Attack Surface Management Benchmark

Branchen gehen hohes Risiko ein

 

Branchenübergreifend ist zu beobachten, dass Angriffsflächen in der IT wachsen und dynamischer und komplexer werden. Kommt es zu einem Cyberangriff, ist es in der Regel schon zu spät. Daher gilt es, das Thema Attack Surface Management in seiner Cybersicherheitsstrategie einen festen Platz zuzuweisen. Bei richtiger Umsetzung des Konzeptes können präventiv Maßnahmen zur Absicherung von potenziellen Angriffsflächen in der Unternehmensinfrastruktur getroffen werden. Der Aufwand und die Kosten für diese Maßnahmen sind im Vergleich zu einem Sicherheitsvorfall gering.

Um die Brisanz der Thematik und das hohe Risiko für die Wirtschaft praxisnah aufzuzeigen, hat Sweepatic eine Benchmark mit anonymisierten Daten aus seiner Attack Surface Management-Plattform durchgeführt. Dabei wurden die drei Branchen Telekommunikation, Pharma und Gesundheitswesen untersucht, um das Gefahrenpotenzial und die Aufstellung ihrer Online-Präsenzen zu überprüfen und zu vergleichen.

Die Attack Surface Management Benchmark

Sweepatic wählte Stichproben von nationalen und internationalen Unternehmen aus jeder der drei Branchen aus. Pro Unternehmen wurden mehrere primäre Domainnamen in die Sweepatic-Plattform integriert. Die Namen und Daten dieser Unternehmen wurden anonymisiert. Der Screenshot wurde am 28. Januar 2021 aufgenommen.

Insights in die Angriffsflächenanalyse

Die Sweepatic-Plattform führt Sicherheitsüberprüfungen durch, um die Angriffsfläche von Unternehmen über das Internet zu beurteilen. Diese Security Checks beziehen sich zum Beispiel auf:

• Schwachstellen: CVE in der Angriffsfläche
• Verschlüsselung: Probleme oder Erkenntnisse zu SSL-Zertifikaten
• Attack Surface-Hygiene: Wie groß sind die Online-Angriffsflächen? Zum Beispiel: Gibt es viele Statuscode-Fehler auf den Webseiten oder ist viel Schatten-IT im Umlauf?

Die Benchmark-Einblicke werden in den nachfolgend beschriebenen Kategorien zusammengefasst.

Ergebnisse der Attack Surface-Untersuchungen

Das Ergebnis war wenig überraschend: Sweepatic stellte fest, dass es in allen Branchen Probleme gibt. Obwohl das Gesundheitswesen beispielsweise eine kleinere Angriffsfläche hinsichtlich der Online-Assets aufweist, ist das Risiko im Verhältnis zu den anderen beiden Branchen vergleichbar. Darüber hinaus wurden im Gesundheitswesen mehr kritische Probleme mit hoher Priorität pro 100 Assets gefunden. Jede der untersuchten Branchen hat im Bereich der Cyber Resilience noch deutlich Luft nach oben. Denn behalte ich meine Schwachstellen ständig im Blick, sodass ich kurzfristig auf Probleme reagieren kann, erfülle ich eine wesentliche Voraussetzung für ein ganzheitliches Cybersecurity-Konzept.

 

 

Schwachstellen – Online-Services bieten große Angriffsflächen

Bezüglich der gefundenen Schwachstellen ist die wichtigste Erkenntnis, dass es in der Natur des Telekommunikationsgeschäfts liegt, vermehrt Online-Assets zu nutzen. Aber vor allem wurde auch deutlich, dass in dem Telekommunikationsbereich viel mehr Online-Services angeboten werden, die über das Internet verfügbar sind. Hier ist die Herausforderung für die TK-Unternehmen groß, den Überblick zu behalten, da oft Services für den Endkunden schnell verfügbar gemacht werden müssen und veraltete Dienste dann abgeschaltet werden müssen. Daher weist die Telekommunikationsbranche deutlich mehr Schwachstellen in ihrer Angriffsfläche auf.
Bei den kritischen Schwachstellen mit hoher Priorität pro 100 Assets hingegen liegt das Gesundheitswesen vor der Telekommunikationsbranche.

 

Verschlüsselung – Angriffsfläche hängt von Richtlinien ab

In Bezug auf SSL-Zertifikate sind die drei Branchen durchaus vergleichbar. Sweepatic stellte fest, dass das Gesundheitswesen neuere Versionen von TLS-Protokollen nutzt. Das könnte daran liegen, dass ein größerer Teil der Infrastruktur in diesem Bereich ausgelagert wird (z. B. Let‘s Encrypt).
In der Pharmaindustrie haben Produkte (z. B. Medikamente) oft eine eigene Website ohne SSL. TLS-Richtlinien könnten bei dieser Art von Webseiten weniger streng sein, da ein Angriff auf solche Display-Seiten im Vergleich zu den Kerninfrastruktur-Assets weniger Auswirkungen auf das Geschäft hätte. Dennoch bieten sie ein Einfallstor für Cyberkriminelle und sollten daher bei dem Attack Surface Management immer einbezogen werden. Nur so lässt sich langfristig die Cyber Resilience stärken.

 

Attack Surface-Hygiene – Ausmaß der Angriffsflächen nach Branche

Große Angriffsflächen sind schwieriger zu bereinigen und zu reduzieren. Dabei lässt sich feststellen, dass in der Telekommunikationsbranche Statuscode-Fehler und Standardserver pro Webseite am häufigsten vorkommen. Die Pharmaindustrie verfügt über weniger Online-Assets und weist daher eine geringere Angriffsfläche auf. Schließlich bietet der Healthcare-Bereich die kleinsten Angriffsflächen über Online-Assets.

 

Angriffsflächen bietet jede Branche – Was ist zu tun?

Es zeigt sich, dass alle drei Branchen online offenliegende Probleme haben und Cyberkriminellen somit ein offenes Angriffsziel bieten. Dazu gehören kritische Schwachstellen, Verschlüsselungsprobleme und Herausforderungen durch große Angriffsflächen, da gerade bei größeren Unternehmen und Konzernen nicht unbedingt alle Online-Assets bekannt sind.

Darüber hinaus können Cyberkriminelle und Hacker diese Probleme selbst ohne Verwendung disruptiver Scan-Tools finden, da sie über die modernsten Angriffsmethoden und -techniken verfügen. Die Sweepatic-Plattform war in der Lage, die Probleme anhand passiver Aufklärungstechniken zu erkennen, um potenzielle Ziele ausfindig zu machen. Ein weiterer Grund für ein nachhaltiges Attack Surface Management ist demnach, dass es Lösungen gibt, die sich schnell und einfach nutzen lassen – ohne aufwendige Installationsprozesse.

Drei Schritte können Ihnen dabei helfen, Ihr Unternehmen widerstandsfähiger gegen Cyberattacken zu machen:

1. Erfassen Sie Ihre mit dem Internet verbundenen Assets und kontrollierenSie sie regelmäßig,
2. nutzen Sie Automatisierung mit einem geeigneten Attack Surface Management-Tool,
3. halten Sie Ihre IT auf dem neuesten Stand und entfernenSie die Assets, die nicht mehr benötigt werden. Dazu zählt auch, sich einen Überblick über die Schatten-IT zu machen und diese zu reduzieren. Dabei geht es nicht nur um Geräte im Unternehmensnetzwerk, sondern auch um Webseiten, Dienste, Portale und online verfügbare Applikationen. Erfahren Sie mehr über Schritt 3 in unserem Blogartikel zum Thema Attack Surface Reduction.

 

Haben wir Ihr Interesse geweckt? Möchten Sie mehr über Attack Surface Management erfahren oder wissen, wie Ihr Unternehmen im Branchenvergleich abschneidet, dann vereinbaren Sie jetzt eine persönliche Demo mit einem unserer Experten!

 

Melden Sie sich zu unserem Newsletter an, um regelmäßig Informationen zum Thema Cybersicherheit und Attack Surface Management zu erhalten.