19. März 2020

5 Tipps wie Sie Sicherheitslücken in Ihrer IT-Landschaft vermeiden

Angreifer nutzen bei Cyber-Attacken meistens Lücken in Applikationen und Systemen aus. Um die Angriffsfläche zu minimieren, müssen solche Lücken möglichst rasch nach Bekanntwerden geschlossen werden. Dies kann in grossen und teilweise eher trägen IT-Organisationen jedoch äussert aufwändig sein, wenn Schwachstellen in breit genutzten Technologien, wie beispielsweise Java, auftreten und dementsprechend viele Applikationen betreffen.

Nachfolgend zeigen wir Ihnen auf, welche Ansätze Sie verfolgen können, damit das Vulnerability- und Patchmanagement in Ihrer IT-Landschaft erfolgreich ist:


  • Patchen Sie Ihre Systeme regelmässig
    Die meisten Hersteller veröffentlichen neben den viertel- oder halbjährlichen Releases auch zwischendurch regelmässig relevante Sicherheitsupdates. Um diese zeitnah einzuspielen, haben sich monatliche Patch-Fenster in der Praxis bewährt. Planen Sie diese fix in Ihrem Wartungskalender ein und installieren Sie neue Releases zunächst in der Testumgebung. Dadurch erkennen Sie allfällige Seiteneffekte frühzeitig und können diese eliminieren.


  • Entkoppeln Sie Ihre Applikationen
    Bei monatlichen Patch-Fenstern ist es wichtig, diese effizient durchzuführen. Reduzieren Sie Abhängigkeiten und Organisationsaufwand auf ein Minimum und entkoppeln Sie Ihre Applikationen. Dadurch vermeiden Sie, dass Kernsysteme ausfallen, weil eine kleine Nischenapplikation gerade nicht verfügbar ist. Stellen Sie im Rahmen der Integrationsarchitektur sicher, dass Applikationen lose gekoppelt werden und dokumentieren Sie allfällige Abhängigkeiten.


  • Installieren Sie nur das Nötige
    Es mag verlockend sein, möglichst umfangreiche Base-Images zu kreieren, um alle Bedürfnisse der Applikationen zu erfüllen. Je mehr unterschiedliche Technologien sich auf einem System befinden, desto höher ist auch die Chance, dass dieses von einer Sicherheitslücke betroffen ist. Entfernen Sie nicht verwendete Komponenten und installieren Sie nur, was Sie für den Betrieb effektiv brauchen.


  • Scannen Sie Ihre Systeme
    Trotz den vorgeschlagenen präventiven Massnahmen können bekannte Sicherheitslücken auf Ihren Systemen existieren. Mittels automatisierten Vulnerability Scans können Sie diese gezielt finden und aufzeigen. Achten Sie bei der Auswertung der Scan-Resultate darauf, dass Sie die Kritikalität einer Schwachstelle stets im Gesamtkontext betrachten (z. B. unter Berücksichtigung eines zuvor erstellten Bedrohungslagenmodells).


  • Schaffen Sie unternehmensweites Sicherheitsbewusstsein
    Jeder im Unternehmen muss sich bewusst sein, dass Sicherheit kein Thema ist, das lediglich ein paar Spezialisten in der IT betrifft, sondern vielmehr jeden Einzelnen: Vom Entwickler, der bei der Auswahl der verwendeten Libraries sicherheitsbewusst vorgeht, über den Application Owner im Fachbereich, der die Sicherheits-Updates seiner Applikation verantwortungsbewusst wahrnimmt, bis zum Management, das sich verstärkt mit dieser Disziplin auseinandersetzt und Sicherheit nicht nur als Kostenfaktor, sondern vielmehr als lohnende Investition betrachtet.


Je nach Maturität Ihres Unternehmens bedeuten einzelne Punkte auswirkungsreiche Veränderungen, die eine sorgfältige Planung und schrittweise Umsetzung erfordern.


Wir unterstützen Sie gerne bei Fragen zu den genannten Themenfelder und helfen Ihnen bei der Priorisierung und Erarbeitung einer Roadmap.