Um IT-Systeme abzusichern, gibt es zahlreiche Security-Maßnahmen. Eine wirkungsvolle Maßnahme findet man sehr selten: Systemhärtung. Deshalb sollten Unternehmen auch darauf setzen, um einen nachhaltigen “Rundum-Schutz” zu erhalten.
Cyber-Sicherheit ohne Härtung? Undenkbar!
Von Anti-Malware-Suiten über MDR-Systeme bis hin zu SIEM-Solutions: Im Bereich der IT-Security (neudeutsch auch “Cyber-Sicherheit” genannt) gibt es zahlreiche Maßnahmen und Tools auf technischer und organisatorischer Ebene. Die meisten haben ihre Daseinsberechtigung und bringen die Informationssicherheit in Unternehmen auf ein höheres Level. Der sogenannte Maturitätsgrad steigt.
Doch dabei gibt es ein Problem: Fast alle Lösungen fokussieren sich auf die Bereiche “Detection” und/oder “Response”. Um Systeme aber umfassend zu schützen, muss man auch im Bereich “Protection” aktiv sein. Nur so sind beispielsweise die Vorgaben des NIST Cybersecurity Frameworks und aktuelle Normen wie die der ISO 27001:2022 erfüllbar.
Die folgende Tabelle verdeutlicht, welchen Funktionen den etablierten Technologien zuzuordnen sind:
Wie gelingt es, IT-Systeme richtig zu schützen? Mit einer sicheren Konfiguration, fachsprachlich Systemhärtung bzw. System Hardening genannt!
Sichere Konfiguration muss sein!
Was ist Systemhärtung, wie funktioniert das eigentlich? Wie wirkt sie? Und weiteren positiven Aspekte bringt die technische Maßnahme mit sich?
Das beleuchten wir in der ersten Folge des Skillbyte Video-Podcasts.
Der Skillbyte Video-Podcast ist eine Weiterentwicklung des Skillbyte Audio-Podcasts. Der Moderator in der Premieren-Folge war Masiar Ighani (Geschäftsführer der Skillbyte GmbH), sein Gast Florian Bröder (Geschäftsführer der FB Pro GmbH).
Warum ein Mindset Change dringend notwendig ist
Seit Jahren tobt im Internet ein “Cyberwar”. Dieser nahm mit dem Ausbruch des Ukraine-Kriegs deutlich zu. Trotzdem wird das Thema “Systemhärtung” in deutschen Firmen, Organisationen und Behörden noch immer viel zu wenig angewendet. Die sogenannte Basis-Hygiene ist ein wichtiger Bestandteil einer umfassenden Verteidigungsstrategie.
So fand kürzlich XM Cyber, das zur Schwarz-Gruppe (Kaufland, Lidl, Stackit) gehört, in einer umfassenden Analyse heraus, dass Konzerne im Durchschnitt 11.000 Sicherheitslücken haben. In manchen Fällen entdeckten die Security-Experten sogar 255.000 Schwachstellen und mehr!
Warum ist die Situation so desaströs? In vielen Fällen gibt es keine sichere Konfiguration (sprich: Systemhärtung) und massiv veraltete Applikationen. Unter anderem setzen Städte, Händler und börsennotierten Unternehmen auf völlig veraltete TLS/SSL-Verschlüsselungsmethoden. Flughäfen bilden in dieser Untersuchung eine löbliche Ausnahme.
Das bedeutet: Alleine aufgrund der Infrastruktur-Altlasten stehen Tür und Tor bildlich gesprochen offen – Hacker und andere Cybergangster freuen sich riesig darüber. Sie können recht leicht über XSS (Cross-Site-Scripting), SQLI (SQL-Injection) oder mit anderen, beliebten Angriffsmethoden verwundbare IT-Systeme infiltrieren, um Schadcode einzuschleusen oder Daten zu stehlen.
Dieses Risiko, das auch das Überleben eines Unternehmens gefährden kann, lässt sich mit einer professionellen Härtung zur Reduzierung der Angriffsfläche verringern. Hierbei werden unter anderem Admin-Rechte beschnitten, nicht benötigte Dienste deaktiviert und abgeschaltet und erweiterte Logging-Funktionen aktiviert.
Leider ist das Thema “Systemhärtung” bei den meisten Unternehmen und deren IT-Abteilungen noch nicht angekommen. Damit das geschieht, muss es einen Mindset Change geben. “Zuerst alles abschließen, dann gewünschte Funktionen freischalten – wie bei der allseits bekannten Firewall”, so sollte die Denkweise auch auf Servern und Client-Systemen sein, meint Florian Bröder im Podcast-Gespräch. Anders lassen sich Konzepte oder Sicherheitsmodelle wie Zero Trust nicht richtig umsetzen. Denn: Wie soll ein System validiert werden, das nicht sicher konfiguriert ist?
Wie lässt sich Systemhärtung in großen Unternehmen einführen?
Das Härten eines einzelnen Windows 10-Computers kann schon ziemlich herausfordernd und zeitraubend sein, da es Hunderte Einstellungen zu überprüfen und anzupassen gibt. Eine deutliche Erleichterung bringt die Umsetzung von etablierten Standards. So gibt das BSI Empfehlungen zur Windows-Härtung heraus, ebenso Security-Organisationen wie DISA, CIS und ACSC.
Diese Konfigurationen auf eine IT-Systemlandschaft mit Dutzenden oder gar Hunderten Systemen anzuwenden und dauerhaft zu überwachen, ist mit manueller Arbeitskraft ein Ding der Unmöglichkeit. Hier hilft nur die Automatisierung über ein Hardening-Tool wie dem Enforce Adminstrator. Dieser erschafft sinnbildlich ein “selbstheilendes System”.
Haben Sie Fragen zum Thema Systemhärtung? Benötigen Sie Unterstützung bei der Erarbeitung einer nachhaltigen Hardening-Strategie? Oder möchten Sie eine Lösung wie den Enforce Administrator in Ihre IT-Prozesse implementieren? Kontaktieren Sie uns!
Bilder: Freepik, XM Cyber, FB Pro