Sicherheit cyber-physischer Systeme Resilienz durch risiko­basiertes Schwach­stellen­management

Das Ziel jeder Cybersicherheitsstrategie ist die Risikominimierung. Dies gilt in besonderem Maße für Unternehmen mit cyber-physischen Systemen (CPS), da hier Störungen gravierende Auswirkungen auf die Umwelt und Menschenleben haben können. Eine entscheidende Rolle beim Risikomanagement spielen dabei Schwachstellen. Aus diesem Grund setzen Sicherheitsverantwortliche vermehrt auf ein risikobasiertes Schwachstellenmanagement (RBVM).

Man muss sich nur die zahlreichen Ransomware-Angriffe auf Krankenhäuser, Pipelines und Wasseraufbereitungsanlagen in den letzten Jahren ansehen, um zu erkennen, dass das Risiko real und besorgniserregend ist. Der Kern des Problems besteht darin, dass dieselben CPS, die bessere Ergebnisse für Patienten (vernetzte medizinische Geräte) und Unternehmen (digital unterstützte Prozesssteuerungsnetze) liefern, nicht auf Cybersicherheit ausgelegt wurden und daher für Cyberangriffe anfällig sind. Erschwerend kommt hinzu, dass die Sicherheitsteams häufig Standards und Tools verwenden, die nicht für diese Herausforderung ausgelegt sind.

Eine entscheidende Rolle beim Risikomanagement spielen dabei Schwachstellen. Aus diesem Grund setzen Sicherheitsverantwortliche vermehrt auf ein risikobasiertes Schwachstellenmanagement (RBVM). Da die Lücken zwischen aufgedeckten, gepatchten und ausgenutzten Schwachstellen immer größer werden, ist RBVM für die Bekämpfung von Cyber-Bedrohungen unverzichtbar. Dies gilt insbesondere für Unternehmen im KRITIS-Bereich. Die Anlagen der Betriebstechnik (OT), die Geräte des Internets der medizinischen Dinge (IoMT) und andere cyber-physische Systeme (CPS), die den Betrieb von Industrieunternehmen und Gesundheitseinrichtungen gewährleisten, sind nicht nur besonders anfällig für Schwachstellen, sondern werden auch für Cyberkriminelle und staatlich unterstützte Angreifer immer interessanter. Verfügen Sicherheitsverantwortliche jedoch im Rahmen ihrer umfassenden RBVM-Strategie über effektive Funktionen zur Risikobewertung und Schwachstellenpriorisierung, sind sie in der Lage, ihre cyber-physischen Systeme auch unter diesen schwierigen Bedingungen besser zu schützen.

Was ist risikobasiertes Schwachstellenmanagement?

Risikobasiertes Schwachstellenmanagement umfasst eine Reihe von Cybersicherheitsprozessen, die darauf abzielen, die Angriffsfläche eines Unternehmens zu verringern, indem die Behebung von Schwachstellen nach ihrem Risiko priorisiert wird. Dabei spielen zwei Fragestellungen eine zentrale Rolle. Erstens: Wie wahrscheinlich es ist, dass die Schwachstelle ausgenutzt wird? Und zweitens: Welche Auswirkungen ergeben sich durch die Ausnutzung dieser Schwachstelle? Eine wirksame RBVM-Strategie geht also über die bloße Entdeckung oder das Patchen von Schwachstellen hinaus. Sie hilft den Sicherheitsverantwortlichen, die Risiken zu verstehen, die sie im Kontext des Unternehmens darstellen, und herauszufinden, wie sie ihre Ressourcen am effizientesten und effektivsten einsetzen können, um die Gefährdung durch diese Risiken zu minimieren.

Die Grenzen des CVSS-Scores

Diese starke Betonung des Risikos unterscheidet RBVM von den traditionellen Ansätzen des Schwachstellenmanagements. Diese orientieren sich vor allem an einer Variablen, die sich deutlich vom (tatsächlichen) Risiko unterscheidet, aber häufig mit ihm verwechselt wird: dem Schweregrad. Dies liegt an den Standards, mit denen Schwachstellen, Gefährdungen oder CVEs als Teil ihres Offenlegungsprozesses bewertet werden. Das gebräuchliche Common Vulnerability Scoring System (CVSS) ist eine Methode zur Bewertung und Einstufung gemeldeter Schwachstellen in einer standardisierten und wiederholbaren Weise mittels einer numerischen Punktzahl, die den Schweregrad widerspiegelt. Diese numerische Punktzahl wird in der Regel in eine qualitative Darstellung (z. B. niedrig, mittel, hoch und kritisch) übersetzt, um den Unternehmen einen Vergleichspunkt zwischen den Schwachstellen zu bieten und die Behebung der Schwachstellen nach Prioritäten zu ordnen. Zwar bietet der CVSS-Score eine gute Orientierung, reicht aber bei Weitem nicht für ein erfolgreiches Schwachstellenmanagement aus, um die gegenwärtigen Herausforderungen zu adressieren:

• Mangelnde Sichtbarkeit von cyber-physischen Systemen: CPS-Geräte verwenden häufig proprietäre Protokolle, die für Standard-Sicherheitstools weitgehend unsichtbar sind. Wenn man ein Gerät nicht identifizieren kann, kann man seine Schwachstellen und Risiken jedoch nicht bewerten, geschweige denn managen.

• Kontextlücken erschweren die Priorisierung: Es reicht nicht aus, eine Schwachstelle zu finden. Man muss auch den Kontext des betroffenen Assets und die potenziellen Auswirkungen auf den Betrieb bewerten, um das Risiko zu priorisieren und zu beheben.

• Die gängige Praxis steht im Widerspruch zur Realität des Managements von CPS-Schwachstellen: Fast 70 Prozent der im Jahr 2022 bekannt gewordenen CPS-Schwachstellen erhielten einen CVSS v3-Schweregrad von „hoch“ oder „kritisch“. Allerdings wurden weniger als 8 Prozent davon ausgenutzt, wie der State of XIoT Security Report: 2H 2022 zeigt. Diese Diskrepanz gibt Anlass zur Besorgnis in Bezug auf die herkömmliche Herangehensweise und Lösungen, die eine Priorisierung von Abhilfemaßnahmen allein auf der Grundlage von CVSS-Scores empfehlen. Denn dadurch werden Ressourcen für Schwachstellen aufgewendet, die am wenigsten wahrscheinlich ausgenutzt werden, während diejenigen übersehen werden, die das größte tatsächliche Risiko bergen.

• Standard-Schwachstellen-Scanner sind unsicher: CPS-Umgebungen und die ihnen zugrundeliegenden Assets sind besonders anfällig und werden oftmals durch den von Standard-Schwachstellen-Scannern erzeugten Datenverkehr in ihren Prozessen gestört.

• Patchen ist eine große Herausforderung: Für die meisten Anlagen mit cyber-physischen Systemen haben Ausfallzeiten nicht nur ökonomische Konsequenzen, sondern gefährden auch die Prozesse. Deshalb sind Wartungsfenster sehr selten, ganz unabhängig von der Schwachstelle oder dem Risiko.

Worauf es beim risikobasierten Schwachstellenmanagement ankommt

Um diese Herausforderungen zu bewältigen und Risiken effektiv zu priorisieren sowie Schwachstellen erfolgreich zu beheben, kommt es auf zwei Fähigkeiten an:

• 1. Implementierung eines granularen und flexiblen CPS-Risikobewertungsrahmens: Das Risiko-Framework sollte eine Vielzahl von Faktoren, die das Risiko erhöhen, sowie kompensierende Maßnahmen, die das Risiko ausgleichen können, berücksichtigen. Es sollte auch dazu beitragen, CPS-Risikoberechnungen enger mit bestehenden Governance-, Risiko- und Compliance-Prozessen (GRC) abzustimmen. Ein CPS-Risiko-Scoring-Framework mit diesen Funktionen ermöglicht es Unternehmen, ihre Situation effektiv und effizient zu bewerten, und gibt ihnen die Möglichkeit, ihre CPS-Sicherheit sofort zu verbessern und die Cyber-Resilienz zu erhöhen.

• 2. Automatische Priorisierung von Schwachstellen auf der Grundlage ihrer Ausnutzungswahrscheinlichkeit: Der effizienteste Weg, Sicherheitslücken nach ihrer Ausnutzungswahrscheinlichkeit zu priorisieren, ist der KEV (Known Exploited Vulnerabilities)-Katalog und das EPSS (Exploit Prediction Scoring System). Der KEV-Katalog ist eine Zusammenstellung dokumentierter Sicherheitsschwachstellen, die bereits erfolgreich ausgenutzt worden sind. EPSS hingegen nutzt ein datenwissenschaftliches Modell, um abzuschätzen, welche Schwachstellen in den nächsten 30 Tagen wahrscheinlich ausgenutzt werden. Durch die automatische Kombination dieser beiden Risikoindikatoren sind Unternehmen in der Lage, die Schwachstellen, die Angreifer am wahrscheinlichsten ausnutzen werden, effizient zu priorisieren.

Jede CPS-Umgebung ist einzigartig. Deshalb muss die risikobasierte Schwachstellenmanagement-Strategie speziell auf die jeweiligen Anforderungen und Gegebenheiten zugeschnitten werden. Die Zeiten des manuellen Schwachstellen­managements sind angesichts der gegenwärtigen Bedrohungslage endgültig vorbei. Die Sicherheitsverantwortlichen benötigen die richtigen Werkzeuge, nicht nur um die jeweiligen Schwachstellen in ihren Systemen zu identifizieren, sondern diese auch zu priorisieren. Nur so können die größten Cybersicherheitsherausforderungen gemeistert und die Widerstandsfähigkeit des Unternehmens nachhaltig gestärkt werden.

Über den Autor: Thorsten Eckert ist Regional Vice President Sales Central von Claroty.

(ID:49878052)