Schutz der Pfade zu den Daten einer Organisation

Auf der ganzen Welt durchlaufen Unternehmen jeder Größe und in allen Branchen irgendeine Form von IT. Transformation. Tatsächlich haben Unternehmen die Digitalisierung ihres internen und externen Geschäftsbetriebs um drei bis vier Jahre beschleunigt, seit eine Pandemie die Welt auf den Kopf gestellt hat. Obwohl COVID-19 als ein wichtiger Beschleuniger für diesen Wandel angesehen werden kann, erkennen die Unternehmensführer auch die strategische Bedeutung der Einbettung von Technologie in ihrem gesamten Unternehmen.

Für viele wird die Transformation durch die Einführung kommerzieller Standardsoftware von Drittanbietern, die intern bereitgestellt wird, Software-as-a-Service (SaaS)-Anwendungen, die sensible Daten hosten, und Open-Source-Bibliotheken von Drittanbietern vorangetrieben die zum Erstellen von Software verwendet werden. Obwohl die Einführung moderner Technologien ein Zeichen für den notwendigen Fortschritt ist, sollten Unternehmen die potenziellen Sicherheitsrisiken, die mit all diesen Innovationen einhergehen, nicht übersehen. Das Übergewicht von Software-Lieferketten wird ahnungslose Unternehmen auf neue und komplexe Weise entlarven und die Grenzen traditioneller Sicherheitsmaßnahmen verschieben.

Anfällige Softwarelieferketten haben sogar die Aufmerksamkeit der US-Regierung auf sich gezogen und die Dringlichkeit dieses wachsenden Cybersicherheitsrisikos bestätigt. Im Mai unternahmen die Regierungschefs den ersten Schritt, um die potenziellen Bedrohungen, die in einem wachsenden Ökosystem von Abhängigkeiten von Dritten lauern, proaktiv anzugehen. Executive Order 14028 skizziert einen Plan, der die Regierung auffordert, „mutige Veränderungen und bedeutende Investitionen vorzunehmen, um die lebenswichtigen Institutionen zu verteidigen, die die amerikanische Lebensweise untermauern“. Der E. O. legt besonderen Wert auf die Sicherheit kritischer Software“, der, wie die Regierung feststellt, „transparent, ausreichend fokussiert auf die Fähigkeit der Software, Angriffen zu widerstehen, und angemessene Kontrollen fehlen, um Manipulationen durch böswillige Akteure zu verhindern.“

Das National Institute of Standards and Technology (NIST) skizzierte die Sicherheitsmaßnahmen zum Schutz kritischer Software und legte einen starken Fokus auf die Abwehrmaßnahmen, die zum Schutz von Daten und nicht nur der umgebenden Systeme und Netzwerke erforderlich sind. Dieser Ansatz, der sich auf den Schutz der Daten und aller Pfade zu ihnen konzentriert, erkennt das hartnäckige Problem von Softwareanwendungen und Bibliotheken von Drittanbietern, die direkten Zugriff auf sensible Daten haben. Wie die erfolgreichen Angriffe der letzten Monate gezeigt haben, müssen Unternehmen die Software eines Anbieters oder eines Drittanbieters berücksichtigen, die ihre Anwendungen und Schnittstellen untermauert, wenn wir die Bedrohung durch Angriffe auf die Software-Lieferkette wirklich abschwächen wollen.

Ein komplexes Ökosystem

In der Vergangenheit haben sich Unternehmen auf das Risiko konzentriert, das von ihren unmittelbaren Anbietern und der kritischen Software, auf die sie sich verlassen, eingeführt wird. Diese Haltung reicht nicht mehr aus, da I.T. Die Transformation verschiebt die Grenzen des traditionellen Netzwerks und macht veraltete Kontrollen weniger effektiv.

Auch wenn ein Unternehmen über die richtigen Sicherheitskontrollen verfügt, bedeutet dies nicht, dass seine Anbieter in der gesamten Softwarelieferkette dies tun. Die Sicherheitsstrategie kann sich nicht mehr darauf verlassen, allem aus dem Ökosystem zu vertrauen, auch nicht von Partnern und Anbietern. Die wachsende Software-Lieferkette und die Komplexität moderner Anwendungen führen dazu, dass Sicherheitslücken immer schneller eingeführt werden. Um das wachsende Ausmaß von Angriffen innerhalb des Softwareentwicklungslebenszyklus zu bewältigen, müssen Unternehmen ein Bedrohungsmodell einführen, das alle Teile der Lieferkette umfasst, einschließlich Code von Drittanbietern.

Moderne Anwendungen werden von einem komplexen Ökosystem von Anwendungsprogrammierschnittstellen (APIs), Microservices und serverlosen Funktionen angetrieben. Bei eher kurzlebigen Workloads und verteilten Architekturen gibt es kein Allheilmittel für die Softwareanalyse vor der Produktion. Selbst im strengsten Softwareentwicklungslebenszyklus (SDLC) bedeutet die Komplexität der Entwicklung, dass Schwachstellen eingeführt werden. Auch aus diesem Grund muss der Schutz aller Pfade zu den Daten die grundlegende Strategie für Unternehmen sein.

Das Problem direkt angehen

Wie durch frühere Angriffe auf die Software-Lieferkette bewiesen, manövrieren bösartige Akteure heimlich innerhalb der Software-Lieferkette, indem sie die Schwachstelle in einer Drittanbieter-Softwareverbindung ausnutzen, um sich seitlich zu bewegen und schließlich Zugriff auf die Daten des Ziels zu erhalten.

Die Sicherheit von Webanwendungen muss sich weiterentwickeln und sich stärker darauf konzentrieren, das Verhalten von Laufzeitanwendungen zu erkennen, beispielsweise ob Code von Drittanbietern für unerwünschte Aktionen verantwortlich ist. Nur durch das Blockieren unerwarteter Verhaltensweisen kann man neuartiges Angriffsverhalten verhindern. Dies wird von entscheidender Bedeutung sein, da die Unternehmens-IT. entwickelt sich zu vielfältigen, modernen Anwendungsumgebungen.

Tools zum Scannen von Anwendungen sind großartig, aber es ist unwahrscheinlich, dass kompromittierte Software von Drittanbietern, die in Anwendungen eingebettet ist, erkannt wird. Perimeter-Tools können durch scheinbar harmlosen Datenverkehr von Anwendungen bis zur Veröffentlichung der Signaturen getäuscht werden. Obwohl viele Unternehmen Endpunktsicherheit einsetzen, ist diese Technologie für Anwendungsangriffe oft blind, da sie in der Anfangsphase selten Benutzergeräte berühren müssen.

Stattdessen müssen Unternehmen Runtime Application Self Protection (RASP) implementieren, um Angriffe in Echtzeit und innerhalb einer Anwendung zu erkennen und zu verhindern. Diese Technologie, die in NIST SP 800-53 Revision 5 empfohlen wird, kann Angriffe bis auf eine genaue Codezeile lokalisieren und die Ausnutzung einer Schwachstelle automatisch stoppen, sodass Unternehmen die Zeit haben, Schwachstellen nach ihrem eigenen Zeitplan zu beheben.

Um Innovationen zu ermöglichen und einen Wettbewerbsvorteil zu erhalten, müssen Unternehmen ihre Betriebsabläufe modernisieren. Ein Großteil dieser Transformation wird von Anwendungen und Diensten von Drittanbietern abhängen.

Software- und Anwendungsschwachstellen sind jedoch grundlegende Sicherheitsprobleme, die Unternehmen zur Kenntnis nehmen müssen. Daher sollten sie ihren Schwerpunkt auf ihre Verteidigung legen, insbesondere auf die APIs, die ihre digitale Transformation untermauern.

Da Angreifer heimliche Wege finden, um Abwehrmaßnahmen zu umgehen und Zugriff auf die zugrunde liegenden Daten zu erhalten, ist es wichtig, dass die richtigen Kontrollen vorhanden sind und die richtigen Tools verwendet werden, um die Daten und alle Pfade zu ihnen wirklich zu schützen.

Peter Klimek ist Director of Technology, Office of the CTO, bei Imperva.