Wenn mehr Cyber-Sicherheit zu viel ist

Mehr Sicherheitstools schaffen mehr Komplexität, nicht mehr Sicherheit

Die Ansicht, dass mehr Sicherheitstools einen besseren Schutz bedeuten, hält sich immer noch hartnäckig, doch der Sicherheitsforscher Etay Maor argumentiert, dass der Erfolg im Bereich Cyber Sicherheit in der Einfachheit liegt.

„Wachstum schafft Komplexität, die Einfachheit erfordert“ – Mike Krzyzewski.

Es herrscht ein weit verbreitetes Missverständnis, dass die Sicherheitslage eines Unternehmens umso besser sei, je mehr Sicherheitstools es einsetzt. Deshalb ist es nicht verwunderlich, dass Unternehmen im Durchschnitt mehr als 70 Sicherheitsprodukte nutzen. Weiterhin überrascht es kaum, dass mit jedem hinzugefügten Angebot die Komplexität zunimmt und die Effizienz sinkt. Während dies für Fortune-100-Unternehmen mit ihren nahezu unbegrenzten Sicherheitsbudgets kein großes Problem sein mag, stellt es für alle anderen eine Herausforderung dar.

Eines der grundlegenden Probleme in der Cyber Sicherheit ist, dass die Produktvielfalt zu Komplexität führt. Der mehrschichtige Sicherheitsansatz, den Unternehmen über die Jahre hinweg eingeführt haben, dient dazu, sich gegen die ständig wandelnde Bedrohungslandschaft und die wachsende Komplexität von Angriffen zu schützen.

Warum Integration wichtiger ist als weitere Tools

Allerdings bestand jede Schicht aus mehreren unverbundenen Angeboten, was dazu führte, dass Sicherheitsforscher zu Integrationsingenieuren wurden. Sie mussten versuchen, alle Elemente miteinander zu verknüpfen. Wie genau erfassen und korrelieren Sie Signale und Indikatoren verschiedener Sensoren, filtern diese, normalisieren die Daten, scannen nach Fehlalarmen, bewerten die Relevanz der Daten für Ihre Anforderungen und vieles mehr? In welcher Art und Weise werden mehrere Bedrohungs-Feeds erfasst, priorisiert und auf Fehlalarme geprüft? Mit welchen Mitteln können Sie sicherstellen, dass alles nahtlos zusammenarbeitet, um eine möglichst optimale Sicherheitslage zu gewährleisten?

Das kannst du nicht!

Der Beweis liegt in der sogenannten Verweildauer: Die meisten Bedrohungsakteure verweilen wochen-, wenn nicht sogar monatelang, in den Netzwerken von Organisationen, bevor sie ihren Angriff starten.

In dieser kritischen Phase des Angriffs hat die IT viele Möglichkeiten, einen Angriff zu erkennen, einzudämmen und sogar zu verhindern. Während sie sich im Netzwerk der Organisation aufhalten, sammeln die Angreifer Passwörter und sichern ihr Fortbestehen im Netzwerk mithilfe von Tools, die bereits im System vorhanden sind, wie WMI oder PowerShell (oder LOL, was für „Living Off the Land“ steht), bis hin zu benutzerdefinierten Tools zur Durchführung von Privilegienausweitungen, Seitwärtsbewegungen zur Identifizierung von Kronjuwelen, Vorbereiten von Exfiltrationstunneln und vielem mehr, und das alles unter Umgehung von Sicherheitskontrollen.

Dies widerlegt einen weiteren alten Mythos der Cyber Sicherheit, der besagt: „the attackers have to be right just once, and the defenders have to be right all the time.“ Dieser Mythos ist eine zu starke Vereinfachung dessen, was bei einem Verstoß wirklich passiert. Tatsächlich ist genau das Gegenteil der Fall. Die Angreifer müssen bei jedem einzelnen Schritt richtig liegen, um ihr Ziel zu erreichen, während die IT über mehrere potenzielle Engpässe verfügt, an denen sie den Angriff hätten erkennen, abschwächen oder verhindern können. Warum übersehen Sec-Ops diese Signale immer wieder?

Mehr Technik heißt nicht mehr Sicherheit

In vielen dieser Fälle waren alle Signale vorhanden, wurden aber irgendwie übersehen. Dies wirft einige zentrale Fragen auf: Fügen neue Tools dem Sicherheits-Stack eher Fett oder Muskeln hinzu? Erleichtern sie dem Analysten die Arbeit, oder erzeugen sie nur mehr Komplexität? Muss er nun einen weiteren Bildschirm überwachen, um ein mögliches Signal zu erkennen? Starten wir mit jedem Tool ein neues Integrationsprojekt, das Wochen oder Monate dauert? Verzögert sich das Ganze noch mehr, wenn Teammitglieder gehen? Verlieren wir dadurch den Fokus auf Sicherheit und landen stattdessen bei Integration und Tests?

Angreifer haben gegenüber den Verteidigern mehrere Vorteile: Sie haben die Initiative, sind weitaus agiler, passen sich schneller an und verändern sich schneller. Eine genaue Betrachtung vieler Verstöße ergab jedoch, dass sie immer noch dieselben Tools und Techniken nutzen, Phishing, Passwort-Cracking und Schwachstellen-Scanning. Es ist nicht das „Was“, das sie geändert haben, sondern das „Wie“.

Der richtige Weg: Fokus statt Funktionsvielfalt

Wir müssen unsere Abwehrmaßnahmen neu denken. Statt ständig neue Funktionen hinzuzufügen, sollten wir Bestehendes in der Cyber Sicherheit besser nutzen. Nicht vereinfacht, aber klarer, umfassender und überschaubarer. Ziel: Effizienz durch Fokus, nicht durch Funktion.