Netzwerk-Edge absichern: Five-Eyes-Behörden beraten Unternehmen zum Schutz kritischer Geräte

Mit dem Anstieg von Angriffen auf Edge-Geräte, die weitere Einbrüche von Angreifern in Unternehmensnetze ermöglichen, ist es an der Zeit, dass alle ihr Sicherheitsniveau erhöhen, sagen Behörden der Five-Eyes-Allianz

Die nationalen Nachrichtendienste von fünf Ländern haben Unternehmen Ratschläge gegeben, wie sie Spione bei ihrem eigenen Spiel schlagen können, in einer Reihe von Dokumenten, die ihnen helfen sollen, Netzwerk-Edge-Geräte und -Appliances wie Firewalls, Router, VPN-Gateways (virtuelle private Netzwerke), Internet-of-Things-Geräte (IoT), internetseitige Server und internetseitige OT-Systeme (operative Technologie) vor Cyberangriffen zu schützen.

Die Five-Eyes-Allianz vereint die Nachrichtendienste von Australien, Kanada, Neuseeland, dem Vereinigten Königreich und den USA. Die verschiedenen Behörden haben die Herausforderung der Sicherung des Netzwerk-Edges jeweils aus einem anderen Winkel angegriffen und ihre Berichte am Dienstag veröffentlicht.

„Ausländische Gegner nutzen routinemäßig Software-Schwachstellen in Netzwerk-Edge-Geräten aus, um in kritische Infrastrukturnetzwerke und -systeme einzudringen. Der Schaden kann teuer, zeitaufwändig und reputationsmäßig katastrophal für öffentliche und private Organisationen sein“, sagte die US Cybersecurity and Infrastructure Security Agency (CISA) in ihrer Einführung zu den Leitlinien. „Diese Leitfäden beschreiben verschiedene Überlegungen und Strategien für ein sichereres und widerstandsfähigeres Netzwerk sowohl vor als auch nach einem Kompromittieren.“

Die neuen Dokumente kommen zusätzlich zu den US-Leitlinien, die Herstellern helfen, Geräte zu entwickeln, die „secure by design“ sind. Das Canadian Centre for Cyber Security (CCCS) war federführend bei Security Considerations for Edge Devices, das nicht nur eine detaillierte To-Do-Liste für Unternehmens-IT bereitstellt, sondern auch auf spezifische Leitlinien für Remote-Mitarbeiter und Organisationen mit Bring-Your-Own-Device-Modellen (BYOD) sowie Leitlinien für Hersteller von Edge-Geräten verweist.

Ein gelöstes Problem

In einem nicht ganz subtilen Seitenhieb auf Hersteller von Produkten mit schlecht gesicherten Netzwerk-Management-Schnittstellen (NMIs) merkte es auch an: „Es ist für Anbieter möglich, ihre Produkte so zu härten, dass sie sicher bleiben, wenn NMIs dem Internet ausgesetzt sind. Dies ist ein gelöstes Problem, und Kunden sollten verlangen, dass Anbieter ihre Geräte härten, um NMIs zu sichern.“

Digital Forensics Monitoring Specifications for Products of Network Devices and Applications, federführend vom UK National Cyber Security Centre (NCSC-UK), konzentriert sich auf Mindestanforderungen für forensische Sichtbarkeit. Es beschreibt, was protokolliert werden soll, wie die Protokolle gespeichert und gesichert werden sollen, und die Anforderungen für forensische Datenerfassung im Falle eines Vorfalls.

„Durch die Einhaltung der in diesem Leitfaden dargelegten Mindestniveaus an Beobachtbarkeit und digital-forensischen Baselines werden Gerätehersteller und ihre Kunden besser in der Lage sein, böswillige Aktivitäten gegen ihre Lösungen zu erkennen und zu identifizieren“, heißt es darin. „Gerätehersteller sollten es auch nutzen, um eine Basis standardisierter Funktionen festzulegen, die in der Architektur von Netzwerkgeräten und -appliances enthalten sein sollten, um forensische Analysen für Netzwerkverteidiger zu erleichtern.“

Australien übernahm die Führung bei zwei Dokumenten: Mitigation Strategies for Edge Devices: Executive Guidance und Mitigation Strategies for Edge Devices: Practitioner Guidance. Diese Leitfäden, federführend vom Australian Signals Directorate's Australian Cyber Security Centre (ASD's ACSC), bieten eine Zusammenfassung von Minderungsstrategien und Best Practices zur Sicherung, Härtung und effektiven Verwaltung von Edge-Geräten sowie technische Details zu sieben Minderungsstrategien für operative, beschaffungs- und cybersicherheitstechnische Mitarbeiter zur Implementierung, um Risiken für Edge-Geräte zu reduzieren.

„Das Australian Signals Directorate (ASD)'s Australian Cyber Security Centre (ACSC) hat eine besorgniserregende Zunahme der Anzahl von Vorfällen mit Edge-Gerätekompromittierungen festgestellt“, hieß es in der Practitioner Guidance. „Edge-Geräte sind dem Internet ausgesetzt, typischerweise schwer zu überwachen und in der Lage, auf andere Assets im Netzwerk zuzugreifen, was einen attraktiven Einstiegspunkt und ein Ziel für böswillige Akteure darstellt.“

Das letzte Dokument, federführend von CISA, ist eine Aktualisierung eines 2023er Leitfadens zu Secure-by-Design-Prinzipien für Hersteller mit Links zu Ressourcen zur Implementierung.

„Produkte, die mit Secure-by-Design-Prinzipien entwickelt wurden, priorisieren die Sicherheit der Kunden als Kernanforderung des Geschäfts, anstatt sie lediglich als technisches Feature zu behandeln“, hieß es auf der einführenden Webseite. „Während der Designphase eines Produktentwicklungszyklus sollten Unternehmen Secure-by-Design-Prinzipien implementieren, um die Anzahl ausnutzbarer Fehler erheblich zu verringern, bevor sie sie für den breiten Gebrauch oder Verbrauch auf den Markt bringen. Out-of-the-box sollten Produkte sicher sein, mit zusätzlichen Sicherheitsfunktionen wie Multi-Faktor-Authentifizierung (MFA), Protokollierung und Single Sign-On (SSO) ohne zusätzliche Kosten verfügbar.“

Ein großes Ding … wenn Gerätehersteller kooperieren

Der Leitfaden für Hersteller begeistert besonders Frank Dickson, Group Vice President für Security and Trust bei IDC. „Das ist ein super großes Ding“, sagte er. „Es ist legitim riesig, besonders wenn Gerätehersteller kapitulieren und diesen Anforderungen nachkommen.“

„Diese Geräte sind missionskritisch“, fügte er hinzu. „und einige dieser Geräte haben eine lächerliche Menge an Verwundbarkeit in Bezug auf Datenmenge [die durch sie fließt].“ Trotz dessen stellte er fest, dass viele keine Sichtbarkeit in das bieten, was innen vor sich geht, sodass Kunden nicht beurteilen können, ob der Hersteller gute Arbeit bei der Aktualisierung von Firmware und proaktivem Handeln leistet.

Katell Thielemann, Distinguished VP Analyst bei Gartner, ist ebenfalls erfreut über die Leitlinien, merkte aber an, dass es lediglich ein Anfang ist.

„Die Empfehlungen sind positiv, da sie zeigen, dass die Five-Eyes-Gemeinschaft zusammenarbeitet, um Best Practices voranzubringen“, sagte sie. Und sie „erinnern die Gemeinschaft weiterhin daran, dass alles, was mit dem Internet verbunden ist, standardmäßig exponiert und ein potenzielles Ziel ist.“

OT ist nicht IT

Sie empfindet jedoch nicht, dass das Zusammenfassen von internetverbundenen Firewalls, Routern, IoT-Geräten und OT-Systemen in einer Empfehlung der Gemeinschaft hilft, und „auch nicht, sie als ‚Edge-Geräte‘ zu bezeichnen, weil es annimmt, dass Unternehmens-IT das Zentrum des Universums ist und der ‚Edge‘ da draußen ist.“

„Das mag für Firewalls, Router und VPN-Gateways zutreffen, aber nicht für OT-Systeme“, fuhr sie fort. „Diese OT-Systeme sind Cyber-Physische Systeme (CPS), die Wertschöpfung, Produktion und missionskritische Umgebungen unterstützen. Sie sind nicht der Edge; sie sind der Kern des Betriebs.“

Viele sind internetverbunden, um Remote-Betrieb und Wartung zu unterstützen, stellte sie fest, so „sollte das Ziel dort sein, Ratschläge zu geben, wie man sicher in diese Systeme remote zugreift, und der Ton der Empfehlungen sollte auf die Produktionsrealitäten abzielen, wo IT-Sicherheitswerkzeuge und -prozesse nicht immer eine gute Idee sind.“

Dickson denkt auch, die Leitlinien sind ein guter erster Schritt, fügte aber hinzu: „wenn wir Protokollierung und Sichtbarkeit für digitale Forensik zulassen, wäre es auch schön, wenn es ein Problem gäbe, dass wir tatsächlich in der Lage wären, Abhilfe auf diesem Gerät zu schaffen, eine Art Interdiktion.“

„Es war schon lange ein massives Problem“, sagte er. „Die Tatsache, dass es eine große, koordinierte Aktion über mehrere Five-Eyes-Länder hinweg gibt, ist extrem signifikant. Es ist stark, es ist laut, es ist angemessen, es sind alles gute Dinge. Ehrlich gesagt, war ich so beeindruckt, dass sie dies angekündigt haben, dass ich einfach nur ‚Gott sei Dank, wir gehen dieses Problem endlich an‘ dachte.

„Alles, was wir tun müssen, ist, ein paar wirklich große Organisationen zu haben, die [die Leitlinien] als Anforderung für den Kauf einiger dieser Edge-Geräte in der Zukunft implementieren und [das Problem] gelöst wird.“