Vor der nächsten Schwachstelle: reduzieren Sie Ihre Angriffsfläche und steuern Sie die Sichtbarkeit Ihres Netzwerks

Sie können nicht vorhersagen, wann die nächste kritische Sicherheitslücke erscheint, aber Sie können entscheiden, wie viel Ihrer Infrastruktur ausgesetzt wird, wenn das passiert. Viele Organisationen entdecken zu spät, dass sie unnötige Internet-Zugangsdienste haben, und dass schlechte Sichtbarkeit jede neue Sicherheitslücke zu einem Notfall macht, auf den wir in Eile reagieren müssen.

Die Zeit zwischen der Offenlegung einer Schwachstelle und ihrer Ausbeutung durch schädliche Akteure fällt alarmierend. Es gibt Projekte, die diesem Trend und Projekt folgen, dass, wenn sich die Dinge nicht ändern, in ein paar Jahren, dass Intervall eine Frage von Minuten, nicht Tage ( Uhr des Zero Day) Berücksichtigen Sie alles, was passieren sollte, bevor Sie ein Patch anwenden: Scans ausführen, Ergebnisse empfangen und analysieren, Vorfälle priorisieren, Korrektur bereitstellen und überprüfen. Wenn die Nachrichten aus Arbeitszeiten kommen, ist dieser Prozess noch länger. Mit zunehmend kurzen Betriebsfenstern erhöht jede Verzögerung das Risiko exponentiell.

Ein Beispiel, das das Problem gut illustriert, ist der Fall einer Remote-Execution-Verwundbarkeit auf hoch erweiterten Firmenkollaborationsservern. Bevor ein Patch existierte, nutzten Gruppen mit ausgeklügelter Kapazität sie aus, und als der Fehler öffentlich gemacht wurde, begannen viele Angreifer, das globale Netzwerk auf der Suche nach Internet zugänglichen Instanzen zu verfolgen, um sie massiv zu nutzen. Die Realität war, dass es Tausende von unnötig zugänglichen Systemen - Dienstleistungen, die nicht ausgesetzt werden müssen - und jeder von ihnen war eine offene Tür für einen Angreifer. Für technische Informationen und offizielle Mitteilungen über Schwachstellen in bestimmten Produkten wird empfohlen, die eigenen Veröffentlichungen des Herstellers zu überprüfen, z.B. das Microsoft-Reaktionszentrum ( MSRC), sowie die Listen der bekannten ausgenutzten Fehler der CISA.

Warum vermissen Sie so viele Ausstellungen? Ein häufiger Grund ist, wie die Ergebnisse externer Scans interpretiert werden. Klassische Berichte mischen kritische Befunde mit anderen nur informativen, und dieses "informationelle" Etikett kann zu einem Mangel an Dringlichkeit führen. Ein als Informationen aus einem internen Netzwerk erkannter Dienst kann jedoch fatal sein, wenn derselbe Dienst aus dem Internet erreichbar ist: Eine SharePoint-Instanz, eine MySQL- oder Postgres-Datenbank mit offenen Ports oder Protokollen wie RDP oder SNMP, die außerhalb des Trust-Netzwerks angeboten werden, sind klare Beispiele für Elemente, die zwar zu dieser Zeit keine zugehörige Sicherheitslücke aufweisen, ein reales Risiko für ihre einfache Belichtung darstellen.

Es beeinflusst auch den Kontext des Scans. Ein Sicherheitsteam, das Tests innerhalb des Netzwerks durchführt, kann ein seriöses und geringes Risiko berücksichtigen, das, wenn es extern ausgesetzt ist, die Organisation in einer ganz anderen Situation verlässt. Die traditionellen Reporting-Prozesse unterscheiden nicht immer zwischen diesen Realitäten, so dass die Sichtlücken, die die Angreifer nutzen, entstehen.

Um den externen Angriff bewusst zu reduzieren, muss die Mentalität geändert werden: von der Reaktion auf jede Warnung bis hin zur Gestaltung einer Strategie, die die gefährdete Oberfläche an erster Stelle minimiert. Der erste wesentliche Schritt ist, eine echte Inventar dessen zu haben, was existiert und was aus dem Internet zugänglich ist. Dies beinhaltet die Suche und Beseitigung von Schatten-IT, die Identifizierung von Ressourcen außerhalb offizieller Kanäle und die Sicherstellung, dass jede neue Infrastruktur automatisch in Sicherheitsprozessen erfasst wird, zum Beispiel durch die Integration von Sichtbarkeit mit Cloud-Lieferanten und DNS-Datensätzen. Techniken wie die Aufzählung von Subdomains helfen, exponierte Hosts zu entdecken, die sich nicht im Inventar befinden, und es ist angemessen, auf Dienstleistungen zu achten, die in kleineren Anbietern, die manchmal außerhalb der Unternehmenspolitik sind, gehostet werden; um die Aufzählung von Subdomains zu vertiefen, der Branchenführer ( Sicherheitsanhänger) und für einen allgemeinen Ansatz, die Oberflächenbewirtschaftung anzugreifen, ist es nützlich, die OWASP Attack Surface Management.

Die Behandlung der Exposition sollte an sich eine Risikokategorie sein, keine Fußnote in einem Bericht. Es ist notwendig zu identifizieren, welche Informationsergebnisse eine reale Exposition darstellen und ihnen eine entsprechende Schwere zuzuordnen: Eine zugängliche Instanz eines sensiblen Dienstes sollte skaliert und mit Priorität verwaltet werden, auch wenn noch kein zugeordnetes EQO vorhanden ist. Dies erfordert netzwerksensitive Nachweisfähigkeit und einen Governance-Prozess, der Zeit und Eigentum vorbehält, um die Exposition kontinuierlich zu reduzieren, nicht nur, wenn eine Krise entsteht. Wenn dringende Aufgaben immer Vorrang vor strategischen Aufgaben haben, wird das Gleichgewicht nicht dauerhaft sein und die Expositionen werden sich weiter ansammeln.

Die Reduzierung der Angriffsfläche erfolgt nicht einmal und wird vergessen. Die Änderungen der Infrastruktur sind konstant: ein neuer Service wird eingesetzt, eine Firewall-Regel wird geändert, eine Akquisition vererbt Domains und Systeme. Es ist daher wichtig, kontinuierlich und leicht zu überwachen. Die Durchführung voller Sicherheitsscans auf einer täglichen Basis ist oft unrealistisch für Kosten und Zeit, aber häufige Portscans und andere schnelle Überprüfungen ermöglichen die Erkennung innerhalb von Stunden, wenn ein exponierter Dienst erscheint, der nicht sein sollte. Scannen von Tools wie Nmap zeigen, wie diese Sonden auf Hafenebene funktionieren, und für eine formale Anleitung zur kontinuierlichen Überwachung sollten die NIST-Empfehlungen überprüft werden ( NIST SP 800-137)

Der praktische Vorteil der weniger exponierten Dienstleistungen ist, dass es, wenn kritische Sicherheitslücke erscheint, weniger Ziele geben wird, um sicherzustellen und weniger Druck zu parken in Eile. Die Verringerung der Exposition im Vorfeld verwandelt einen Notfall in einen überschaubaren Job: weniger Überholungen, weniger gezwungene Arbeitstage und mehr Fähigkeit, geordnet und effektiv zu reagieren.

Es geht nicht darum, alles im Internet zu beseitigen, sondern um bewusst zu kontrollieren, was dort und warum sein sollte. Die automatische Erkennung von Shadow IT, die Aufzählung von externen Hosts und Warnungen an Veränderungen der Exposition beschleunigt die Sichtbarkeit und ermöglicht es Sicherheitsausrüstung, vor dem Lärm der Massenausbeutung zu handeln. Wenn Sie sehen wollen, wie diese Verfahren in der Praxis funktionieren, bieten neben den oben genannten technischen Quellen viele Oberflächenmanagement- und Scanplattformen Demos und Materialien an, die zeigen, wie man Inventar, Erkennung und automatisierte Reaktion verbindet.

Die gute Nachricht ist, dass der Vorteil von Verteidigern in einem wichtigen Aspekt bleibt: Sie können mit Ihren eigenen Cloud-Systemen und DNS integrieren, um automatisch zu erkennen, was Sie glauben. Die Angreifer haben dieses Privileg nicht. Unter Berücksichtigung dieser, Priorisierung der Verringerung der Exposition und der Aufrechterhaltung der kontinuierlichen Überwachung sind Schritte, die die Wahrscheinlichkeit eines Opfers deutlich reduzieren, wenn die nächste kritische Sicherheitslücke kommt.