Was ist Attack Surface Management (ASM)?
Führender Anbieter laut The Forrester Wave: Attack Surface Management Solutions, Q3 2024
Definition des Angriffsflächenmanagements
Attack Surface Management (ASM) ist ein Ansatz und eine Technologie, die die Sicherheit stärkt, indem sie die Angriffsfläche (Angriffszielbereich) einer Organisation aus der Perspektive eines Angreifers identifiziert und dann daran arbeitet, das Risiko von Cyberangriffen zu reduzieren. Durch die Einbindung von Attack Surface Risk Management (ASRM), das kontinuierlich Risiken für die Angriffsfläche identifiziert, bewertet und minimiert, kann das Auftreten von Vorfällen, die die Geschäftskontinuität eines Unternehmens gefährden, reduziert werden.
Um das Angriffsflächenmanagement (ASM) zu verstehen, ist es zunächst notwendig zu wissen, was mit dem Begriff „Angriffsfläche“ gemeint ist.
Im Sinne des US National Institute of Standards and Technology (NIST) bezieht sich die Angriffsfläche auf digitale Assets, Dienste und Umgebungen, die aus der Perspektive des Angreifers Cyberangriffen ausgesetzt sein könnten. Dies umfasst insbesondere Netzwerkgeräte wie Client-Terminals, mobile Terminals, IoT-Geräte, Server und VPN-Geräte sowie Software, Cloud-Dienste und Dienste, die die Lieferkette ausmachen.
Die Angriffsfläche wird manchmal in die externe Angriffsfläche klassifiziert, die sich auf digitale Assets bezieht, die öffentlich verfügbar sind, und die interne Angriffsfläche, die sich auf digitale Assets bezieht, die im Netzwerk der Organisation vorhanden sind.
In der Vergangenheit tendierten herkömmliche Maßnahmen dazu, sich nur auf die Angriffsfläche zu konzentrieren, die aus Sicht der Angriffswege/Verteidigung am Eintrittspunkt öffentlich verfügbar war. Wie wir jedoch unten sehen werden, ist es jetzt üblich, aufgrund von Veränderungen im Geschäftsumfeld und der zunehmenden Komplexität von Cyberangriffen Maßnahmen zu ergreifen, die auf der Prämisse basieren, dass Angreifer Zugang zu einem Unternehmen erhalten. Aus diesem Grund ist es notwendig, die Angriffsfläche nicht nur als öffentlich verfügbare digitale Assets, sondern auch als alle internen digitalen Assets zu behandeln, die von Angreifern missbraucht werden könnten.
Warum ist ASM wichtig?
Es gibt zwei Hauptgründe, warum Angriffsflächenmanagement erforderlich ist:
IT-Umgebung von Organisationen muss geschützt werden
Die Digitalisierung aller Arten von Arbeit entwickelt sich in den letzten Jahren aufgrund von Veränderungen im Geschäftsumfeld, die durch die Förderung der digitalen Transformation und Veränderungen in der Art und Weise, wie wir arbeiten, verursacht wurden, wie z. B. Remote-Arbeit. Infolgedessen wird die IT-Umgebung aufgrund der Einführung neuer Technologien wie der Verwendung von VPN-Geräten und Cloud-Services und der Verwendung von IoT-Geräten komplexer denn je.
Andererseits sind viele Organisationen nicht in der Lage, mit den schnellen Veränderungen und der wachsenden Komplexität ihrer eigenen IT-Umgebungen und den Risiken Schritt zu halten, die sie darstellen, und Sicherheitsmaßnahmen werden auf den Back-Brenner gesetzt. Infolgedessen nimmt die Anzahl der Angriffsziele aus Sicht von Cyberkriminellen zu.
Die Raffinesse von Cyberangriffsmethoden
Die Methoden, die bei Cyberangriffen und anderen Straftaten eingesetzt werden, werden immer ausgereifter, um die Erfolgsrate von Angriffen zu erhöhen. In der Vergangenheit war die Hauptart des Cyberangriffs der „Streu-und-Gather“-Typ, bei dem bösartige Programme per E-Mail oder auf andere Weise an eine große Anzahl unspezifischer Empfänger gesendet wurden. Moderne Cyber-Angriffe werden jedoch immer komplexer, mit einer zunehmenden Anzahl von „zielgerichteten Angriffen“, die die Schwachstellen von VPNs und RDPs sowie gestohlene Authentifizierungsinformationen ausnutzen, um das Netzwerk der Zielorganisation zu infiltrieren und dann interne Aktivitäten wie Privilegeseskalation, Lateral Movement und Informationsdiebstahl auszuführen.
Daher müssen Unternehmen nicht nur öffentlich verfügbare digitale Assets, sondern auch digitale Assets innerhalb der Organisation selbst berücksichtigen und entsprechende Sicherheitsmaßnahmen implementieren.
Aufgrund der immer komplexeren IT-Umgebungen der Verteidigungsseite und der immer komplexeren Angriffsmethoden der Angriffsseite müssen Unternehmen den Zustand ihrer Angriffsfläche ständig überwachen, um sicherzustellen, dass Cyberangriffe nicht zu Geschäftsstillständen führen, und Maßnahmen ergreifen, um die Möglichkeit von Angriffen und die Auswirkungen auf das Geschäft im Falle eines Angriffs zu reduzieren. Mit anderen Worten: Unternehmen müssen nicht warten, bis ein Vorfall eintritt, sondern Maßnahmen ergreifen, um das Risiko vorher zu kontrollieren.
Andererseits fällt es vielen Unternehmen schwer, die Angriffsfläche zu verstehen und kontinuierlich mit diesem Risiko umzugehen, hauptsächlich aufgrund der folgenden drei Probleme. Daher besteht ein Bedarf an Technologie zur Unterstützung des Angriffsflächenmanagements.
- Es ist schwierig, das Risiko der Angriffsfläche zu quantifizieren
- Es gibt nicht genügend Ressourcen, um sie laufend zu verwalten
- Es gibt nur begrenzte Sicht auf die Angriffsfläche und das Risiko
Wichtige Merkmale von ASM
Attack Surface Management ist eine Initiative zur Stärkung der Sicherheit, indem die digitalen Assets visualisiert werden, die innerhalb eines Unternehmens geschützt werden müssen, und sie dann fortlaufend überwacht werden, um zu verstehen, wie sich die Angriffsfläche im Laufe der Zeit verändert. Andererseits ist es nicht realistisch, die Angriffsfläche eines Unternehmens manuell zu verwalten, was sich jeden Tag ändert, da es Zeit und Mühe erfordert. Um ein nachhaltiges Angriffsflächenmanagement zu erreichen, ist es daher wichtig, Technologien einzusetzen, die den gesamten Prozess durch „Automatisierung“ unterstützen.
Die Technologie, die das Angriffsflächenmanagement unterstützt, bietet die folgenden Funktionen.
- Visualisierung der Angriffsfläche
- Durch die Überwachung digitaler Assets, die Angriffsziele innerhalb einer Organisation sein könnten, werden die neuesten Informationen über die Anzahl und Arten von Assets (Geräte, Konten, Cloud-Dienste usw.) und zugehörige Informationen (OS-Versionen, Hostnamen usw.) kontinuierlich erfasst und visualisiert.
- Die Faktoren verstehen, die die Angriffsfläche ausmachen
- Die Faktoren, die digitale Assets zum Angriffsziele machen könnten, wie Schwachstellen, die in digitalen Assets vorhanden sind, unzureichende Sicherheitseinstellungen und ob sie der Außenwelt ausgesetzt sind, werden erkannt und visualisiert.
Darüber hinaus wird Attack Surface Management für digitale Assets, die öffentlich zugänglich sind, manchmal auch als External Attack Surface Management (EASM) bezeichnet, und einige Unternehmen behandeln Attack Surface Management als EASM.
Hauptfunktionen von ASM
Zusätzlich zu den oben erwähnten Funktionen des Angriffsflächenmanagements bietet das Angriffsflächenrisikomanagement Funktionen zur „Identifizierung“, „Bewertung“ und „Minderung“ von Risiken.
- Die Identifizierung von Risiken auf der Angriffsfläche zusätzlich zu der Anzahl und Art der digitalen Assets, die angegriffen werden könnten (Geräte, Konten, Cloud-Dienste usw.) und zugehörigen Informationen (OS-Version, Hostname usw.), Informationen, die ein Risikofaktor sein könnten, wie z. B. Konto- und andere Authentifizierungsinformationenlecks, Schwachstellen, verdächtiges Verhalten und Angriffssspuren, wird erfasst.
- Bewertung des Risikos auf der Angriffsfläche basierend auf den gesammelten Informationen, die ein Faktor für das Risiko auf jeder Angriffsfläche sind. Die Schwere des Risikos wird durch quantitative Berechnung eines Risikoscores basierend auf der „Wahrscheinlichkeit“ eines auftretenden Angriffs und der „Auswirkung“ eines auftretenden Angriffs bewertet. Wenn beispielsweise bei der Bewertung des Risikos eines Geräts eine Schwachstelle mit einem hohen CVSS-Score (Common Vulnerability Scoring System) vorliegt und Sicherheitseinstellungen wie Verhaltensüberwachung und maschinelles Lernen nicht aktiviert sind, wird das Risiko als hoch berechnet.
- Reduzierung des Risikos auf der Angriffsfläche, um das Risikoniveau auf der Angriffsfläche auf ein für die Organisation akzeptables Niveau zu reduzieren, Risikominderungsmaßnahmen wie Endpunktisolierung und Blockierung verdächtiger Kommunikationsziele werden implementiert.
Das National Institute of Standards and Technology (NIST) hat NIST SP800-30 „Guide for Conducting Risk Assessments“ veröffentlicht, in dem systematisch Methoden zur Risikobewertung zusammengefasst werden.
Bei der Implementierung des Angriffsflächenrisikomanagements in einer Organisation ist es wichtig, Referenzinformationen umfassend erfassen zu können, die als Faktor für Angriffsflächenrisiko verwendet werden können, Risiken mithilfe etablierter Methoden quantitativ zu bewerten und Technologien einzuführen, die kontinuierlich einen Zyklus von Implementierungsmaßnahmen zur Risikominderung realisieren können.
Arten des Angriffsflächenmanagements
Attack Surface Management (ASM) ist in verschiedene Typen kategorisiert, die verschiedene Facetten der digitalen Umgebung eines Unternehmens adressieren. Dazu gehören External ASM, Internal ASM, Cyber Asset ASM und Open Source ASM. Jede Art spielt eine entscheidende Rolle bei der Überwachung und Minderung von Risiken und bietet Unternehmen einen umfassenden Ansatz zum Schutz ihrer digitalen Assets.
Externe Angriffsflächenverwaltung
Externes ASM konzentriert sich auf interne Unternehmensressourcen, die dem öffentlichen Internet ausgesetzt sind, wie Webanwendungen, cloudbasierte Ressourcen, IP-Adressen und Domainnamen, die von Angreifern ausgenutzt werden könnten. Diese öffentlichen Internetdienste werden häufig von Angreifern ins Visier genommen, die Schwachstellen oder Fehlkonfigurationen ausnutzen möchten. Externes ASM identifiziert und überwacht diese Assets kontinuierlich, um Schwachstellen zu erkennen, die als Einstiegspunkt für einen Angreifer dienen könnten. Durch die Aufrechterhaltung der Transparenz öffentlich zugänglicher Assets reduziert External ASM die Exposition eines Unternehmens gegenüber potenziellen Angriffen.
Internes Angriffsflächenmanagement
Internes ASM adressiert Risiken innerhalb des privaten Netzwerks einer Organisation, einschließlich Geräten, Anwendungen und Systemen, die nicht öffentlich zugänglich sind, aber ausgenutzt werden könnten, wenn Angreifer Zugriff erhalten. Sie ist besonders relevant für die Bekämpfung fortgeschrittener persistenter Bedrohungen (APTs) und Insider-Bedrohungen, die häufig laterale Bewegungen und Privilegeskalation innerhalb des Netzwerks beinhalten. Altsysteme oder schlecht gesicherte interne Server können als Schwachstellen dienen, die Angreifer einmal im Netzwerk ausnutzen. Internes ASM ermöglicht es Unternehmen, diese Risiken zu erkennen und zu mindern, indem Zugriffskontrollen durchgesetzt, Endpunkte überwacht und Netzwerksegmentierung implementiert werden, um das Risiko interner Bedrohungen zu reduzieren.
Cyber Asset Attack Surface Management
Cyber Asset ASM konzentriert sich auf die Verwaltung und Sicherung einzelner Assets in einem Unternehmen, einschließlich Endpunkten, Benutzerkonten, Cloud-Instanzen und mobilen Geräten. Dies ist besonders in den heutigen hybriden Arbeitsumgebungen von entscheidender Bedeutung, in denen Assets über lokale und cloudbasierte Infrastrukturen verteilt sind. Unternehmen, die in Multi-Cloud-Umgebungen arbeiten, verfügen oft über verschiedene Assets, wie Container, virtuelle Maschinen und APIs. Cyber Asset ASM bietet detaillierte Einblicke in diese Assets, indem es kontinuierlich Asset-Konfigurationen überwacht und deren Risikoprofile bewertet. So können Unternehmen ihre wachsenden Ökosysteme genau kontrollieren und potenzielle Schwachstellen proaktiv minimieren.
Open Source Angriffsflächenmanagement
Open Source ASM konzentriert sich auf das Management von Risiken im Zusammenhang mit Open-Source-Technologien und öffentlich zugänglichen Informationen. Während Open-Source-Software weit verbreitet ist, führt sie aufgrund ihrer Transparenz und Abhängigkeit von Community-Beiträgen zu Schwachstellen. Darüber hinaus nutzen Angreifer häufig exponierte Daten wie geleckte Anmeldedaten, API-Schlüssel oder vertrauliche Konfigurationsdateien, die in offenen Repositories wie Github gefunden werden. Beispielsweise kann eine Organisation versehentlich sensible Informationen in einem öffentlichen Code-Repository veröffentlichen, die Open Source ASM-Tools schnell erkennen und kennzeichnen können. Durch die Identifizierung und Bewältigung dieser Risiken können Unternehmen ihre Open-Source-Komponenten sichern und die Ausbeutung durch öffentlich zugängliche Daten verhindern.
Kategorien von Angriffsflächen
Das Verständnis der Kategorien von Angriffsflächen ist für ein effektives Angriffsflächenmanagement (ASM) unerlässlich. Diese Einstiegspunkte lassen sich grob in drei Typen einteilen:
Die physische Angriffsfläche
Die physische Angriffsfläche bezieht sich auf die physischen Komponenten der IT-Infrastruktur eines Unternehmens, die von Angreifern ausgenutzt werden können. Dazu gehören Hardware, Geräte oder physische Standorte, die unbefugten Zugriff auf vertrauliche Daten oder Systeme ermöglichen können.
- Verworfene Hardware: Geräte wie Festplatten, USB-Sticks oder Drucker, die vertrauliche Daten enthalten können, wenn sie nicht ordnungsgemäß entsorgt werden.
- Endgeräte: Desktop-Computer, Laptops, Smartphones und andere tragbare Geräte, die gestohlen oder manipuliert werden könnten.
- Netzwerkinfrastruktur: Komponenten wie Router, Switches, Netzwerkkabel und Rechenzentren, die physisch abgerufen oder manipuliert werden können.
- Ungesicherte Ports oder Peripheriegeräte: USB-Ports oder externe Speicherverbindungen, die verwendet werden könnten, um bösartige Geräte oder Software einzuführen.
- Physische Verstöße: Unbefugtes Personal, das Zugang zu sicheren Bereichen oder vertraulichen Informationen erhält, oft aufgrund schlechter Zugangskontrollmechanismen.
Digitale Angriffsfläche
Die digitale Angriffsfläche umfasst alle digitalen Assets, auf die Cyberkriminelle abzielen könnten, einschließlich externer Systeme, interner Netzwerke und der verwendeten Software oder Cloud-Dienste.
- Webanwendungen: Schwachstellen in öffentlich zugänglichen Websites oder Anwendungen, die für unbefugten Zugriff ausgenutzt werden können.
- Cloud-Dienste: Falsch konfigurierter Cloud-Speicher, APIs oder virtuelle Maschinen, die dem Internet ausgesetzt sind.
- IoT-Geräte: Mit dem Internet verbundene Geräte wie Kameras, Sensoren oder intelligente Geräte, die oft keine starken Sicherheitskontrollen aufweisen.
- Veraltete Software: Anwendungen oder Betriebssysteme mit ungepatchten Schwachstellen, die Angreifer ausnutzen können.
- Benutzeranmeldeinformationen: Schwache oder gestohlene Passwörter, die es Angreifern ermöglichen, interne Systeme oder Netzwerke zu infiltrieren.
Die Social Engineering Angriffsfläche
Die Angriffsfläche des Social Engineering konzentriert sich auf das menschliche Element und nutzt das Vertrauen und die Anfälligkeit von Mitarbeitern oder Benutzern für Manipulation. Angreifer verwenden oft psychologische Taktiken, um Personen dazu zu bringen, sensible Informationen preiszugeben oder Maßnahmen durchzuführen, die die Sicherheit gefährden.
- Phishing-E-Mails: Betrügerische Nachrichten, die Empfänger dazu bringen sollen, auf bösartige Links zu klicken oder Anmeldedaten bereitzustellen.
- Vortext: Szenarien, in denen Angreifer sich als vertrauenswürdige Personen oder Organisationen ausgeben, um Informationen oder Zugriff zu erhalten.
- Ködern: Bieten Sie etwas Verlockendes an, wie z. B. ein gefälschtes Stellenangebot oder eine Werbeprämie, um Opfer in eine Falle zu locken.
- Nachahmung: Geben Sie vor, ein vertrauenswürdiger Kollege, Anbieter oder Führungskraft zu sein, um das Vertrauen des Ziels auszunutzen.
- Tailgating: Physischer Zugang zu sicheren Bereichen durch Befolgung von autorisiertem Personal ohne ordnungsgemäße Berechtigung.
Beziehung zwischen ASM und XDR
Angriffsflächenmanagement reduziert die Möglichkeit von Cyberangriffen und Eindringlingen während normaler Zeiten und verhindert so das Auftreten schwerwiegender Vorfälle, die die Geschäftskontinuität beeinträchtigen könnten. Andererseits werden aufgrund der jüngsten Komplexität von Cyberangriffen Gegenmaßnahmen empfohlen, die auf der Annahme von Intrusion basieren, und Technologien wie XDR (Extended Detection and Response) unterstützen die Erkennung und Reaktion von Bedrohungen. Das Angriffsflächenrisikomanagement ist eine proaktive Gegenmaßnahme, bevor ein Vorfall eintritt, während XDR als reaktive Gegenmaßnahme nach einem Vorfall positioniert ist, aber die beiden Technologien sollten eng zusammenarbeiten.
Durch die Überwachung von Risiken durch Angriffsflächenrisikomanagement während normaler Zeiten kann die Anzahl der Vorfälle reduziert werden, was zu einer Verringerung der Belastung durch reaktive Reaktionen auf Vorfälle mit XDR führt. Darüber hinaus können Informationen über Angriffsspuren, die von XDR erkannt wurden, an das Attack Surface Risk Management als Ziel für die Risikobewertung zu normalen Zeiten weitergegeben werden, was zu einer genaueren Berechnung des Risikoscores beiträgt.
Auf diese Weise ergänzen sich Angriffsflächenrisikomanagement und XDR zwar durch verschiedene Technologien, aber sie ergänzen sich gegenseitig, indem sie Informationen austauschen, was sich synergistisch auf die Reduzierung der Anzahl von Vorfällen und die Belastung der Reaktion auswirkt. Daher ist es wichtig, eine Plattform zu haben, die es den beiden Technologien ermöglicht, sich gegenseitig zu ergänzen.
Trend Micros ASM-Lösung
Klicken Sie hier, um Gegner mit vollständiger Transparenz, intelligenter Priorisierung und automatisierter Minderung zu übertreffen.