Keine Lücken hinterlassen

ITM: Herr Brabetz, warum ist es allein mit Patch- und Schwachstellen-Management nicht getan, um Schwachstellen im Unternehmensnetzwerk aufzudecken?
Sebastian Brabetz: Patch- und Schwachstellen-Management sind wesentliche Bestandteile jeder guten IT-Security-Strategie. Allerdings werden durch Patch-Management nur Sicherheitslücken gepatcht, die bereits bekannt sind. Patch-Management hinterlässt also Lücken. Schwachstellen-Management liefert dagegen oft so viele Schwachstellen, dass Firmen sich nicht auf die wirklich kritischen fokussieren können. Automatisiertes Pentesting kann schnell und einfach die etwa zehn bis 30 von vielleicht 3.000 Schwachstellen aufzeigen, über die ein Angreifer oder eine Ransomware sich ausbreiten und die gesamte Firma verschlüsseln kann.

ITM: Können Sie das genauer erläutern?
Brabetz: Regelmäßige automatisierte Pentests zeigen effektiv diejenigen Schwachstellen an, die erst in Kombination dazu führen, dass Systeme und das Active Directory komplett übernommen werden können. Eine unkritische und eine mittelmäßig kritische Schwachstelle stellen für sich allein vielleicht nur ein kleines Problem dar, können aber kombiniert in manchen Fällen extrem kritisch sein. Mittels MitM- oder NTLM-Relaying-Angriffen ist hier mitunter eine sofortige Übernahme der Umgebung möglich. Automatisierte Pentesting-Lösungen wie Pentera führen diese Angriffe aus und beweisen den Erfolg des Angriffs. Am Ende geben sie eine direkte Anleitung zur Behebung solcher Konfigurationsschwachstellen, die im klassischen Schwachstellen-Management häufig untergehen.

ITM: Worin sehen Sie die Vorteile gegenüber dem „normalen“ Schwachstellen-Management?
Brabetz: Man benötigt beides. Als die Log4j-Schwachstelle im Dezember 2021 publik wurde, hätte ein Pentest nicht geholfen, die Sicherheitslücke überall zu finden und zu eliminieren. Erst in Kombination liefern Schwachstellen-Management und Pentesting ein richtig gutes Sicherheitspaket. Der Vorteil von automatisiertem Pentesting ist, dass man sich schnell und effizient auf das Beheben von bis zu 30 Schwachstellen fokussieren kann, anstatt mit mehreren Tausend zu jonglieren.

ITM: Welche Folgen könnte es haben, wenn Unternehmen anno 2022 nicht mehr in die eigene IT-Security investieren?
Brabetz: Bei unzureichender Investition in die IT-Sicherheit erhöht sich die Gefahr, dass ein Unternehmen Opfer eines Cyberangriffs wird. Bei Ransomware-Angriffen verschlüsseln Cyberkriminelle Daten und geben sie erst nach Zahlung eines hohen Lösegeldes frei. Ergatterte sensible Kundendaten oder Firmengeheimnisse werden möglicherweise veröffentlicht oder weiterverkauft. Im Falle produzierender Unternehmen stehen industrielle Anlagen schlimmstenfalls Wochen lang still. All das kann sich für die betroffenen Unternehmen schnell existenzbedrohlich auswirken.