Umfangreiche Strategien sind gefordert Cybersicherheit in der öffentlichen Verwaltung

Anbieter zum Thema

FAST LTA GmbH

FTAPI Software GmbH

Onapsis Europe GmbH

Der nicht enden wollende Strom von Nachrichten über Ransomware-Angriffe auf Stadtverwaltungen zeigt, dass technisch bestens ausgerüstete Angreifer es wiederholt schaffen, Maßnahmen zur Verteidigung der Netzwerke in der öffentlichen Verwaltung auszuhebeln.

Bis vor kurzem bedeutete Cybersecurity im Wesentlichen die Reaktion auf Vorfälle. Die Mehrheit der Sicherheitsverantwortlichen ging davon aus, dass Angreifer über die virtuelle Haustür versuchen, ins Netzwerk einzudringen. Um dies zu verhindern, wurden entsprechende Lösungen auf Basis bekannter Bedrohungssignaturen und Angriffsvektoren entwickelt, die ein unbefugtes Eindringen verhindern sollten.

Doch die neuen Bedrohungen sind anders – sie lassen sich wesentlich schwerer stoppen, wenn Unternehmen und Verwaltungen sich nur auf verdächtige Aktivitäten an der Haustür konzentrieren. Cyberangriffe sollten heute aus der Perspektive des Angreifers betrachtet werden, um aus den so erhaltenen Erkenntnissen einen proaktiven Verteidigungsansatz zu entwickeln.

Cybersecurity neu gedacht

Wenn es darum geht, den seit Jahrzehnten nur schrittweise ausgebauten Schutzmaßnahmen etwas entgegenzusetzen, kommen Organisationen nicht umhin, ein Verständnis für die Angriffsmethoden und die mit ihnen verbundenen Verhaltensweisen der Angreifer zu entwickeln. Eine große Hilfe dabei ist MITRE ATT&CK. MITRE ist ein von der US-Regierung finanziertes Forschungs- und Entwicklungszentrum. Das ATT&CK Modell stellt gegnerisches Verhalten nach und beschreibt Aktionen, die ein Angreifer ausführen kann, um in ein Netzwerk einzudringen. Cyberkriminelle können so im Netzwerk nach attraktiven Zielen zu suchen. Dieses Framework gibt Threat-Researchern ein gemeinsames Vokabular zur Beschreibung von Angriffstaktiken an die Hand. Es schafft die Grundlagen dafür, dass Teams eigene Hypothesen über mögliche Angriffswege aufstellen und Bedrohungen aufspüren können.

Die Weiterentwicklung eines Threat-Hunting-Programms mit ATT&CK setzt voraus, dass die Daten sehr frühzeitig erfasst werden. Für ein erfolgreiches Threat-Hunting müssen Security-Teams alle verfügbaren Daten durchsuchen. Damit sind sie in der Lage, die Relevanz zu bestimmen. Es lässt sich auch identifizieren, welche Bedrohungen ignoriert werden können und was tatsächlich Anlass zur Sorge geben sollte. Das bedeutet, dass sämtliche Daten in lokalen und Remote Netzwerken, wie Anwendungs-, Endpoint-, Datenbank- und Plattform-Daten sowie Informationen in der Cloud sowie in API-Gateways erfasst und analysiert werden müssen. Dazu gehören auch Log- und Firewall-Daten.

Mit dem Tempo der Bedrohungen mithalten

Der wichtigste Faktor einer jeden guten Verteidigung ist das Tempo. Irgendein sicherheitsrelevanter Vorfall passiert immer – dabei kann es sich einfach nur um ein kompromittierten Laptop handeln oder aber ein realer Angriff auf einen Server. Ist das Security-Team erfolgreich, gelingt es ihm den Vorfall zu stoppen, bevor Daten gestohlen oder andere Schäden angerichtet werden.

Für eine schnelle Reaktion ist es wichtig, das Ausmaß des Vorfalls vollständig zu erfassen und schneller zu sein als der Gegner. Die exponentiell wachsenden Datenmengen stellen eine Herausforderung dar: Es dauert immer länger, sie zu durchsuchen. Um alle neu in das System einströmenden Informationen zu berücksichtigten, muss die Indexierung sowie die Analyse in erfolgen. Darüber hinaus muss gewährleistet sein, dass die Behörde sämtliche Daten erfasst, sodass auch keine Informationen verloren gehen.

Es gibt Lösungen, die diese Anforderungen erfüllen und Sicherheitsexperten in die Lage versetzen, das Anreichern, Filtern, Analysieren und Visualisieren der Informationen schnell und kohärent zu automatisieren. Das erlaubt es den IT-Operations- und Security-Teams sich den eher strategischen Aufgaben zu widmen: Sie können sich darauf konzentrieren, Lücken im System zu finden, die dieses besonders verwundbar machen. Sie wissen außerdem, was in ihrer spezifischen Umgebung als „normal“ angesehen wird. Threat Researcher sind damit in der Lage Inkonsistenzen aufspüren, die auf einen potentiellen Angriff hindeuten.

Wir sitzen alle im selben Boot

Ob öffentliche Verwaltung oder Privatwirtschaft – die Gegner wie auch die Herausforderungen sind dieselben. Der größte Unterschied besteht in den Security-Ressourcen, die jeweils zur Verfügung stehen. Ein Beispiel hierfür ist die Corona-Pandemie: Während der Pandemie stiegen die Angriffe auf Behörden und Unternehmen um 73 Prozent. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte außerdem vor Fake Seiten, wie zum Beispiel Portale, die angeblich Sofort-Hilfen beim Thema COVID-19 anboten. Das Bundesland NRW hatte daher die Auszahlung der Corona Hilfen zeitweise komplett ausgesetzt.

Die Security-Community weiß, dass dem öffentlichen Sektor unterhalb der Bundesebene nur begrenzte Ressourcen zur Verfügung stehen. Aus diesem Grund engagieren sich Organisationen wie MITRE oder das BSI, um Ressourcen, Best Practices und Informationen zu neuen Bedrohungen und möglichen Lösungsansätzen bereitzustellen. Dazu gehören nicht nur Industrieanlagen und kritische Infrastrukturen, sondern auch Behörden und Unternehmen insgesamt. Das BSI entwickelt daher Empfehlungen für die Entwicklung einer Security-Strategie in Behörden. Denn idealerweise ist Security bereits bei der Planung der IT-Architektur ein integraler Bestandteil und fest in der Infrastruktur verankert (Security by Design). Unter anderem gehört dazu, dass sie einen wichtigen Baustein berücksichtigen müssen, der häufig vernachlässigt wird: den Menschen. Hier liegt häufig ein – wenn oftmals auch unbeabsichtigtes – Sicherheitsrisiko. Behörden sollten ihre Mitarbeiter daher kontinuierlich im Hinblick auf das Thema Cybersecurity sensibilisieren. Regelmäßige Trainings sind hier wichtig, da sich die Bedrohungslandschaft kontinuierlich verändert.

Cybersicherheit ist so sehr ein technisches Problem wie ein menschliches. Im Angesicht neuer Herausforderungen und Probleme wenden sich Menschen oft neuen Technologien zu. Security-Analysten entwickeln neue Ideen und Herangehensweisen, um Cyberkriminelle daran zu hindern, die öffentliche Verwaltung lahmzulegen – indem sie die entsprechenden Systeme und Netzwerke angreifen. Es ist ohne Frage wichtig, die richtige Cybersecurity-Technologie in ihrer Umgebung einsetzen. Aber dieser Investition sollte stets die Betrachtung zweier anderer Faktoren vorausgehen: der Menschen, die die Produkte nutzen, und der Prozesse, die deren Wirkungsweise definieren.

Über den Autor: Jörg Hesske ist Area Vice President Central & Eastern Europe bei Elastic.

(ID:47262694)