Ausnutzung von Schwachstellen
Virtuelles Patching für Windows Server
Viele Organisationen patchen ihre Systeme immer noch nicht zeitnah, obwohl das zur Katastrophe führen kann. Abhilfe kann hier virtuelles Patching schaffen.
Originalartikel von Mohamed Inshaff
Kürzlich gab die US National Security Agency (NSA) ein seltenes Security Advisory heraus, in dem die Behörde Unternehmen dringend aufforderte, eine Reihe kritischer Schwachstellen zu patchen. Die Top 25-Liste enthielt Softwarefehler, die am häufigsten von staatlich unterstützten chinesischen Hackern missbraucht wurden. Fast alle CVEs waren 2020 veröffentlicht worden. Das zeigt erneut, dass viele Organisationen ihre Systeme immer noch nicht zeitnah patchen, obwohl das Ergebnis staatlich gesponserter Sicherheitsvorfälle zur Katastrophe führen kann. Abhilfe kann hier virtuelles Patching schaffen.
In der Liste der NSA sind auch Fehler aus den Jahren 2015, 2017 und 2018 aufgeführt. Sie betreffen sehr unterschiedliche Systeme wie Oracle WebLogic Server, Adobe ColdFusion und Pulse Secure VPNs. Doch eines der am häufigsten genannten Produkte ist der Microsoft Windows Server. Unter den fünf kritischen CVEs in der NSA-Liste sticht die Sicherheitslücke namens Zerologon hervor. Es handelt sich um einen kritischen Elevation of Privilege-Fehler, der Windows 2008 und neuere Versionen betrifft und für den bereits im August ein Patch zur Verfügung stand. Angreifer könnten über die Lücke aus der Ferne die Kontrolle über eine Domäne übernehmen und damit ein gesamtes Netzwerk beschädigen.
Cyberkriminelle hatten schnell Exploits dafür entwickelt und diese in Angriffen eingesetzt, indem sie Zerologon mit VPN Exploits und Commodity Tools verbanden, um Ransomware und andere Payloads schnell abzulegen.
Das Problem beim Patchen
Die Gründe dafür, dass Organisationen häufig nicht umgehend patchen, sind vielfältig. Viele setzen möglicherweise ältere Betriebssysteme ein, die sie aufgrund von Kompatibilitätsproblemen mit unternehmenskritischen Anwendungen nicht aktualisieren. Andere können sich möglicherweise die Ausfallzeit nicht leisten, um Patches vor deren Aufspielen zu testen. Einige Firmen sind schlichtweg überfordert von der schieren Anzahl der Patches, die sie über mehrere Systeme hinweg anwenden und priorisieren müssen.
Andere wählen möglicherweise Extended Support-Optionen von Anbietern wie Microsoft, die versprechen, Sicherheits-Updates zu erheblichen Mehrkosten auch nach dem offiziellen End-of-Life-Datum zur Verfügung zu stellen. Trend Micros Nachforschungen haben jedoch ergeben, dass Organisationen selbst mit diesen umfangreichen Support-Paketen immer noch einigen Bedrohungen ausgesetzt sein können.
Wie wirkt Virtual Patching
Um potenziellen Bedrohungen zu begegnen und auch um Compliance-Anforderungen wie Cyber Essentials Plus, PCI DSS usw. in einem nicht mehr unterstützten System wie Windows Server 2008 zu erfüllen, sind zusätzlich zu Antimalware weitere Sicherheitsmechanismen erforderlich, um netzwerkgebundene Angriffe und verdächtige Aktivitäten zu erkennen und vor ihnen zu schützen. Die Lösung von Trend Micro ist virtuelles Patching: ein mehrschichtiger Schutz gegen bekannte und unbekannte Schwachstellen.
Die Host-basierten Intrusion Detection and Prevention (IDS/IPS)-Fähigkeiten von Deep Security und Cloud One – Workload Security können kritische Server vor Netzwerkangriffsvektoren schützen. Die Lösungen können auch die Integrität von Systemdateien, Registry-Einstellungen und anderen kritischen Anwendungsdateien überwachen, um nicht geplante oder verdächtige Änderungen anzuzeigen.
Mit einen einzigen modularen Agenten können die Server automatisch auf Schwachstellen sowohl im Betriebssystem als auch in Unternehmensanwendungen gescannt werden und die nicht gepatchten Server ohne Reboot schützen.
Virtual Patching bedeutet eine zusätzliche Schutzschicht, mit der Organisationen
- Zeit erkaufen, bis der Hersteller-Patch aufgespielt ist,
- Unnötige Ausfallzeiten verhindern,
- Vorschriften einhalten können und
- Schutz erhalten, auch über die erweiterten Support-Programme der Anbieter hinaus.
Kürzlich analysierte Trend Micro Windows Server 2008 R2, dessen Support im Januar 2020 eingestellt wurde. Seither hat Trend Micro nahezu 200 IPS-Regeln (also virtuelle Patches) in Deep Security veröffentlicht, von denen sich 67 auf Betriebssystemfehler bezogen. Unternehmen mit Extended Support für das Produkt wurden 23 virtuelle Patches empfohlen, 14 davon waren kritisch.