„Bewältigung von Sicherheitsrisiken“

ITD: Herr Can, wie können Unternehmen potenziellen Sicherheitsbedrohungen einen Schritt voraus sein?
Can: In der heutigen, sich ständig beschleunigenden und immer komplexer werdenden Geschäftswelt ist es unerlässlich, die Sicherheit eines Unternehmens als einen kontinuierlichen Prozess zu betrachten, anstatt sie nur punktuell zu überprüfen. Eine regelmäßige Evaluierung und die fortlaufende Verbesserung der geschäftlichen Sicherheitsmaßnahmen sind von höchster Bedeutung. Die Cyberangreifer zeichnen sich durch ihre Beharrlichkeit und Kreativität aus. Sie suchen unaufhörlich nach neuen Wegen, um Schwachstellen auszunutzen. Das bedeutet, dass die Lösungen von gestern möglicherweise schon morgen nicht mehr ausreichend sein könnten. Um möglichen Bedrohungen einen Schritt voraus zu sein, greifen wir nicht nur auf eine Vielzahl interner Sicherheitsmaßnahmen zurück, sondern setzen auch auf Validierungsmethoden durch Dritte – so etwa mit Penetrationstests und Bug-Bounty-Programmen. Diese Ansätze ermöglichen es uns, nicht nur äußerst sichere Produkte bereitzustellen, sondern auch die Daten unserer Nutzer zu schützen, ihr Vertrauen zu gewinnen und gegenüber unseren Kunden Transparenz zu demonstrieren.

ITD: Was verbirgt sich hinter einem Bug-Bounty-Programm und wie funktioniert es?
Can: Bug Bounty ist eine allgemeine Bezeichnung der Programme, bei denen Unternehmen mit White-Hat-Hackern kooperieren. Diese ethischen Hacker nehmen eine genaue Untersuchung eines Produkts vor und berichten über entdeckte Schwachstellen. Die Sicherheitslücken dürfen allerdings erst nach ihrer Behebung öffentlich gemacht werden. Die Unternehmen müssen wiederum rasch auf die Berichte der Sicherheitsforscher reagieren und die aufgedeckten Schwachstellen umgehend beheben. Die meisten Unternehmen betreiben die Zusammenarbeit mit White-Hat-Hackern auf speziellen Plattformen wie beispielsweise Hackerone. Diese Plattformen ermöglichen ein bequemes und transparentes Management solcher Unterfangen. Ein Bug Bounty-Programm kann in einem privaten oder öffentlichen Modus betrieben werden. Im privaten Modus ist die Teilnahme auf eine ausgewählte Gruppe von Hackern beschränkt. Hierbei erhalten die ausgewählten Forscher persönliche Einladungen – basierend auf ihren Profilen. Im Gegensatz dazu kann bei einem öffentlichen Programm jeder interessierte Sicherheitsforscher seinen Bericht einreichen und eine Belohnung beanspruchen.

ITD: Welche Rolle spielen ethische Hacker für Ihr Unternehmen?
Can: Um sicherzustellen, dass unser Produkt bei der Bewältigung von Sicherheitsrisiken stets einen Schritt voraus bleibt, arbeiten wir eng mit ethischen Hackern zusammen – auch bekannt als die bereits erwähnten White-Hat-Hacker oder Sicherheitsforscher. Eine solche Kooperation hilft, potenzielle Schwachstellen zu identifizieren und zu beheben, noch bevor diese zu Problemen werden können. Ethische Hacker spielen eine wichtige Rolle bei der Identifizierung von logischen Fehlern, Fehlkonfigurationen und Implementierungsproblemen in verschiedenen Diensten, bei denen Automatisierung nicht immer ausreicht. Ihr Ansatz ist in der Regel proaktiv: Sobald sie Schwachstellen entdecken, melden sie diese umgehend, um bestmögliche Ergebnisse zu erzielen.

Dies ist ein Artikel aus unserer Print-Ausgabe 9/2023. Bestellen Sie ein kostenfreies Probe-Abo.

ITD: Was sind mögliche Stolpersteine bei der Zusammenarbeit mit ethischen Hackern?
Can: Der Erfolg des Bug-Bounty-Programms hängt weitgehend davon ab, wie man die Arbeit mit Forschern organisiert. Es ist besonders wichtig, eine offene und aktive Kommunikation aufrechtzuerhalten und schnell auf die Nachrichten der Hacker zu reagieren. Die Reaktionsgeschwindigkeit ist für Forscher oft ein Faktor, der darüber entscheidet, ob sie am Programm eines Unternehmens teilnehmen oder eben nicht. Um eine dauerhafte Beteiligung zu fördern, ist es außerdem ratsam, die Autoren von erstklassigen Berichten zu belohnen, selbst wenn sie keine kritischen Schwachstellen aufdecken. Dies kann beispielsweise der Fall sein, wenn die Forscher komplexe Angriffsszenarien beschreiben. Um die Effektivität des Programms sicherzustellen und die Aufmerksamkeit der Forscher auf die priorisierten Bereiche zu lenken, können zusätzliche Anreize geschaffen werden – so etwa durch die temporäre Erhöhung der Prämien für relevante Berichte über bestimmte Schwachstellen. Daher bieten wir z.B. derzeit einen zweifachen „Bounty Bonus“ mit bis zu 100.000 Dollar für Berichte über Schwachstellen mit hohem und kritischem Schweregrad in unserem neuen Authentifizierungs- und Autorisierungsdienst. Seit dem Start dieses neuen Bonusprogramms im Mai haben wir 30 relevante Berichte erhalten, im Vergleich zu zehn im vorherigen Quartal. Die Zahl der aktiven ethischen Hacker, die uns mindestens einen hilfreichen Bericht schicken, stieg im gleichen Zeitraum von fünf auf 18. Das verdeutlicht, dass es sich hierbei um eine effiziente Methode zur Förderung der Partizipation handelt. Was die Herausforderungen angeht, so könnte es anfangs eine relativ hohe Zahl falsch-positiver Meldungen von Hackern geben. Das „First Triage“-Angebot unserer Bug-Bounty-Plattform hat sich als sehr wirksam erwiesen, um mit dieser Herausforderung umzugehen: Das Triage-Team von Hackerone führt die erste Validierung durch und hilft dabei, die Anzahl der Duplikate und falsch-positiven Meldungen zu reduzieren – ohne die Arbeitsbelastung für unser Sicherheitsteam zu erhöhen. Um sicherzustellen, dass die Forscher die für das Unternehmen wichtigsten Sicherheitsbereiche priorisieren, ist es wichtig, die Programmrichtlinien regelmäßig zu aktualisieren und die Prioritäten klar zu definieren.

Bildquelle: Grammarly