Ältere Cybersicherheitssysteme – von denen viele vor über einem Jahrzehnt entwickelt wurden – sind nicht auf die modernen Fähigkeiten und Schwachstellen heutiger Angreifer ausgelegt. Zudem berücksichtigen sie nicht die Abhängigkeit von der manuellen Konfiguration durch einen Menschen, die zur Schwachstelle vieler Softwareprogramme geworden ist.

Auf diese neue Realität wird mit dem Softwareentwicklungskonzept „Security by Default“ reagiert, einer notwendigen Ergänzung zu den „Secure by Design“-Prinzipien, die von der U.S. Cybersecurity & Infrastructure Security Agency (CISA) festgelegt wurden.

Die Secure-by-Design-Prinzipien legen den Fokus auf die eingebettete Sicherheit während des gesamten Software-Designs und der Entwicklung. „Security by Default“ stellt sicher, dass ein Produkt von Anfang an sicher ist – bereits zum Zeitpunkt des Zero-Day-Launches. Eine komplexe Einrichtung ist nicht erforderlich, da wesentliche Sicherheitsfunktionen wie sichere Protokollierung und Autorisierung bereits vorkonfiguriert sind.

Die Bedrohungen entwickeln sich weiter – und beschleunigen sich

Bis vor Kurzem hatten die meisten Systeme einen begrenzten „Explosionsradius“. Durch Firewalls geschützt, waren sie abgeschottet, sodass nur wenige ausgewählte Personen innerhalb einer Organisation darauf zugreifen konnten. Angreifern fehlte das offene Terrain, um nach Schwachstellen zu suchen. Ihre Angriffe konnten nicht automatisiert werden, und der gesamte Angriffsprozess – von der Entdeckung einer Schwachstelle über die Entwicklung eines Exploits bis hin zur Durchführung des Angriffs – dauerte oft Wochen oder sogar Monate.

Dies beschränkte nicht nur die Geschwindigkeit der Angriffe, sondern auch deren Umfang. Angreifer mussten Organisationen gezielt ins Visier nehmen und Wege finden, um spezifische Kontrollen zu umgehen. Die Gesamtzahl der Angriffe war gering, und selbst wenn sie stattfanden, blieben die Auswirkungen relativ begrenzt, da Angreifer viel Zeit und Arbeit investieren mussten.

Zum Thema: 8 Best Practices zur Verkleinerung der Angriffsfläche für Organisationen

Wenn wir von einer sich entwickelnden Cyber-Bedrohungslandschaft sprechen, ist das fast noch untertrieben, denn die natürliche oder auch technische Entwicklung war noch nie so schnell. In nur wenigen Jahren hat es sich in eine digitale Konfliktzone verwandelt, einen Krisenherd, der die schlecht Geschützten wie nie zuvor gefährdet.

Dies liegt daran, dass Angreifer drei entscheidende Entwicklungen für sich nutzen konnten:

  • Heutige Angreifer sind in der Lage, Schwachstellen blitzschnell zu Waffen zu machen, und KI-Tools erleichtern diesen Prozess zusätzlich. Die Zeiten langwieriger Offenlegungsfristen sind vorbei. Automatisierte Scan-Tools und Exploit-Kits, die im Dark Web leicht zugänglich sind, ermöglichen es selbst technisch weniger versierten Angreifern, in das Malware-Geschäft einzusteigen. Diese Entwicklung hat das Bedrohungspotenzial erheblich gesteigert und die Angriffsbarriere deutlich gesenkt. Zero-Day-Angriffe stellen ein zunehmendes Problem dar, da Angreifer immer raffinierter darin werden, Schwachstellen auszunutzen, bevor ein Patch verfügbar ist.
  • Die Einführung von Clouds hat eine größere Angriffsfläche geschaffen, da es aufgrund der verteilten Cloud-Infrastruktur schwierig ist, Daten zu sichern und zu überwachen. Das Modell der gemeinsamen Sicherheitsverantwortung zwischen Cloud-Anbietern und -Usern kann zu Schwachstellen führen, wenn es falsch konfiguriert oder nicht klar verstanden wird. Ferner sind Cloud-Anwendungen häufig auf APIs für die Kommunikation angewiesen, die bei unzureichender Absicherung Schwachstellen aufweisen können.
  • Traditionelle Sicherheitsmaßnahmen wie Firewalls und Antivirus-Programme können mit den modernen Bedrohungen nicht mehr Schritt halten. Firewalls können durch Social Engineering umgangen werden, während Antivirus-Programme Schwierigkeiten haben, brandneue Zero-Day-Bedrohungen zu erkennen. Der Sicherheitsansatz, der sich auf die lokale Umgebung vor Ort bezieht, ist im Cloud-Zeitalter überholt, und es ist entscheidend, die „Secure by Design“-Prinzipien in der gesamten IT-Infrastruktur umzusetzen.

Kriminelle sind bereit, Schwachstellen auszunutzen oder Angriffe zu starten, sobald ein Produkt aktiviert wird. Daher muss dieses Produkt über robuste Zero-Day-Verteidigungsmaßnahmen verfügen, die sofort wirksam werden, sobald es eingeschaltet und mit dem Unternehmensnetzwerk verbunden wird.

Zum Thema: Secure-by-Design-Prinzipien sind wichtiger denn je

Die drei Säulen von „Security by Default“

Die ordnungsgemäße Ausführung der „Security by Default“ beruht auf drei Grundpfeilern.

„Shift Left“-Sicherheit

Shift Left konzentriert sich darauf, Schwachstellen frühzeitig im Entwicklungsprozess zu erkennen. Entwickler müssen sicheren Code schreiben und dabei gängige Fehler vermeiden, die in Ressourcen wie den OWASP Top 10 (Sicherheitslücken in Webanwendungen) und CWE Top 25 (häufige Softwareschwachstellen) aufgeführt sind.

Ein passender Vergleich wäre die Präventivmedizin, bei der Wellnesspraktiken und Impfungen eine Person vor Krankheiten schützen können. Indem sich Entwickler von Anfang an auf sichere Programmierpraktiken konzentrieren, bauen sie Immunität und Widerstandsfähigkeit direkt in die Software ein.

Durchsetzung sicherer Konfigurationen

Wenn User ihre neue Software konfigurieren, freuen sich Hacker oft über die potenziellen Schwachstellen. Um Fehlkonfigurationen zu vermeiden, müssen Softwareanbieter standardmäßig sichere Konfigurationen durchsetzen. Dazu gehören Maßnahmen wie Multi-Faktor-Authentifizierung (MFA), Single Sign-on (SSO) sowie die Vermeidung von fest programmierten Zugangsdaten (Passwörtern oder Tokens) und Standardkonfigurationen, die Angreifern bereits bekannt sind.

Durch die Durchsetzung sicherer Konfigurationen wird eine konsistente Sicherheit bei allen Bereitstellungen gewährleistet, unabhängig von der Benutzererfahrung oder dem technischen Fachwissen der User. Gleichzeitig wird die Benutzererfahrung vereinfacht, da keine komplexen Konfigurationsentscheidungen getroffen werden müssen.

Sicherung der Software-Lieferkette

Ähnlich wie in der Automobil- und Luft- und Raumfahrtindustrie hat sich die moderne Softwareentwicklung in ein Fließband verwandelt, das stark auf Bibliotheken von Drittanbietern und Open-Source-Code angewiesen ist. Im Rahmen von „Security by Default“ müssen Entwickler besonders darauf achten, dass diese Komponenten sicher sind und keine Schwachstellen in die Software einführen.

Zum Thema: Das Secure-by-Design-Versprechen: Eine Verpflichtung zur Schaffung einer sichereren digitalen Zukunft

Security by Default messen

Heutzutage können Anbieter die Sicherheit eines Produkts durch Standardfunktionen wie Instrumente und Telemetrie überwachen. Befindet sich das Produkt vor Ort, müssen zur Aktivierung der Telemetrie allerdings Firewall-Ausnahmen geschaffen werden, damit die Daten das Netzwerk des Users verlassen können. In der Cloud ist es hingegen einfacher, Telemetriedaten direkt an den Anbieter zurückfließen zu lassen.

In beiden Fällen basiert dies auf gegenseitiger Zustimmung: Der Software-User muss die Standard-Telemetrie aktivieren, damit der Anbieter das Verhalten der Software überwachen und sicherstellen kann, dass die integrierten Sicherheitskontrollen ordnungsgemäß funktionieren. Der Vorteil dabei ist, dass der User nicht selbst eingreifen muss, um Sicherheitsfunktionen zu aktivieren. Ein Anbieter kann dies remote tun, sofern er die Zustimmung des Kunden hat.

Neuen Bedrohungen einen Schritt voraus sein

Selbst die besten und engagiertesten Cybersicherheitsexperten sind immer noch auf die verfügbaren Daten und Erkenntnisse angewiesen. So sind traditionelle Schwachstellenlisten wie die OWASP Top 10 und die CWE Top 25 zwar entscheidend für die Sicherheitsaufklärung, haben jedoch ihre Grenzen:

  • Aktualisierungen dieser Listen schaffen immer noch ein Zeitfenster, in dem Schwachstellen zwischen Entdeckung und Behebung bestehen. Angreifer nutzen diese Lücke, indem sie „Ausreißer“-Schwachstellen ins Visier nehmen, die noch nicht erfasst sind.
  • Herkömmliche Listen konzentrieren sich auf bekannte Schwachstellen, was Organisationen anfällig für „bekannte Unbekannte“ macht – Schwachstellen, die zwar ausgenutzt werden können, aber noch nicht identifiziert wurden.

Dennoch versprechen KI und maschinelles Lernen, Security by Default zu revolutionieren, indem sie diese Lücken schließen:

  • Algorithmen für maschinelles Lernen können riesige Mengen an Sicherheitsdaten analysieren, um Muster zu erkennen und potenzielle Schwachstellen vorherzusagen, auch solche, die noch nicht auf traditionellen Listen stehen.
  • Durch die Analyse von Exploit-Trends und Softwareverhalten kann maschinelles Lernen die „bekannten unbekannten“ Sicherheitslücken identifizieren, die mit höherer Wahrscheinlichkeit ausgenutzt werden, selbst wenn sie noch nicht dokumentiert sind.

Hinzufügen von KI zum SDLC

KI und maschinelles Lernen können auch die Art und Weise verändern, wie „Security by Default“-Prinzipien in Software-Entwicklungszyklen integriert werden:

  • Automatisierte Schwachstellenerkennung: KI-Tools können Code kontinuierlich auf bekannte und unbekannte Schwachstellen scannen, sodass diese frühzeitig in einem SDLC behoben werden können.
  • Proaktive Sicherheitsmodellierung: Durch die Analyse von Angriffsmustern kann KI Bedrohungen vorhersagen. Dies ermöglicht eine proaktive Sicherheitsmodellierung, um Software mit integrierten Abwehrmechanismen gegen diese Bedrohungen zu entwickeln.
  • Intelligente Entwicklerunterstützung: KI kann Code analysieren und Entwicklungsteams in Echtzeit Vorschläge zu sicheren Coding-Praktiken unterbreiten.

Standardmäßige Sicherheit durch selbstreparierende Software

Ein zentrales Ziel für Entwickler, die „Security by Default“ umsetzen, ist die Erstellung von Software, die proaktiv Sicherheitslücken selbst erkennen und beheben kann. Dieses Konzept richtet sich nach den genetischen Algorithmen, die in der Fertigung eingesetzt werden, um Systeme dazu zu befähigen, sich selbst zu optimieren und im Laufe der Zeit kontinuierlich zu verbessern.

Dadurch wird „Security by Default“ von einem statischen Konzept zu einer dynamischen, selbstüberwachenden und selbstreparierenden Funktion, die in Unternehmenssoftware integriert ist. Dadurch kann die Software ihre eigenen Sicherheitslücken beheben, Bedrohungen abwehren und sogar neue Angriffe an die Entwickler melden.

Zum Thema: Praktische Demo: Schützen Sie alle Endpunkte mit sicheren UEM-Gegenmaßnahmen

Schritte in die richtige Richtung

Vor nicht allzu langer Zeit schrieb ich darüber, dass es eine „private/öffentliche Partnerschaft geben sollte, in der Industrie und Regierung zusammenarbeiten, um das Problem der digitalen Sicherheit gemeinsam zu lösen". Die Einführung der Secure-by-Design-Prinzipien und die Initiativen von CISA sowie Branchenführern, diese voranzutreiben, sind ein bedeutender Schritt nach vorn, um genau die dringend benötigte gemeinsame Verteidigung gegen Cyberbedrohungen aufzubauen.

Es liegt jedoch weiterhin an den einzelnen Softwareanbietern und -entwicklern, diese Maßnahmen in die Tat umzusetzen. Die Einhaltung von Standardsicherheitsverfahren spielt eine entscheidende Rolle bei der Entwicklung und Bereitstellung sicherer Software und bei der Erlangung einer Führungsposition im Kampf um Cybersicherheit.