Verwundbarkeits-Management

Verwundbarkeits-Management Verwundbarkeiten sind die Türen, durch Hacker oder Würmer in Systeme und Netze eindringen. Sie entstehen meist durch schlechte Konfiguration oder Fehler in Betriebssystemen, Netzwerkdiensten oder Applikationen. Um die eigene IT-Infrastruktur vor Angriffen zu schützen, bauen viele Organisationen Firewalls, Verschlüsselungs- und Content-Security-, Intrusion-Prevention-Systeme oder ähnliches auf. Auf diesem Weg wollen sie verhindern, dass Verwundbarkeiten ausgenutzt werden. Entfernt werden die Verwundbarkeiten dadurch jedoch nicht. Um die Verwundbarkeiten oder Fehler zu beheben und damit an den eigentlichen technischen Wurzeln der Sicherheitsprobleme anzusetzen, werden beispielsweise Service Packs, Patches oder Hotfixes der Hersteller eingespielt. Dies ist jedoch bei größeren Organisationen keine einfache Aufgabe, da man Updates nicht einfach so einspielen kann. Seiteneffekte, die zu Inkompatibilitäten mit kritischen Applikationen führen können, sind oft schlimmer als die ursprünglich behobenen Fehler. In der Praxis muss man oft zwischen dem Risiko eines möglichen Schadens aufgrund der Verwundbarkeit und dem Risiko eines möglichen Schadens aufgrund einer unausgereiften Behebung abwägen. Anstelle von blindem und breitem Einspielen von Service Packs oder Patches kann man durch systematisches Erfassen der tatsächlich vorhandenen Verwundbarkeiten und durch Bewerten dieser Verwundbarkeiten unter Berücksichtigung der tatsächlichen Infrastruktur, der Applikationen und der Business-Prozesse zu einem bewussten und gezielten Beheben der Schwachstellen kommen. Verwundbarkeits-Management ist ein von geeigneten Werkzeugen unterstützter Prozess, der Informationen über Verwundbarkeiten sammelt, aufbereitet, bewertet und weiterverteilt sowie ihre Behebung steuert. Zusätzlich können die Information über Verwundbarkeiten in verschiedenen anderen Bereichen der IT-Sicherheit zu einer Qualitätsverbesserung verwendet werden. Ein offensichtliches Beispiel sind Angriffs- Erkennungs-Systeme (IDS), die durch Korrelation mit tatsächlich vorhandenen Verwundbarkeiten ihre Events besser bewerten können. Informationen über Verwundbarkeiten und Systeme zum Sammeln und Weiterverarbeiten dieser Informationen sind damit ein wichtiger grundlegender Baustein für ein vorausschauendes Sicherheits-Management. Software-Produkte für Verwundbarkeits-Management reichen von Netzwerk-Mapping- Systemen über klassische Netzwerk-Scanner und agentenbasierte Systeme bis hin zu passiven Fingerprinting-Systemen und Werkzeugen zur Access-Analyse in Netzwerken und Angriffssimulation. Ein erster Schritt von Verwundbarkeits-Management ist in technischer Hinsicht die Erfassung der eigenen Infrastruktur und der dort vorhandenen Verwundbarkeiten. Die verfügbaren Techniken kann man in aktive Systeme und passive Systeme unterteilen. Aktive Systeme kommunizieren mit den Geräten im eigenen Netz und fragen selbst die installierten Dienste, ihre Konfiguration oder eingespielte Patches ab. Passive Systeme dagegen lesen nur den Netzwerkdatenverkehr mit ohne selbst einzugreifen und versuchen, aus der mitgelesenen Kommunikation Rückschlüsse auf installierte Dienste, ihre Versionen und Verwundbarkeiten zu ziehen. Innerhalb der aktiven Systeme kann man weiter unterscheiden zwischen Systemen, die Agenten auf den Endgeräten verwenden und solchen, die ihre Informationen nur von zentralen Punkten aus über das Netzwerk abfragen. Letztere sind vor allem so genannte Verwundbarkeits-Scanner, die auch am weitesten verbreitet sind. Egal mit welchen Methoden man die eigenen Verwundbarkeiten erfasst, die Anzahl der gefundenen Verwundbarkeiten wird die meisten Verantwortlichen zunächst verwundern oder sogar erschrecken. Ein Verwundbarkeits-Scan im internen Netzwerk, den man relativ einfach mit Open-Source-Werkzeugen wie Nessus durchführen kann, führt bei tausend Endgeräten im Netz nicht selten zu mehreren tausend Verwundbarkeiten. Selbst wenn alle diese Verwundbarkeiten durch kurzfristiges Einspielen von aktuellen Hotfixes oder Service Packs oder durch Ändern der Konfigurationen behoben würden, sähe das Bild nach wenigen Wochen schon wieder ähnlich aus. Wenn man bedenkt, dass ein einziges Software-Update von Herstellern wie Oracle oder auch Microsoft in der Regel eine mindestens zweistellige Anzahl von Fehlern behebt, und wenn man dazu noch berücksichtigt, wie oft solche Updates oder Hotfixes veröffentlicht werden, dann ist dies einfach nachvollziehbar. Das „Gepatcht sein“ eines PCs oder Servers ist eben kein dauerhafter Zustand, sondern immer nur eine kurze Momentaufnahme. Sicherheitsbewusste Unternehmen führen deshalb selbst oder mit Hilfe externer Spezialisten regelmäßig Überprüfungen durch und versuchen anschließend die riesigen Listen der gefundenen Verwundbarkeiten zu bewerten und zu priorisieren. Anschließend beheben sie die wirklich kritischen Probleme zuerst. Doch wovon hängt die Bewertung einer Verwundbarkeit ab? Um Verwundbarkeiten bewerten zu können, muss man sie in ihrem Umfeld betrachten. Scanner liefern zwar eine Bewertung der Verwundbarkeiten, basierend auf allgemein gültige Eigenschaften der Verwundbarkeit wie Einfachheit der Ausnutzung oder den Zugriffsrechten, die ein Angreifer erlangen kann, wenn er die Verwundbarkeit ausnutzt. Unberücksichtigt bleiben aber die Bedeutung der betroffenen Systeme für das Unternehmen, die Erreichbarkeit der Verwundbarkeiten von externen Netzwerken aus oder auch die vorhandenen Sicherheitssysteme, die den Zugriff auf Verwundbarkeiten verhindern würden. Scanner liefern deshalb Listen von Verwundbarkeiten, die man als „unverdaut“ bezeichnen könnte. Eine sinnvolle Bewertung von Verwundbarkeiten im Kontext des eigenen Unternehmens, unter Berücksichtigung der eigenen Netzwerk-Topologie und der vorhandenen Sicherheitssysteme sowie eine darauf basierende Risikoabschätzung sind sehr aufwändig und benötigen mehr Daten als ein Scanner verarbeitet. Einer der wenigen Software-Hersteller, der eine Lösung für dieses Problem anbietet, ist die Firma Skybox Security mit ihrem Produkt Skybox View. Skybox View importiert die Ergebnisse von Verwundbarkeits-Scannern und verarbeitet diese zusammen mit den importierten Konfigurationen von Routern und Firewalls. Das Produkt ermittelt daraus mögliche Zugriffswege über verschiedene Router und durch Firewalls hindurch zu den einzelnen Verwundbarkeiten. Damit kann es bereits eine erste Bewertung der Verwundbarkeiten auf Basis ihrer Erreichbarkeit von definierbaren Bedrohungsquellen aus vornehmen. Eine Verwundbarkeit, die von einem Partner oder aus dem Internet direkt erreichbar ist, unterscheidet sich von einer Verwundbarkeit, die nur im internen Netz oder sogar nur innerhalb des Rechenzentrums erreicht werden kann. Dies ist jedoch nur ein erster Schritt, denn auch in der Realität bricht ein Hacker oder auch ein Wurm höchst selten direkt in kritische Systeme ein. Stattdessen erfolgen Angriffe in mehreren Schritten. Ein Einbruch in einen FTP-Server in der DMZ könnte beispielsweise dazu führen, dass ein Angreifer den FTP-Server vollständig unter seine Kontrolle bringt und von dort aus weitere interne Systeme angreifen kann. Eine solche Angriffskette kann über mehrere Schritte gehen und am Ende zu tatsächlich kritischen Systemen führen, die sensible Daten enthalten oder deren Verfügbarkeit essentiell für die Produktionssysteme sind. Skybox View berechnet mögliche Angriffsketten aus importierten Scanner-Ergebnissen sowie importierten Konfigurationen der Router und Firewalls, wobei immer die tatsächliche Erreichbarkeit der nächsten Verwundbarkeit über vorhandene Router und Firewalls berücksichtigt wird. Die letztendliche Bewertung von Verwundbarkeiten hängt dann nicht mehr von der einzelnen Verwundbarkeit selbst ab, sondern von dem möglichen Schaden und der Wahrscheinlichkeit, ob eine Angriffskette am Ende zu einer als kritisch eingestuften Applikation führt. Den technischen Kern von Skybox View könnte man damit auch als „Angriffssimulation“ bezeichnen. Die komplizierte Bewertung von langen Listen mit gefundenen Verwundbarkeiten wird damit von einem manuellen Prozess, der Wochen oder sogar Monate dauert, zu einem automatisch unterstützten Prozess, der täglich die aktuelle Sicherheitssituation liefern kann. Daraus lassen sich natürlich recht gut Kennzahlen oder der Key Performance Indikatoren (KPIs) für die IT-Sicherheit ableiten. Auch wenn die interne Funktion des technischen Ansatzes kompliziert klingt, die Anwendung ist eher pragmatisch und einfach verständlich. Fast alle Eingabedaten müssen nicht manuell erfasst werden, sondern werden über offene Schnittstellen von anderen vorhandenen Systemen importiert. Einzig die allerwichtigsten Business- Applikationen sollten manuell definiert werden und die Erfassung von Verwundbarkeiten mit Hilfe von Scannern muss eventuell erst aufgebaut werden, sofern bisher noch keine Infrastruktur und noch keine Prozesse dafür implementiert wurden. Skybox arbeitet hier mit den großen und bekannten Anbietern von Scannern wie Qualys, Foundstone, ISS oder eEye zusammen, aber auch der Import von Daten aus dem kostenlosen Werkzeug Nessus ist möglich. Als Ergebnis bekommt man nicht nur eine aktuelle Bewertung der Sicherheit, sondern auch detaillierte Auswertungen, die die kritischsten Verwundbarkeiten, die am stärksten bedrohten Business-Applikationen etc. darstellen. Sogar die denkbaren Angriffswege über verschiedene Maschinen, Router und Firewalls lassen sich grafisch aufzeigen. Wenn man weiter über die Konsequenzen einer solchen Technik nachdenkt, stellt sich natürlich recht schnell die Frage, was eigentlich passieren würde, wenn die berechneten Daten in falsche Hände geraten sollten. Im Gegensatz zu einem normalen Scanner geht es ja hier nicht nur um lange Listen mit Verwundbarkeiten, sondern detailliert um mögliche schrittweise Einbruchswege zu den wichtigsten internen Systemen.