Vom Alarm zur Aktion So gewinnen CISOs mit dynamischem Risk-Management die Oberhand

Anbieter zum Thema

Fsas Technologies GmbH

Traditionelle Risikobewertungen basieren auf festen Prozessen. Doch das Tempo, mit dem neue Angriffsmethoden, Schwachstellen wie Zero-Day-Exploits oder regulatorische Anforderungen plötzlich entstehen, überfordert diese Methodik. CISOs laufen dann Gefahr, in lähmenden Assessment-Zyklen zu verharren. Was tun?

CISOs müssen die Funktion eines Regelverwalters ablegen und sich hin zu einem strategisch agierenden Risikomanager entwickeln. In den Zeiten des rapiden Wandels und wachsender Bedrohungslandschaften ist die IT-Security nicht mehr nur eine technische Disziplin, sondern ein entscheidendes strategisches Element des Managements. Insbesondere die CISOs stehen unter dem Druck, einerseits umfassende Risikobewertungen durchzuführen und andererseits umgehend auf neue Bedrohungen zu reagieren. Klassische statische Risk-Management-Ansätze stoßen hierbei an ihre Grenzen. Nur ein dynamisches Risk-Management bietet erfolgversprechende Lösungsmöglichkeiten, diesen Zielkonflikt zu überwinden.

Fehler vermeiden, Chancen nutzen

Kardinalfehler des Risk-Managements

Dynamisches Risk-Management

Der dynamische Ansatz beschreibt eine flexible als auch kontinuierliche Herangehensweise, die eine zielführende Bewertung, Priorisierung und Behandlung aller Risiken in Echtzeit beziehungsweise kurzen Intervallen umfasst. Dafür ist ein durchgehendes Monitoring von Assets, Bedrohungen und Schwachstellen zu beachten.

Ferner sind datengetriebene Entscheidungsfindungen durch automatisierte Analysen zu unterstützen. Neu gewonnene Erkenntnisse müssen zeitnah in Sicherheitsmaßnahmen einfließen (risiko-orientierte Agilität). Zudem sollten jährliche Audits durch iterative Assessments ersetzt werden.

Dynamische Risk-Managements erfordern insbesondere eine umfassende technologische Unterstützung, um unter anderem neue Gefahrenquellen zu identifizieren, exponierte Systeme sichtbar zu machen sowie sicherheitsrelevante Ereignisse zu sammeln, zu korrelieren und automatisch zu priorisieren. Dafür müssen entsprechende Tools implementiert werden. Ein weiteres wichtiges Kernelement eines dynamischen Risk-Managements ist die Integration in DevOps- und Cloud-Umgebungen. Dadurch sind CISOs in der Lage, schneller, fundierter und zielgerichteter auf Bedrohungen zu reagieren.

Sicherheit im Entwicklungsprozess

DevSecOps Integration – Security von der Basis her

SIEM- und SOAR-Systeme

Systeme wie Security Information and Event Management (SIEM) beziehungsweise Security Orchestration, Automation and Response (SOAR) dienen der zentralen Erfassung, Analyse, Korrelation und automatisierten Reaktion auf sicherheitsrelevante Ereignisse in Echtzeit.

Zu diesem Zweck sammeln und verarbeiten SIEM-Systeme Daten, um Muster zu erkennen, die auf Sicherheitsvorfälle wie beispielsweise verdächtige Anmeldeversuche oder Daten-Exfiltrationen hindeuten. SOAR-Systeme erweitern diese Funktion durch automatisierte Workflows: Sobald ein Vorfall erkannt wird, können automatisiert Playbooks ablaufen. Das heißt, ein Account wird gesperrt, ein Gerät isoliert oder ein Incident-Ticket erstellt.

Insgesamt ergibt sich daraus eine Reduktion der Reaktionszeit (MTTR), ein automatisiertes „Sense & Respond“, ein Echtzeit-Lagebild für Priorisierung von Risiken sowie eine Erkennung von Kettenangriffen über mehrere Systeme hinweg.

SOAR und KI

Macht künstliche Intelligenz SOAR überflüssig?

Threat Intelligence Feeds

Systeme dieser Art liefern kontextbezogene Daten über aktuelle und potenzielle Bedrohungen, die außerhalb der eigenen IT-Landschaft entstehen. Dazu zählen beispielsweise Informationen über Angreifergruppen, neue Exploits, Command-and-Control-Server und Malware-Signaturen.

Diese Feeds werden über APIs in SIEM-, SOAR- oder Firewall-Systeme integriert. Mithilfe von Threat Intelligence Feeds lassen sich unter anderem externe Risiken frühzeitig erkennen, entdeckte Schwachstellen priorisieren sowie eine proaktive Verteidigung etablieren.

Mehr Wissen über Cyber-Bedrohungen

Das sind die verschiedenen Arten der Threat-Intelligence

Vulnerability Management Tools

Tools dieser Art dienen der Identifikation, Bewertung, automatisierten Priorisierung und Behandlung von Schwachstellen (Vulnerabilities) in Systemen, Anwendungen und Netzwerken. Dafür stellt der Markt verschiedene Scanning-Tools zur Verfügung, die die Systeme regelmäßig auf bekannte Schwachstellen durchleuchten.

Dies bedeutet, dass die Schwachstellen nicht nur nach Schweregrad (CVSS) priorisiert werden, sondern zusätzlich nach der Geschäftskritikalität der Assets und der Exploitability. Auf diese Weise ist es möglich, ein „Patch Overload“ durch Priorisierung der wirklich relevanten Schwachstellen zu vermeiden, schnell auf „Zero-Day-Exploit“-ähnliche Risiken zu reagieren sowie automatisch Patch-Empfehlungen zu erhalten.

Neuer Ansatz für Cyber-Risikomanagement

Warum Exposure Management das Schwachstellen-Management ablöst

Attack Surface Management (ASM)

Dieses Tool ermöglicht die Verwaltung und Analyse von digitalen Angriffsflächen. Das Attack Surface Management zielt darauf ab, alle öffentlich erreichbaren und internen IT-Ressourcen zu identifizieren, die potenziell angreifbar sind, inklusive Schatten-IT, Cloud-Ressourcen und „vergessener“ Services.

Spezielle Tools durchsuchen das Internet nach dem digitalen Fußabdruck eines Unternehmens. Sie erfassen dafür Domains, Subdomains, IP-Ranges, APIs, Cloud-Storage, offene Ports und mehr. Ein fortlaufendes Scanning zeigt gefährliche Veränderungen der Angriffsfläche in Echtzeit auf.

Mithilfe dieser Tools lassen sich neue, oft unbeabsichtigte Expositionen frühzeitig erkennen und Überraschungen durch Schatten-IT oder schlecht gesicherte Cloud-Ressourcen zuverlässig verhindern als auch Support bei der Reduktion der Angriffsfläche (Attack Surface Shrinking) erhalten.

External Attack Surface Risk Management (EASM)

Externe Angriffsflächen brauchen zentrales Risikomanagement statt Silos

AI/ML-basierte Anomalieerkennung

Hierzu kommt KI und ML zum Einsatz, um nicht-regelbasierte Bedrohungen und Verhaltensabweichungen zu erkennen, die traditionelle Systeme leicht übersehen. Dafür analysieren ML-Algorithmen riesige Volumina an Logs und Telemetriedaten. Auf diese Weise erlernen sie das „normale Verhalten“ von Usern, Systemen und Netzwerken.

Dadurch werden Anomalien wie beispielsweise Login-Versuche aus auffälligen Ländern, ungewöhnliche Datenübertragungen oder plötzliche Berechtigungsänderungen erkannt. Der Nutzen für das dynamische Risikomanagement besteht unter anderem darin, Zero-Day-Angriffe ohne Signatur zu entdecken. Ferner lassen sich False Positives durch lernfähige Modelle reduzieren, „leise“ Angriffe, wie Lateral Movement, erkennen sowie kontextsensitives Alerting mit Risikobewertungen vermeiden.

Kontextbasierte IT-Sicherheit

Dynamisches Nutzerprofiling verändert die Verhaltensanalyse

Fazit

Die vorgestellten Tools funktionieren natürlich nicht isoliert, sondern sind in einem modernen Security-Ökosystem eng miteinander verwoben. SIEM- und SOAR-Systeme bilden die Zentrale. Threat Intelligence, ASM und Vulnerability Management liefern kontextbezogene Risiko-Informationen, während AI/ML-Systeme für die intelligente Früherkennung sorgen.

Der Echtzeit-Blick auf die IT-Security

Wenn Millisekunden über IT-Sicherheit entscheiden

(ID:50579638)