Wenn das Patchen nicht Schritt halten kann und Schutz nicht warten darf

Nirav ShahSenior Vice President, Produkt- und Lösungsmarketing | F5

Jahrelang beruhte die Anwendungssicherheit auf einer vertrauten Annahme: Wird eine Sicherheitslücke entdeckt, haben Unternehmen genügend Zeit, das Risiko zu bewerten, einen Patch zu entwickeln oder zu beschaffen, ihn zu testen und einzuspielen, bevor Angreifer die Schwachstelle ausnutzen können.

Künstliche Intelligenz macht diese Annahme zunehmend gefährlich.

KI beschleunigt das Aufspüren von Schwachstellen, die Auskundschaftung von Angriffszielen, die Entwicklung von Exploits und die Automatisierung von Angriffen. Je ausgereifter diese Fähigkeiten werden, desto schneller können Angreifer Schwachstellen identifizieren und ausnutzen – in einem Tempo, mit dem herkömmliche Sicherheits- und Entwicklungsprozesse nicht mithalten können und für das sie nie ausgelegt waren. In manchen Fällen werden Schwachstellen bereits ausgenutzt, bevor sie überhaupt öffentlich bekannt gemacht wurden.

Die Auswirkungen gehen weit über die Notwendigkeit hinaus, Patches schneller einzuspielen. Unternehmen müssen überdenken, wie sie Anwendungen und APIs schützen, wenn die Behebung einer Schwachstelle deutlich mehr Zeit in Anspruch nehmen kann, als Angreifer benötigen, um sie auszunutzen. Dieses Thema behandle ich ausführlich in meinem Vortrag „WAAP für die Welt nach Mythos“ auf dem virtuellen, auf Abruf verfügbaren F5 Post-Mythos Security Summit.

Wie ich in meiner Session erläutere, beginnt die Antwort mit der Erkenntnis, dass sofortiger Schutz und die dauerhafte Behebung von Schwachstellen zwei unterschiedliche Herausforderungen sind. Hier sind drei Ansätze, mit denen Sicherheitsverantwortliche ihre Strategie angesichts dieser wachsenden Kluft überdenken sollten.

1. Erkennen Sie, dass die Sicherheitslücke zwischen Gefährdung und Behebung strukturell geworden ist

Sicherheitsteams arbeiten seit Jahren daran, das Schwachstellenmanagement zu verbessern und die Bereitstellung von Patches zu beschleunigen. Diese Bemühungen bleiben unverzichtbar. Doch der Geschwindigkeit, mit der Unternehmen Anwendungen und Infrastruktur sicher ändern können, sind grundlegende Grenzen gesetzt.

Patches müssen bewertet, getestet und bereitgestellt werden. Entwicklungsteams müssen Anwendungsabhängigkeiten, die betriebliche Stabilität und die Möglichkeit berücksichtigen, dass eine Notfallkorrektur neue Probleme verursachen könnte. Für Unternehmen, die Tausende von Anwendungen in mehreren Umgebungen verwalten, sind diese Prozesse zwangsläufig komplex.

Unterdessen verändert KI die Rahmenbedingungen auf der Angreiferseite.

Die zunehmenden Möglichkeiten, die Erkennung und Ausnutzung von Schwachstellen zu automatisieren, ermöglichen es Angreifern, mit Maschinengeschwindigkeit vorzugehen, während die Verteidiger weiterhin durch Entwicklungszyklen und betriebliche Anforderungen eingeschränkt sind. Selbst die effizientesten Sicherheitsorganisationen können dieses Ungleichgewicht nicht allein dadurch ausgleichen, dass sie ihre Teams auffordern, schneller zu arbeiten.

Dadurch entsteht eine strukturelle Sicherheitslücke. Schwachstellen können bereits ausnutzbar sein, lange bevor Unternehmen dauerhafte Korrekturen sicher bereitstellen können. Und mit der fortschreitenden Entwicklung von KI droht diese Lücke noch schwieriger beherrschbar zu werden.

Sicherheitsverantwortliche müssen sich nicht mehr nur mit der Frage auseinandersetzen, wie sich die Bereitstellung von Patches beschleunigen lässt, sondern auch damit, wie sie ihre Organisationen schützen können, wenn Patches nicht schnell genug eingespielt werden können.

2. Schutz und Behebung erfordern unterschiedliche Zeitrahmen

Um dieser Herausforderung zu begegnen, ist ein Umdenken erforderlich. Bisher lag der Schwerpunkt beim Schwachstellenmanagement auf der Behebung: die Schwachstelle identifizieren, priorisieren und so schnell wie möglich beseitigen. Wenn Schwachstellen jedoch bereits ausgenutzt werden können, bevor ein Patch verfügbar ist, können es sich Unternehmen nicht leisten, ihren Schutz vollständig von der Behebung abhängig zu machen.

Sie müssen beides voneinander trennen. Eine dauerhafte Behebung beseitigt die zugrunde liegende Schwachstelle. Beim sofortigen Schutz geht es hingegen darum, Angreifer daran zu hindern, diese Schwachstelle auszunutzen, während die Behebung noch läuft.

Diese Unterscheidung ist besonders bei geschäftskritischen Anwendungen wichtig. Wird ein ungetesteter Patch überstürzt in die Produktionsumgebung eingespielt, kann dies eigene Betriebsrisiken mit sich bringen. Wird die Bereitstellung jedoch verzögert, um etablierte Verfahren zur Änderungskontrolle einzuhalten, kann das Unternehmen weiterhin Angriffen ausgesetzt sein.

Virtuelles Patching bietet eine Möglichkeit, dieses Dilemma zu lösen. Durch Schutzmaßnahmen außerhalb der anfälligen Anwendung können Unternehmen bekannte Techniken zur Ausnutzung von Schwachstellen blockieren, ohne den zugrunde liegenden Code sofort ändern zu müssen.

Wichtig ist: Virtuelles Patching ersetzt nicht die Behebung von Sicherheitslücken. Es schließt auch nicht alle möglichen Angriffswege aus. Sein Nutzen liegt darin, die Angriffsfläche zu verringern, während Entwicklungs- und Sicherheitsteams die notwendigen Arbeiten zur dauerhaften Behebung abschließen.

Mit anderen Worten: Unternehmen müssen in der Lage sein, auf akute Bedrohungen zu reagieren, ohne bei jedem Sicherheitsvorfall eine Notfallversion ihrer Anwendung veröffentlichen zu müssen. Und das erfordert einen architekturbasierten Ansatz zum Schutz von Anwendungen.

3. Die Architektur muss die Lücke schließen

Wenn sich Bedrohungen schneller entwickeln als die Entwicklungs- und Bereitstellungszyklen von Anwendungen, muss der Schutz unabhängig von diesen Zyklen funktionieren können.

Hier kommt dem modernen Schutz von Webanwendungen und APIs (WAAP) (https://www.f5.com/solutions/web-app-and-api-protection) eine immer wichtigere Rolle zu. Durch Sicherheitskontrollen im Datenpfad der Anwendungen kann WAAP Unternehmen dabei helfen, bösartige Aktivitäten zu erkennen und zu blockieren, bevor sie anfällige Anwendungen erreichen. Funktionen wie Web Application Firewalls, API-Sicherheit, Bot-Abwehr und DDoS-Abwehr bieten einander ergänzende Schutzebenen.

Der architektonische Vorteil ist erheblich. Unternehmen können Schutzmaßnahmen ergreifen, ohne dafür auf Änderungen am Anwendungscode warten zu müssen. So erhalten Entwicklungsteams zusätzliche Zeit, um Schwachstellen zu untersuchen und dauerhaft zu beheben.

Doch die Herausforderung wird zunehmend komplexer.

Heutige Anwendungsumgebungen gehen über herkömmliche Webanwendungen hinaus. Unternehmen sind zunehmend auf APIs, KI-gestützte Anwendungen und autonome Agenten angewiesen, die neue Interaktionen, Abhängigkeiten und potenzielle Angriffsflächen mit sich bringen. Gleichzeitig erschweren KI-gestützte Angriffe es Sicherheitsteams, bösartige Aktivitäten von legitimem Datenverkehr zu unterscheiden.

Einfach mehr Sicherheitsregeln hinzuzufügen oder mehr Warnmeldungen zu generieren, ist keine nachhaltige Lösung. Der Schutz muss intelligenter und anpassungsfähiger werden, ohne Sicherheitsteams zu überlasten oder legitime Geschäftsaktivitäten zu beeinträchtigen.

Dadurch wird es immer wichtiger, Bedrohungen präzise zu erkennen, Fehlalarme zu minimieren und geeignete Schutzmaßnahmen durchzusetzen. Zugleich unterstreicht dies die Notwendigkeit einer Architektur, die über Anwendungen und Umgebungen hinweg einen einheitlichen Schutz gewährleisten kann.

Letztlich können Unternehmen ein Sicherheitsproblem, das sich in Maschinengeschwindigkeit entwickelt, nicht allein dadurch lösen, dass sie mehr Personal einsetzen oder bestehende Prozesse beschleunigen. Sie benötigen eine Architektur, die Anwendungen schützt, bis die zugrunde liegenden Systeme aufgeholt haben.

Sehen Sie sich meinen Vortrag dazu an, wie Sie sich schützen können, wenn das Patchen nicht Schritt halten kann

KI verändert das Zusammenspiel zwischen der Entdeckung, Ausnutzung und Behebung von Schwachstellen grundlegend. Unternehmen müssen ihre Patch-Prozesse weiter verbessern, benötigen aber auch Möglichkeiten, Anwendungen und APIs zu schützen, wenn dauerhafte Lösungen nicht sofort verfügbar sind.

In meinem Vortrag „WAAP für die Welt nach Mythos“ auf dem F5 Post-Mythos Security Summit erläutere ich, wie moderne WAAP-Lösungen Unternehmen dabei helfen können, auf diese neue Realität zu reagieren. Ich zeige, wie KI-gestützter Schutz und virtuelles Patching Unternehmen dabei unterstützen können, Schwachstellen am Edge abzusichern, ohne auf Änderungen am Anwendungscode warten zu müssen. Außerdem beleuchte ich, wie sich diese Funktionen in einen umfassenderen Ansatz zum Schutz von Anwendungen, APIs und KI vor immer ausgefeilteren Bedrohungen einfügen.

Um sich meine Session anzusehen, registrieren Sie sich hier.

Über den Autor

Nirav ShahSenior Vice President, Produkt- und Lösungsmarketing | F5

Nirav Shah ist Senior Vice President und Head of Products and Solution Marketing bei F5. Dort verantwortet er die strategische Ausrichtung in den Bereichen Anwendungssicherheit und KI-Sicherheit. Vor seinem Wechsel zu F5 war er elf Jahre lang in verschiedenen Führungspositionen bei Fortinet tätig, insbesondere als Leiter der Bereiche KI-gestützte SASE-, SOC- und sichere Netzwerklösungen. Zu seinem umfassenden beruflichen Hintergrund zählen außerdem bedeutende Positionen bei Cisco Systems, wo er wichtige SD-WAN-Initiativen vorantrieb. Mit mehr als zwei Jahrzehnten Erfahrung in der Cybersicherheitsbranche kann er eine nachweisliche Erfolgsbilanz bei der Einführung marktprägender Produkte und beim Aufbau leistungsstarker Teams vorweisen, die Produktentwicklung, Vertrieb und Marketing aufeinander abstimmen, um eine maximale Wirkung zu erzielen. Als Vordenker und Absolvent der USC spricht er regelmäßig auf Branchenkonferenzen und veröffentlicht häufig Beiträge in führenden Fachpublikationen über das Zusammenspiel von KI und Cybersicherheit. Darüber hinaus engagiert er sich für die Förderung angehender Cybersicherheitsexperten.

Weitere Blogbeiträge von Nirav Shah