CDM-bezogene Tipps zur besseren Überwachung und Bewältigung von Cyberbedrohungen

Ryan Johnson

Im November 2018 verabschiedete der Kongress ein Gesetz zur Gründung der Cybersecurity and Infrastructure Security Agency (CISA). Als Teil des Heimatschutzministeriums stellte die CISA eine Reaktion der Bundesregierung auf die wachsende Bedrohung durch Cyberangriffe dar – eine Bedrohung, die nach dem massiven Datendiebstahl im Jahr 2015 beim Office of Personnel Management (OPM), bei dem die personenbezogenen Daten von 22 Millionen Bundesbediensteten kompromittiert wurden, ins Rampenlicht rückte.

Eine zentrale Voraussetzung für eine verbesserte Cybersicherheit auf Bundesebene ist Transparenz. Diese wird durch das CISA-Programm „Continuous Diagnostics and Mitigation“ (CDM) verbessert. Im vergangenen Jahr erhöhte der Kongress die Mittel für CDM um 53,5 Millionen US-Dollar, sodass insgesamt 213,5 Millionen US-Dollar für das Programm bereitgestellt wurden.

Zu den Zielen des Programms gehören die Verringerung der Angriffsfläche von Behörden, eine bessere Transparenz ihrer Cybersicherheitslage, die Verbesserung ihrer Reaktionsfähigkeit und die Optimierung der Berichterstattung. Wenn diese Mittel tatsächlich in Technologieinvestitionen fließen, müssen die Behörden erkennen, dass kein einzelner Anbieter das gesamte CDM-Puzzle lösen kann.

Vor diesem Hintergrund wollen wir einige Technologien näher betrachten, die dazu beitragen können, Transparenz zu schaffen, und untersuchen, wie sie miteinander zusammenhängen.

SSL-Transparenz

Beginnen wir mit etwas scheinbar Offensichtlichem: Bundesbehörden müssen den ein- und ausgehenden Datenverkehr in ihren Netzwerken einsehen können, um sicherzustellen, dass er nicht schädlich ist. Viele Sicherheitsgeräte können zwar den Datenverkehr analysieren und Bedrohungen erkennen, bei verschlüsseltem Datenverkehr ist dies jedoch nicht möglich – und 90 % der Internetdaten sind verschlüsselt.

Dies stellt eine Art Zwickmühle dar. Verschlüsselung kann zwar den Datenschutz gewährleisten, aber auch Schadsoftware verschleiern. Dieses Dilemma lässt sich mithilfe von SSL-Visibility-Produkten lösen, die den Datenverkehr entschlüsseln und erneut verschlüsseln, bevor er anhand von Kontextinformationen wie IP-Reputation, Port/Protokoll und URL-Kategorisierung an Sicherheitstools weitergeleitet wird.

SSL-Visibility-Tools ermöglichen es Sicherheitsgeräten, das zu tun, was sie am besten können – nämlich den Datenverkehr tatsächlich zu analysieren –, anstatt wertvolle Ressourcen für den aufwendigen Entschlüsselungs- und Neuverschlüsselungsprozess zu verschwenden. Ohne diesen entscheidenden Schritt ist eine vollständige Transparenz hinsichtlich Cyberbedrohungen nicht möglich.

Verbesserung der Überwachung

Wenn Behörden den ein- und ausgehenden Datenverkehr in ihrem Netzwerk nicht entschlüsseln können, können sie ihn auch nicht ordnungsgemäß protokollieren – und Protokollierung und Berichterstattung sind zentrale Bestandteile der CDM-Anforderungen. Nur durch eine ordnungsgemäße Entschlüsselung des Datenverkehrs können Behörden diesen anschließend an eine zentrale Stelle übermitteln, wo er protokolliert, überwacht, gemeldet und weiter analysiert werden kann.

So können Behörden beispielsweise bei ordnungsgemäßer Entschlüsselung und Protokollierung Verhaltensanalysen, künstliche Intelligenz und maschinelles Lernen einsetzen, um den Datenverkehr auf Verhaltensmuster zu untersuchen. Derzeit nutzen 88 Prozent der zivilen Bundesbehörden dafür ein Tool namens Einstein.

Doch auch hier müssen alle Puzzleteile zusammenpassen. Ohne die zuvor erwähnte Entschlüsselung sind erweiterte Analysen nicht möglich.

Schutz von Vermögenswerten

SSL Visibility entschlüsselt verschlüsselte Datenströme, damit Sicherheitsgeräte diese protokollieren und die betreffenden Ressourcen schützen können. Es gibt jedoch viele verschiedene Schutzansätze. Zunächst müssen sich Behörden vor den zehn größten OWASP-Bedrohungen und neu auftretenden Zero-Day-Angriffen schützen. Eine weitere Strategie zur Risikominderung besteht darin, den Datenverkehr zu protokollieren und zu überwachen, damit er analysiert werden kann. Dies verdeutlicht einmal mehr, wie eng die verschiedenen Komponenten der Cybersicherheit miteinander verknüpft sind.

Ebenso können und müssen viele Plattformen zum Schutz von Anwendungen mit mehreren Diensten auch vor schädlichem Bot-Traffic schützen. Jede Branche ist automatisierten Angriffen wie Kontoübernahmen, der Erkundung von Schwachstellen oder Denial-of-Service-Angriffen ausgesetzt, und die US-Bundesregierung bildet da keine Ausnahme.

Alles zusammenführen

Das CDM-Programm der CISA stellt Behörden vor eine komplexe, aber wichtige Herausforderung, die sich nicht mit einem einzigen Anbieter bewältigen lässt. Der Schutz von Ressourcen erfordert mehrere Lösungen, da sich Behörden gegen eine wachsende Zahl von Angriffen verteidigen müssen. Dieser Schutz ist jedoch nur möglich, wenn auch weitere Anforderungen erfüllt werden, etwa die Entschlüsselung und Protokollierung des Datenverkehrs.

Letztlich können Behörden nicht schützen, was sie nicht sehen können. Auch wenn dies die treibende Kraft hinter dem CDM-Programm ist, müssen Behörden sicherstellen, dass sie über die richtigen Tools verfügen, um die nötige Transparenz zu gewährleisten. Das Entschlüsseln des Datenverkehrs, seine Übermittlung an ein zentrales Protokollierungssystem, die Durchführung von Verhaltensanalysen und die Einrichtung eines angemessenen Schutzes für IT-Ressourcen bilden einen guten Ausgangspunkt.

Von Ryan Johnson, Leiter Federal Solution Engineering, F5

Über den Autor

Ryan Johnson

Weitere Blogbeiträge von Ryan Johnson