NIST veröffentlicht neue Cybersicherheits-Tools gegen staatlich geförderte Bedrohungen

Special Publication 800-172 schützt sensible Informationen in verschiedenen elektronischen Systemen.

Länder auf der ganzen Welt fügen Cyberkriegsführung zu ihrem Arsenal hinzu und setzen hochqualifizierte Teams ein, um Angriffe gegen andere Länder zu starten. Diese Gegner werden auch als „Advanced Persistent Threat“ (APT) bezeichnet, weil sie über die Werkzeuge und Ressourcen verfügen, ihre Ziele wiederholt über einen längeren Zeitraum zu verfolgen und sich an die Abwehrbemühungen der Verteidiger anzupassen.

Verwundbare Daten umfassen die sensiblen, aber unklassifizierten Informationen, die von Regierung, Industrie und Wissenschaft zur Unterstützung verschiedener Bundesprogramme verwaltet werden. Nun bietet eine finalisierte Publikation des National Institute of Standards and Technology (NIST) Leitlinien zum Schutz solcher „Controlled Unclassified Information“ (CUI) vor der APT. NISTs Special Publication (SP) 800-172, Enhanced Security Requirements for Protecting Controlled Unclassified Information: A Supplement to NIST SP 800-171, bietet eine Reihe von Tools, die darauf ausgelegt sind, die Bemühungen staatlich geförderter Hacker zu kontern, und ergänzt eine weitere NIST-Publikation zum Schutz von CUI.

„Cyberangriffe werden mit stillen Waffen durchgeführt, und in manchen Situationen sind diese Waffen nicht detektierbar“, sagte Ron Ross, Computer Scientist und NIST Fellow. „Weil Sie die direkten Auswirkungen des nächsten Hacks vielleicht noch nicht ‚spüren‘, denken Sie vielleicht, er kommt irgendwann in der Zukunft; in Wirklichkeit passiert er aber gerade jetzt.“

Die Bundesregierung verlässt sich stark auf nicht-bundesstaatliche Dienstleister, um eine Vielzahl von Missionen mithilfe von Informationssystemen durchzuführen – ein Begriff, der Computer einschließt, aber auch eine Reihe anderer spezialisierter Technologien wie industrielle Steuerungssysteme und das Internet der Dinge. Der Schutz sensibler Bundesinformationen, die in nicht-bundesstaatlichen Systemen residieren – wie sie von Landes- und Kommunalregierungen, Colleges und Universitäten sowie unabhängigen Forschungsorganisationen genutzt werden – ist von größter Bedeutung, da er direkt die Fähigkeit der Bundesregierung beeinträchtigen kann, ihre Operationen durchzuführen. Ein Hack 2018, der sensible Informationen kompromittierte, inspirierte direkt die Arbeit des NIST-Teams an SP 800-172.

Ehemals als SP 800-171B während der Entwurfsphasen nummeriert, bietet SP 800-172 zusätzliche Empfehlungen für den Umgang mit CUI in Situationen, in denen diese Informationen einem höheren als üblichen Expositionsrisiko ausgesetzt sind. CUI umfasst eine Vielzahl von Informationstypen, von Namen oder Sozialversicherungsnummern von Einzelpersonen bis hin zu kritischen Verteidigungsinformationen.

„Wir entwickelten SP 800-171 als Reaktion auf große Cyberangriffe auf kritische US-Infrastruktur, und sein Begleitdokument SP 800-172 ist darauf ausgelegt, Angriffe von fortgeschrittenen Cyberbedrohungen wie der APT abzumildern“, sagte Ross. „Die Implementierung der Cyberschutzmaßnahmen in SP 800-172 wird Systembesitzern helfen, das zu schützen, was staatliche Hacker als besonders hochwertige Ziele betrachten: sensible Informationen über Menschen, Technologien, Innovation und geistiges Eigentum, deren Enthüllung unsere Wirtschaft und nationale Sicherheit gefährden könnte.“

Die erweiterten Sicherheitsanforderungen sind zusätzlich zu denen in SP 800-171 umzusetzen, da diese Publikation nicht dafür ausgelegt ist, die APT zu adressieren. Die Anforderungen in SP 800-172 gelten für die Komponenten nicht-bundesstaatlicher Systeme, die CUI verarbeiten, speichern oder übertragen oder die den Schutz solcher Komponenten bereitstellen. Um den Geltungsbereich weiter einzugrenzen, werden die Anforderungen nur angewendet, wenn die designierte CUI mit einem kritischen Programm oder einem High-Value Asset verbunden ist – der höchsten Priorität für Schutz.

Primär für Administratoren wie Programmmanager, CIOs und Systemauditoren entwickelt, adressiert die Publikation den Schutz von CUI für Systemkomponenten, indem sie penetrationsresistente Architektur, schadensbegrenzende Operationen und Designs für Cyber-Resilienz und Überlebensfähigkeit fördert. Ihre Werkzeuge, unterteilt in 14 Familien, sind nicht dazu gedacht, en masse implementiert zu werden, sondern gemäß den Bedürfnissen der Organisation ausgewählt zu werden.

„Wahrscheinlich wird eine Organisation, die diese Leitlinien implementiert, nicht alle erweiterten Sicherheitsanforderungen nutzen wollen, die wir hier anbieten“, sagte Ross. „Die Entscheidung, einen bestimmten Satz erweiterter Sicherheitsanforderungen auszuwählen, basiert auf Ihrer Mission und Ihren Geschäftsanforderungen – und wird dann durch laufende Risikobewertungen geleitet und informiert.“

Als Reaktion auf Feedback während der öffentlichen Kommentierungsphase enthält der finale Entwurf aktualisierte Scoping- und Applicability-Leitlinien und einen flexibleren Anforderungsauswahlansatz, um Organisationen die Anpassung ihrer Sicherheitslösungen zu ermöglichen.

Ross sagte, die Werkzeuge in der neuen Publikation sollten jedem Hoffnung bieten, der sich gegen Hacks verteidigen möchte, sogar gegen so einschüchternde Bedrohungen wie die APT.

„Die Gegner bringen ihr ‚A-Game‘ bei diesen Cyberangriffen 24 Stunden am Tag, 7 Tage die Woche“, sagte er. „Sie können anfangen, sicherzustellen, dass der Schaden minimiert wird, wenn Sie die Cyberschutzmaßnahmen von SP 800-172 nutzen.“

Originalquelle: https://www.nist.gov/news-events/news/2021/02/nist-offers-tools-help-defend-against-state-sponsored-hackers