Auch in diesem Jahr haben sich die Cyberangriffe auf Unternehmen gehäuft. Davon betroffen ist auch die Datensicherheit von Kunden. Doch anstatt im nächsten Jahr zu versuchen, eine lückenlose IT-Infrastruktur aufzubauen, sollten die Basics der IT-Sicherheit gestärkt werden. Gastbeitrag von Sebastian Brabetz
Foto: mod IT
Sebastian Brabetz leitet den Geschäftsbereich Professional Security Solutions bei mod IT Services.
Die Zahl der Cyberangriffe hat dieses Jahr erneut zugenommen. Die Fälle häufen sich und regelmäßig wird von neuen Attacken berichtet. Vor Kurzem wurde die Targobank Opfer eines Cyberangriffs. Daraufhin mussten rund 6.000 Online-Konten gesperrt werden und die betroffenen Kunden mussten daraufhin auf neue Zugangsdaten warten. Der Fall zeigt, wie brisant Angriffe dieser Art für die Datensicherheit von Kunden und Endanwendern sind. Doch mit dem Finger auf die Targobank zu zeigen und diese anzuprangern, wäre zu einfach. Denn die Realität sieht so aus, dass wir in einem Zeitalter leben, in dem totale Systemhärtung aufgrund von Komplexität nahezu unmöglich geworden ist. Vielmehr sollten Unternehmen Vorfälle wie diesen als Erinnerung nehmen, um zu prüfen, ob sie ihre IT-Security-Basics im Griff haben. Dazu gehören unter anderem sichere Passwörter, aktuelle Sicherheits-Updates, Zwei-Faktor-Authentifizierung sowie fehlerfreie Backups. Darüber hinaus sollten Unternehmen ihre IT-Infrastruktur auf Lücken checken, die potenzielle Einfallstore für Hacker bieten. Das Motto lautet hier: Schwachstellenmanagement als Basis und regelmäßige Pentests als Zusatz.
Schwachstellenmanagement-Tools führen regelmäßige, professionelle Scans durch. Diese spüren systematisch Lücken im Patchmanagement auf. Der Schwachstellenscanner schlägt Alarm, wenn mit einer Konfiguration etwas nicht stimmt oder Passwörter unsicher sind. Als Basis sind die Scanner ideal. Doch: Gängige Schwachstellenscanner können lediglich Sicherheitslücken erkennen, die dem Hersteller des Scanners bekannt sind und die in der Datenbank hinterlegt wurden. So können sich IT-Sicherheitsteams, die lediglich auf Vulnerability-Management-Tools setzen, nie hundertprozentig darauf verlassen, dass das zu schützende Netzwerk tatsächlich sicher ist. Um die IT-Security eines Unternehmens zu verbessern, sollte deshalb neben einem langfristigem Schwachstellenmanagement auch eine Automated Security Validation (ASV) mittels Pentests implementiert werden. Wenn Unternehmen ihre Schwachstellen bereits kontrollieren, können komplexere Sicherheitslücken durch Pentesting ausfindig gemacht werden.
Wenn man die Vorgehensweise von Cyberkriminellen kennt, kann man auch potenzielle Einfallstore identifizieren. Mit automatisierten Penetrationstests (auch Pentesting genannt) ist das möglich. Sie imitieren die Vorgehensweise von Hackern und spüren dadurch besonders kritische Sicherheitslücken auf, deren tatsächliche Bedrohung gewöhnliche Schwachstellenscanner nicht ermitteln können. Der Clou dabei: Das Infiltrieren des Systems ist keine Simulation. Das System wird tatsächlich gehackt. Bei diesem sogenannten ethischen Hacking werden Cyberattacken imitiert, um herauszufinden, welche Sicherheitslücken den größten Schaden verursachen. Die Angriffe des automatisierten Pentests können genau dokumentieren, wie sich Hacker Zugang zum Netzwerk verschaffen und wie sie weiter vorgehen würden – und zwar in Echtzeit. Die Software teilt gefundene Schwachstellen in Prioritäten ein, um die gefährlichsten Sicherheitslücken aufzuzeigen. Lösungsvorschläge wie beispielsweise Group Policy Object-Konfiguration (GPO) werden ebenfalls mitgeliefert.
In Zukunft wird die Komplexität von Systemen zunehmen und gleichzeitig werden auch Cyberkriminelle ihre Methoden anpassen. An dem Mythos vom Hacker als Einzeltäter ist schon lange nichts mehr dran. Vielmehr hat sich in der Cyberkriminalität eine eigene Wirtschaft aufgebaut. Jeden Winkel des immer komplexeren Netzwerks im Blick zu haben, ist so gut wie unmöglich geworden, wenn die Gegenseite nicht schläft. Die Basics der IT-Sicherheit zu stärken, ist daher wichtiger denn je. Anstatt die totale Systemhärtung in einer stetig wandelnden digitalen Umgebung anzustreben, sollten deshalb in das Schwachstellenmanagement und in automatisiertes Pentesting investiert werden. So können Unternehmen einen potenziellen Vorfall mit einem blauen Auge überstehen.
Der Autor Sebastian Brabetz (LinkedIn) ist in der Geschäftsleitung von mod IT für die Professional Security Solutions verantwortlich. Er ist als „Offensive Security Certified Professional“ sowie als „Tenable Certified Security Engineer“ zertifiziert und hat darüber hinaus zwei Bücher zum Thema „Penetration Testing“ veröffentlicht.
