Angreifer warten nicht damit, Schwachstellen auszunutzen

Zeit ist beim Patch-Management alles. Das Zeitfenster zwischen der Meldung einer Schwachstelle und dem Einsatz eines Softwareupdates ist entscheidend dafür, die Hacker fernzuhalten.

Schnelligkeit ist nun noch wichtiger, da Übeltäter (mit künstlicher Intelligenz bewaffnet) innerhalb von 10 Stunden neu offengelegte Schwächen in funktionierende Hacks rückentwickeln können. 

Verständlicherweise fällt es sich den Ökosystem-Verteidigern schwer, Schritt zu halten, und schlechte Praktiken beim Patchen sowie unzureichende Digitalhygiene verschlimmern das Problem nur. Beispielsweise begann nahezu ein Drittel der Ransomware-Angriffe im vergangenen Jahr mit einer ungepatchten Schwachstelle, einem vermeidbaren Einfallstor, das schnelleres Patchen (oder Patchen überhaupt) geschlossen hätte. 

Schauen wir uns genauer an, was beim Patchen geschieht – wieso es einfacher gesagt als getan ist, wie Regulierungen zum Schließen von Hintertüren beitragen und was Teams tun können, um ihre Reaktionszeiten zu verbessern. Schließlich warten Angreifer nicht, bis sie sich mit offenen Hintertüren befassen, und das sollten Administratoren auch nicht. 

Mehr Schwachstellen, schnellere Hacks, längere Verweildauern 

Drei wichtige Trends geben Hackern die Oberhand beim Ausnutzen ungepatchter Endpunkte. Erstens, dass die Anzahl der Hintertüren nur wächst. Letztes Jahr sahen wir, dass etwa 50.000 bekannte Schwachstellen und Anfälligkeiten (Common Vulnerabilities and Exposures – CVEs) gekennzeichnet wurden. Tatsächlich entspricht dies 50.000 neuen Softwaremängeln, so dass Teams durch 20 % mehr gemeldete Softwareschwachstellen als im Vorjahr überfordert wurden. 

Zweitens, dass Hacker, wie erwähnt, Technologie zu ihrem Vorteil verwenden. Das gilt für die Art, wie sich Angreifer CVEs als Angriffsvorlagen zu Nutze machen und wie sie ungepatchte Assets auffinden. Das automatisierte Scannen auf Schwachstellen beispielsweise ermöglicht es Angreifern, ständig nach neu offengelegten Schwachstellen Ausschau zu halten und sie mit exponierten Assets im gesamten Internet abzugleichen. Im Wesentlichen automatisieren KI und maschinelles Lernen einen Großteil der Routinearbeit, was bedeutet, dass selbst kleinere Gefährder oberhalb ihrer Gewichtsklasse zuschlagen können. 

Drittens, dass Übeltäter, da sie durch Verteidigungslücken schlüpfen und den Administratoren unbekannt bleiben, länger verweilen. Die globale mittlere Verweildauer (die Zeitspanne zwischen einem erfolgreichen Hack und der internen Erkennung) ist jüngst auf 14 Tage gestiegen – viel Zeit, um Anmeldedaten für einen künftigen Angriff zu stehlen, sich auf zahlreichen Routen im gesamten Netzwerk zu bewegen, um weitere Assets zu infizieren, und die Saat für Ransomware zu legen. Um die Sache noch schlimmer zu machen, gibt es zudem kontinuierliche Patch-Hindernisse, die Administratoren davon abhalten, sich an das aktuelle Softwareausmaß und -tempo anzupassen. 

Technische und kulturelle Patch-Blockaden 

Um einen Patch bereitzustellen, reicht es nicht, einfach einen Knopf zu drücken. Stattdessen sorgen sich Administratoren (insbesondere jene im Fertigungs- und Gesundheitswesen, wo Verfügbarkeit besonders notwendig ist), dass Softwarepatches Produktionssysteme unbrauchbar machen könnten. Kompatibilität muss daher unbedingt erzielt werden. Zudem kann das Priorisieren von Patches auf Grundlage der Gefährdungsstufe ohne Sichtbarkeit schwierig kein. Das Nutzerverhalten (wie etwa Mitarbeiter, die Neustarts aufschieben und Benachrichtigungen ignorieren) und die Endpunktverteilung (die Verwaltung über Verteilungsebenen und Fernstandorte hinweg) sind ähnlich wichtige Variablen. 

Ein kulturelles Problem ist ebenfalls im Spiel. Zu oft behandeln Administratoren das Patch-Management als Routinewartung, die vorausgeplant, aufgeschoben oder rückwirkend durchgeführt werden kann. Die Einstellung dahinter ist, dass es beim Patchen bloß darum geht, Systeme „auf dem neuesten Stand“ zu halten, statt Sicherheitslücken zu schließen, ehe sie ausgenutzt werden können. 

Jenseits von empfohlenen Verhaltensweisen kann das unterlassene Überwinden von Patch-Hürden zu Schwächen in der realen Welt führen. In einem kürzlicher Bericht wurde ausgeführt, dass die Hälfte der kritischen Schwachstellen beinahe zwei Monate lang offen bleibt, nachdem eine Fehlerbehebung verfügbar wurde. Das ist einfach nicht gut genug angesichts der Tatsache, das ungepatchte Schwachstellen für 60 % der Datenpannen verantwortlich sind. 

Eine gute Nachricht ist, dass Regulierungsbehörden Anbietern vorschreiben, Sicherheitslücken ernster zu nehmen. Die Cyberresilienz-Verordnung der EU macht es für Gerätehersteller zu einer gesetzlichen Vorgabe, Anwendungs- und Software-Exploits offenzulegen und Patches so schnell wie möglich bereitzustellen, wodurch das anbieterseitige Fenster verkleinert wird. Dennoch wird hierdurch erneut den Administratoren die Last auferlegt, mitzuziehen und kritische Patches mit entsprechender Dringlichkeit zu veröffentlichen – eine Erwartung, die mit seit Langem bestehenden BSI-Richtlinien für deutsche Unternehmen in Einklang steht. 

Mit umfassenderem Patchen zurückschlagen 

Administratoren müssen das Gleichgewicht des Patchens zu ihren Gunsten verschieben. Vor allem dürfen nicht alleine Übeltäter von Automation profitieren. Stattdessen können durch das Verbinden aller Assets zu einer einzigen Plattform mit vereinheitlichter Sicht Updates in Randzeiten angesetzt und durchgeführt werden. Auf diese Weise können Administratoren eine Plattform wie Unified Endpoint Management (UEM) nutzen, um richtlinienbasierte Bereitstellungen in der gesamten Flotte vorzunehmen, die die Verfügbarkeit aufrechterhält, Betriebsstörungen vermeidet und Aufschübe durch Benutzer umgeht. 

Priorisieren Sie zudem angesichts wachsender Angriffe auf Grundlage des Risikos. Teams können nicht alles patchen (zumindest nicht rasch), konzentrieren Sie sich also auf die kritischen CVEs. Denken Sie objektiv über das Ökosystem nach und darüber, welche Schwachstellen für seinen Zustand am wichtigsten sind, und patchen Sie hiervon ausgehend. 

Integrieren Sie überdies Rollback-Redundanzen. Patches können theoretisch wie auch praktisch versagen; testen Sie daher vor einer Massenbereitstellung daher Patches bei einer Beta-Gruppe und beheben Sie jegliche Probleme. Die Erprobung vor und die Beobachtung nach der Bereitstellung erfassen Schwierigkeiten, ehe sie sich zu Krisen auswachsen. 

Zweifellos müssen Teams beim Patchen intelligenter werden. Nur durch das Automatisieren der Bereitstellung, die risikobasierte Priorisierung und die Vorbereitung auf Fehlfunktionen können Teams realistisch die heutigen Geschwindigkeiten und Ausmaße reagieren, ohne dass sie erheblich erweitert werden müssen. Handeln Sie jetzt und stopfen Sie die Löcher im Ökosystem, ehe Angreifer sie ausnutzen.