Posted in Aktuelles, Schwachstellenausnutzung

Aktuelles – 15 Minuten Zeitfenster … und 5 Jahre
Stoppuhr

Betrifft den Punkt „Schwachstellenausnutzung“ der Cyber Kill Chain.

Das Angreifer stehts und ständig das Internet nach verwundbaren Services scannen habe ich auf dieser WebSeite bereits beschrieben (siehe Beiträge zu shodan.io oder google).

Wird eine Schwachstelle veröffentlicht, bspw. über eine „Common Vulnerabilities and Exposures“ (CVE), dauert es gerade einmal 15 Minuten, bis Angreifer beginnen Services im Internet auf diese Schwachstelle hin zu testen. Das berichtete Heise Online im Juli 2022 (https://www.heise.de/news/15-Minuten-nach-Bekanntwerden-einer-Luecke-starten-Scans-nach-verwundbaren-PCs-7191301.html).

Erschwerend kommt hinzu, dass FIRST (Forum of Incident Response and Security Teams) über eigene Analysen (https://www.first.org/epss/data_stats) festgestellt hat, dass sich die Anzahl der Schwachstellen ca. alle 5 Jahre verdoppelt.

… VERDOPPELT!!

Das bedeutet, die Anzahl der Schwachstellen wächst stark exponentiell. Natürlich werden gefundene Schwachstellen durch die Softwarehersteller geschlossen. Allerdings kann dieses exponentielle Wachstum nicht abgefangen werden.

Es gibt kein „sicheres System“!!

Das Ziel muss also sein, die eigenen Systeme soweit abzusichern, dass diese für Angreifer nicht mehr attraktiv sind. Die Systeme enthalten zwar noch Schwachstellen, die Ausnutzung wird jedoch so schwer, dass die Angreifer davon ablassen und sich ein einfacheres Ziel suchen.

… also nicht Ihr Unternehmen, sondern ein anderes.

Genau das machen wir Ethical Hacker. Wir versuchen alle Angriffsvektoren zu finden und diese zu „schließen“.

Warum verdoppeln sich die Schwachstellen immer? … meine These

Das liegt daran, dass heute nicht mehr programmiert, sondern nur noch „gecoded“ wird.

Wenn man früher ein „Hallo Welt“ programmiert hat, dann benötigte man eine Entwicklungsumgebung. Das Programm war dann ca. 2 KB groß.

Wenn man heute ein „Hallo Welt“ coded, dann benötigt man zwar ebenfalls eine Entwicklungsumgebung, dazu installiert man sich jedoch noch ein sog. Framework (siehe https://de.wikipedia.org/wiki/Framework). Moderne Frameworks sind teilweise mehrere Gigabyte groß. Das fertige „Hallo Welt“ ist dann gerne mal mehrere MB groß.

Die Komplexität des Frameworks ist das Problem. Man benutzt als „Coder“ viele Bibliotheken mit entsprechenden Abhängigkeiten (bspw. über sog. Application Programming Interfaces), die man selbst nicht mehr überblicken und überprüfen kann. Während der Ausführung des Programms werden teilweise sogar Programmteile in Echtzeit über das Internet nachgeladen.

Komplexität ist der Feind des Informationsschutzes; also der IT-Security. Je komplexer ein System ist, umso schwerer ist es abzusichern und zu verteidigen.

Alles in Allem … Systeme abzusichern wird von Jahr zu Jahr schwerer und aufwändiger.

Info für das Selbststudium

CVE-Datenbank: https://cve.mitre.org

Top CVE’s in Social Media: https://cvetrends.com

weitere Fachbeiträge …

Informationssicherheit und Datenschutz – Beratung und Konzeption – Landsberg am Lech

Logo hell