Defensives Sicherheitshandbuch, 2. Auflage

Kapitel 1. Ein Sicherheitsprogramm erstellen

Diese Arbeit wurde mithilfe von KI übersetzt. Wir freuen uns über dein Feedback und deine Kommentare: [e-mail]

Die Menschen sind allergisch gegen Veränderungen. Sie sagen gerne: "Das haben wir schon immer so gemacht." Ich versuche, das zu bekämpfen. Deshalb habe ich eine Uhr an meiner Wand, die gegen den Uhrzeigersinn läuft.

Grace Hopper, "The Wit and Wisdom of Grace Hopper" (1987)

Die Erstellung oder Verbesserung eines Sicherheitsprogramms kann eine gewaltige Aufgabe sein. Bei so vielen Aspekten, die es zu berücksichtigen gilt, ist es auf lange Sicht umso einfacher, das Programm zu verwalten, je mehr man sich im Vorfeld Gedanken macht und es plant. In diesem Kapitel befassen wir uns mit dem Grundgerüst eines Sicherheitsprogramms und den ersten Verwaltungsschritten.

Gewöhne dir nicht an, Aufgaben, Routinen oder Konfigurationen nach dem Motto "Das haben wir schon immer so gemacht" durchzuführen. Diese Denkweise behindert nur den Fortschritt und schadet im Laufe der Zeit deiner Sicherheitslage.

Wir empfehlen, dass du bei der Erstellung deines Programms die in diesem Kapitel beschriebenen Schritte der Reihe nach befolgst. Wir haben versucht, die übrigen Kapitel entsprechend zu gruppieren, aber du kannst sie so befolgen, wie es für deine Organisation am besten passt.

Den Grundstein legen

Es ist nicht nötig, das Rad neu zu erfinden, wenn die ersten Schritte für ein Informationssicherheitsprogramm unternimmt. Es gibt einige Standards, die von großem Nutzen sein können und die wir in Kapitel 8 behandeln werden. Das National Institute of Standards and Technology (NIST) hat ein risikobasiertes Cybersecurity Framework entwickelt, das viele Aspekte eines solchen Programms abdeckt. Das NIST Cybersecurity Framework (CSF) 2.0 besteht aus sechs gleichzeitigen und kontinuierlichen Funktionen: identifizieren, schützen, erkennen, reagieren, wiederherstellen und steuern. Zusammengenommen bieten diese Funktionen eine übergeordnete, strategische Sicht auf den Lebenszyklus des Managements von Cybersicherheitsrisiken in einer Organisation.

Nicht nur ein Rahmenwerk ist ein möglicher Vorteil, sondern auch Einhaltungsstandards. Obwohl schlecht umgesetzte Compliance-Standards die Sicherheit einer Organisation insgesamt beeinträchtigen können, können sie auch ein guter Ausgangspunkt für ein neues Programm sein. Wir werden uns in Kapitel 8 eingehender mit den Compliance-Standards befassen. Auch wenn Ressourcen wie diese einen phänomenalen Mehrwert darstellen, musst du natürlich immer bedenken, dass jede Organisation anders ist und einige Aspekte, die wir behandeln, für deinen Fall vielleicht nicht relevant sind - daran wird im gesamten Buch immer wieder erinnert.

Teams gründen

Wie in vielen anderen Abteilungen auch, gibt es Vorteile, wenn die richtigen Mitarbeiter in den richtigen Teams für die Sicherheit zuständig sind. Eine offene, teamübergreifende Kommunikation sollte ein vorrangiges Ziel sein, denn ohne sie wird die Sicherheitslage stark geschwächt. Auch wenn kleinere Organisationen mehrere der folgenden Teams kombinieren (oder einige von ihnen gar nicht haben), ist dies ein gutes Ziel für die Besetzung einer Sicherheitsabteilung:

Exekutivteam

Ein Chief Information Officer (CIO) oder Chief Information Security Officer (CISO) bietet die Hebelwirkung und Autorität, die für unternehmensweite Entscheidungen und Veränderungen benötigt werden. Ein Führungsteam ist auch in der Lage, eine langfristige Vision zu entwickeln, Unternehmensrisiken zu kommunizieren, Ziele festzulegen, Finanzmittel bereitzustellen und Meilensteine vorzuschlagen .

Risiko-Team

Viele Organisationen verfügen bereits über ein Team zur Risikobewertung und dieses kann eine Untergruppe dieses Teams sein. In den meisten Unternehmen hat die Sicherheit nicht die höchste Priorität. Dieses Team kalkuliert die Risiken in vielen anderen Bereichen des Unternehmens, vom Vertrieb über das Marketing bis hin zu den Finanzen. Mit dem Thema Sicherheit sind sie vielleicht nicht besonders vertraut. In diesem Fall können sie entweder von Fall zu Fall in den Grundlagen der Sicherheit unterrichtet werden, oder das Team kann um einen Risikoanalysten erweitert werden. Ein Risiko Rahmenwerk wie das Risk Management Framework (RMF) von NIST, das Operationally Critical Threat, Asset, and Vulnerability Evaluation (OCTAVE) Framework oder das Committee of Sponsoring Organizations of the Treadway Commission (COSO) kann dabei helfen.

Sicherheitsteam

Das Sicherheitsteam übernimmt Aufgaben zur Bewertung und Stärkung der Umgebung. Der größte Teil dieses Buches befasst sich mit diesem Team und dem Führungsteam. Sie sind für die täglichen Sicherheitsabläufe verantwortlich, einschließlich der Verwaltung von Vermögenswerten, der Bewertung von Bedrohungen und Schwachstellen, der Überwachung der Umgebung auf Angriffe und Bedrohungen, dem Risikomanagement und der Durchführung von Schulungen. In einer ausreichend großen Umgebung kann dieses Team in verschiedene Unterteams aufgeteilt werden, z. B. Netzwerksicherheit, Sicherheitsbetrieb, Sicherheitstechnik, Anwendungssicherheit und offensive Sicherheit.

Prüfteam

Es ist immer eine gute Idee, unter ein System von Kontrollen und Gegenkontrollen einzurichten. So kannst du nicht nur nach Lücken in deinen Sicherheitsprozessen und -kontrollen suchen, sondern auch sicherstellen, dass die richtigen Aufgaben und Meilensteine abgedeckt werden. Wie das Risikoteam kann auch das Prüfungsteam eine Teilmenge einer größeren Gruppe sein.

Auch hier ist es durchaus möglich, dass ein kleines bis mittleres Unternehmen aufgrund von Faktoren wie Budget- oder Personalknappheit eines oder alle dieser Teams zu einem zusammenfasst. In diesen Fällen können wir dir nur unser Mitgefühl aussprechen. Wenn das Unternehmen wächst und hoffentlich auch das Sicherheitsprogramm wächst, können die einzelnen Aufgaben geplant und angemessen besetzt werden.

Bestimmung deiner grundlegenden Sicherheitslage

Die Unbekannten in jedem Umfeld sind beängstigend, aber das sollte dich nicht davon abhalten, dich darauf einzulassen. Wie willst du wissen, wie erfolgreich das Programm ist, wenn du nicht weißt, wo es angefangen hat? Zu Beginn eines neuen Sicherheitsprogramms oder eines tiefgreifenden Eingriffs in ein bestehendes Programm sollte die Bestandsaufnahme und Erkundung eine der ersten Prioritäten für alle Teams sein. In diesem Buch werden wir die Bestandsaufnahme mehrmals auf unterschiedliche Weise behandeln. Die Festlegung der Basislinie für die Sicherheit der Organisation ist nur ein weiterer Schritt in diesem Managementprozess. Zu diesem Zweck solltest du Informationen über alle folgenden Punkte sammeln:

• Richtlinien, Verfahren und Reaktion auf Vorfälle playbooks

• Endgeräte - Desktops und Server, einschließlich Implementierungsdatum und Softwareversion

• Lizenz- und Softwareerneuerungen sowie Secure Sockets Layer (SSL)-Zertifikate Ablaufdaten

• Internet-Fußabdruck - Domains, Mailserver, DMZ-Geräte (Demilitarized Zone), Cloud Architektur

• Netzwerkgeräte und Informationen - Router, Switches, Access Points, Intrusion Detection/Prevention Systems (IDS/IPS) und Netzwerk Verkehr

• Protokollierung und Überwachung

• Ingress/Egress-Punkte - ISP-Kontakte, Kontonummern und IP-Adressen

• Externe Anbieter, mit oder ohne Fernzugriff , und Hauptansprechpartner

• Anwendungen - alle primären Softwareanwendungen, die entweder von deinem Unternehmen gewartet oder in irgendeiner Form als primäre Geschäftsfunktionen genutzt werden

Bewertung von Bedrohungen und Risiken

Wie bereits erwähnt, ist die Einrichtung eines Risikoteams oder einer Risikofunktion ein wesentlicher Bestandteil der Einrichtung eines Informationssicherheitsteams. Ohne Kenntnis der Bedrohungen und Risiken, mit denen dein Unternehmen konfrontiert ist, ist es schwierig, Technologien anzupassen und Empfehlungen für einen geeigneten Schutz zu geben. Wie Bedrohungen und Risiken bewertet werden, ist für jede Organisation anders. Jeder interne und externe Fußabdruck ist in Kombination mit der jeweiligen Infrastruktur einzigartig. Die Bewertung erfordert daher sowohl einen Überblick auf höchster Ebene als auch eine genaue Kenntnis der Vermögenswerte.

Viel detailliertere Informationen findest du unter , wenn du nach Governance, Risk und Compliance (GRC) suchst. Da wir in diesem Buch nicht alle Aspekte von GRC abdecken können, gehen wir auf einen allgemeinen Risikorahmen ein. Es gibt eine Reihe von Risikomanagement-Rahmenwerken, aber im Allgemeinen lassen sie sich in fünf Schritten zusammenfassen: identifizieren, bewerten, abmildern, überwachen und regeln.

Identifiziere Umfang, Vermögenswerte und Bedrohungen

Unternehmen sollten sich mit einer großen Anzahl potenzieller Bedrohungen und Risiken auseinandersetzen, die branchenübergreifend sind. Wenn sich auf Branchentrends und spezifische Bedrohungen konzentriert, kann das Sicherheitsprogramm angepasst und nach Prioritäten geordnet werden, um effizienter zu werden. Viele Unternehmen haben sich kaum Gedanken darüber gemacht, mit welchen Bedrohungen und Risiken sie tagtäglich konfrontiert sind, und sie werden dies so lange tun, bis sie ihnen zum Opfer fallen. Von unschätzbarem Wert sind in diesem Fall die Information Sharing and Analysis Centers (ISACs), die vom National Council of ISACs (NCI) zusammengebracht wurden, um branchenspezifische Richtlinien zur Informationssicherheit auszutauschen. Die NCI beschreibt diese wie folgt: "ISACs sammeln, analysieren und verbreiten umsetzbare Bedrohungsinformationen an ihre Mitglieder und geben ihnen Werkzeuge an die Hand, um Risiken zu mindern und die Widerstandsfähigkeit zu erhöhen."

Es sollten nicht nur branchenspezifische Bedrohungen identifiziert werden, sondern auch allgemeine Bedrohungen wie Malware, Ransomware, Phishing und Remote-Exploits. Drei sehr wichtige Ressourcen, die du beachten solltest, sind die OWASP Top 10, das Center for Internet Security Critical Security Controls (CIS Controls) und die von der Cloud Security Alliance (CSA) festgelegten Standards. Die meisten Punkte auf diesen Listen werden in diesem Buch ausführlicher behandelt, aber sie jedes Jahr auf dem neuesten Stand zu halten, sollte ein wichtiger Bestandteil eines jeden Strategieplans sein.

Risiko und Auswirkungen abschätzen

Nachdem du die potenziellen Risiken identifiziert hast , musst du diese Risiken bewerten, um festzustellen, ob sie auf deine spezielle Umgebung zutreffen. Aufgaben wie interne und externe Schwachstellen-Scans, Firewall-Regel-Audits, Bewertungen der Authentifizierung/Benutzerrechte sowie Asset Management und Discovery helfen dir dabei, ein besseres Bild von deinem Gesamtrisiko zu erhalten.

Während des Bewertungsschritts musst du jedes identifizierte Risiko analysieren, um festzustellen, wie wahrscheinlich es ist, dass es sich negativ auf das Unternehmen auswirkt, wie schwerwiegend diese Auswirkungen sein könnten und wie der Angriff aussehen würde, wenn er ausgeführt würde. Ein Beispiel:

Bedrohung: Ein Angreifer nutzt eine neue Schwachstelle auf einer _______ aus.

Schwachstelle: Ungepatchte

Asset: Mailserver

Konsequenz: Nutzung von Remote Code Execution (RCE), um auf interne Systeme zuzugreifen und diese zu verändern

Entschärfen

Risikominderung ist das Fleisch und die Knochen, warum wir alle hier sind; sie ist auch der Zweck des Großteils dieses Buches. Zu den Optionen gehören das Vermeiden, die Beseitigung, die Übertragung oder die Akzeptanz des Risikos. Hier sind einige Beispiele:

Risikovermeidung

Dave beschließt, dass die Speicherung der Sozialversicherungsnummern der Kunden auf nicht notwendig ist und stellt diese Praxis ein.

Risikobeseitigung

Alex beginnt damit, offene Ports zu sperren, strengere Firewall-Regeln einzuführen und Endpunkte zu patchen.

Übertragung von Risiken

Ian lagert die Kreditkartenabwicklung an eine dritte Partei aus, anstatt die Daten vor Ort zu speichern.

Das Risiko akzeptieren

Kate weiß, dass ein bestimmter Endpunkt keinen Zugriff auf andere Endpunkte hat und eine Anwendung eines Drittanbieters ausführt. Diese Anwendung weist eine Sicherheitslücke mit geringem Risiko auf, die für ihre Funktion erforderlich ist. Obwohl die Schwachstelle zum jetzigen Zeitpunkt nicht behoben werden kann, ist das Risiko derzeit gering genug, um es zu akzeptieren.

Warnung

Du solltest Risiken nur als letzten Ausweg akzeptieren. Wenn ein Risiko es bis zu diesem Punkt schafft, verlange eine vollständige Dokumentation von den Drittanbietern und der Geschäftsleitung sowie eine Dokumentation der Prozesse, die vor dieser Entscheidung versucht wurden. Plane mindestens eine jährliche Überprüfung aller akzeptierten Risiken, um sicherzustellen, dass sie entsprechend überarbeitet werden.

Monitor

Behalte den Überblick über das Risiko im Laufe der Zeit mit geplanten vierteljährlichen oder jährlichen Treffen. Im Laufe des Jahres wird es viele Veränderungen geben, die sich auf die Höhe und Art der Risiken auswirken, die du berücksichtigen solltest. Als Teil der Änderungsüberwachung oder Änderungskontrolle solltest du feststellen, ob die aktuelle Änderung das Risiko in irgendeiner Weise beeinflusst.

Eine Möglichkeit, den aktuellen Risikostatus zu verfolgen, ist die Verwendung eines Risikoregisters, in dem verschiedene Szenarien, Kontrollen und Behandlungspläne dokumentiert werden. Dies kann mit einem Schwachstellenmanagementprogramm kombiniert werden.

Regiere

Governance im Kontext des Risikomanagements ist ein entscheidender Schritt, um die Sicherheitspraktiken einer Organisation kontinuierlich mit ihren allgemeinen Zielen und den gesetzlichen Anforderungen in Einklang zu bringen. Dieser Prozess beinhaltet die Festlegung von Richtlinien, Verfahren und Kontrollen, die den Entscheidungsprozess im Umgang mit Risiken steuern. Er dient als Rahmen, innerhalb dessen alle Risikomanagementaktivitäten ablaufen, und sorgt für Konsistenz, Verantwortlichkeit und Einhaltung der Vorschriften in der gesamten Organisation.

Eine wirksame Governance erfordert die aktive Beteiligung der Unternehmensleitung und der Interessengruppen, um klare Risikomanagementziele festzulegen, Rollen und Verantwortlichkeiten zu definieren und die Kriterien für die Akzeptanz und Toleranz von Risiken zu bestimmen. Es geht darum, eine Kultur des Risikobewusstseins zu schaffen, in der die Entscheidungsfindung auf einem gründlichen Verständnis der Risiken und ihrer möglichen Auswirkungen auf das Unternehmen beruht.

Zu den wichtigsten Governance-Aktivitäten gehören:

Entwicklung und Pflege der Politik

Erstelle umfassende Richtlinien, die darlegen, wie Risiken identifiziert, bewertet, abgemildert, überwacht und gemeldet werden. Diese Richtlinien sollten regelmäßig überprüft und aktualisiert werden, um die sich verändernde Bedrohungslage und die Prioritäten der Organisation zu berücksichtigen.

Einhaltung von Vorschriften

Sicherstellen, dass die Risikomanagementpraktiken der Organisation den geltenden Gesetzen, Vorschriften und Branchenstandards entsprechen. Dazu gehört auch, sich über Änderungen der Vorschriften auf dem Laufenden zu halten und die Richtlinien und Verfahren entsprechend anzupassen.

Risikokommunikation und Berichterstattung

Schaffe klare Kommunikationswege, um sicherzustellen, dass alle Ebenen der Organisation über die Aktivitäten, Ergebnisse und Entscheidungen des Risikomanagements informiert sind. Eine regelmäßige Berichterstattung an die Interessengruppen, einschließlich der Geschäftsleitung und des Vorstands, sorgt für Transparenz und unterstützt eine fundierte Entscheidungsfindung.

Ausbildung und Bewusstsein

Entwicklung und Durchführung von Schulungsprogrammen, um das Risikobewusstsein der Beschäftigten zu stärken und sicherzustellen, dass sie ihre Aufgaben und Verantwortlichkeiten bei der Risikominderung verstehen. Fördern Sie eine Kultur, die Sicherheit und Risikomanagement als grundlegende Bestandteile des Unternehmenserfolgs ansieht.

Kontinuierliche Verbesserung

Implementiere eine Feedback-Schleife, um aus vergangenen Vorfällen, Prüfungen und Bewertungen zu lernen und den Rahmen für das Risikomanagement kontinuierlich zu verbessern. Dazu gehört es, die Wirksamkeit der Risikomanagementstrategien zu analysieren, verbesserungswürdige Bereiche zu identifizieren und die Praktiken anzupassen, um die Unternehmensziele besser zu erreichen.

Durch eine wirksame Steuerung der Risikomanagementprozesse kann eine Organisation nicht nur ihr Vermögen schützen und Verluste minimieren, sondern auch ihre betriebliche Effizienz optimieren und das Vertrauen von Kunden, Partnern und Aufsichtsbehörden aufrechterhalten. Governance ist der Eckpfeiler des Risikomanagements, der die Bemühungen zur Identifizierung, Bewertung, Minderung und Überwachung von Risiken in einem kohärenten, strategischen Ansatz zusammenfasst, der die Widerstandsfähigkeit und den Erfolg des Unternehmens fördert.

Prioritäten setzen

Sobald die Bedrohungen und Risiken identifiziert und bewertet wurden, müssen sie in der Reihenfolge vom höchsten zum niedrigsten Risikoprozentsatz priorisiert werden, um Abhilfemaßnahmen zu planen (mit dem Schwerpunkt auf dem laufenden Schutz). Das muss jedoch nicht immer ein teures Unterfangen sein. Viele defensive Maßnahmen können mit geringen oder gar keinen Kosten für ein Unternehmen durchgeführt werden. So gibt es viele Möglichkeiten, ein Sicherheitsprogramm zu starten, ohne über ein entsprechendes Budget zu verfügen. Die Durchführung der Due Diligence, die erforderlich ist, um das Programm kostenlos auf den Weg zu bringen, sollte für ein Führungsteam Bände sprechen.

Hinweis

Befolge nicht immer die Ratschläge von Anwendungen, Anbietern oder Dritten, wenn es um Prioritäten geht. Jede Umgebung ist anders und sollte auch so behandelt werden. Setze deine Prioritäten nach dem Gesamtbild, wenn du alle relevanten Informationen gesammelt hast.

Dieses Buch ist nicht als sequentielle Liste der zu erledigenden Sicherheitsaufgaben zu verstehen. Die Prioritätensetzung kann von Umgebung zu Umgebung sehr unterschiedlich sein. Erinnere dich daran: Wenn die Umgebung bereits brennt und angegriffen wird, solltest du nicht mit der Erstellung von Richtlinien oder dem Reverse-Engineering von Malware beginnen. Als Feuerwehrmann solltest du dich nicht mit der Suche nach dem Brandstifter und dem Brandherd befassen, wenn du das Feuer noch nicht gelöscht hast.

Um die Priorität einiger Risiken zu bestimmen, kannst du eine Risikomatrix verwenden, bei der die Gesamtrisikostufe durch "Wahrscheinlichkeit × Auswirkung" berechnet wird, wie in Abbildung 1-1 dargestellt.

Abbildung 1-1. Eine Risikomatrix

Meilensteine schaffen

Meilensteine bringen dich von dort, wo du bist, dorthin, wo du hinwillst. Sie stellen eine allgemeine Progression auf dem Weg zu einer sicheren Umgebung dar. Das geht ein bisschen in Richtung der Aufgaben eines Projektmanagers (PM), aber in vielen Unternehmen gibt es keine speziellen PMs. Die Meilensteine lassen sich grob in vier Längen oder Stufen unterteilen:

Ebene 1: Schnelle Erfolge

Die ersten Meilensteine, die es zu erreichen gilt, sollten Quick Wins sein, die innerhalb von Stunden oder Tagen durchgeführt werden können und hohe Schwachstellen beseitigen - ungenutzte Endgeräte, die eliminiert werden können, Altgeräte, die in ein sichereres Netzwerk verschoben werden können, und Patches von Drittanbietern könnten alle unter diese Kategorie fallen. Wir werden in diesem Buch viele kostenlose Lösungen erwähnen, da der Beschaffungsprozess in manchen Unternehmen sehr viel Zeit in Anspruch nehmen kann.

Stufe 2: Dieses Jahr

Größere Schwachstellen, deren Behebung einen Change-Management-Prozess erfordert, eine Prozessänderung nach sich zieht oder einer großen Anzahl von Personen mitgeteilt werden muss, fallen möglicherweise nicht in Stufe 1. Größere Änderungen am Netzwerk-Routing, die Implementierung von Benutzerschulungen und die Stilllegung von gemeinsam genutzten Konten, Diensten und Geräten sind allesamt Verbesserungen, deren Umsetzung wenig bis gar kein Budget erfordert, die aber aufgrund der notwendigen Planung und Kommunikation etwas mehr Zeit in Anspruch nehmen können.

Stufe 3: Nächstes Jahr

Schwachstellen und Änderungen, die einen hohen Planungsaufwand erfordern oder von anderen Korrekturen abhängen, die zuerst durchgeführt werden müssen, fallen in diese Kategorie. Die Umstellung ganzer Geschäftsfunktionen auf einen Cloud-Service, Domain-Upgrades, der Austausch von Servern und größeren Infrastrukturgeräten, die Implementierung von Überwachungsmaßnahmen und Änderungen der Authentifizierung sind gute Beispiele dafür.

Stufe 4: Langfristig

Es kann mehrere Jahre dauern, bis einige Meilensteine erreicht sind. Das liegt an der Länge eines Projekts, am fehlenden Budget, an Vertragsverlängerungen oder an der Schwierigkeit der Veränderung. Dazu gehören z. B. die Umstrukturierung eines Netzwerks, die Erneuerung der Hauptsoftware oder der Bau eines neuen Rechenzentrums.

Es ist hilfreich, Meilensteine an kritische Kontrollen und Risiken zu knüpfen, die bereits identifiziert wurden. Auch wenn es eine gute Idee ist, mit den höheren Risiken und Schwachstellen zu beginnen, sind diese möglicherweise nicht einfach zu beheben. In vielen Fällen wird die Behebung dieser Probleme nicht nur viel Zeit und Planung in Anspruch nehmen, sondern auch ein Budget erfordern, das nicht zur Verfügung steht. All diese Aspekte müssen bei der Planung jeder Stufe berücksichtigt werden.

Anwendungsfälle, Tabletops und Übungen

Anwendungsfälle sind wichtig, um Situationen darzustellen, die kritische Infrastrukturen, sensible Daten oder andere Werte gefährden können. Mach ein Brainstorming mit Dateneigentümern und Führungskräften, um vorauszuplanen, wie mit bösartigen Angriffen umgegangen werden soll. Es ist am besten, wenn du dich zu Beginn auf etwa drei verschiedene Anwendungsfälle konzentrierst und Sicherheitsmaßnahmen und -überwachung für diese Fälle planst. Mögliche Anwendungsfälle sind Ransomware, DDoS-Angriffe (Distributed Denial of Service), unzufriedene Mitarbeiter, Insider-Bedrohungen und Datenexfiltration. Nachdem mehrere Anwendungsfälle ausgewählt wurden, können sie aufgeschlüsselt, analysiert und mit jedem Schritt eines der Sicherheits-Frameworks, die in diesem Buch behandelt werden, in Beziehung gesetzt werden, oder zusätzlich mit anderen, die nach dem Schreiben dieses Buches erstellt werden können. Ein Beispiel für ein gängiges Framework, das für die Zuordnung von Anwendungsfällen verwendet wird, ist die Intrusion Kill Chain (auch Cyber Kill Chain genannt) von Lockheed Martin.

Wie im Whitepaper von Lockheed Martin beschrieben, ist die Intrusion Kill Chain "ein Modell für verwertbare Erkenntnisse, wenn Verteidiger die Verteidigungsfähigkeiten eines Unternehmens auf die spezifischen Prozesse abstimmen, die ein Angreifer unternimmt, um das Unternehmen anzugreifen", und sie besteht aus sieben Schritten:

1. Erkundung

Recherche, Identifizierung und Auswahl von Zielpersonen, oft in Form des Durchsuchens von Internetseiten wie Konferenzberichten und Mailinglisten nach E-Mail-Adressen, sozialen Beziehungen oder Informationen über bestimmte Technologien.

2. Bewaffnung

Kopplung eines Remote-Access-Trojaners mit einem Exploit zu einer übertragbaren Nutzlast, in der Regel mit Hilfe eines automatisierten Tools (Waffenzieher). In zunehmendem Maße dienen Client-Anwendungsdateien wie Adobe Portable Document Format (PDF) oder Microsoft Office-Dokumente als waffenfähige Nutzdaten.

3. Lieferung

Übertragung der Waffe in die Zielumgebung. Die drei häufigsten Übertragungswege für waffenfähige Nutzlasten ... sind E-Mail-Anhänge, Websites und USB-Wechselmedien.

4. Ausbeutung

Nachdem die Waffe auf den Host des Opfers gelangt ist, wird der Code des Eindringlings ausgelöst. Meistens wird eine Schwachstelle in der Anwendung oder im Betriebssystem ausgenutzt, aber auch die Benutzer selbst oder eine Funktion des Betriebssystems, die automatisch Code ausführt, können ausgenutzt werden.

5. Installation

Die Installation eines Fernzugriffstrojaners oder einer Backdoor auf dem Opfersystem ermöglicht es dem Angreifer, sich in der Umgebung zu halten.

6. Kommando und Kontrolle (C&C)

In der Regel müssen kompromittierte Hosts ein Signal an einen Internet-Controller-Server senden, um einen C&C-Kanal einzurichten. APT-Malware erfordert vor allem manuelle Interaktion, statt automatisch zu agieren. Sobald der C&C-Kanal aufgebaut ist, haben Eindringlinge Zugriff auf die Zielumgebung, indem sie die Tastatur bedienen .

7. Maßnahmen zur Erreichung der Ziele

Erst jetzt, nachdem sie die ersten sechs Phasen durchlaufen haben, können Eindringlinge Maßnahmen ergreifen, um ihre ursprünglichen Ziele zu erreichen. In der Regel ist dieses Ziel die Datenexfiltration, d.h. das Sammeln, Verschlüsseln und Extrahieren von Informationen aus der Opferumgebung; auch Verletzungen der Datenintegrität oder -verfügbarkeit sind mögliche Ziele. Es kann aber auch sein, dass die Eindringlinge nur Zugang zum ersten Opfer haben wollen, um von dort aus weitere Systeme zu kompromittieren und innerhalb des Netzwerks weiterzuverfolgen.

Dieses Whitepaper enthält eine große Menge an Informationen, die auch für die Erstellung von Anwendungsfällen genutzt werden können.

Tabelle 1-1 ist ein Beispiel für einen schrittweisen Kill-Chain-Anwendungsfall, den wir für einen Ransomware-Angriff erstellt haben, ohne teure Software oder Hardware für ein Unternehmen einzusetzen, das Zeit für die Implementierung von Open-Source-Projekten hat.

Tabelle 1-1. Ransomware Anwendungsfall

Kettenschritt töten	Böswillige Aktion	Defensive Milderung	Mögliche Überwachung
Aufklärungsarbeit	Ein Angreifer erlangt E-Mail-Adressen und Informationen über die verwendeten Technologien und erstellt anhand dieser Informationen ein Organisationsprofil.	Erstelle Richtlinien für die Weitergabe interner Informationen auf Websites wie LinkedIn oder die Verwendung von Firmen-E-Mail-Adressen für nicht geschäftliche Zwecke. Nachdem in den Nachrichten über einen größeren Sicherheitsverstoß berichtet wurde, solltest du ein Passwort-Reset durchführen. Auch wenn sie es nicht sollten, verwenden Mitarbeiter/innen ihre Passwörter für andere Dienste und Websites.	Wurden Unternehmens-E-Mails bei anderen Einbrüchen entdeckt? Wie viele E-Mails werden mit Open Source Intelligence (OSINT) gefunden?
Bewaffnung	Ein Angreifer erstellt einen bösartigen Exploit, den er an das Opfer sendet, oder nutzt einen aktuellen Exploit.	Die Kenntnis und das Bewusstsein für Bedrohungen, die derzeit von Angreifern genutzt werden, ermöglichen besser konzipierte und abgestimmte Maßnahmen zur Abwehr.	N/A
Lieferung	Ein Nutzer erhält eine Phishing-E-Mail.	Beurteile, welche Arten von Anhängen in deinem Unternehmen benötigt werden. Dateitypen wie .js können extrem schädlich sein und werden selten von externen Quellen ausgetauscht. Implementiere Mailing-Blockierlisten und graue Listen wie Spamhaus, DNSBL.info oder andere Domain Name System (DNS)-Blockierlisten, um bekannte bösartige Mailserver zu blockieren.	Vermitteln Sie Ihren Nutzern den Gedanken "Vertrauen, aber überprüfen". Sperrung von Dateitypen mit einer bestimmten Größe, die als bösartig gelten und mit Ransomware in Verbindung gebracht werden (z. B. .scr-Dateien über 22 MB und .js-Dateien über 15 MB).
Ausbeutung	Ein Endpunkt lädt eine JavaScript-Datei oder ein Word-Dokument mit einem bösartigen Makro herunter.	Deaktiviere Makros und bösartige Dateitypen über Gruppenrichtlinien. Stelle sicher, dass der Endpunktschutz aktuell und installiert ist.	Überwache die Proxy-Protokolle auf unerwartete Dateiabrufe (z. B. JavaScript ist die erste Datei, die von diesem Host abgerufen wird, der Host steht auf einer Threat Intelligence-Liste usw.). Verwende Proxys oder ein Intrusion Detection System (IDS) (wenn es sich um Klartext handelt), um nach bekannten Deobfuskationsstrings zu suchen.
Installation	Die Nutzlast wird auf dem Gerät des Endnutzers ausgeführt. (Lucky, Cerber und CryptoWall verwenden die eingebaute Windows Crypto API, um die Verschlüsselung durchzuführen).	Bewahre Backups auf (die nicht fest verbunden sind), damit verschlüsselte Dateien leicht wiederhergestellt werden können. Je nach Betriebssystem kannst du "Dateisystem-Firewalls" wie den Little Snitch Network Monitor verwenden, um den Zugriff auf Dateien pro Prozess zu erlauben. Das bedeutet, dass du z. B. den Lesezugriff auf MS Word erlauben kannst, aber nicht auf den IE. Es gibt experimentelle Techniken, die verwendet werden können, um kryptobasierte Ransomware zu blockieren (z. B. Decryptonite).	Achte auf einen starken Anstieg der Windows Crypto API-Aktivitäten innerhalb eines kurzen Zeitraums, eine übermäßige Anzahl von Zeichen in einer Domäne oder einen geringen Prozentsatz sinnvoller Zeichenfolgen in einer Domäne.
Befehl und Kontrolle (C&C)	Die Ransomware kontaktiert einen C&C-Server im Internet, um den Entschlüsselungsschlüssel zu übermitteln.	Implementiere DNS-Sinkholing und blockiere ausgehende Verbindungen zu bekannten bösartigen IP-Adressen mit Hilfe von dynamischen Blocklisten (DBLs) automatisch.	Suche nach Verbindungen zu bekannten C&C-Servern.
Aktionen und Ziele	Die Malware beginnt, die Dateien auf der Festplatte, den zugeordneten Netzlaufwerken und USB-Geräten zu verschlüsseln. Sobald die Verschlüsselung abgeschlossen ist, erscheint ein Begrüßungsbildschirm, ein Desktop-Bild, eine Website oder eine Textdatei mit Anweisungen zur Zahlung des Lösegelds.	Implementiere Honigverzeichnisse, so dass die Ransomware, wenn sie in C:\$$ geht, ein anderes $$-Verzeichnis sieht, wenn sie in C:\$$$$ geht, ein anderes $$-Verzeichnis sieht, und so weiter.	Die erweiterte Dateiprüfung kann aktiviert werden, um bei einem extremen Anstieg der Dateisystemänderungen zu alarmieren.

Viele verschiedene Abwehrmaßnahmen und spezifische Erkennungen können auf jeder Stufe der Kill Chain hinzugefügt werden, um das Risiko auf jeder Ebene insgesamt zu verringern.

Nach der Erstellung und Implementierung von Sicherheitskontrollen für Anwendungsfälle können Tabletop-Übungen und Drills als Proof of Concept dienen und dir dabei helfen, eine Sammlung von Playbooks zu erstellen. Eine Tabletop-Übung ist ein Treffen der wichtigsten Interessengruppen und Mitarbeiter/innen, die Schritt für Schritt die Abschwächung einer Katastrophe, einer Störung, eines Angriffs oder eines anderen Notfalls in einem stressarmen Szenario durchspielen. Bei einer Übung führen die Mitarbeiter/innen so viele Prozesse, Verfahren und Abhilfemaßnahmen wie möglich durch, die während eines Notfalls durchgeführt werden würden.

Auch wenn der Umfang von Übungen begrenzt ist, können sie sehr nützlich sein, um bestimmte Kontrollen auf Lücken und mögliche Verbesserungen zu testen. Ein Disaster Recovery (DR)-Plan kann bis zu einem gewissen Grad durchgeführt werden, Backups können mit der Wiederherstellung von Dateien getestet werden und Dienste können auf sekundäre Clustermitglieder fehlgeschlagen sein.

An Tabletop-Übungen sind mehrere wichtige Gruppen oder Mitglieder beteiligt:

• Bei einer Tabletop-Übung sollte es einen Moderator oder Vermittler geben, der das zu spielende Szenario vorgibt. Dieser Moderator kann "Was-wäre-wenn"-Fragen zu dem imaginären Notfall beantworten, die Diskussion leiten, bei Bedarf zusätzliche Ressourcen hinzuziehen und das Tempo der Übung kontrollieren. Er sollte die Teilnehmer/innen darüber informieren, dass es völlig in Ordnung ist, während der Übung nicht auf alle Fragen Antworten zu haben. Der Zweck von Tabletops ist es, Schwachstellen in den aktuellen Abläufen zu finden, damit sie vor einem tatsächlichen Vorfall beseitigt werden können .

• Die Teilnehmer/innen sollten aus verschiedenen Bereichen kommen, darunter Vertreter/innen der Finanz-, Personal-, Rechts-, Sicherheits- (sowohl physisch als auch informationstechnisch), Management-, Marketing- und anderer wichtiger Abteilungen, die eventuell benötigt werden. Die Teilnehmer/innen sollten bereit sein, sich auf das Gespräch einzulassen, sich selbst und andere höflich herauszufordern und innerhalb der Parameter der Übung zu arbeiten.

• Ein Mitglied der Gruppe sollte die Gesamtleistung der Übung bewerten und einen Nachbericht erstellen. Dieser Bewerter sollte sich akribische Notizen machen und sich an das entsprechende Runbook oder Playbook halten, um die Genauigkeit zu gewährleisten. Auch wenn der Auswerter der Hauptnotizgeber ist, können andere Gruppen und Einzelpersonen über besondere Kenntnisse und Verständnis der Situation verfügen. In diesem Fall ist es sinnvoll, wenn jedes Mitglied dem Auswerter am Ende des Tabletop seine eigenen Notizen zur Verfügung stellt.

Mögliche Materialien für die Tischplatte sind:

• Ein Handout für die Teilnehmer mit einer Beschreibung des Szenarios und Platz für Notizen

• Ein aktuelles Runbook, wie mit Sicherheitssituationen umgegangen wird

• Richtlinien und Verfahrenshandbücher

• Eine Liste von Tools und externen Diensten

Zu den Fragen und Aktionen nach der Übung gehören:

• Was ist gut gelaufen?

• Was hätte besser laufen können?

• Fehlen Dienste oder Prozesse, die die Lösungszeit oder Genauigkeit verbessert hätten?

• Sind irgendwelche Schritte überflüssig oder irrelevant?

• Identifiziere und dokumentiere Probleme für Korrekturmaßnahmen.

• Ändere den Plan für beim nächsten Mal entsprechend.

Tabletop Templates

• Tabletop-Vorlagen.

• Microsofts Playbooks zur Reaktion auf Vorfälle.

• Die Federal Emergency Management Agency (FEMA) hat eine Sammlung von Szenarien, Präsentationen und Tabletops, die als Templating verwendet werden können.

• Wir empfehlen auch, die Fallstudien in The CERT Guide to Insider Threats von Dawn Cappelli, Andrew Moore und Randall Trzeciak (Addison-Wesley) zu lesen, in denen das MERIT-Modell der IT-Sabotage durch Insider eingehend behandelt wird .

Erweiterung deines Teams und deiner Qualifikationen

Ein engagiertes, leidenschaftliches und intelligentes Team zu finden kann einer der schwierigsten Aspekte im Leben eines jeden Berufstätigen sein.

Was können du und dein Team tun, um euer Wissen und eure Fähigkeiten zu erweitern? Hier sind ein paar Ideen:

• Ermutige deine Mitarbeiter/innen, ein Heimlabor einzurichten, oder stelle ihnen ein Labor zur Verfügung. In Laboren können reale Szenarien getestet, Fähigkeiten geübt und neue erlernt werden. Du kannst es relativ kostengünstig einrichten, indem du gebrauchte Geräte kaufst oder verschiedene Cloud-Angebote nutzt. Die meisten Menschen lernen am besten in der Praxis, und mit einem Labor besteht kein Risiko in einer Produktionsumgebung.

• Nimm an Capture-the-Flag-Wettbewerben (CTFs) teil oder erstelle sie. CTFs sind herausfordernd und können zum Training und zur Teambildung sowie zur Verbesserung der Kommunikationsfähigkeiten beitragen. Die meisten Informationssicherheitskonferenzen bieten CTFs an. Wenn du dein Team erweitern willst, sind CTFs auch ein wunderbarer Ort, um neue Talente zu finden. Die Teilnehmer/innen stellen nicht nur ihren Wissensstand unter Beweis, sondern du kannst dir auch ein Bild von ihren Kommunikationsfähigkeiten, ihrer Teamfähigkeit und ihrer Bereitschaft, anderen zu helfen und sie zu unterrichten, machen.

• Finde oder erstelle ein Projekt. Finde einen Bedarf und fülle ihn. Welche Fähigkeiten du auch immer ausüben willst, es wird ein Projekt geben, das Hilfe braucht. Bei fast allen Open-Source-Projekten wird Dokumentation benötigt, oder du kannst etwas im Unternehmen automatisieren.

• Nimm an einer Branchenkonferenz oder einem lokalen Treffen teil, organisiere es, melde dich freiwillig, spreche, sponsere oder trainiere. Es gibt Hunderte von ihnen in den USA, und sie brauchen fast immer Freiwillige. Schon die Teilnahme an einer Konferenz hat ihre Vorteile, aber wenn du wirklich eintauchst, wirst du noch mehr lernen und erfahren. Viele Karrieren wurden durch ein einfaches Gespräch über eine Leidenschaft beim Mittagessen oder bei einem Bier begonnen. Vergiss aber nicht, dass Networking in unserer Branche zwar ein entscheidender Faktor ist, aber kein Allheilmittel für alle. Du kannst netzwerken, so viel du willst, aber wenn du kein begehrter Kandidat bist, wird es nichts bringen. Die Bereitschaft und der Wunsch zu lernen, zuzuhören und zusammenzuarbeiten sowie die Fähigkeit, selbstständig zu denken, sind ideale Eigenschaften in einer so schnelllebigen Branche.

• Nimm an einem Mentoring teil. Ob als Mentor/in oder Mentee, strukturiert oder unstrukturiert, Mentoring kann ein wertvoller Lernprozess sein, sowohl im Job als auch außerhalb.

Fazit

Die Erstellung eines Informationssicherheitsprogramms ist keine leichte Aufgabe. Viele Programme sind unzureichend oder gar nicht vorhanden, was den allgemeinen Mangel an Sicherheit in der heutigen Unternehmensumgebung noch vergrößert. Nutze dieses Buch als Leitfaden, um die verschiedenen Bereiche durchzuarbeiten und sie an einen maßgeschneiderten Plan anzupassen. Organisatorische Fähigkeiten, eine starke Führungspersönlichkeit, ein Verständnis für das spezifische Umfeld und ein gutes, sachkundiges und hart arbeitendes Team sind für ein effektives Programm entscheidend.