Die CISA-Ordnung, die die Entfernung der Kantengeräte aus dem Netzwerk erfordert, um zu unterstützen

Die United States Infrastructure and Cybersecurity Agency (CISA) hat eine verbindliche Ordnung ins Leben gerufen, die Bundesbehörden verpflichtet, die Grenzgeräte - wie Router, Firewalls und Switches - aus ihren Netzwerken zu identifizieren und zu entfernen, die keine Sicherheitsaktualisierungen von ihren Herstellern mehr erhalten. Mit dieser Maßnahme will die Verwaltung ein Risiko eingehen, das laut CISA eine systematische Ausbeutung durch fortgeschrittene Akteure ermöglicht und kritische Systeme hinterlässt, die neu entdeckten Schwachstellen ausgesetzt sind.

Das grundlegende Problem ist einfach und dringend: Wenn ein Computer oder eine Software seine "End-of-support"-Stufe eingibt, hört es auf, Patches zu empfangen. Das macht dieses Team zu einem dauerhaften Ziel für Angreifer, die unkorrigierte Sicherheitslücken suchen. Die neue Richtlinie, sogenannte Binding Operational Directive 26-02, erfordert, dass Bundesagenturen mit bestimmten Zeitrahmen handeln: Geräte in einer End-of-Support-Liste in wenigen Monaten zu erfinden, sofort diejenigen zu entfernen, für die Aktualisierungen zur Verfügung stehen, und den Austausch aller Off-Support-Geräte innerhalb eines größeren Zeitraums abzuschließen. Sie können den Text der Richtlinie auf der offiziellen CISA-Seite lesen Hier..

Der Standard teilt die Aktionen in Phasen: zunächst eine rasche und priorisierte Identifizierung von gefährdeten Geräten; dann die sofortige Deinstallation oder Aktualisierung von Geräten, in denen der Hersteller noch Patches anbietet; mittelfristig die Aussetzung von Hardware, die bereits vor der Bestellung außer Support war; und schließlich die Umsetzung von kontinuierlichen Prozessen, um das Inventar der Randinfrastruktur zu entdecken und zu überwachen. Parallel dazu ermutigt CISA nicht-föderale Netzbetreiber und befürwortet die Umsetzung der gleichen Empfehlungen durch Beratung eines IC3-Team-Informationsblatts hier verfügbar.

Warum ein Fokus auf die Kantengeräte? Da diese Geräte den Verkehrsfluss zwischen internen und externen Netzwerken steuern; ein anfälliger Router oder Firewall kann das Gateway zu einem gesamten Netzwerk sein. Darüber hinaus werden sie oft weniger streng verwaltet als Server oder Workstations, werden in heterogenen Umgebungen installiert und bleiben manchmal ohne Revision. Diese Kombination macht sie zu einem attraktiven Vektor für automatisierte Ausbeutungskampagnen und für Akteure, die innerhalb einer Organisation in wertvollere Vermögenswerte schwenken wollen.

Das Mandat ist das Ergebnis von Vorkommnissen und Trends, die von der CISA selbst und der Sicherheitsgemeinschaft beobachtet werden: umfangreiche Ausbeutung von End-of-Life-Geräten, gezielte Angriffe, die Sicherheitslücken ohne Patches oder schwache Anmeldeinformationen verwenden, und das Vorhandensein von persistenten Kampagnen, die diese Schwächen nutzen, um Ransomware, Hintertüren oder stehlen Informationen einzuführen. Die Agentur hat in den letzten Jahren ähnliche Richtlinien erlassen; zum Beispiel veröffentlichte sie im Jahr 2023 einen anderen Auftrag, Management-Schnittstellen im Internet zu schließen - ein damit verbundenes Problem - und parallel gestartete Pilotprogramme, um Organisationen über die Risiken von Ransomware auf ihren Netzwerkgeräten zu warnen.

Was können Organisationen heute tun, auch wenn sie keine Bundesbehörden sind? Die erste Maßnahme ist einfach im Konzept, erfordert aber Arbeit: zu wissen, was mit dem Netzwerk verbunden ist. Die Aufrechterhaltung eines aktualisierten und automatisierten Inventars von Geräten und Software / Firmware-Versionen ist die Basis für jeden Sicherheitsaufwand. Es wird dann empfohlen, den Verkehr zu segregaten, strenge Zugangskontrollen für Management-Schnittstellen anzuwenden, durch Intrusionserkennung zu überwachen und sich auf kompensatorische Maßnahmen (wie z.B. White Lists, Tiefpaketinspektion oder Segmentierung) zu verlassen und kritische Geräte zu ersetzen. CISA und andere Agenturen bieten Leitfäden und technische Bogen mit konkreten Maßnahmen; die IC3-Richtlinie und das Informationsblatt sind gute Ausgangspunkte, und das NIST Cybersecurity Framework kann helfen, Risiken und Kontrollen zu priorisieren ( NIST Cybersecurity Framework)

Es gibt jedoch eine praktische Dimension, die die Umsetzung oft erschwert: Kosten und Lebenszyklusmanagement. Organisationen stehen vor begrenzten Budgets, Lieferantenverträgen und Interoperabilität bestehender Systeme. Aus diesem Grund strukturiert die CISA die Richtlinie mit zeitlichen Begrenzungen: sie ermöglicht es, kritischere Vermögenswerte zu priorisieren und zeitweilige Lösungen in der am wenigsten dringenden, immer mit der Verpflichtung, eine unterstützte Infrastruktur zu erreichen. Die Agentur betont jedoch, dass das Halten von Geräten aus der Unterstützung nicht mehr eine akzeptable Option in Bezug auf das Risiko ist.

Die implizite Nachricht für den privaten Sektor und IT-Administratoren ist klar: Auch wenn die Bestellung nur für bestimmte Agenturen verbindlich ist, sollte sich niemand auf Geräte verlassen, die keine Patches erhalten. Netzwerk-Befürworter müssen annehmen, dass die Angreifer bereits nach den Hintertüren suchen und entsprechend handeln. Für diejenigen, die Medienabdeckung und Themenanalyse wünschen, haben spezialisierte Medien die Ankündigung genau verfolgt; zum Beispiel finden Sie einen technischen Bericht über die Bestellung und ihre Auswirkungen in Sicherheitsmedien wie BleepingComputer Hier..

Schließlich ist diese Richtlinie ein Aufruf zur Aufmerksamkeit: Die Angriffsfläche ist nicht abstrakt, sie besteht aus physischen und virtuellen Geräten mit Ablaufdatum. Identifizierung, Patch oder Austausch und Aufrechterhaltung kontinuierlicher Entdeckungsprozesse - das ist der Weg, um vermeidbare Risiken zu reduzieren -. Organisationen, die diese Maßnahmen ergreifen, werden nun besser aufgestellt, um den Ausbeutungskampagnen zu widerstehen, die laut CISA bereits weltweit gegen Edge-Geräte eingesetzt werden.