Schutz der Datenreise Ihres Unternehmens

Weltweit durchlaufen Unternehmen aller Größen und Branchen eine IT-Transformation. Tatsächlich haben Firmen die Digitalisierung ihrer internen und externen Geschäftsprozesse seit der Pandemie um drei bis vier Jahre beschleunigt. Während COVID-19 als großer Beschleuniger dieses Wandels gilt, erkennen Führungskräfte zunehmend die strategische Bedeutung der Einbettung von Technologie in ihre Geschäftsmodelle.

Komplexe Software-Lieferketten als Risikofaktor

Für viele wird die Transformation durch die Einführung kommerzieller Standardsoftware (COTS) im eigenen Haus, Software-as-a-Service (SaaS)-Anwendungen, die sensible Daten hosten, sowie Open-Source-Bibliotheken von Drittanbietern zur Softwareentwicklung vorangetrieben. Obwohl moderne Technologie notwendigen Fortschritt signalisiert, dürfen Unternehmen die potenziellen Sicherheitsrisiken nicht übersehen, die mit all dieser Innovation einhergehen. Die Vielzahl an Software-Lieferketten macht ahnungslose Unternehmen auf neue und komplexe Weise angreifbar und sprengt die Grenzen traditioneller Sicherheitsverteidigungen.

Schwache Software-Lieferketten haben sogar die Aufmerksamkeit der US-Regierung auf sich gezogen und die Dringlichkeit dieses wachsenden Cybersicherheitsrisikos bestätigt. Im Mai unternahmen Regierungsvertreter den ersten Schritt zur proaktiven Bekämpfung potenzieller Bedrohungen in einem wachsenden Ökosystem von Drittanbieter-Abhängigkeiten. Executive Order 14028 skizziert einen Plan, der „mutige Veränderungen und erhebliche Investitionen fordert, um die lebenswichtigen Institutionen zu verteidigen, die den amerikanischen Lebensstil tragen.“ Der Erlass legt besonderen Wert auf die Sicherheit kritischer Software, die „Transparenz, ausreichenden Fokus auf die Widerstandsfähigkeit gegen Angriffe und adäquate Kontrollen zur Verhinderung von Manipulation durch böswillige Akteure fehle.“

Datenschutz als Kernstrategie

Das National Institute of Standards and Technology (NIST) definierte Sicherheitsmaßnahmen zum Schutz kritischer Software und legte den Fokus scharf auf die Verteidigung der Daten selbst – nicht nur der sie umgebenden Systeme und Netzwerke. Dieser Ansatz, der den Schutz der Daten und aller Zugriffspfade in den Mittelpunkt stellt, erkennt das hartnäckige Problem von Drittanbieter-Software und -Bibliotheken, die direkten Zugriff auf sensible Daten haben. Wie erfolgreiche Angriffe der vergangenen Monate zeigen, müssen Unternehmen den Vendor ihres Vendors oder Drittanbieter-Software, die ihre Anwendungen und Schnittstellen untermauern, berücksichtigen, um die Bedrohung durch Software-Lieferkettenangriffe wirklich zu mindern.

Ein komplexes Ökosystem

Historisch konzentrierten sich Unternehmen auf Risiken ihrer unmittelbaren Zulieferer und der kritischen Software, auf die sie angewiesen sind. Diese Haltung reicht nicht mehr aus, da die IT-Transformation die Grenzen des traditionellen Netzwerks verschiebt und Legacy-Kontrollen weniger wirksam macht.

Auch wenn ein Unternehmen die richtigen Sicherheitskontrollen implementiert hat, bedeutet das nicht, dass seine Zulieferer entlang der Software-Lieferkette dies ebenfalls tun. Die Sicherheitsstrategie kann nicht mehr darauf vertrauen, dass alles aus dem Ökosystem vertrauenswürdig ist – auch nicht von Partnern und Zulieferern. Die wachsende Software-Lieferkette und die Komplexität moderner Anwendungen führen dazu, dass Schwachstellen mit höherer Geschwindigkeit eingeführt werden. Um der wachsenden Angriffsfläche im Software-Entwicklungszyklus zu begegnen, müssen Organisationen ein Bedrohungsmodell einführen, das alle Teile der Lieferkette einschließt – einschließlich nth-party Code.

Moderne Anwendungen werden von einem komplexen Ökosystem aus APIs, Microservices und serverless Functions angetrieben. Mit mehr flüchtigen Workloads und verteilten Architekturen gibt es keine Patentlösung für die Pre-Production-Softwareanalyse. Selbst im rigorosesten Software Development Lifecycle (SDLC) bedeutet die Komplexität der Entwicklung, dass Schwachstellen eingeführt werden. Deshalb muss der Schutz aller Pfade zu den Daten die fundamentale Strategie für Organisationen sein.

Das Problem an der Wurzel packen

Frühere Software-Lieferkettenangriffe belegen: Angreifer bewegen sich heimlich innerhalb der Lieferkette, indem sie Schwachstellen in Drittanbieter-Verbindungen ausnutzen, sich lateral fortbewegen und letztlich Zugriff auf die Zieldaten erlangen.

Web-Application-Sicherheit muss sich weiterentwickeln und stärker auf die Identifikation von Laufzeit-Verhalten fokussieren – etwa ob Drittanbieter-Code für unerwünschte Aktionen verantwortlich ist. Nur durch das Blockieren unerwarteter Verhaltensweisen lassen sich neuartige Angriffe verhindern. Dies wird kritisch, da sich Enterprise-IT in diverse, moderne Anwendungs-Umgebungen wandelt.

Application-Scanning-Tools sind wertvoll, aber unwahrscheinlich, kompromittierte Drittanbieter-Software in Anwendungen zu identifizieren. Perimeter-Tools können durch scheinbar harmlosen Datenverkehr getäuscht werden, bis Signaturen veröffentlicht sind. Endpoint-Security ist oft blind für Anwendungsangriffe, da diese in frühen Phasen selten Benutzergeräte berühren.

Stattdessen sollten Unternehmen Runtime Application Self-Protection (RASP) einsetzen, um Angriffe in Echtzeit und von innerhalb der Anwendung zu erkennen und zu verhindern. Diese Technologie, empfohlen in NIST SP 800-53 Revision 5, kann Angriffe bis auf die genaue Codezeile lokalisieren und die Ausnutzung von Schwachstellen automatisch stoppen – was Organisationen die nötige Zeit verschafft, Patches nach eigenem Zeitplan einzuspielen.

Um Innovation zu ermöglichen und Wettbewerbsvorteile zu wahren, müssen Organisationen ihre Operations modernisieren. Ein großer Teil dieser Transformation hängt von Drittanbieter-Anwendungen und -Services ab.

Software- und Anwendungs-Schwachstellen sind jedoch fundamentale Sicherheitsprobleme, die Beachtung erfordern. Unternehmen sollten ihre Abwehrmaßnahmen stärken – insbesondere die APIs, die ihre digitale Transformation untermauern.

Da Angreifer raffinierte Wege finden, Verteidigungen zu umgehen und auf zugrundeliegende Daten zuzugreifen, ist es essenziell, dass die richtigen Kontrollen vorhanden sind und die passenden Tools genutzt werden, um Daten und alle Zugriffspfade wirklich zu schützen.

Peter Klimek ist Director of Technology im Office of the CTO bei Imperva.