Angriffsflächenmanagement (Attack Surface Management, ASM) bezeichnet die Erkennung, Bewertung und Eindämmung von Bedrohungen für das IT-Ökosystem eines Unternehmens.
Inhalt
Attack Surface Management (ASM) ist ein Ansatz zur Cybersicherheit, der Unternehmen dabei unterstützt, ihre Daten und Systeme besser zu schützen, indem Bedrohungen besser sichtbar gemacht werden. Es geht darum, zu erkennen, wo Risiken bestehen, deren relative Tragweite zu verstehen und Maßnahmen zu ergreifen, um Sicherheitslücken in Bezug auf Personen, Prozesse und Technologien zu schließen.
ASM ist ein traditioneller Ansatz zur Cybersicherheit, der die Erkennung und Überwachung von Assets umfasst. Es betrachtet potenzielle Bedrohungen aus der Perspektive eines Angreifers: als Möglichkeiten, die Abwehrmechanismen eines Unternehmens zu durchbrechen und finanziellen, betrieblichen oder Reputationsschaden zu verursachen.
Um Attack Surface Management (ASM) zu verstehen, muss zunächst der Begriff Angriffsfläche definiert werden.
Definition der Angriffsfläche
Die Angriffsfläche ist die Summe aller Arten, auf die ein Angreifer Zugriff auf das Netzwerk, die Daten oder die IT-Ressourcen eines Unternehmens erhalten könnte. Sie besteht aus drei Teilen:
- Die digitale Angriffsfläche umfasst alle Hardware, Software und Daten, auf die von außen zugegriffen werden kann, auch wenn sie durch Verschlüsselung, Authentifizierungsprotokolle, Firewalls oder andere Maßnahmen geschützt sind.
- Die physische Angriffsfläche besteht aus allen physischen Geräten und Vorrichtungen, die gestohlen oder physisch manipuliert werden können, um eine Kompromittierung oder einen Sicherheitsverstoß zu verursachen.
- Die soziale oder menschliche bezeichnet alle Personen in einem Unternehmen, die Zugang zu Systemen und Daten haben und die getäuscht, erpresst oder auf andere Weise manipuliert werden könnten (etwa durch Social Engineering wie Phishing), um eine Kompromittierung oder einen Verstoß zu verursachen.
Wogegen schützt ASM?
ASM hilft Organisationen, sich gegen eine Vielzahl von Bedrohungen, auch bekannt als „Angriffsvektoren“, zu verteidigen. Diese umfassen, sind aber nicht beschränkt auf:
Cyberangriffe
Ransomware, Viren und andere Malware können in Unternehmenssysteme injiziert werden, wodurch Angreifer Zugang zu Netzwerken und Ressourcen erhalten, Daten exfiltrieren, Geräte kapern und Vermögenswerte und Daten beschädigen können.
Codierungsprobleme und Fehlkonfigurationen
Fehlkonfigurationen von Netzwerk- und Cloud-Technologien wie Ports, Zugangspunkten, Protokollen und dergleichen lassen „Türen“ für Angreifer offen und sind eine häufige Ursache für Sicherheitsverletzungen.
Phishing-Schemata
Diese umfassen betrügerische E-Mails, Textnachrichten, Sprachnachrichten (und heute sogar mit KI-generierten Deepfakes, Videoanrufe), die Benutzer täuschen und dazu verleiten, Maßnahmen zu ergreifen, die die Cybersicherheit gefährden. Dies kann das Teilen sensibler Informationen, das Klicken auf Links, die zu Malware führen, das Freigeben von Geldern, die nicht ausgezahlt werden sollten, und mehr umfassen. KI hat es schwieriger gemacht, Phishing zu erkennen und gezielter zu gestalten.
Schwache Passwörter und Verschlüsselung
Leicht zu erratende Passwörter - entweder weil sie offensichtlich, zu einfach sind oder für mehrere Konten wiederverwendet werden - können bösen Akteuren Zugang zu den digitalen Ressourcen einer Organisation verschaffen. Gestohlene Anmeldeinformationen sind aus ähnlichen Gründen auch bei Cyberkriminellen sehr gefragt. Verschlüsselung soll Informationen so verschleiern, dass nur autorisierte Personen sie lesen können. Wenn sie nicht stark genug ist, können Hacker Daten extrahieren, die sie dann verwenden können, um groß angelegte Angriffe zu starten.
Shadow IT
Tools, die von den Mitarbeitern einer Organisation verwendet werden, aber nicht Teil der bekannten oder genehmigten IT-Umgebung sind, werden als „Shadow IT“ betrachtet und können Schwachstellen schaffen, gerade weil das Cybersicherheitsteam nichts von ihnen weiß. Dazu gehören Apps, tragbare Speichermedien, persönliche Telefone und Tablets und dergleichen.
Funktionsweise von ASM
ASM umfasst drei Hauptphasen: Erkennung, Bewertung und Eindämmung. Da sich die Angriffsfläche ständig verändert, müssen alle drei Phasen kontinuierlich durchgeführt werden.
Erkennung
In der Erkundungsphase werden die Angriffsfläche und alle darin enthaltenen Assets definiert. Das Ziel der Erkennung besteht darin, alle bekannten und unbekannten Geräte, Softwareprogramme, Systeme und Zugangspunkte zu identifizieren, die die Angriffsfläche bilden. Dazu gehören auch Schatten-IT-Anwendungen, verbundene Technologien von Drittanbietern und Technologien, die bisher nicht in Bestandsaufnahmen erfasst wurden. Zahlreiche Lösungen bieten zwar die Erkennung als Teil ihrer ASM-Lösung an, jedoch sollten Sie kritisch sein. Suchen Sie nach einer Lösung, die Compliance und Quantifizierung von Cyberrisiken kombiniert. Damit erhalten Sie ein vollständiges Bild der Risiken, das über die Erfassung von Vermögenswerten hinausgeht und Ihnen Ihr tatsächliches Risiko aufzeigt. Ein kontinuierlicher Erkennungsprozess hilft dabei, Aufschluss darüber zu gewinnen, wie sich die Angriffsfläche im Lauf der Zeit verändern kann.
Bewertung
Nach der Erkennung bewerten Sicherheitsteams jedes Asset auf potenzielle Schwachstellen. Dazu gehören Fehlkonfigurationen und Codierungsfehler, aber auch soziale/menschliche Faktoren wie Anfälligkeit für Angriffe durch Phishing oder Business Email Compromise (BEC). Jedes Risiko wird bewertet, sodass Sicherheitsteams diejenigen priorisieren können, die am dringendsten behoben werden müssen.
Die Risikobewertung basiert in der Regel auf dem Risikoniveau, der Wahrscheinlichkeit eines Angriffs, den potenziellen Schäden und der Schwierigkeit der Behebung. Idealerweise berücksichtigt sie auch globale Threat Intelligence, die zeigt, welche Schwachstellen am häufigsten und am einfachsten ausgenutzt werden.
Beispiel: Wenn eine Software Zugriff auf sensible Daten gewährt, mit dem Internet verbunden ist und eine bekannte Schwachstelle aufweist, die bereits von realen Angreifern ausgenutzt wurde, hat Patching wahrscheinlich oberste Priorität.
Sobald alle Risiken bewertet sind, wird die Summe berechnet, aus der sich ein Gesamtwert für das Unternehmensrisiko ergibt. Auf diese Weise kann das Unternehmen sein Risikoprofil im Lauf der Zeit benchmarken und überwachen.
Eindämmung
Bei der Eindämmung werden Maßnahmen ergriffen, um die entdeckten Schwachstellen zu beheben. Dies umfasst zum Beispiel die Ausführung von Software-Updates oder die Installation von Patches, die Einrichtung von Sicherheitskontrollen und Hardware oder die Implementierung von Schutzmaßnahmen wie Zero Trust. Auch die Entfernung alter Systeme und Software kann dazu gehören. In jedem Fall ist es entscheidend, dass Sie über die richtige Lösung verfügen, um die Eindämmung auf skalierbare Weise anzugehen.
Angriffsflächenmanagement versus externes Angriffsflächenmanagement (EASM)
Externes Angriffsflächenmanagement (EASM) konzentriert sich speziell auf die Schwachstellen und Risiken von nach außen gerichteten Geräten und Systemen, einschließlich solcher, die mit dem Internet verbunden sind. Die interne Angriffsfläche, die On-Premises-Geräte und partitionierte Ressourcen umfassen kann, wird von EASM nicht abgedeckt.
Bedeutung von ASM
ASM hat enorm an Bedeutung gewonnen. IT-Umgebungen in Unternehmen sind dynamischer und vernetzter als je zuvor, wodurch die Angriffsfläche größer und vielfältiger wird. Herkömmliche Ansätze zur Erkennung und Überwachung von Assets sowie Einzellösungen für Cybersicherheit können nicht die erforderliche Transparenz, Intelligenz oder den notwendigen Schutz bieten. ASM hingegen ermöglicht es Sicherheitsteams, die Anzahl der Zugänge zum IT-Ökosystem des Unternehmens zu reduzieren und einen Echtzeit-Überblick über neu auftretende Schwachstellen und Angriffsvektoren zu gewinnen.
Einsatzfelder für ASM
ASM unterstützt Unternehmen bei der Abwehr einer Vielzahl von Bedrohungen, auch bekannt als Angriffsvektoren. Zu diesen Bedrohungen gehören unter anderem:
- Cyberangriffe: Ransomware, Viren und andere Malware können in Unternehmenssysteme eingeschleust werden. Dadurch erhalten Angreifer Zugriff auf Netzwerke und Ressourcen, können Daten stehlen, Geräte kapern und Vermögenswerte und Daten schädigen.
- Codierungsprobleme und Fehlkonfigurationen: Fehlerhafte Konfigurationen von Netzwerk- und Cloud-Technologien wie Ports, Zugangspunkte und Protokolle lassen Türen für Angreifer offen und sind eine häufige Ursache für Sicherheitsverletzungen.
- Phishing-Betrug: Dazu gehören Betrugs-E-Mails, Textnachrichten, Sprachnachrichten (heute sogar mit KI-generierten Deepfakes und Videoanrufen), die Nutzer täuschen und sie zu Handlungen veranlassen, die die Cybersicherheit gefährden. Dies kann die Weitergabe sensibler Informationen, das Anklicken von Links, die zu Malware führen, die Freigabe von Geldern, die nicht ausgezahlt werden sollten, und vieles mehr umfassen. KI hat dazu beigetragen, dass Phishing schwieriger zu erkennen und gezielter ist.
- Veraltete Technologien und Anwendungen: Software-, Firmware- und Gerätebetriebssysteme müssen korrekt codiert und gegen bekannte Schwachstellen und Bedrohungen gepatcht werden, da sie anderenfalls Angreifern eine Möglichkeit bieten können, eine Organisation zu verletzen. Ältere Geräte, die noch Teil der IT-Umgebung sind, aber nicht gewartet oder aktiv genutzt werden, können ebenfalls bequeme Zugangspunkte für Angreifer darstellen, da sie häufig nicht überwacht werden.
- Schwache Passwörter und Verschlüsselung: Einfach zu erratende Passwörter – entweder weil sie offensichtlich, zu einfach oder für mehrere Konten wiederverwendet werden – können Angreifern Zugriff auf die digitalen Ressourcen eines Unternehmens gewähren. Aus ähnlichen Gründen sind gestohlene Anmeldedaten bei Cyberkriminellen sehr begehrt. Verschlüsselung dient dazu, Informationen so zu verbergen, dass nur autorisierte Personen sie lesen können. Wenn diese nicht ausreichend stark ist, können Hacker Daten extrahieren, die sie anschließend für groß angelegte Angriffe nutzen können.
- Schatten-IT: Tools, die von Beschäftigten eines Unternehmens verwendet werden und nicht Teil der bekannten oder genehmigten IT-Umgebung sind, gelten als Schatten-IT. Sie können Schwachstellen verursachen, da das Cybersicherheitsteam keine Kenntnis davon hat. Dazu gehören Apps, tragbare Speichergeräte, private Smartphones und Tablets und vieles mehr. Dazu gehören Apps, tragbare Speichergeräte, private Smartphones und Tablets und Ähnliches.
Arten des Attack Surface Management
Attack Surface Management (ASM) wird in verschiedene Typen unterteilt, die unterschiedliche Aspekte der digitalen Umgebung einer Organisation abdecken. Dazu gehören External ASM, Internal ASM, Cyber Asset ASM und Open Source ASM. Jeder Typ spielt eine entscheidende Rolle bei der Überwachung und Minderung von Risiken und bietet Organisationen einen umfassenden Ansatz zum Schutz ihrer digitalen Assets.
Externes Attack Surface Management
Externes ASM konzentriert sich auf interne Unternehmensassets, die dem öffentlichen Internet ausgesetzt sind, wie Webanwendungen, Cloud-basierte Ressourcen, IP-Adressen und Domainnamen, die von Angreifern ausgenutzt werden könnten. Diese öffentlich zugänglichen Dienste sind oft Ziel von Angreifern, die Schwachstellen oder Fehlkonfigurationen ausnutzen wollen.
Internes Attack Surface Management
Internes ASM befasst sich mit Risiken innerhalb des privaten Netzwerks einer Organisation, einschließlich Geräten, Anwendungen und Systemen, die nicht öffentlich zugänglich sind, aber ausgenutzt werden könnten, wenn Angreifer Zugang erhalten. Es ist besonders relevant für die Bekämpfung fortgeschrittener persistenter Bedrohungen (APTs) und Insider-Bedrohungen, die oft laterale Bewegungen und Privilegieneskalation innerhalb des Netzwerks beinhalten. Altsysteme oder schlecht gesicherte interne Server können als Schwachstellen dienen, die Angreifer ausnutzen, sobald sie im Netzwerk sind.
Cyber Asset Attack Surface Management
Cyber Asset ASM konzentriert sich auf die Verwaltung und Sicherung einzelner Assets in einer Organisation, einschließlich Endpunkte, Benutzerkonten, Cloud-Instanzen und mobilen Geräten. Dies ist besonders wichtig in heutigen hybriden Arbeitsumgebungen, in denen Assets über lokale und Cloud-basierte Infrastrukturen verteilt sind. Organisationen, die in Multi-Cloud-Umgebungen arbeiten, haben oft diverse Assets wie Container, virtuelle Maschinen und APIs.
Open Source Attack Surface Management
Open Source ASM konzentriert sich auf die Verwaltung von Risiken im Zusammenhang mit Open-Source-Technologien und öffentlich zugänglichen Informationen. Während Open-Source-Software weit verbreitet ist, bringt sie aufgrund ihrer Transparenz und der Abhängigkeit von Community-Beiträgen Schwachstellen mit sich. Darüber hinaus nutzen Angreifer häufig exponierte Daten wie geleakte Anmeldeinformationen, API-Schlüssel oder sensible Konfigurationsdateien, die in offenen Repositories wie Github gefunden werden.
Angriffsflächenmanagement versus Cyberrisiko-Management
Das Angriffsflächenmanagement (Attack Surface Management, ASM) ist ein wesentlicher Bestandteil des Cyberrisiko-Managements. Zusammen helfen sie Unternehmen, ihre Cybersicherheit zu verbessern, indem sie Bedrohungen proaktiv erkennen, priorisieren und eindämmen.
Das Cyberrisiko-Management ist ein übergreifender Ansatz zur Cybersicherheit, der mehr vorsieht als ASM und sich auf die Ermittlung und Eindämmung von Risiken im gesamten Unternehmen konzentriert. Ein solides Framewerk für das Cyberrisiko-Management hilft dabei, die relevantesten Risiken zu ermitteln. Es fördert eine risikobewusste Entscheidungsfindung, um die Gesamtgefährdung zu reduzieren. Dadurch können Sicherheitsteams ihre Abwehrmaßnahmen verstärken, Schwachstellen minimieren und die allgemeinen Risikomanagement- und strategischen Planungsprozesse ihres Unternehmens optimieren.
Vorteile von ASM
Ein gutes Management der Angriffsfläche bietet Unternehmen eine Vielzahl von Vorteilen, angefangen bei der Stärkung des allgemeinen Sicherheitsstatus durch mehr Transparenz in der gesamten IT-Umgebung und Angriffsfläche. Das trägt wiederum zur Risikominderung bei, unterstützt durch kontinuierliche Überwachung und Neubewertung, um das Risikoniveau niedrig zu halten.
Dies gibt dem Sicherheitsteam Sicherheit und bietet gleichzeitig erhebliche Vorteile für das gesamte Unternehmen. Die Transparenz der Angriffsfläche ermöglicht eine bessere Kontrolle der Assets, wodurch das Risiko von Cyberattacken verringert wird und Kosteneinsparungen erzielt werden. Wenn Sicherheitsteams schneller und effektiver reagieren können, sind Unternehmen besser in der Lage, für Geschäftskontinuität zu sorgen. Denn wenn Angriffe früher erkannt und eingedämmt werden, ist das Risiko erheblicher Störungen geringer.
Umsetzung von ASM
ASM benötigt eine Lösung für Cyber Risk Exposure Management, integriert in eine Cybersicherheitsplattform, die einen proaktiven Ansatz für die Phasen der Erkennung, Bewertung und Eindämmung verfolgt.
Die Wahl einer Plattform mit starken Sicherheitsfunktionen ist besonders wichtig. Dazu gehören Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR) und Extended Detection and Response (XDR). Insbesondere XDR liefert wichtige Daten und Analysen zur Wirksamkeit der aktuellen Schutzmaßnahmen für die Angriffsfläche. Diese Erkenntnisse tragen dazu bei, die Risikoanalyse zu präzisieren.
ASM und Compliance
ASM spielt eine wichtige Rolle bei der Erfüllung regulatorischer und Compliance-Anforderungen, die über die Stärkung der Cybersicherheitsabwehr hinausgehen. Das NIST Cybersecurity Framework, die ISO/IEC 27001, die DSGVO, HIPAA und der PCI DSS betonen alle die Bedeutung der Asset-Transparenz, des Schwachstellenmanagements und der kontinuierlichen Überwachung zentraler Funktionen, die durch ASM ermöglicht werden. Durch das Identifizieren exponierter Assets und die Behebung potenzieller Schwachstellen hilft ASM Organisationen, die Einhaltung zentraler Kontrollen sicherzustellen, den Aufwand für Auditvorbereitungen zu verringern und teure Strafen wegen Nichteinhaltung zu vermeiden.
Für Unternehmen in regulierten Branchen ist ASM nicht nur eine Sicherheitsverbesserung, sondern auch ein Compliance-Werkzeug, das sowohl die betriebliche Resilienz als auch die rechtliche Verantwortung unterstützt.
Hilfsangebote für Angriffsflächenmanagement
Angriffsflächenmanagement reicht in der heutigen anspruchsvollen Risikolandschaft nicht mehr aus. Unternehmen benötigen Funktionen für Cyber Risk Exposure Management. Damit können sie Risiken proaktiv vorhersagen, aufdecken, bewerten und mindern, um ihre Cyberrisiken deutlich zu reduzieren.
Trend Vision One™ bietet eine Lösung für Cyber Risk Exposure Management (CREM), die einen revolutionären Ansatz verfolgt, indem sie wichtige Funktionen in einer leistungsstarken, benutzerfreundlichen Lösung vereint. Dazu gehören External Attack Surface Management (EASM), Cyber Asset Attack Surface Management (CAASM), Schwachstellenmanagement und Security Posture Management – für Cloud, Daten, Identitäten, APIs, KI, Compliance und SaaS-Anwendungen.
Erfahren Sie mehr darüber, wie Cyber Risk Exposure Management Ihnen beim Management der Angriffsfläche und darüber hinaus helfen kann.
Häufig gestellte Fragen (FAQs)
Was ist Angriffsflächenmanagement?
Angriffsflächenmanagement identifiziert, überwacht und reduziert alle potenziellen Einstiegspunkte, die Angreifer in digitalen Systemen ausnutzen könnten.
Was ist der Unterschied zwischen ASM und EASM?
ASM umfasst interne und externe Assets, während EASM sich auf extern zugängliche Systeme mit Internetbedrohungen konzentriert.
Was ist das Angriffsflächenmanagement-Framework?
Das Framework umfasst Asset-Erkennung, Risikobewertung, kontinuierliche Überwachung, Schwachstellenbehebung und Berichterstattung zur Stärkung der Cybersicherheit.
Was ist Angriffsflächenüberwachung?
Angriffsflächenüberwachung verfolgt kontinuierlich exponierte Assets, erkennt Schwachstellen und warnt Organisationen vor potenzieller Ausnutzung durch Cyberkriminelle.
Was sind die Anforderungen für Angriffsflächenmanagement?
Anforderungen sind Asset-Inventar, automatisierte Scans, Schwachstellenmanagement, Echtzeitüberwachung und Einhaltung von Sicherheitsstandards.
Was ist ein Beispiel für eine Angriffsfläche?
- Beispiele sind Webanwendungen, APIs, Cloud-Dienste, IoT-Geräte und Netzwerkendpunkte, die für unbefugten Zugriff anfällig sind.