Ransomware-Risiko beschleunigt die Notwendigkeit von Patches

Cyberkriminelle sind schnell darin, Schwachstellen in Unternehmensnetzwerken zu finden und auszunutzen und dann Lösegeld zu verlangen. Ein Trick besteht darin, die ständige Veröffentlichung von Software-Patches durch IT-Plattformen und -Anbieter zu verfolgen - und sich dann einzuschleichen, bevor die Unternehmen die Patches anwenden.

"Wenn Bedrohungsakteure in der Lage sind, innerhalb von Stunden oder Tagen in die Offensive zu gehen, werden Unternehmen, die Tage, Wochen oder Monate brauchen, um sich zu verteidigen, in der Regel ausmanövriert", heißt es in einem neuen Bericht von Osterman Research , der von Mimecast gesponsert wird. Nur 51 % der befragten Sicherheitsexperten gaben an, dass sie effektiv dafür sorgen, dass alle Systeme und Endpunkte schnell nach Veröffentlichung von Patches gepatcht werden. Dieses Ergebnis wurde aufgeschlüsselt:

• Sechsunddreißig Prozent gaben an, dass sie Systeme und Anwendungen innerhalb von Stunden nach Bekanntwerden neuer Schwachstellen patchen können.
• Vierundvierzig Prozent gaben an, dass sie Tage brauchen.
• Die restlichen 20 % benötigen zwischen einer Woche und mehreren Monaten.

Unabhängig davon hat ein Bericht des Ponemon Institute herausgefunden, dass 42 % der Unternehmen, die von einer Datenschutzverletzung betroffen waren, die Schuld dafür tragen, dass sie es versäumt haben, ein Patch für eine bekannte Sicherheitslücke zu installieren. [1]

Das Problem mit dem Patching

Bei einem Patch handelt es sich um eine neue Version einer bestehenden Software, die Fehler enthält, die als Schwachstellen bezeichnet werden, wenn sie bösartige Aktivitäten ermöglichen. Einige Schwachstellen können bereits seit Jahren bestehen, bevor sie entdeckt und gepatcht wurden, während andere in neuen Softwareversionen eingeführt werden können. Angreifer können sich beispielsweise über eine Phishing-E-Mail Zugang zu einem Netzwerk verschaffen, ihre administrativen Rechte ausweiten und auf nicht gepatchte Anlagen zugreifen, um Programme wie Ransomware zu installieren. [2]

In der Osterman-Studie rangiert das Patchen nach der Multifaktor-Authentifizierung an zweiter Stelle als wirksames Mittel gegen Ransomware, da es die Zahl der ungeschützten Bereiche reduziert und die Wahrscheinlichkeit, einem Angriff zum Opfer zu fallen, verringert. Dennoch gaben 52 % der befragten Fachleute an, dass sie befürchten, sich Ransomware auszusetzen, wenn sie ihre Systeme und Anwendungen nicht ständig mit Patches versehen.

Patches sind ein immerwährendes Problem. "Laut dem 2021 Data Breach Investigations Report von Verizon war die Patching-Leistung in Unternehmen in diesem Jahr nicht überragend. "Zugegeben, sie war noch nie großartig." [3]

Ponemon schätzt, dass es 28 Tage dauern kann, bis ein Patch zur Verfügung steht, wenn eine kritische oder risikoreiche Schwachstelle vor Ort entdeckt wird, und 19 Tage, wenn sie in einer zentralisierten Cloud-Umgebung entdeckt wird.

Warum Sicherheitslücken ungepatched bleiben

Vielen Unternehmen fehlt es an der notwendigen Technologie, den Mitarbeitern und den Prozessen, um mit der nicht enden wollenden Flut von Patches von IT-Plattformen und -Anbietern Schritt zu halten. Selbst dort, wo Ressourcen vorhanden sind, ist ein zeitnahes Patching nur schwer zu erreichen", so Ponemon.

Auf menschlicher Ebene sind "nur wenige Aufgaben im Sicherheitsbereich mühsamer als die Verwaltung von Schwachstellen", so Cisco in einer Umfrage unter Sicherheitsexperten, die das Patchen als eine der am wenigsten gut umgesetzten Praktiken in diesem Bereich bezeichneten. [4] Zu den Gründen für die Verzögerung oder den Verzicht auf Patches gehören:

• Zeitverschwendung bei der Verfolgung und Beseitigung von Fehlalarmen.
• Keine Toleranz für die Ausfallzeiten, die für das Patching erforderlich sind.
• Kein gemeinsamer Überblick über Anwendungen und Ressourcen für Sicherheits- und IT-Teams.
• Manuelle Prozesse, einschließlich E-Mails und Tabellenkalkulationen, die Probleme durch die Maschen schlüpfen lassen.
• Mangelnde Koordination zwischen den Sicherheits- und IT-Teams.
• Unfähigkeit, die Abteilungen zur Verantwortung zu ziehen.
• Furcht vor unbeabsichtigten Auswirkungen von Aktualisierungen auf Systeme und Anwendungen.
• Kleinere Unternehmen bezweifeln, dass Angreifer sie ins Visier nehmen würden.
• Alte, nicht unterstützte Software und Systeme, für die keine Patches mehr veröffentlicht werden.

Der Preis des verzögerten Patchings

Es gibt einen kontinuierlichen Strom von Sicherheitslücken, die Unternehmen für Ransomware anfällig machen. Der Microsoft Vulnerabilities Report 2021 schätzt, dass im Jahr 2020 1.268 dieser Schwachstellen gepatcht wurden, 48 % mehr als 2019. [5] Das ist nur eine einzige Technologieplattform, auch wenn es diejenige ist, die am häufigsten für die Unternehmensproduktivität genutzt wird. Eine Schlagzeile aus dem Jahr 2020 verkündete eine "Patch-A-Palooza" mit 560 Sicherheitslücken von sechs Unternehmenssoftwareherstellern an einem einzigen Tag. [6] Die Menge an Patches kann Sicherheitsteams in der Tat überfordern.

Doch wenn Schwachstellen nicht behoben werden, kann dies schwerwiegende Folgen haben. Der Microsoft-Bericht zitiert den berühmten WannaCry-Ransomware-Angriff von 2017 , in dem es heißt, dass Microsoft zwar Patches zur Schließung der Sicherheitslücke veröffentlichte, ein Großteil der Verbreitung des Angriffs jedoch von Unternehmen ausging, die die Patches nicht angewendet hatten. Der "Jahresrückblick" des Verizon-Berichts über größere Sicherheitsverletzungen weltweit im vergangenen Jahr ist voll von Beispielen ungepatchter Systeme.

Und je länger ein Patch nicht behoben wird, so Osterman, desto mehr steigen die Risiken und Folgen von Ransomware in folgender Richtung:

• Erstinfektion und Gefährdung.
• Seitliche Bewegung und Ausdauer.
• Störung des Betriebsablaufs.
• Finanzieller Kompromiss.
• Einstellung des Geschäftsbetriebs.

Zu den weiteren Risiken einer verzögerten Aktualisierung gehören Compliance- und Versicherungsfragen. So könnte ein Unternehmen, das seine Software nicht auf dem neuesten Stand hält, gemäß der europäischen Datenschutzgrundverordnung (GDPR) mit Geldstrafen belegt werden, wenn es bei einem Datenschutzverstoß personenbezogene Daten preisgibt. [7] Und Cyber-Versicherungsanbieter decken möglicherweise keine Schäden ab, wenn ein Unternehmen mit dem Patchen in Verzug geraten ist.

Verbesserung der Patch-Verwaltung

Laut Ponemon verzögert die Verwendung manueller Prozesse das Patchen, da die Mitarbeiter jeden Schritt zuweisen und durchsetzen müssen. Automatisierung ist zunehmend in Form von Patch-Management- und Schwachstellen-Management-Tools verfügbar.

Tools für die Patch-Verwaltung können Schwachstellen nach Prioritäten ordnen und Aufgaben automatisch zuweisen. Anspruchsvollere Tools zur Verwaltung von Schwachstellen konsultieren auch Bedrohungsdaten und führen regelmäßige Scans von Systemen, Anwendungen und Netzwerken durch. Sogar die US-Behörde für Cybersicherheit & Infrastructure Security Agency (CISA) riet Unternehmen kürzlich, "die Verwendung eines zentralisierten Patch-Management-Systems in Betracht zu ziehen." [8] Darüber hinaus lagern einige Unternehmen einige oder alle dieser Anforderungen an einen Serviceanbieter aus.

Die gute Nachricht ist, dass die Budgets für die Bekämpfung von Ransomware steigen. Osterman sagt, dass ein Teil dieser Gelder für die Verbesserung der Fähigkeiten für ein schnelles Patching verwendet werden sollte.

Die Quintessenz

Patches gehören zu den grundlegenden Sicherheitsvorkehrungen im Internet, aber die Unternehmen machen diese Aufgabe oft nicht gut genug. Eine neue Studie unterstreicht die Bedeutung des Patch-Managements bei der Bekämpfung von Ransomware und empfiehlt, mehr Aufwand in das Patch-Management zu investieren.

[1] " Der Stand des Schwachstellenmanagements in der Cloud und vor Ort ," Ponemon Institute

[2] " Sicherheits-Patching - Der Stoff, aus dem Albträume von Systemadministratoren sind ," Secure Team

[3] " 2021 Data Breach Investigations Report ," Verizon

[4] " The 2021 Security Outcomes Study ," Cisco

[5] " Microsoft Vulnerabilities Report 2021 ," BeyondTrust

[6] " Patch-a-Palooza: Mehr als 560 Schwachstellen an einem einzigen Tag behoben ," Dark Reading

[7] " Patch Management und GDPR ," LP Networks

[8] " DarkSide Ransomware: Best Practices for Preventing Business Disruption from Ransomware Attacks ," U.S. Cybersecurity & Infrastructure Security Agency