Berühmt und berüchtigt Wie gefährlich sind Zero-Day-Schwachstellen?

Anbieter zum Thema

TREND MICRO Deutschland GmbH

TXOne Networks

Outpost24 GmbH

2021 wurden mehr neue Schwachstellen entdeckt als je zuvor. Zero-Day-Schwachstellen sind gefürchtet, da sie leicht angreifbar sind, solange es keinen Patch für sie gibt. Die gestiegene Erkennungsrate hat aber auch positive Aspekte. Was bedeutet das für Unternehmen?

Jahr für Jahr steigt die Zahl der neu entdeckten Schwachstellen. 2021 wurden insgesamt mehr als 20.000 Vulnerabilities mit CVEs (Common Vulnerabilities and Exposures) gefunden. In einer aktuellen Studie des Analystenhauses Omdia, welche sich auf von elf Organisationen offengelegten Schwachstellen konzentriert, beherrscht Trend Micros Zero Day Initiative mit einer Ersterkennung von 64 Prozent das Ranking vor Unternehmen wie Cisco, Google oder Microsoft. Das sind knapp 10 Prozent mehr als im Vorjahr. Auf den ersten Blick wirkt das erschreckend. Doch die höhere Ersterkennungsrate bedeutet nicht, dass Soft- und Firmware-Code unsicherer geworden ist. Vielmehr ist sie ein Indikator für den Erfolg von Monitoring-Technologien und Sicherheitsforschern. Denn je mehr Schwachstellen entdeckt werden, desto früher kann man sie schließen und umso geringer ist die Gefahr für einen erfolgreichen Cyberangriff.

Fakt ist: In jeder Software und in jedem IT-System können Schwachstellen auftreten, auch wenn man noch so sorgfältig arbeitet. Die Frage ist nur: Wer entdeckt sie zuerst? Cyberkriminelle und Sicherheitsforscher liefern sich hier einen ständigen Wettlauf. Gewinnen die einen, entwickeln sie Zero-Day-Exploits, um die Schwachstelle auszunutzen. Solche Angriffe sind gefürchtet, weil sie dort ansetzen, wo Unternehmen am verletzlichsten sind. Denn eine Zero-Day-Schwachstelle ist wie eine offene Wunde, für die es noch kein Pflaster gibt. Bis Hersteller den passenden Patch entwickelt und Unternehmen ihn eingespielt haben, können Wochen oder gar Monate vergehen. Oft mit gravierenden Folgen, wie wir am Beispiel von Log4Shell gesehen haben. Doch auch Sicherheitsforscher und Security-Technologien werden immer besser – wie die Omdia-Studie zeigt.

Mit Preisgeldern auf Schwachstellen-Jagd

Wie funktioniert eigentlich die Schwachstellenforschung und wer verbirgt sich dahinter? Sowohl Software- und Security-Anbieter als auch Regierungsorganisationen und unabhängige Experten engagieren sich auf diesem Gebiet. Mit Reverse Engineering, Source-Code-Analysen, Fuzzing und vielen anderen Techniken versuchen sie, potenzielle Sicherheitslücken in Software aufzudecken. Außerdem veranstalten sie Hacking-Wettbewerbe und betreiben sogenannte Bug Bounty-Programme: Sie zahlen Preisgelder für neu gemeldete Schwachstellen. Auf diese Weise will man finanzielle Anreize setzen, damit Hacker ihre Entdeckungen an die Security-Branche statt an böswillige Akteure verkaufen. Das weltweit größte Bug Bounty-Programm ist die Trend Micro Zero Day Initiative (ZDI). Mehr als 10.000 unabhängige Sicherheitsforscher engagieren sich darin. Laut der Omdia-Studie gehen 64 Prozent der Erstentdeckungen im Jahr 2021 auf das Konto der ZDI. Damit ist sie führend im Ranking und liegt unter anderem vor Cisco, Google, Microsoft und dem US CERT/CC.

Es geht ums Geschäft

Beobachtungen im Untergrund zeigen, dass Bug Bounty-Programme ein erfolgreiches Konzept sind. Denn abgesehen von einer geringen Quote an politisch motivierten Aktivitäten geht es für Cyberkriminelle in erster Linie ums Geschäft. Zero Day Exploits sind zwar wertvoll und werden im Darknet für 10.000 Dollar oder mehr gehandelt. Aber es ist gar nicht so einfach, einen Abnehmer zu finden, der diesen Preis auch zahlt. Warum sollte man sich in hohe Unkosten stürzen, wenn man eine ältere, noch immer gut funktionierende Schwachstelle und zugehörige Tools für einen Bruchteil oder sogar kostenlos erwerben kann? Sicherheitsforscher von Trend Micro entdeckten in einschlägigen Foren zum Beispiel JavaScript Exploits für 40 Dollar oder Microsoft Word Exploits für 100 Dollar. Neben den rein logistischen Herausforderungen sollte auch der moralische Effekt nicht unberücksichtigt bleiben. Denn der Untergrundmarkt kann einen Hacker unbeabsichtigt zu einem Mittäter im Bereich Cyberkriminalität machen. Der Verkauf an durch die von Omdia untersuchten Unternehmen garantiert dagegen nicht nur eine entsprechende Entlohnung der Aufwände, sondern auch eine Schließung der Lücke im Rahmen der „verantwortungsvollen Offenlegung“ (responsible disclosure). Für die Meldung einer kritischen Schwachstelle bwerden Preise von mehr als 200.000 US-Dollar bezahlt. Die ZDI hat seit ihrer Gründung im Jahr 2005 über 30 Millionen Dollar an Preisgeld gezahlt. Es dürfte nicht zuletzt ein Verdienst solcher Initiativen sein, dass die Zahl der Zero-Day-Angebote im Untergrund in den vergangenen Jahren kontinuierlich zurückgegangen ist. Ein Grund zur Entwarnung ist das aber nicht.

Zero Day-Schwachstellen sind nicht unbedingt die gefährlichsten

Tatsächlich erfolgen die meisten Cyberattacken nicht über kritische Zero-Days, sondern über ältere, weniger schwerwiegend eingestufte Sicherheitslücken. Das hat einen ganz praktischen Grund: Sie sind einfacher und kostengünstiger anzugreifen. Häufig gibt es für sie sogar Ransomware-as-a-Service-Angebote, die es ermöglichen, mit minimalem Eigenaufwand Lösegeld zu erpressen. Cyberkriminelle wissen, dass solche Schwachstellen beim Patching oft hintenanstehen und dadurch mitunter über Jahre hinweg offen bleiben. Denn Patches einzuspielen ist aufwändig, und IT-Teams müssen genau überlegen, wo sie ihre knappe Arbeitszeit einsetzen. In der Regel werden dann Sicherheitslücken bevorzugt, die auf der CVSS-Skala (Common Vulnerability Scoring System) als kritisch eingestuft wurden. Diese ermöglichen zum Beispiel unbefugten Zugriff auf Root-Ebene, unbefugte Änderung und Offenlegung von Daten oder können zu Denial of Service (DoS) führen. Allerdings fallen nur etwa neun Prozent der 2021 gemeldeten Schwachstellen Studie in diese Kategorie. Der Großteil (67 Prozent) trägt den zweithöchsten Schweregrad „hoch“. Zwar müssen erst bestimmte Voraussetzungen erfüllt sein, damit man sie ausnutzen kann, deswegen sind sie jedoch nicht minder gefährlich. Gerade bei Ransomware-Akteuren sind solche Schwachstellen besonders beliebt.

Risikobewertung muss individuell erfolgen

Welches Risiko tatsächlich von einer Schwachstelle ausgeht, muss jedes Unternehmen individuell für sich selbst bewerten. Dabei gilt es, sowohl umfassende interne als auch externe Security-Informationen zu sammeln, zu analysieren und in Relation zu betrachten. In welchen Systemen tritt die Sicherheitslücke auf und welche Geschäftsprozesse sind davon betroffen? Wie hoch ist die Wahrscheinlichkeit, dass sie ausgenutzt wird, und welche Auswirkungen hätte das im Ernstfall? Wären etwa Kunden oder Lieferketten beeinträchtigt? Zu den externen Informationen, die man einbeziehen muss, zählt neben der CVSS-Bewertung auch aktuelle, globale Threat Intelligence. Wichtige Fragen sind zum Beispiel, welche cyberkriminellen Gruppierungen gerade aktiv sind, wie sie vorgehen und welche Schwachstellen sie ausnutzen. Eine als hoch eingestufte ältere Sicherheitslücke, die derzeit häufig angegriffen wird, kann gefährlicher sein als eine kritische, auf der nichts passiert. Da sich solche Faktoren aber schnell ändern können, muss Risikobewertung in einem kontinuierlichen Prozess stattfinden. Eine wertvolle Unterstützung bietet dabei eine zentrale XDR-basierte Threat Defense Plattform, die sowohl interne als auch externe Security-Informationen sammelt, KI-gestützt auswertet und einen übersichtlichen, individuellen Risk Score errechnet. So sehen Security-Teams auf einen Blick, wo die höchsten Risiken liegen und welche Schwachstellen sie priorisieren müssen.

Der Wettlauf wird härter

Als kritisch eingestufte Zero-Day-Schwachstellen können am gefährlichsten sein, müssen es aber nicht. Dies gilt es immer im Einzelfall abzuwägen. XDR (Extended Detection und Response) und umfassende Threat Intelligence Services erleichtern es dabei erheblich, schnell die richtigen Entscheidungen zu treffen. Unterstützung bei der Risikominderung bietet zudem eine IPS-Lösung, die Virtual Patching einsetzt. Diese Technologie deckt Sicherheitslücken automatisiert auf Netzwerkebene ab, sodass sie für Hacker von außen nicht mehr ausnutzbar sind. Solche virtuellen Patches stehen oft früher zur Verfügung als Hersteller-Patches.

Sowohl in der Risikopriorisierung und -reduzierung als auch in der Angriffserkennung zählt heute Geschwindigkeit. Denn dass Sicherheitsforscher Schwachstellen früher entdecken und veröffentlichen, ist zwar einerseits ein gutes Zeichen. Andererseits verkleinert es auch das Zeitfenster für Cyberkriminelle. Das wiederum bedeutet: Professionelle Hacker werden Zero-Day-Schwachstellen künftig noch schneller ausnutzen. Der Wettlauf wird also immer härter.

Über den Autor: Richard Werner ist Business Consultant bei Trend Micro.

(ID:48732994)