Dringend benötigte Handreichung für Internetsicherheitverantwortliche
Je mehr wir uns auf IT-Infrastrukturen verlassen, desto gruseliger wird das Szenario eines Cyberangriffs. Natürlich sind Energieverteilungssysteme und andere kritische Infrastrukturen vor Angriffen aus dem Internet geschützt. Da jedoch die Anzahl derartiger Angriffe steigt und IKT-Architekturen immer mehr zu einem spinnennetzähnlichen System aus lauter Systemen werden, wird es für Cybersicherheitsverantwortliche fast zur Unmöglichkeit, einen Überblick über alle Schwachstellen und deren Abhängigkeiten zu haben. Aus diesem Kontext heraus wurde das CYBERWIZ-Projekt geboren, wie Frank Schlottke, Projektkoordinator und Geschäftsführer der Applied Security GmbH, erläutert: „Ein echter Experte für Internetsicherheit zu sein, ist zunehmend ein Ding der Unmöglichkeit, da Unternehmen große Architekturen mit Systemen aus Systemen verwalten. Die tatsächlichen Schwachstellen liegen in den Details verborgen. Um zu verstehen, wie sich derartige Schwachstellen in diesen komplizierten Systems of Systems verhalten, ist es von zentraler Bedeutung, die richtigen Entscheidungen zu treffen. Und die Sicherheitsexperten von Unternehmen stecken üblicherweise bis zum Hals in Arbeit, was die Sache nicht einfacher macht.“ Um ihnen eine Handreichung zu verschaffen, entwickelte man bei CYBERWIZ securiCAD, ein Instrument, das einen Überblick über Zusammenhänge und Abhängigkeiten zwischen Systemen verschafft, das auf zu thematisierende Bereiche und zu tätigende Investitionen hinweist und hilft, Cybersicherheit zu verwalten, während Architekturen aufgebaut oder modifiziert werden. SecuriCAD ist im Grunde ein Werkzeug zur Modellierung und zum Risikomanagement von Bedrohungen aus dem Internet. Es soll sich um wichtige Aufgaben wie etwa die Modellierung der IT-Infrastruktur, die Simulierung von Risikoanwendungsfällen und die Entscheidungsfindung auf Basis von Ergebnisberichten kümmern, und das alles automatisch. Dabei geht es darum, die Unternehmensorganisation mit Hilfe von automatisierten Expertenfunktionen und proaktivem Risikomanagement zu verbessern. Konkret bietet das System eine „Schwachstellen-Heatmap“ für jede Systemkonfiguration, die einen nutzerfreundlichen und visuellen Vergleich der verschiedenen verfügbaren Alternativen gestattet. Es erstellt eine Liste gefährdeter Einrichtungen, teilt den Internetsicherheitsexperten mit, wie wahrscheinlich es ist, diese angegriffen werden, listet die Arten von Angriffen auf, die stattfinden könnten, und empfiehlt Gegenmaßnahmen, die genau das verhindern könnten. „Das System wird ganz automatisch Cyberangriffe simulieren, alle denkbaren Angriffswege aufzeigen sowie die Wahrscheinlichkeit und die Zeit berechnen, die ein erfolgreicher Internetangriff brauchen würde. Sobald die empfohlenen Gegenmaßnahmen umgesetzt worden sind, werden die Situationen vorher und nachher verglichen und die Verbesserungen werden im Zeitverlauf nachverfolgt“, erklärt Schlottke. SecuriCAD wurde unter realistischen Bedingungen getestet und es bestätigte sich, dass es genau wie erwartet funktioniert. „Wir hatten sehr gute Resultate und Rückmeldungen von unserem Pilotkunden, die ziemlich erstaunt waren, wie schnell wir in deren komplexer Umgebung Ergebnisse vorwiesen konnten“, erklärt Schlottke. „Wir konnten zusätzliche Risiken und Lücken in der Sicherheitsarchitektur ermitteln und das Feedback dazu nutzen, um die Benutzeroberfläche und das ‘Look-and-Feel’ des Werkzeugs so zu verbessern, dass es nicht nur den Anforderungen der Techniker, sondern auch der Mitarbeiter aus dem Geschäftsbereich entspricht.“ Anders als bei den dem neuesten Stand der Technik entsprechenden Methoden wie beispielsweise Penetrationstests lässt securiCAD die IT-Infrastruktur des Kunden während Analyse- und Auswertungsvorgängen völlig unberührt, so dass Geschäftsprozeduren störungs- und unterbrechungsfrei ablaufen können. „Das spart wirklich viel Zeit und Arbeitskraft, so dass wir uns dafür entschieden haben, dem Nutzer proaktive Tests zu ermöglichen, welche die Auswirkungen möglicher Veränderungen in der IT-Infrastruktur vorhersagen werden. Auf diese Weise können Sie Ihr eingespartes Budget für IT-Sicherheit in Bereiche investieren, die Ihnen den größten Nutzen bringen“, merkt Schlottke abschließend an.
Schlüsselbegriffe
CYBERWIZ, securiCAD, kritische Infrastruktur, Internetsicherheit, Cybersicherheit, Internetangriff, Cyberangriff, Sicherheitsbedrohung, Schwachstelle, IT