Hacker zuverlässig abwehren

Sind wir verloren? Keineswegs! Wo Probleme sich auftun, entstehen Lösungen. Wären Cloud und mobiles Arbeiten ein Nullsummenspiel und all ihre Vorteile perdu aufgrund der Sicherheitslücken, welche sie aufreissen mögen, dann hätte der Mensch zum ersten Mal die Büchse der Pandora geöffnet. Deshalb wollen wir uns von der griechischen Mythologie abwenden und der Lösung zuwenden.

Wir müssen uns zunächst drei Grundsätze vergegenwärtigen, die zu einer effektiven Cybersecurity Lösung, also einem wirksamen Schutz gegen mögliche Hackerangriffe gehören. Bewusst lassen wir begleitende Maßnahmen wie Verhaltensregeln (Policies), Sicherheitstrainings oder regelmäßige Audits und Scans außer Betracht. Sie haben zweifellos ihre Berechtigung und sollen an anderer Stelle unsere Aufmerksamkeit erhalten.

Die meisten modernen Sicherheitslösungen nutzen alle verfügbare Daten, um Bedrohungen (threads), Schwachstellen (vulnerabilities) und sicherheitsrelevante Vorfälle (incidents) zu identifizieren und zu bekämpfen. Ihr “Wissen” wird zentral vorgehalten, zentral aktuell gehalten und zentral genutzt. Gleichgültig, ob Zero Trust Network Access (ZTNA) oder Cloud Access Security Broker (CASB) oder Secure Access Service Edge (SASE) oder Extended Detection and Response (XDR) Lösungen zum Einsatz kommen, sie fußen alle auf dem Prinzip des ubiquitären Zugangs zu Informationen über Cybergefahren und der mehr oder weniger zentralen Umsetzung einer Abwehrstrategie, vgl. Fußnoten 1 bis 4 unten. Palo Alto beispielsweise setzte dieses Vorgehen bei seinen Firewall-Lösungen bereits vor Jahren erfolgreich ein, bevor die oben genannten Begriffe überhaupt erfunden wurden.

Folglich geht nicht nur das “Problem” sondern auch die Lösung von der Cloud aus.

SIEM Plattformen wie Splunk, Sumo Logic, Datadog, Logit und viele mehr helfen Daten der oben beschriebenen Sicherheitslösungen zu sammeln, zu aggregieren und zu interpretieren. Sie sind im Kern Datenbanken mit entsprechenden Analysefunktionen, welche Security Teams bzw. Security Operations Center (SOC) aktiv über Bedrohungen informieren.

SOAR Plattformen nehmen diese (Bedrohungs)Daten aus SIEM Lösungen entgegen und führen weitere Maßnahmen durch. So qualifizieren und reichern sie die Informationen weiter an, ziehen Cloud-Services zu deren Beurteilung hinzu und dämmen Angriffe durch Änderungen in der Konfiguration der Sicherheitslösungen oder durch Ausschluss der betroffenen Endgeräte bzw. Benutzer ein. Sie sind die Aktuatoren in einem wirkungsvollen Sicherheitskonzept.

Also braucht man eine SIEM Plattform und eine SOAR Plattform, am besten von ein und demselben Anbieter, und alles ist gut? Ja, in sehr einfachen und einheitlichen Systemlandschaften mag das ausreichen. In der komplexen Realität vieler Unternehmen jedoch nicht. Hier sind SOAR Lösungen gefragt, welche ganze Maßnahmenabläufe zwischen mehreren Systemen orchestrieren, um fallabhängig die richtigen Entscheidungen in die Tat umzusetzen. Gutes SOAR ist eine Frage der Automatisierung im Securityumfeld analog zur Automatisierung von Geschäftsprozessen.

Es reicht eben nicht mehr das einfache “Wenn-Dann” im Ablauf aus, sondern die Daten von Benutzern, Angreifern, betroffenen Systemen bzw. Anwendungen und möglichen Ursachen müssen mithilfe durchdachter Prozessschritte interpretiert sowie orchestriert werden, sodass die minimal invasive aber wirksame Problemlösung ergriffen werden kann. Je mehr Daten in einem Unternehmen fließen, desto wichtiger ist die Automatisierung dieser Datenflüsse. Sie sind mit menschlicher Intervention nicht hinreichend zeitnah und in der nötigen Qualität zu bewältigen. Oder wollen Sie, dass der Angriff ausufert, bis Ihr Security Team oder Ihre IT-Administration das Problem verstanden und eine Lösungsmöglichkeit ersonnen haben?

Erfolgreiche Unternehmen benötigen eine intelligente und moderne Sicherheitslösung, die möglichst automatisiert funktioniert, um zeitnah, effektiv und gezielt Hacker zuverlässig abwehren zu können. Diese Lösungen müssen dabei in das Budget und die verfügbaren Ressourcen passen – vom Kleinunternehmen bis zum Konzern. Nicht jeder Mittelständler kann sich ein SOC leisten, nicht jeder Konzern findet die für diese Aufgabe kompetenten Mitarbeiter am Markt.

Ein erfahrener Managed Security Service Partner ist ein kluger Schritt, das nötige technische Know-how, die ersehnte Beratung und eine stringente Umsetzung im Regelbetrieb zu gewährleisten. So können Unternehmen sich auch in turbulenten Zeiten ihrem Kerngeschäft widmen und wissen um den wirksamen Schutz ihrer Ressourcen.