Schlagwort-Archive: Internet-Bedrohungen

Neue Sicherheitslücken bedeuten nicht zwangsläufig neue Probleme

von Richard Werner, Business Consultant

Wieder sind zwei neue Sicherheitslücken aufgetaucht, die betroffene Nutzer und Unternehmen vor Herausforderungen stellen werden. Diesmal sind die Microsoft-Browser Edge und Internet Explorer betroffen. Es handelt sich dabei um so genannte Zero Days, denn zum Zeitpunkt der Veröffentlichung war vom Hersteller noch kein Patch verfügbar. Diese Situation kennt nur Verlierer.

Die Situation wäre möglicherweise vermeidbar gewesen, folgt man den Auskünften des Sicherheitsforschers, der diese Lücken entdeckt hat: Er behauptet, Microsoft bereits zehn Monate vor der Veröffentlichung über seine Ergebnisse informiert zu haben. Nun ist der Anbieter eigentlich nicht dafür bekannt, solche Hinweise zu ignorieren. Die Erfahrung zeigt vielmehr, dass dessen Prozesse daraufhin optimiert sind, in solchen Fällen schnell und akkurat zu reagieren. Eine solche Verzögerung mag deshalb durchaus unbeabsichtigt oder zufällig entstanden sein. Das Resultat ist aber leider eine „Lose-Lose-Lose-Situation“.

Lose-Lose-Lose-Situation
Auf der einen Seite steht ein junger Sicherheitsforscher, der sich gezwungen sieht, seine Ergebnisse zu veröffentlichen. Da Millionen Nutzer davon betroffen sind und zu erwarten ist, dass innerhalb der nächsten Wochen bereits Angriffe auf diese Schwachstellen folgen werden, wird er wohl wenig Dank ernten.

Der zweite Verlierer ist Microsoft. Das Unternehmen ist nun gezwungen zu reagieren und erklärt der Öffentlichkeit entweder, warum kein Einschreiten notwendig ist (aus unserer Sicht eher unwahrscheinlich), oder stopft schnellstmöglich diese Lücke. Ein Image-Schaden und deutlicher Mehraufwand werden dabei auf jeden Fall die Folge sein.

Der dritte Verlierer – vermutlich der einzige, auf den es wirklich ankommt – sind die Nutzer. Wahrscheinlich werden sie demnächst einen Patch als Notfallmaßnahme erhalten, den sie sofort installieren müssen. Wir können nur hoffen, dass dem Hersteller genügend Zeit für eine vernünftige Qualitätssicherung bleibt. Zwangsläufig aber wird es ungemütlich, denn Cyberkriminelle haben durch die Offenlegung leider eine Blaupause dafür erhalten, wie sie angreifen können, und haben damit potenziell einen mehrtägigen Vorsprung. Besonders fatal ist, dass die allermeisten Menschen vermutlich überhaupt nichts von dieser Diskussion mitbekommen und solchen Angriffen komplett unvorbereitet gegenüberstehen.

Weiße Märkte
Ironischerweise vollzieht sich dieser Vorfall ziemlich genau zwei Wochen nach Abschluss des weltweit größten Hacking-Wettbewerbs Pwn2Own. Dieser wird von der Trend Micro Zero Day Initiative organisiert, dem weltweit ersten und größten herstellerunabhängigen sogenannten Weißen Markt. Auch hier geht es um Sicherheitslücken und Sicherheitsforscher stellen ihr Können unter Beweis. Und auch hier ist ihnen die Aufmerksamkeit der Szene für einen solchen Hack gewiss. Im Unterschied zu dem genannten Fall werden bei Pwn2Own allerdings für solche Hacks Preisgelder bis hin zu sechsstelligen Beträgen gezahlt. Außerdem sind betroffene Hersteller teilweise mit eigenen Entwicklungsressourcen vor Ort, um die Schwachstellen direkt zu beheben. Nur in den allerseltensten Fällen ignoriert ein Anbieter bei Pwn2Own entdeckte Sicherheitslücken. Dafür gibt es festgelegte Prozesse für eine verantwortungsvolle Veröffentlichung.

Lose-Lose-Lose wird zu Win-Win-Win
Die Weißen Märkte wurden geschaffen, um solche Sicherheitslücken verantwortungsvoll zu schließen. Davon profitieren alle: Die Internetgemeinde wird in der Regel ohne große Verzögerung geschützt. Zudem gibt es keinen Vorlauf für Cyberkriminelle, um einen Zero Day auszunutzen. Auch dem betroffenen Anbieter bleibt in der Regel ein angemessener Zeitraum für die Qualitätssicherung. Durch die 13-jährige Zusammenarbeit mit Herstellern werden ein „versehentliches Übersehen“ oder der Kontakt zu den falschen Ansprechpartnern praktisch ausgeschlossen. Letztendlich profitiert auch der Sicherheitsforscher durch mehr Prestige und ein durchaus nennenswertes Preisgeld. Pwn2Own und ähnliche Veranstaltungen existieren, damit solche unkoordinierten Veröffentlichungen nicht mehr notwendig sind. Schließlich wollen wir alle sichere Software – aber vor allem wollen wir in diesem Zusammenhang gelöste Probleme und nicht nur gute Ratschläge.

Deutlicher Fachkräftemangel und steigende Anzahl an Vorfällen

Trend Micro veröffentlicht  neue Studienergebnisse, die zeigen, dass sich die Mehrheit der Unternehmen Hilfe von aussen holt, um dem anhaltenden Fachkräftemangel in der IT-Sicherheit zu begegnen. Dies geschieht am häufigsten durch Automatisierung, vermehrte Schulungen und das Outsourcing von Erkennung und Prävention von Angriffen.

Unabhängig von ihrer Grösse sind zahlreiche Unternehmen mit derselben Herausforderung konfrontiert: Ihre IT-Sicherheitsteams sind unterbesetzt und überlastet. Die steigende Anzahl an Sicherheitsvorfällen, die Herausforderung diese zu priorisieren und der Mangel an Fachkräften kann die Mitarbeiter überfordern und damit das Risiko erhöhen.

Eine Befragung von 1.125 IT- und Sicherheitsentscheidern weltweit ergab, dass 69 Prozent der Befragten erwarten, durch den Einsatz von Künstlicher Intelligenz (KI) anfallende Cybersicherheits-Aufgaben automatisieren und damit die negativen Folgen des Fachkräftemangels abschwächen zu können. Zuvor hatten bereits 64 Prozent angegeben, im vergangenen Jahr einen Anstieg an Cyberbedrohungen bemerkt zu haben.

Immer komplexere Aufgaben

„Um ein Unternehmen vor Cyberangriffen zu schützen, muss eine Vielzahl von Aufgaben gleichzeitig erfüllt werden“, erklärt Richard Werner, Business Consultant bei Trend Micro. „IT- und Security-Teams müssen nicht nur ständig wachsam und dazu bereit sein, das Unternehmen zu verteidigen. Vielmehr müssen sie auch das Risiko von Cyberbedrohungen gegenüber der Geschäftsleitung glaubhaft kommunizieren, um die benötigten Budgets zu erhalten. Zudem haben sie oftmals die Aufgabe, die passenden Mitarbeiter mit den richtigen Fähigkeiten zu finden und anzustellen. Die Rolle eines CISOs ist so komplex wie noch nie und die Nachfrage nach automatisierten und gehosteten Lösungen war nie grösser.“

Die Umfrage ergab weiterhin, dass 63 Prozent der Befragten planen, KI-Technologie einzusetzen, um ihre Security-Prozesse zu automatisieren. KI kann zwar die Datenverarbeitung effizienter gestalten – dennoch werden auch weiterhin gut ausgebildete Fachkräfte benötigt, um die Ergebnisse zu analysieren und eine umfassende Sicherheitsstrategie zu gewährleisten.

Fachkräftemangel verschärft sich weiter

Laut Gartner ist der Security-Fachkräftemangel ein beständiges Problem, das regelmässig dazu führt, dass Sicherheitstechnologie nicht effektiv ausgerollt wird. Die Analysten erwarten, dass die Anzahl unbesetzter Stellen in der IT-Sicherheit weltweit von 1 Million im Jahr 2018 auf 1,5 Millionen bis Ende 2020 steigen wird. (1)

Gartner beobachtet, dass die meisten Unternehmen Schwierigkeiten dabei haben, ihre offenen Stellen zu besetzen oder Fachkräfte im Unternehmen zu halten. Deshalb würden zunehmend MDR-Dienste (Managed Detection and Response) genutzt, um diese Lücken zu füllen. Damit könnten Unternehmen, trotz eines Mangels an internen Ressourcen, ihre Security-Massnahmen um Kapazitäten zur Erkennung und Abwehr von Angriffen sowie Monitoring rund um die Uhr erweitern.

Trend Micro hilft bei der Lösung dieses Problems, indem das Unternehmen sowohl die benötigte Technologie als auch personelle Ressourcen bereitstellt. Immer mehr Kunden entscheiden sich für Trend Micros MDR- und EDR-Lösungen (Endpoint Detection and Response), um die Visibilität zu erhöhen, Bedrohungen zu priorisieren und den Einsatz von internen Ressourcen zu optimieren.

Fussnoten

(1) Gartner, Top Security and Risk Management Trends, 31. Januar 2019.

Über die Studie

Von Opinium durchgeführte Studie im Auftrag von Trend Micro. Befragt wurden 1.125 IT- und Sicherheitsentscheider im Vereinigten Königreich, den USA, Deutschland, Spanien, Italien, Schweden, Finnland, Frankreich, den Niederlanden, Polen, Belgien und der Tschechischen Republik.

Tesla wird Partner für Hacking-Wettbewerb Pwn2Own 2019

Der diesjährige Hacking-Wettbewerb Pwn2Own wird vom 20. bis 22. März in Vancouver stattfinden und wird von der Zero Day Initiative (ZDI) von Trend Micro organisiert. Die Veranstaltung umfasst in diesem Jahr erstmals eine Automotive-Kategorie.

Die Liste der zu hackenden Geräte wurde in diesem Jahr um ein Tesla Model 3 erweitert. Damit setzt der diesjährige Pwn2Own-Wettbewerb den verstärkten Fokus auf IoT-Geräte (Internet of Things/Internet der Dinge) fort, der bereits den Ende 2018 durchgeführten Pwn2Own Tokyo ausgezeichnet hat. Dort standen erstmals Consumer-IoT-Geräte auf der Liste der anzugreifenden Geräte. Tesla führte als erster Automobilhersteller bereits 2012 Over-the-Air-Updates durch und lieferte seitdem hunderte solcher Updates aus. Die Teilnahme des Unternehmens an dem Wettbewerb stellt einen weiteren Schritt hin zur Ära der vernetzten Geräte dar.

„Seit 2007 ist Pwn2Own zu einem branchenweit führenden Wettbewerb geworden, der die Schwachstellenforschung bei den heute wichtigsten Plattformen fördert“, sagt Udo Schneider, Security Evangelist bei Trend Micro. „Über die Jahre haben wir immer wieder neue Kategorien und Ziele hinzugefügt, um den Fokus der Forscher auf solche Bereiche zu lenken, die für Unternehmen und Verbraucher wichtiger werden. In diesem Jahr arbeiten wir mit einigen der wichtigsten Unternehmen der Technologie-Branche zusammen, um dieses Engagement weiter auszubauen und relevante Schwachstellenforschung zu ermöglichen.“

Anzugreifende Geräte

Die Partnerschaften erweitern die Liste der Ziele des Wettbewerbs um neue Plattformen. Dazu zählen unter anderem Virtualisierungsplattformen, Unternehmensanwendungen und Web-Browser. Die vollständige Liste der anzugreifenden Geräte umfasst die Kategorien Automotive, Virtualisierung, Browser sowie Unternehmensanwendungen und serverseitige Funktionen. Einzelheiten dazu finden Sie hier.

Fazit

Mit der diesjährigen Ausweitung des Pwn2Own kommt Trend Micro dem Ziel näher, durch Partnerschaften mit den wichtigsten Anbietern in diesen Bereichen die vernetzte Welt sicherer zu machen. Das Unternehmen hat dazu vor Kurzem mehrere Initiativen verkündet, unter anderem ein Joint Venture mit Moxa, sowie ein Programm, mit dem IoT-Hersteller die Sicherheit ihrer Geräte während des Entwicklungsprozesses verbessern können.

Achtung bei Pokémon Go – Werbe App schlägt Kapital

Originalbeitrag von: Shawn Xing und Ecular Xu (Mobile Threat Response Engineers)

Das mobile, ortungsbasierende Augmented-Reality-Spiel Pokémon Go erobert die Welt im Sturm. Unter lautem Trommeln am 6. Juli im Markt eingeführt, hat die App bereits mehr Nutzer auf Android-Geräten gefunden als die entsprechende Facebook-App. Apple hat sogar vermeldet, dass es keine andere App gibt, die in der ersten Woche nach ihrem Erscheinen häufiger heruntergeladen wurde. So verwundert es wenig, dass Betrüger und Cyberkriminelle diese hohe Popularität schnell zu Geld machen wollen. So haben sie bösartige Versionen des Spiels und diesbezügliche Hilfe-Apps kreiert, die Bildschirme sperren und Scareware sowie Adware, ja sogar einen Remote-Access-Trojaner auf die Geräte laden.
Weiterlesen