Bessere Organisation, bessere Datenwiederherstellung Auch Backups müssen gesichert werden

In einem Gespräch deckte Field CISO Dr. Joye Purser von Veritas Technologies auf, wie Kommunikationsschwächen in einer Organisation zu erheblichen Sicherheitslücken bei der Datensicherung führen können. Viele weitere Risiken in der Privatwirtschaft würden zudem weiterhin billigend in Kauf genommen, nicht nur in der veralteten Firmen-Software, sondern auch beim Personal im Security Operations Center (SOC).

In ihrer Tätigkeit begegnet Dr. Joye Purser nicht nur ihrem firmeneigenen Vertriebs- und Technikpersonal, sondern vor allem auch Veritas-Kunden in aller Welt. Deren kompetente Mitarbeiter sind die Chief Security Officer (CSO). Sie fragt sie nach ihren derzeitigen Herausforderungen. Sie antworten, dass sie sich Risiken wie etwa neuen Vorschriften, ausgeklügelten Bedrohungen durch Nationalstaaten und der Komplexität der IT-Umgebung stellen müssten und sich bemühten, den Angreifern immer zwei Schritte voraus zu sein.

Kommunikation ist A und O

Die Expertin hebt die Bedeutung des Risikomanagements in Unternehmen hervor und betont, dass Unternehmen über robuste Sicherungs- und Wiederherstellungssysteme verfügen müssen. Purser erzählt von einem Beispiel einer russischen Bande, die einen Kunden an einem Samstagmorgen angriff, indem sie dessen Backups löschte. Das fiel im SOC zwar auf, wurde aber für „normal“ gehalten. Der Angreifer wurde ebenfalls nicht identifiziert, denn er befand sich bereits im Unternehmensnetzwerk.

Security-Insider Podcast – Folge 71

So machen Sie beim Backup keine Fehler!

Wenn jemand aus dem Backup-Team mal beim SOC angerufen hätte und eine berufliche Beziehung aufgebaut hätte, dann, moniert Purser, wäre herausgekommen, dass „unser Datensicherungslauf immer am Freitagabend um zehn“ stattfindet. In diesem Fall hätte das SOC seine Überwachungsregeln anpassen können, um festzustellen, in welchem Fall abnormales Verhalten erkennbar ist. „Das nenne ich eine organisatorische Schwachstelle“, sagt Purser, denn das IT-Team redete nicht mit dem SOC-Team.

„Man sieht also, dass es dafür keine technische Lösung gibt, sondern nur eine, die mit Menschen und Abläufen zu tun hat.“ Der betroffene Kunde hatte ein Backup in der Cloud, das unveränderlich war. Aber die Datenwiederherstellung dauerte natürlich eine Weile. Purser betont die Notwendigkeit einer besseren Kommunikation und organisatorischer Prozesse, um Bedrohungen zu erkennen und Schwachstellen zu beheben.

Sophos-Studie zeigt Gefahrenpotential auf

Wenn Backups bei Ransomware-Attacken zum Problem werden

Weitere Schwachstellen

Es gibt noch zwei weitere organisatorische Schwachstellen, die nicht offensichtlich sind. Die erste betrifft die Mitarbeiter im SOC selbst. „Das ist ein sehr stressiger Job, denn die Mitarbeiter im Team müssen Schichtdienst schieben, was für ihr Privat- und Familienleben keine gute Voraussetzung darstellt“, erklärt Purser. „Als Folge davon gibt es eine hohe Fluktuation in diesem Beruf, und 66 Prozent der Mitarbeiter können sich vorstellen, binnen weniger Jahre wegzugehen.“ Und mit ihnen gehen auch Kompetenz und Know-how.

Die zweite Schwachstelle betreffe den Unterschied in der personellen Besetzung auf den Positionen des CISO und des CSO. „Der CSO kommt aus der Informatik und kennt sich mit IT-Sicherheit aus“, erläutert die Expertin. „Doch der Chief Information and Security Officer (CISO) kommt häufig aus dem Polizei- oder Militärdienst. Er kennt sich also mit Hardware viel besser aus als mit Software, und sein Wissen über Cybersicherheit ist eher rudimentär.“ Die Stärke des CISO liegt in der Kollegialität: Die ehemaligen Militärs und Polizisten fühlen sich wie in einer Familie oder Bruderschaft zu gegenseitigem Beistand verpflichtet, die IT-Leute eher nicht.

Dr. Joye Purser

Dr. Joye Purser ist Field Chief Information Security Officer bei Veritas Technologies. Sie ist zuständig für die externe Strategie und Ausrichtung, so dass sie eng mit internen und externen Interessenten zusammenarbeitet, damit Veritas Unternehmen weiterhin die umfassendsten Cyber-Security-Lösungen der Branche anbieten kann. Vor ihrer Position bei Veritas gründete Purser ihre eigene Firma namens „East by South Solutions“, ein Beratungsunternehmen, das Kunden hilft, Compliance-Vorgaben einzuhalten die eigene Cyber-Resilienz zu verbessern. Davor arbeitete sie als Regionalleiterin der Abteilung für Cybersicherheit des US-Heimatschutzministeriums, der CISA (Cybersecurity Infrastructure and Security Agency), zuständig für den Südosten der USA, denn sie lebt in Atlanta, Georgia. Bei der CISA half sie mit, die Operationen der Außendienstmitarbeiter für physische Sicherheit (CISO) und für Cybersicherheit (CSO) miteinander zu integrieren. Sie war für den US-Kongress, PriceWaterhouseCooper (PwC) und Artemis Strategies tätig. Zudem arbeitete sie neun Jahre im Pentagon, wo sie für die Prüfung des 93 Milliarden US-Dollar schweren IT-Forschungsbudgets verantwortlich zeichnete, sowie ein Jahr im Weißen Haus.

Riskante Risikobereitschaft

„Stellen Sie sich vor, Sie sind der CSO und berichten jedes Quartal an den Vorstand über Cyber-Risiken und wie deren Zahl zunimmt“, schildert Purser. „Was aber, wenn der Vorstand sagt: ‚Nein, wir werden nichts investieren, sondern gehen das Risiko ein‘? Na, das erzeugt einigen Stress für einen CSO, denn dreimal darf man raten, wer beschuldigt wird, sollte es zu einem Sicherheitsvorfall kommen.“

Glücklicherweise seien viele zivile Unternehmen in den USA im Jahr 2021 aufgewacht, was die Bedrohung der kritischen Infrastruktur anbelangt, denn Hackern gelang es damals, die Colonial-Pipeline stillzulegen. Diese transportiert Brennstoff aus Texas bis nach Neuengland.

Schwächen von Recovery-Strategien

Warum Unternehmen trotz Backups Datenverlust erleiden

„Dieses erhöhte Bewusstsein hinsichtlich der Risiken arbeitet für den CSO“, berichtet Purser, „aber der CSO muss in der Lage sein, den Stand des Risikos an die Vorstandsebene zu kommunizieren. Er oder sie kann nicht nur emotionalen Druck erzeugen und ausüben, sondern auch die Fakten für sich sprechen lassen und klarmachen, dass Cyberrisiken auch Business-Risiken bedeuten, und Lösungen anbieten.“ CSOs müssten sich aus technisch orientiertem Personal zu Experten entwickeln, die auch die geschäftlichen Risiken aufzeigen können.

Herausforderungen in der Cybersicherheit: OT trifft IT

Purser sprach sich für die Integration von physischer OT-basierter und Informationssicherheit unter einer einheitlichen Leitung aus, um die allgemeine Sicherheitslage zu verbessern. „Angesichts der zunehmenden Zusammenarbeit zwischen böswilligen Nationalstaaten bei Cyberangriffen ist es notwendig, dass auch kritische Infrastruktur wie die erwähnte Pipeline besser geschützt wird“, so die Expertin.

„Die USA haben beispielsweise Milliarden in die Absicherung von cyberphysischen Schnittstellen in ihren Handelshäfen investiert. Denn so ein Schiffskran, der Frachtcontainer zu einem Schiff befördert oder von dort entlädt, ist in aller Regel völlig ungeschützt, wird aber natürlich von einem Computer ferngesteuert.“ Sie wünsche sich im Bereich operativer Technologie (OT) ebenso hohe Schutzmaßnahmen und Gesetzesvorgaben wie im Bereich der Informationstechnologie (IT).

„Wenigstens sorgen gesetzliche Vorgaben wie DORA, CRA und NIS-2 für Cyber-Resilienz“, zeigt sich Purser zufrieden. „In den USA hat das National Institute of Standards and Technology (NIST) vor zwei Jahren Richtlinien für die Sicherheit von OT veröffentlicht. Aber das sind – noch – keine Gesetze.“

CISOs müssen ihre Cloud-Strategie überdenken

Neue Herausforderungen für Disaster Recovery und Datenschutz

Ein kleines Problem mit den Backups

„Jedes Unternehmen sollte von der Annahme ausgehen, dass es bereits angegriffen wird, und sich auf Widerstandsfähigkeit und Wiederherstellung konzentrieren.“ Leichter gesagt als getan. „Denn es gibt ein Risiko, das ich kürzlich in Gesprächen mit unseren europäischen Kunden entdeckt habe. Es betrifft die Synchronisation der gesicherten Backups. Viele Kunden sind inzwischen auf der sicheren Seite und haben sehr taugliche Prozesse und Anomalie­entdeckungs­systeme installiert. Aber sie sagen mir: ‚Unsere Anwendungen werden zu unterschiedlichen Zeitpunkten gesichert. Wenn wir uns als von einem Angriffsszenario – sei es real, sei es eine Übung – erholen müssen, stellen wir fest, dass unsere Backups nicht miteinander synchronisiert sind. Das eine Backup könnte also zwei Tage vor einem anderen erfolgt sein, das erst zehn Stunden alt ist. Woher wissen wir also, welche Daten korrekt und zutreffend sind?‘ Deshalb denke ich, dass die Technik durch entsprechendes Projektmanagement ergänzt werden muss.“

Zu klein für Datensouveränität

Das Militär habe den Umgang mit solchen vertraulichen Daten verinnerlicht und in alle Prozesse mit entsprechenden Freigabeprotokollen eingebaut, doch die Zivilindustrie müsse dies erst noch lernen, und zwar auf allen Ebenen. Purser hebt die Bedeutung der Datensouveränität und die Unterschiede in den Datenschutzbestimmungen zwischen Europa und den USA hervor. „Allerdings habe ich auch entdeckt, dass es hier in Europa Länder gibt, die zu klein sind, um ihre Datensicherung selbständig realisieren zu können, und sich daher jener Hilfe versichern, die große Flächenländer wie USA, Deutschland oder Frankreich bieten können.“ Der Begriff „Souveränität“ ist also relativ zu verstehen. „Zudem sehe ich ein ernstes Problem auf der Ebene der Chips, nicht nur in den Chip-Fabriken, sondern auch in der Lieferkette der Hardware.“

Datensicherung für M365

Ein Backup von Office-365-Daten ist unverzichtbar

Austausch zwischen Nachrichtendiensten und Industrie

„In den Vereinigten Staaten gibt es Kollaborationen zwischen den verschiedenen US-Nachrichtendiensten und bestimmten Bereichen in der Zivilindustrie“, berichtet Purser. „Ein Beispiel ist die Finanzbranche. Dort gibt es ISAC, das Information Sharing and Analysis Center. Hier bilden sich wichtige geschäftliche Beziehungen heraus. Unternehmen wie Crowdstrike, Mandiant oder Palo Alto Networks sammeln hier frei verfügbare Informationen über neue Bedrohungen und Akteure, so dass sie ihre Threat-Reports sehr aktuell und detailliert veröffentlichen können. Besonders Banken benötigen diese Reports.“

Der blinde Fleck

„Aber ich denke, dass es auch hier eine Lücke oder Schwachstelle gibt: Die genannten Firmen wie Crowdstrike lassen viele Informationen, die ihnen kleine und mittelgroße Unternehmen liefern könnten, unbeachtet: Diese KMUs besitzen Bedrohungsinfos, können sie aber keinem mitteilen.“ Sie berichtet von einem Vorfall, den sie mit ihrer Firma „East by South“ erlebte. Die Firma eines Kunden in Lateinamerika, die der Telekombranche entsprechende Hardware liefert, wurde von einer mächtigen russischen Hackerbande mit Ransomware angegriffen. Diese Ransomware bestand erst seit zwei Jahren.

„Wir fragten uns, warum russische Hacker ein so kleines Land angreifen sollten. Ich fragte einen ehemaligen Kollegen von der CISA-Behörde, und der meinte, es könnte sich um einen Testlauf gehandelt haben: Die Hacker übten abseits des großen Spielfelds, bevor sie einen Großangriff starteten. Wir wollten diesen Vorfall gerne melden, aber niemand interessierte sich dafür, denn das geschah in Südamerika. Ein Angriff auf die USA wäre etwas ganz anderes gewesen.“

Der letzte Ausweg

Purser empfiehlt allen Unternehmen, dass sie davon ausgehen sollten, bereits angegriffen und von einem APT-Angreifer ausspioniert zu werden, dessen Ziel es sei, geheime Daten zu exfiltrieren. „Solch ein Angreifer will unbedingt unentdeckt bleiben, um sich weitere Zugriffsrechte zu sichern“, erläutert die Expertin. „Selbst wenn ein Unternehmen Tools, Szenarien und Notfallpläne für alle Eventualitäten aufgestellt und sogar getestet hat, bleibt daher ein Restrisiko. Was ist also zu tun? Man sorgt dafür, dass alle Backups durch Air-Gaps unzugänglich und selbst unveränderlich sowie stets aktuell sind.“

Als letzte Schutzmauer empfiehlt Purser daher dringend die Mehrpersonen-Autorisierung. „Die gibt es ja schließlich auch für Atomwaffen. Und das gleiche sollte im Fall der Löschung von Backups gelten.“ Allerdings sei diese Vorkehrung keineswegs verbreitet. Selbstverständlich biete eine Software wie Veritas Net Backup die Mehrpersonen-Autorisierung an. „Die Kunden haben also die Wahl.“

Microsoft veröffentlicht eigene Backup-Lösung

Preview von Microsoft 365 Backup

„Gretchenfrage“ insbesondere für die Industrie

Datei-Backup oder Daten-Backup?

(ID:50251476)