Mit mehr IT-Resilienz zu besserer Cybersicherheit in Europa „Minimal Viable Company“ (MVC) als neuer Ansatz für die IT-Sicherheit

Die neue EU-Richtlinie NIS 2 verpflichtet alle Mitgliedstaaten zur Ver­ab­schie­dung einer nationalen Strategie zur Cybersicherheit. Ab Oktober 2024 werden bis zu 30.000 Unternehmen und Einrichtungen von der Regelung betroffen sein. Eine Option für Unternehmen, ihre Resilienz der IT-Umgebungen zu verbessern kann der „Minimum Viable Company“-Ansatz sein.

Durch eine Vielzahl von Fällen in der Vergangenheit ist ein Hauptvektor für Angreifer hinlänglich bekannt: der Endanwender. Über ihn und das verbundene Benutzerkonto versuchen Cyberangreifer auf unterschiedlichen Wegen, über Privilege Escalation den zentralen Identity-Speicher zu infizieren – bis zu Konten mit Admin-Rechten, die letztlich die komplette Infektion ermöglichen. Typisch sind Angriffe auf das interne Active Directory (AD); doch auch andere Verzeichnisdienste sind Ziele, zumal diese oft direkt mit dem AD verbunden sind. Daraus folgt auch, dass im Falle einer erfolgreichen Attacke die zentralen Verzeichnisse im ersten Schritt als nicht mehr vertrauenswürdig anzusehen sind. Bei einem komplexen Sicherheitsvorfall gilt dieser Zustand deshalb für die gesamte IT-Umgebung. Damit steht unmittelbar die Frage im Raum: Wie lässt sich eine solche manifeste Gefährdung in möglichst kurzer Zeit umkehren?

Die Erfahrung aus einer ganzen Reihe von solchen Projekten zeigt, dass eben besonders die Wiederherstellung eines kompletten AD mit sehr viel Aufwand und damit Kosten verbunden ist. Die Schätzungen für die benötigte Zeitdauer liegen je nach Projekt bzw. Quelle und Aussage Betroffener zwischen zwei und sieben Tagen; dies ist natürlich nicht mit Manntagen gleichzusetzen. Damit ist quasi der Zeitraum vorgegeben, bis die operative Betriebsfähigkeit wieder hergestellt werden kann. Ohne Identities, viele Dienste und Applikationen können Unternehmen nicht arbeiten. Und im Falle des maximalen Schadens ist auch die Wiederherstellung des Backups nicht möglich – ein Henne-Ei Problem.

Pareto-Prinzip bei der Wiederherstellung

Um den Knoten zu lösen und in möglichst kurzem Zeitraum zumindest eine hinreichende Produktions- und Lieferfähigkeit für das Unternehmen zu erreichen, wird somit klar, dass der Ansatz mit einem klassischen vollständigen Restore für besonders kritische Umgebungen nicht funktioniert. Es muss eine Lösung geplant werden, die in möglichst kurzer Zeit eine vertrauenswürdige Kernumgebung zur Verfügung stellt. Wie kompliziert das sein kann, haben u. a. Angriffe auf Krankenhäuser bereits gezeigt. Ein möglicher Ansatz, der hier beschrieben werden soll, ist der einer „Minimal Viable Company“ (MVC). Der Begriff ist sonst eher – wie sein Verwandter, das „Minimum Viable Product“ (MVP) – aus dem Umfeld von Startups bekannt. Im Security-Kontext erhält er eine neue Bedeutung.

Was also meint MVP im Rahmen von Cyber Resilience? Ziel ist es, so schnell wie möglich eine Umgebung zur Verfügung stellen zu können, die eine gesicherte Produktion beziehungsweise einen gesicherten IT-Betrieb in den Grundfunktionen gewährleistet. So muss, um konkrete Beispiele zu nennen, etwa sichergestellt werden, dass eine Klinik auf die Daten der Patienten zugreifen, ein Energieversorger seine Kunden beliefern oder ein Hafen Schiffe versorgen kann. Das bedeutet also nicht, dass bereits alle IT-Funktionen und Dienste in vermindertem Umfang oder mit reduzierten SLA zur Verfügung stehen – sondern wirklich nur die für das operative Geschäft absolut unumgänglichen, überlebenswichtigen Dienste. Es gilt somit gewissermaßen das Pareto-Prinzip. Das erfordert naturgemäß eine Einzelfallbetrachtung und ist daher bei jeder Implementierung anders:

• Während für ein Unternehmen der Speiseplan im Intranet definitiv nicht zu den wesentlichen IT-Diensten gehört, ist das in einem großen Krankenhaus eben unumgänglich.

• Ein großes Transportunternehmen kann eher auf ein Konferenzsystem verzichten als auf eine Plattform, die GPS-Tracking der Fahrzeuge ermöglicht.

• Ein Stromhändler, der viele Kunden beliefert, muss in der Lage sein, Strom zu kaufen und zu verkaufen.

Gerade im letzten Beispiel kann auch das Prinzip der vertrauenswürdigen IT verdeutlicht werden: Gekoppelte Systeme, zum Beispiel mit der Strombörse, werden durchaus abgeschaltet, wenn ein komplexer Cyberangriff erfolgt.

Erst durchatmen, dann loslaufen

Es ist also notwendig, zuerst eine Analyse vorzunehmen, welche IT-Dienste wirklich für den Bestand eines Unternehmens unumgänglich sind. Das betrifft dabei nicht nur klassische ERP-Systeme; je nach Datum und Zahlungslauf gehört dazu etwa auch eine HR-Payroll, denn die Mitarbeiter müssen entlohnt werden können – und werden nur begrenzt Verständnis haben, wenn sie ihre Miete wegen eines IT-Vorfalls und dadurch ausbleibender Gehälter nicht bezahlen können … In Anbetracht der Komplexität heutiger IT-Umgebung in größeren Unternehmen wird schnell klar, dass bei der Betrachtung einige wesentliche Voraussetzungen zu erfüllen sind.

Essenziell ist eine klare Trennung von Enterprise IT (Office, klassische DC…) und OT (Produktions-IT). Das ist aus verschiedenen Sicherheitsaspekten sinnvoll und reduziert zusätzlich die Wahrscheinlichkeit für Cyberangriffe, zumal die jeweiligen OT- bzw. IT-Grundanforderungen hinsichtlich Cybersicherheit oft differieren. Sind beide Bereiche miteinander in einer einzigen Umgebung, kann der MVC-Ansatz fehlschlagen, weil zu viele verschiedene Systeme, speziell aus der Produktion, einbezogen werden müssten. Das würde zu enormer Komplexität sowohl bei der Vorbereitung als auch der Umsetzung eines solchen Ansatzes führen. Eine andere Voraussetzung ist die Möglichkeit der Schaffung völlig getrennter Umgebungen (Air-gapped), die auch eine komplette Trennung aller Komponenten beinhaltet – also Server, Datenbanken, Netzwerkkomponenten und Sicherheitslösungen.

Vorteil Cloud

Der Aufbau einer MVC-Umgebung als Failover für den Desaster-Fall sollte mit der Überlegung starten, ob die Lösung soweit möglich Cloud-based oder in einer On-Premises-Umgebung implementiert wird. Der Cloud-Ansatz ist hier insofern eindeutig im Vorteil, als alle Komponenten ja nur für den „Ernstfall“ vorgehalten werden – damit kommt ein wesentlicher Vorteil von Cloud-Lösungen zum Tragen: Sie erlauben es nun einmal, Ressourcen zu definieren und dann preiswert offline vorzuhalten; selbstverständlich muss hierbei auf Maß, Ziel und Struktur geachtet werden, um später nicht mit Wildwuchs und ausufernden Kosten konfrontiert zu sein. Auch weitere Aspekte müssen beim Cloud-Ansatz bedacht werden, etwa Bandbreiten oder entsprechende Möglichkeiten zur Anbindung insbesondere bei ggf. vorhandenen proprietären Legacy-Applikationen.

Sind bereits Services bei dem Cloud-Anbieter wie etwa Amazon oder Microsoft vorhanden, so kann die nächste Überlegung lauten: Sollte die Planung für „maximales Desaster“ den Aufbau in einer anderen geografischen Zone (nicht der Failover-Zone) enthalten? Um beim Beispiel Microsoft zu bleiben: Sind meine Ressourcen in Azure in deutschen Rechenzentren implementiert, bietet sich hier vlt. sogar ein Ausweichen in die Zonen Nordwest-Europa (Dublin/Amsterdam) an. Die Anbindung der Lösung an das Unternehmen sollte durch eigene Leitungen oder separate Network Truncs erfolgen, so dass ein Zugriff aus der bestehenden Umgebung ausgeschlossen werden kann.

Implementierung einer auf Cyberresilienz optimierten Kernumgebung

Sind die Grundvoraussetzungen zur MVC-Implementierung geschaffen, können die notwendigen Ressourcen – Server, Storage, Netzwerk etc. – geplant und implementiert werden. Dabei sind die Serverressourcen über ein automatisches Deployment vorzubereiten, um sie im Desaster-Fall nach Erklärung des Security Event sofort ausrollen zu können. Die großen Cloud-Anbieter unterstützen solche Implementierungen direkt; plattformübergreifend kann dabei auch auf Deployment-Tools wie Terraform zurückgegriffen werden.

Der komplizierteste Aspekt ist sicher die Verfügbarkeit von Daten für die wichtigsten Prozesse in der MVC-Umgebung. Wie erwähnt wird es sich hierbei in der Regel um eine Air-gapped-Umgebung handeln, die praktisch nie mit der bestehenden IT-Umgebung verbunden wird. Damit greifen manche Standard-Verfahren nicht. So kann es zum Beispiel erforderlich sein, Cloud-basierte Backups spezialisierter Anbieter zu integrieren, die die Unterstützung von Air-gapped Umgebungen ermöglichen. Dabei sind auch komplexe Prozesse zur mehrfachen Überprüfung der Daten und zur Isolation „verdächtiger“ Daten möglich, insbesondere auf der Basis heuristischer Verfahren und inzwischen auch verknüpft mit KI.

Wie bereits oben erwähnt: Wichtig ist es dabei zu planen, welche Daten und in welchem Umfang wirklich notwendig bzw. überlebensnotwendig für das operative Geschäft sind. Nur so können Unternehmen im – ohnehin stressigen Fall eines Angriffs – die Komplexität und damit den Aufwand bei einer Aktivierung möglichst geringhalten. Denn ein Restore von Daten ist nun einmal grundsätzlich zeitkritisch. Wenn also keine Altdaten einer Applikation benötigt werden, um den Betrieb zu ermöglichen, sollten diese auch nicht in der MVC-Umgebung auftauchen. Schon etwas weniger kann hier tatsächlich viel mehr sein.

IT-Sicherheit = raus aus dem Elfenbeinturm

Mit Blick auf den ersten Absatz darf der Mitarbeiter als Endanwender natürlich nicht vergessen werden – denn er ist es, der mit den Diensten der MVC-Umgebung arbeiten und dazu mit einem Client-Computer Zugriff erhalten muss. Nun widerspricht es völlig der Grundidee einer Air-gapped-Lösung, dass Clients aus dem attackierten System irgendwie Zugriff auf die Dienste erhalten können. In der ersten Phase nach einem „Rebuild“ ist jedoch die Anzahl der notwendigen Clients noch gering. Aus diesem Grund ist es sinnvoll, diese aus der Cloud-Umgebung heraus zu provisionieren.

Zudem ist es ratsam, den Zugang ausschließlich über einen speziell gesicherten Weg zu gewährleisten. Da die MVC-Umgebung ohnehin eine neue ist und User entsprechend auch frische Accounts – durchaus mit alten User-Namen – erhalten müssen, gewährleistet dieser Weg einen „Clean Access“ auf die Dienste. Stichworte in Bezug auf Azure sind dabei zum Beispiel ein sogenannter Bastion-Host mit Multifaktor-Authentifizierung und virtuellem Desktop; mit ihm können User sicher und nahtlos auf Cloud-Instanzen zugreifen; Remotedesktopprotokoll (RDP) und Secure Shell Protocol (SSH) ermöglichen dies gefahrlos auch über öffentliche IP-Adressen. Wichtig ist das Erwartungsmanagement: Anwender dürfen nicht erwarten, ihre gewohnte Umgebung vorzufinden – in Bezug auf eine MVC gilt: Funktion vor Usability. Da es sich hier aber um einen Notfallumgebung handelt, ist das sicher akzeptabel.

Notlaufprogramm zur Überbrückung

Der Vergleich mit einem Verbrennungsmotor mag gestattet sein: Das Notlaufprogramm verhilft in die Werkstatt, mit eingeschränkter Leistung. Analog ist auch der hier dargestellte MVC-Ansatz eine Möglichkeit, die IT auf ein mögliches Desaster samt relativ geräuscharmen Reset vorzubereiten. Es gilt dabei: Eine MVC-Umgebung ist keine Enterprise-Umgebung. Vielmehr ist sie ein Element der Überbrückung. In den meisten Fällen wird nach Beseitigung der Folgen des Cyberangriffes ein Rückschalten auf die Enterprise-IT erfolgen. Im Extremfall kann die MVC – auch dieser Punkt sollte bei einer Planung bedacht werden – jedoch sogar als „Keimzelle“ für eine Neuimplementierung dienen. So oder so: Mit dem MVC-Ansatz erhalten Unternehmen ein wichtiges Instrument, um sich durch ein Plus ans Cyberresilienz zielführend auf NIS 2 vorzubereiten.

Über die Autoren: Jens Tolkmitt ist Senior Director Technology Leadership und Timm Fuchs ist Security Lead DACH bei Avanade Deutschland.

(ID:50176614)