Mobile-Menu
  DB Podcast

Sicherheitslücken

Schwachstellen: Warum 1.000 Patches pro Monat nicht mehr ausreichen

< zurück

Seite: 2/3

Anbieter zum Thema

d.velop AG
Esker Software Entwicklungs-und Vertrieb
Yorizon GmbH & Co. KG

Schwachstellen: Erkennung und Reaktion allein reichen nicht aus

Seit Jahren bauen Unternehmen ihre Sicherheitsarchitekturen nach einem bekannten Ablauf auf:

  • Ein Angreifer nutzt eine Schwachstelle aus.
  • Sicherheitstools erkennen verdächtige Aktivitäten.
  • Das SOC untersucht die Warnmeldungen.
  • Sicherheitsverantwortliche ermitteln, was passiert ist.
  • Das Unternehmen schaltet den Angreifer aus, bevor materieller Schaden entsteht.

Erkennung und Reaktion bleiben notwendig. CISOs benötigen nach wie vor EDR, SIEM, Threat Intelligence, Incident Response und ein robustes Schwachstellenmanagement. Doch diese Fähigkeiten verlieren – als primäre Kontrollmaßnahme – zunehmend an Bedeutung, da das Modell davon abhängt, dass die Verteidiger über genügend Zeit verfügen. KI verkürzt diese Zeit. Angreifer können Automatisierung nutzen, um exponierte Systeme zu identifizieren, Anmeldedaten zu testen, Netzwerkpfade zu ermitteln und sich über vertrauenswürdige Verwaltungsprotokolle zu bewegen. RDP, SMB, SSH, WinRM und RPC sind an sich nicht bösartig. Es handelt sich um dieselben Tools, die Administratoren und Anwendungen täglich nutzen, was es erschwert, böswillige Nutzung schnell von legitimen Aktivitäten zu unterscheiden.

Untersuchungen von Zero Networks ergaben, dass mehr als 70 Prozent der Bedrohungsaktivitäten in Unternehmen über SMB, RDP, WinRM und RPC laufen. Dies stellt einen grundlegenden Nachteil für eine Detection-First-Strategie dar: Das SOC muss böswillige Absichten innerhalb des Datenverkehrs identifizieren, dem das Unternehmen bereits vertraut, diese untersuchen und reagieren, bevor der Angreifer ein kritisches System erreicht. Bei maschineller Geschwindigkeit ist das ein riskantes Unterfangen. Das neue Modell sollte nicht davon ausgehen, dass das Unternehmen jede wichtige Aktion rechtzeitig erkennt. Es sollte vielmehr davon ausgehen, dass:

  • Einige Schwachstellen ungepatcht bleiben.
  • Einige Zero-Day-Schwachstellen bereits vor ihrer Offenlegung ausgenutzt werden.
  • Einige Identitäten und Anmeldedaten kompromittiert werden.
  • Einige böswillige Aktivitäten legitim erscheinen.
  • Einige Warnmeldungen erst eintreffen werden, nachdem der Angreifer bereits aktiv geworden ist.
  • Menschliche Reaktionskräfte nicht immer schneller handeln werden als automatisierte Angreifer.
  • Die Architektur muss den Angriff auch dann eindämmen, wenn sich diese Annahmen als wahr erweisen.

Jetzt Newsletter abonnieren

Verpassen Sie nicht unsere besten Inhalte

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte