinen IT-Teams zu bewältigen. Big Data war bisher eine Teildisziplin der IT, mit der sich tendenziell eher nur Großunternehmen beschäftigen mussten. Für kleinere Unternehmen war die Datenverwaltung trotz wachsender Datenmenge meist noch überschaubar. Doch die Digitale Transformation macht auch vor Unternehmen nicht halt, die das komplizierte Feld Big Data bisher anderen überlassen haben. IoT-Anwendungen lassen die Datenmengen schnell exponentiell anschwellen. Und während IT-Teams die Herausforderung der Speicherung großer Datenmengen meist noch irgendwie in den Griff bekommen, hakt es vielerorts, wenn es darum geht, aus all den Daten Wert zu schöpfen. Auch das Know-how für die Anforderungen neuer Gesetzgebung, wie der DSGVO, ist bei kleineren Unternehmen oft nicht auf dem neuesten Stand. Was viele IT-Teams zu Beginn ihrer Reise in die Welt von Big Data unterschätzen, ist zum einen die schiere Größe und zum anderen die Komplexität der Datensätze. Auch der benötigte Aufwand, um berechtigten Zugriff auf Daten sicherzustellen, wird oft unterschätzt.

Bösartige E-Mail- und Social-Engineering-Angriffe

Ineffiziente Reaktionen auf E-Mail-Angriffe sorgen bei Unternehmen jedes Jahr für Milliardenverluste. Für viele Unternehmen ist das Auffinden, Identifizieren und Entfernen von E-Mail-Bedrohungen ein langsamer, manueller und ressourcenaufwendiger Prozess. Infolgedessen haben Angriffe oft Zeit, sich im Unternehmen zu verbreiten und weitere Schäden zu verursachen. Laut Verizon dauert es bei den meisten Phishing-Kampagnen nur 16 Minuten, bis jemand auf einen bösartigen Link klickt. Bei einer manuellen Reaktion auf einen Vorfall benötigen Unternehmen jedoch circa dreieinhalb Stunden, bis sie reagieren. In vielen Fällen hat sich zu diesem Zeitpunkt der Angriff bereits weiter ausgebreitet, was zusätzliche Untersuchungen und Gegenmaßnahmen erfordert.

Zertifikat ist allerdings nicht gleich Zertifikat

Für Hunderte von Jahren war die Originalunterschrift so etwas wie der De-facto-Standard um unterschiedlichste Vertragsdokumente und Vereinbarungen aller Art rechtskräftig zu unterzeichnen. Vor inzwischen mehr als einem Jahrzehnt verlagerten sich immer mehr Geschäftstätigkeiten und mit ihnen die zugehörigen Prozesse ins Internet. Es hat zwar eine Weile gedauert, aber mit dem Zeitalter der digitalen Transformation beginnen handgeschriebene Unterschriften auf papierbasierten Dokumenten zunehmend zu verschwinden und digitale Signaturen werden weltweit mehr und mehr akzeptiert.

Datensicherheit und -kontrolle mit CASBs

Egal ob Start-up oder Konzern: Collaboration Tools sind auch in deutschen Unternehmen überaus beliebt. Sie lassen sich besonders leicht in individuelle Workflows integrieren und sind auf verschiedenen Endgeräten nutzbar. Zu den weltweit meistgenutzten Collaboration Tools gehört derzeit Slack. Die Cloudanwendung stellt allerdings eine Herausforderung für die Datensicherheit dar, die nur mit speziellen Cloud Security-Lösungen zuverlässig bewältigt werden kann. In wenigen Jahren hat sich Slack von einer relativ unbekannten Cloud-Anwendung zu einer der beliebtesten Team Collaboration-Lösungen der Welt entwickelt. Ihr Siegeszug in den meisten Unternehmen beginnt häufig mit einem Dasein als Schatten-Anwendung, die zunächst nur von einzelnen unternehmensinternen Arbeitsgruppen genutzt wird. Von dort aus entwickelt sie sich in der Regel schnell zum beliebtesten Collaboration-Tool in der gesamten Organisation.

KI: Neue Spielregeln für IT-Sicherheit

Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark zugenommen. Dank künstlicher Intelligenz (KI), maschinellem Lernen und Big Data sind die Inhalte deutlich überzeugender und die Angriffsmethodik überaus präzise. Mit traditionellen Phishing-Angriffen haben die Attacken nicht mehr viel gemein. Während IT-Verantwortliche KI einsetzen, um Sicherheit auf die nächste Stufe zu bringen, darf man sich getrost fragen, was passiert, wenn diese Technologie in die falschen Hände, die der Bad Guys, gerät? Die Weiterentwicklung des Internets und die Fortschritte beim Computing haben uns in die Lage versetzt auch für komplexe Probleme exakte Lösungen zu finden. Von der Astrophysik über biologische Systeme bis hin zu Automatisierung und Präzision. Allerdings sind alle diese Systeme inhärent anfällig für Cyber-Bedrohungen. Gerade in unserer schnelllebigen Welt, in der Innovationen im kommen und gehen muss Cybersicherheit weiterhin im Vordergrund stehen. Insbesondere was die durch das Internet der Dinge (IoT) erzeugte Datenflut anbelangt. Beim Identifizieren von Malware hat man sich in hohem Maße darauf verlassen, bestimmte Dateisignaturen zu erkennen. Oder auf regelbasierte Systeme die Netzwerkanomalitäten aufdecken.

DDoS-Angriffe nehmen weiter Fahrt auf

DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.

Fluch und Segen des Darkwebs

Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.