Was End-of-Life-Software für Ihr Unternehmen bedeutet

Die Technologie in der modernen Ära schreitet schnell voran. In der Vergangenheit entstanden auch neue Technologien schnell, aber Neuheiten im Zeitalter der Datenverarbeitung treten innerhalb weniger Tage, manchmal sogar Minuten, auf. Verwenden Sie denselben Computer oder dasselbe Mobiltelefon wie vor fünf Jahren? Und wie oft führen Sie Software-Updates oder Patches auf Ihren Geräten durch?

Wenn Sie wirklich anfangen, über das Tempo der Erfindungen im modernen Computerzeitalter nachzudenken, erkennen Sie vielleicht, dass Hardware und Software möglicherweise nur für einen begrenzten Zeitraum verwendet werden. Aus einer Vielzahl von Gründen erreichen diese Tools das sogenannte End-of-Life (EOL), woraufhin Support und Wartung für das Tool nicht mehr aufrechterhalten werden. Wenn die Software das Ende ihrer Lebensdauer erreicht hat, müssen Sie entscheiden, ob Sie auf eine neuere Version aktualisieren oder sie durch eine Alternative ersetzen möchten, die aktiv unterstützt wird.

Wenn Sie sich dafür entscheiden, Ihr Produkt am Ende seiner Lebensdauer nicht zu aktualisieren oder zu ersetzen, funktioniert Ihre Software möglicherweise ohne Vorankündigung nicht mehr. Ohne Wartungsupdates könnte das Produkt neue Schwachstellen, Fehler und Sicherheitsrisiken in Ihre Software-Lieferkette einführen.

All diese Möglichkeiten lassen eine Schlussfolgerung zu: Achten Sie genau auf die End-of-Life-Bestimmungen Ihrer Software und sorgen Sie für einen Prozess der Wartung oder Migration. Software, die mit einem End-of-Life-Befund versehen ist, kann zu Sicherheitslücken in Ihrem technischen Stack führen. Identifizieren Sie Risiken aufgrund von End-of-Life-Erkenntnissen und koordinieren Sie Aktualisierungen mit Ihrem Angriffsflächenmanagement und den Risikomanagementprozessen von Drittanbietern, um Ihr Risiko aufgrund von End-of-Life-Software zu begrenzen.

Wie sich End-of-Life-Software auf Ihr Unternehmen auswirkt

Wenn neue Schwachstellen in einem Produkt identifiziert werden, das von einer veralteten Software betroffen ist, steht kein Patch zur Verfügung, um sie zu beheben. Diese Schwachstellen bleiben verwundbar, und Hacker und andere böswillige Akteure können versuchen, diese Schwachstellen auszunutzen, um sich für schändliche Zwecke Zugang zu Ihrem System zu verschaffen. Veraltete Software kann eine Hintertür in Ihr System einführen, die zu Datenschutzverletzungen wie der WannaCry-Ausnutzung auf Microsoft Windows-Systemen führen kann. Sie können eine gewisse Risikominderung durch Firewalls und Antiviren-Unterstützung verwalten, aber diese bieten nur begrenzten Schutz vor anhaltenden Schwachstellen und ungepatchten Fehlern.

Sich auf veraltete Software zu verlassen, ist nicht nur ein Problem für die Cybersicherheit. In Ihrer Organisation besteht möglicherweise das Risiko, dass während der Systemmigration Daten verloren gehen. Wenn Ihr Produkt mit einem veralteten Tool erstellt wurde, das nur wenige Leute bedienen können, wird es schwierig, Ihr Produkt zu iterieren und zu innovieren. Wenn diese Personen zu anderen Projekten wechseln, verlieren Sie möglicherweise sogar den Zugriff auf Ihre Tools. Es kann sogar sein, dass niemand die Systemupdates verwaltet, so dass die Migration von der EOL-Version mehr Arbeit erfordern kann als die Migration von einer neueren Version. Ihre Betriebskosten für den technischen Support werden wahrscheinlich steigen, wenn Sie versuchen, Software über den Support-Lebenszyklus hinaus zu verwalten.

Wenn Software ihr End-of-Life-Datum erreicht, kann sie mit anderer Software, die Sie verwenden, inkompatibel sein, oder es kann bedeuten, dass Ihr Produkt bestimmte Compliance-Vorschriften wie PCI-DSS, HIPAA und GDPR nicht erfüllen kann. Softwareinkompatibilität kann zu potenziellem Datenverlust führen, und Workloads können durch nicht gepatchte Fehler belastet werden.

Die Erfahrung Ihrer Kunden kann auch unter veralteter Software leiden. Ohne Wartung, um sicherzustellen, dass die veraltete Software weiterhin auf dem erwarteten Niveau funktioniert, können die mit dieser Software erstellten Apps unter Leistungseinbußen, Zuverlässigkeitsverlusten oder unerwarteten Ausfallzeiten leiden. Ihr System wird nicht mit Fehlerbehebungen oder Sicherheitsupdates gepatcht. Da Kunden von Cloud-Diensten auf eine hohe Verfügbarkeit und Self-Service angewiesen sind, ist es wichtig, dass Ihr System für die Benutzer verfügbar bleibt.

Erleben Sie die Funktionen von UpGuard zur Verwaltung der Angriffsfläche mit dieser selbstgeführten Produkttour >

Identifizieren Sie die Risiken Ihrer Software am Ende ihrer Lebensdauer

Es wird immer schwieriger, den Überblick über alle Release-Updates und End-of-Life-Softwaredaten zu behalten, insbesondere bei Cloud-Diensten, die mit einer Vielzahl von Software-Tools erstellt wurden. Sie können zwar Versionshinweise und Versionierungsinformationen für alle Software manuell überprüfen, um den Produktlebenszyklus zu identifizieren, aber das kann zeitintensiv und schwer zu verfolgen sein. Eine manuelle Auswertung ist nur bei einer vollständigen Asset-Inventur möglich, die ebenfalls schwer zu pflegen ist, wenn nur periodisch Software in die Inventur aufgenommen wird.

Sie können ein Scan-Tool in Ihr Software-Ökosystem integrieren, um den Prozess zu automatisieren, sodass Sie die Informationen nicht manuell durchsuchen müssen, um herauszufinden, welche Version der Software gerade verwendet wird. UpGuard BreachSight bietet beispielsweise einen automatisierten Scan Ihrer öffentlich zugänglichen Assets, der Ihnen helfen kann, zu erkennen, wann bestimmte Softwareversionen möglicherweise das Ende ihrer Lebensdauer erreicht haben. Mit Scan-Tools können Sie sowohl das End-of-Life-Datum als auch das End-of-Support-Datum (EOS) nachverfolgen. Das Scannen der externen Angriffsfläche löst das Problem der Verwaltung des Asset-Inventars, da das automatisierte Scannen Produkte identifizieren kann, von denen Sie möglicherweise nicht wussten, dass sie verwendet werden.

Die Regierung der Vereinigten Staaten hat Bundesgesetze veröffentlicht, die Datensicherheitsstandards regeln, einschließlich FISMA. FISMA 44 § 3551 definiert Software Bill of Materials (SBOM) als "eine formale Aufzeichnung, die die Details und Lieferkettenbeziehungen verschiedener Komponenten enthält, die bei der Erstellung von Software verwendet werden". SBOMs wurden von der US-Regierung mit der Executive Order 140258 weiter definiert, die die Standardkategorieanforderungen für eine SBOM festlegt: Datenfelder mit Lieferanteninformationen, Automatisierungsunterstützung für bestimmte Datenformate und betriebliche Prozesse. Sie können sich über die Details Ihres Software-Ökosystems informieren, wenn Sie die SBOM für alle Softwareanbieter überprüfen, die in Ihre Geschäftspraxis integriert sind. Einige Softwareanbieter veröffentlichen auch eine Mitteilung über das Ende des Verkaufs, nach der diese Software nicht mehr zum Kauf angeboten wird (auch wenn sie weiterhin verwendet wird).

Sobald Sie wissen, wie Sie Software mit einem bevorstehenden End-of-Life-Zyklus identifizieren können, können Sie Ihren End-of-Life-Mitigationsprozess planen, sei es durch ein Update auf eine neuere Version, den Wechsel zu einem anderen Tool oder die vollständige Abschaffung dieser Software.

Planen von Softwareupdates am Ende der Lebensdauer

Um zu vermeiden, dass Ihre Software-Lieferkette neuen Schwachstellen ausgesetzt ist, die sich aus der Abschaffung des End-of-Life-Status ergeben, können Sie eine regelmäßige End-of-Life-Bewertung durchführen, um festzustellen, welche Software kürzlich ihr End-of-Life-Ende erreicht hat oder was möglicherweise bevorsteht. Durch das Aktualisieren Ihrer EOL-Software wird sichergestellt, dass Ihr System und alle Softwareabhängigkeiten die Funktionalität beibehalten.

Beginnen Sie damit, Ihren Bestand an IT-Ressourcen zu überprüfen oder einen zu erstellen, falls Sie noch keinen haben. Sie können die Versionsnummer der Software und alle Lizenzinformationen, wie z. B. das Ablaufdatum der Lizenz, neben den verschiedenen Betriebssystemen angeben, die für Ihr System verwendet werden. Halten Sie diesen Bestand auf dem neuesten Stand, damit Sie immer wissen, welche Software in Ihrem Unternehmen im Einsatz ist.

Wenn Ihr Softwarebestand eingerichtet ist, können Sie bewerten, wann Software aktualisiert werden muss, sei es aufgrund von Sicherheitspatches, Kompatibilitätsupdates oder der Benachrichtigung über das Ende des Service. Führen Sie regelmäßig eine End-of-Life-Bewertung durch, um sicherzustellen, dass Ihr System auf dem neuesten Stand ist und dass Sie Apps entfernen, die nicht mehr unterstützt werden. Da verschiedene Softwareanbieter unterschiedliche EOL-Zyklen und -Richtlinien verwalten, müssen Sie die unterstützte Dauer für jeden Anbieter und den Ort, an dem sie diese Daten bereitstellen, nachverfolgen. Sie können einen Software-Schwachstellenscanner verwenden, um bekannte Schwachstellen zu identifizieren, z. B. Erinnerungen an End-of-Life-Software. UpGuard BreachSight bietet eine kontinuierliche Überwachung auf Schwachstellen, einschließlich EOL-Software-Hinweisen.

Wenn End-of-Life-Software identifiziert wird, können Sie auf eine aktualisierte Version (falls verfügbar) migrieren und die End-of-Life-Version deinstallieren. Einige Softwareanbieter bieten erweiterten Support für einen kurzen Zeitraum nach dem EOL-Datum an, während dessen das Produkt Sicherheitsupdates länger als die typische EOL-Richtlinie erhält. Wenn die Software vollständig veraltet ist, stellen Sie sicher, dass Sie Ihre Daten für die Migration zu einem neuen Tool exportieren. Die Softwaremigration kann ein großes Projekt sein, daher ist es wichtig, bevorstehende EOL/EOS-Abschreibungen zu erkennen, bevor das Produkt nicht mehr unterstützt wird. Um sicherzustellen, dass Ihr System geschützt ist, stellen Sie sicher, dass Sie eine Zugriffskontrolle für Updates implementieren und den privilegierten Zugriff auf das Netzwerk auf die erforderlichen Tools und Personen beschränken.

Wenn neue Risiken aufgrund einer veralteten End-of-Life-Software eingeführt werden, müssen Sie möglicherweise die Behebung von Schwachstellen in Ihre End-of-Life-Bewertung einbeziehen, damit Sie sicherstellen können, dass Ihr System vollständig vor Bedrohungsakteuren geschützt ist.

All diese Aktivitäten können Teil Ihres Risikomanagementprozesses sein, sei es in Ihrem Angriffsflächenmanagement oder in Ihrem Risikomanagement von Drittanbietern. Wenn Sie die Prozesse mit Ihrem Beschaffungsteam (oder, wenn Sie das Beschaffungsteam sind), koordinieren, stellen Sie sicher, dass Sie über einen zuverlässigen Prozess für das Lieferantenrisikomanagement verfügen. Wenn Sie immer noch über Ihre TRPM- und VRM-Optionen nachdenken, lesen Sie weiter, um zu verstehen, wie UpGuard Ihre Anforderungen an die EOL-Minderung Ihrer Software unterstützen kann.

Klärung von Befunden von Risiken am Lebensende

Bevor Sie Best Practices für den Sicherheitsplan Ihrer Organisation koordinieren können, müssen Sie das volle Ausmaß der externen Risiken kennen, mit denen Ihre Organisation konfrontiert ist, aber die manuelle Identifizierung dieser Risiken kann zeitaufwändig und arbeitsintensiv sein. Sie können eine Bestandsanalyse für Ihre Betriebssysteme, Ihren Software-Stack und nachfolgende Abhängigkeiten durchführen. Verwenden Sie das Asset-Inventar, um nicht mehr verwendete Software zu identifizieren, die auslaufen kann, sowie alle Software, die ein Update benötigt.

Die Fehlerbehebung bei Fehlern und die Minderung von Risikoergebnissen werden schneller durchgeführt, wenn Sie nicht jeden einzelnen selbst suchen müssen. Wenn Ihr Unternehmen wächst, wird es immer schwieriger, das manuelle Software-Lebenszyklusmanagement und End-of-Life-Updates durchzuführen. Optimieren Sie diesen Prozess mit einem automatisierten Service, der den Bedarf an Ihrem Software-Lifecycle-Management ermitteln kann.

Mit der kontinuierlichen Überwachung auf einer Plattform können Sie die Scanfunktionen und die automatisierte Risikoerkennung von UpGuard nutzen, um zu identifizieren, welche Software aufgrund eines bevorstehenden End-of-Life-Zyklus neue Risiken verursachen kann. UpGuard sammelt Daten mit nicht-intrusiven Techniken, identifiziert den Schweregrad in Übereinstimmung mit dem Common Vulnerability Scoring System (CVSS) und bietet Sicherheitsbewertungen basierend auf den gesammelten Daten.

Sie können Ihr Risikoprofil proaktiv überprüfen und Schwachstellen in UpGuard BreachSight filtern, um Ihre Risikoexposition auf der Plattform zu untersuchen. In UpGuard Vendor Risk können Sie die Risikopositionen von Anbietern anzeigen, indem Sie das Portfolio-Risikoprofil filtern. Sie können auch eine Schnittstelle mit der UpGuard-API herstellen, um Risiken abzurufen, die für Ihr Konto oder für Anbieter programmgesteuert erkannt wurden. Diese Risikodetails sind sowohl innerhalb der Plattform als auch über die Befehlszeile zugänglich und bieten zusätzliche Informationen für jedes bestimmte Risiko. Sie können Schweregrade verwenden, um verbesserungswürdige Bereiche zu selektieren.

UpGuard kommuniziert End-of-Life-Software mit einer End-of-Life-Version der erkannten Software und gibt an, um welche Art von Software es sich bei jedem einzelnen Risiko handelt. Aktuelle UpGuard-Benutzer mit der BreachSight-Funktion können sich anmelden und auf ihr Risikoprofil zugreifen, um in ihren Assets nach Hinweisen zum Ende ihrer Lebensdauer zu suchen. Wenn Sie noch kein UpGuard-Benutzer sind und Ihre Assets auf Hinweise zum Ende ihrer Lebensdauer überprüfen möchten, melden Sie sich für eine Testversion an.