safe remediation macht dringende Korrekturen zu verifizierten Änderungen
safe remediation ist ein kontrollierter Prozess, bei dem eine Sicherheitsreaktion getestet, die genehmigte Änderung angewendet und anschließend geprüft wird, ob sie funktioniert hat. Der Prozess befasst sich mit einem häufigen betrieblichen Problem: Für eine kritische Warnung kann eine bekannte Lösung vorliegen, doch das Ticket bleibt möglicherweise in der Warteschlange, weil die für die Verfügbarkeit der Anwendungen verantwortlichen Teams Nachweise benötigen, dass die Änderung den Geschäftsbetrieb nicht beeinträchtigt.
Diese Vorsicht spiegelt reale Risiken in Produktionsumgebungen wider. Ein intrusion prevention system (IPS), das den Netzwerkverkehr untersucht und mutmaßliche Angriffe stoppen kann, könnte auch legitime Besucher blockieren. Eine Konfigurationsänderung könnte einen Dienst unterbrechen, während eine neue endpoint policy eine wichtige Anwendung beeinträchtigen könnte. Ein endpoint ist ein Benutzergerät wie ein Desktopcomputer oder Laptop. safe remediation soll Sicherheits-, Infrastruktur- und Anwendungsteams genügend Nachweise liefern, damit sie die Entscheidung gemeinsam treffen können, anstatt sich auf eine unbelegte Empfehlung zu verlassen.
Das Problem liegt nicht immer in einem Mangel an Sicherheitstechnologie. Viele Organisationen verfügen über Schutzmaßnahmen, die inaktiv bleiben oder nur im Detect mode arbeiten, in dem verdächtige Aktivitäten aufgezeichnet, aber nicht gestoppt werden. Teams können die Durchsetzung wegen false positives verzögern, also wegen harmloser Aktivitäten, die fälschlicherweise als bösartig eingestuft werden, sowie aufgrund von Bedenken hinsichtlich der Inspektionskapazität und Geschäftskontinuität. Im Laufe der Zeit verändern sich Anwendungen und Verkehrsmuster, Ausnahmen häufen sich und configuration drift entsteht, was bedeutet, dass sich Einstellungen schrittweise vom beabsichtigten Zustand der Organisation entfernen.
Ein Whitepaper von Check Point zu safe remediation berichtet, dass 47 % der untersuchten Organisationen weniger als 50 % ihrer verfügbaren Schutzmaßnahmen aktiviert hatten. Das bedeutet nicht, dass jede inaktive Kontrolle auf einmal aktiviert werden sollte. Jede Änderung kann betriebliche Risiken verursachen, und die Teams müssen feststellen, welche Kontrolle eine bestimmte Gefährdung abdeckt und wie sie sich in der aktuellen Produktionsumgebung verhalten wird.
Das Framework unterteilt den Prozess in vier Phasen: Observe, Prove, Act und Confirm. Die Beobachtung stützt sich auf Informationen, die Sicherheits- und IT-Systeme bereits erzeugen, darunter Erkenntnisse zu Schwachstellen, IPS-Datenverkehr, Geräteauslastung, endpoint policies und Konfigurationszustände. Zusammen zeigen diese Aufzeichnungen die technischen Bedingungen rund um eine vorgeschlagene Änderung, bevor jemand ihre Durchsetzung genehmigt.
Der Nachweis muss zur jeweils geänderten Technologie passen. Eine IPS-Schutzmaßnahme kann realen Produktionsverkehr im Detect mode überwachen, damit Teams mögliche false positives und Auswirkungen auf die Leistung beurteilen können, bevor sie in den Prevent mode versetzt wird, in dem übereinstimmender Datenverkehr blockiert wird. operating system hardening, also die Änderung von Einstellungen zur Verringerung der Angriffsmöglichkeiten, kann mit einer ausgewählten Testgruppe beginnen. Jeder host, also ein einzelner Computer oder ein einzelnes System, kann nach der Änderung erneut geprüft werden. endpoint-Einstellungen können außerdem anhand der hardening baseline des Anbieters bewertet werden, einer empfohlenen Zusammenstellung sichererer Konfigurationsoptionen.
Diese Nachweise geben jedem Team eine klar definierte Rolle. Sicherheitsmitarbeiter können erläutern, welchen Schutz sie von der vorgeschlagenen Maßnahme erwarten, während die Verantwortlichen für Infrastruktur und Anwendungen die wahrscheinlichen Auswirkungen auf die von ihnen betriebenen Systeme bewerten. Prüfungen und Genehmigungen können überall dort in den Prozess eingefügt werden, wo die Organisation sie verlangt. Dadurch bleibt die Entscheidung an Nachweise aus der jeweiligen Umgebung gebunden, anstatt eine allgemeine Empfehlung automatisch als sicher zu behandeln.
Patching bleibt notwendig, weil es die zugrunde liegende Schwachstelle behebt. Tests, Abstimmungen und Zeitpläne für die Bereitstellung können jedoch verzögern, dass ein patch die Produktionsumgebung erreicht. In diesem Zeitraum kann eine vorhandene IPS signature, also ein Muster zur Erkennung eines bestimmten bösartigen Datenverkehrs, oder ein virtual patch dabei helfen, den betreffenden Angriffsweg zu blockieren. Ein virtual patch ist eine Sicherheitsregel, die einen exploit abfängt, ohne die anfällige Software selbst zu verändern.
Die Verknüpfung von Schwachstelleninformationen mit der vorhandenen Abdeckung durch Kontrollen kann zeigen, ob eine geeignete Schutzmaßnahme verfügbar ist und ob sie inaktiv ist, im Detect mode überwacht oder bereits durchgesetzt wird. Eine auf ihre Aktivierung wartende Kontrolle kann durch safe remediation getestet und aktiviert werden. Wenn kein compensating control vorhanden ist, also eine vorübergehende Schutzmaßnahme, die eingesetzt wird, solange das Grundproblem fortbesteht, kann die Situation dringendes Patching oder eine andere Reaktion erfordern. Aufzeichnungen sollten vorübergehenden Schutz klar von einer dauerhaften Reparatur unterscheiden, da die ursprüngliche Schwachstelle offen bleibt, bis sie behoben wurde.
Nach der Bewertung kann eine Organisation eine Genehmigung für die Maßnahme und ihren Umfang verlangen oder die Ausführung über einen konfigurierten automatisierten workflow zulassen. Die Änderung wird dann über das System übermittelt, das die betreffende Technologie bereits verwaltet. IPS-Aktualisierungen können über den security management server laufen, operating system hardening kann die bestehende patch management infrastructure nutzen und unterstützte endpoint-Änderungen können über die application programming interface (API) des Anbieters vorgenommen werden, eine festgelegte Methode, über die Softwaresysteme Anweisungen austauschen.
Die Bestätigung ist die letzte Phase. Eine abgeschlossene policy installation kann zeigen, dass eine IPS-Schutzmaßnahme in die Durchsetzung übergegangen ist. host-Prüfungen können bestätigen, dass eine hardening-Änderung wirksam wurde. Ausführungsprotokolle können Maßnahmen identifizieren, die fehlgeschlagen sind oder noch ausstehen, einschließlich des verantwortlichen Benutzers, des Zeitpunkts der Maßnahme und der zugehörigen Gefährdung. Später aufgezeichnete Sicherheitsereignisse können außerdem zeigen, ob die neu durchgesetzte Kontrolle Aktivitäten im Zusammenhang mit dieser Gefährdung gestoppt hat.
In den für das Whitepaper analysierten Umgebungen wurde für die Behebungsmaßnahmen eine Erfolgsquote von 99,5 % gemeldet. Innerhalb eines Monats blockierten durch remediation angewendete Schutzmaßnahmen anschließend 703,56 Millionen Angriffe, darunter 21 Millionen innerhalb von 24 Stunden nach der remediation. Check Point stellt diese Zahlen als Ergebnisse aus den untersuchten Umgebungen dar. Sie zeigen, dass die Kontrollen nicht lediglich konfiguriert waren, sondern später tatsächlich relevante Aktivitäten blockierten und dies aufzeichneten.
safe remediation erweitert somit das exposure management, also den Prozess zur Ermittlung und Priorisierung von Schwachstellen, um kontrollierte Änderungen in der Produktionsumgebung. Die Priorisierung bestimmt, wo die Arbeit beginnen sollte, während Beobachtung, Validierung, Ausführung und Bestätigung festhalten, was geändert wurde und ob der beabsichtigte Schutz aktiv geworden ist. Laut Check Point verbindet Check Point Exposure Management diese Phasen über Sicherheitstechnologien, die in einer Organisation bereits eingesetzt werden.
Unternehmen, die Unterstützung bei der umfassenderen betrieblichen Herausforderung benötigen, sichere Infrastrukturänderungen zu koordinieren, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen. Unabhängig vom verwendeten Unterstützungsmodell bleibt die wesentliche Disziplin dieselbe: Vorübergehende Kontrollen müssen deutlich als vorübergehend erkennbar bleiben, dauerhafte Korrekturen müssen weiterhin abgeschlossen werden und jede genehmigte Maßnahme sollte mit einem Nachweis enden, dass sie tatsächlich wirksam wurde.