Was ist Continuous Threat Exposure Management (CTEM)?

Während wir die digitale Transformation zügig vorantreiben, wird die Anzahl der Schwachstellen, die wir beheben müssen, unüberschaubar. Um das Risiko einer Gefährdung zu verringern, benötigen wir einen neuartigen Ansatz, der uns hilft, potenzielle Angriffsbereiche zu verstehen, unsere Maßnahmen effektiv zu priorisieren und Fortschritte im Laufe der Zeit zu verfolgen.

Continuous Threat Exposure Management geht über die bloße Verwaltung von Schwachstellen hinaus. Es handelt sich um einen zukunftsorientierten Rahmen, der sich auf die Bewältigung eines breiteren Spektrums von Risiken konzentriert, die sich voraussichtlich auf unsere Geschäftsprioritäten auswirken.

In diesem Artikel wird eine effektive Methode zur Erstellung eines kohärenten und praktischen Sicherheitsverbesserungsplans beschrieben, den Unternehmensleiter leicht verstehen und Ingenieure effektiv umsetzen können.

Was ist Continuous Threat Exposure Management (CTEM)?

Im Juli 2022 stellte Gartner das Konzept von CTEM vor, ein Framework, das es Unternehmen ermöglicht, die Verwundbarkeit ihrer physischen und digitalen Vermögenswerte kontinuierlich und konsistent zu bewerten.

Das Ziel der CTEM-Programmphasen besteht darin, klar definierte Sicherheits- und Risikomanagementstrategien zu etablieren, die mit den Geschäftszielen übereinstimmen. Durch kontinuierliche Risikominimierung, Verbesserung der Widerstandsfähigkeit und Förderung der Zusammenarbeit können Unternehmen ihre allgemeine Sicherheitslage verbessern.

CTEM überwindet die Einschränkungen herkömmlicher Methoden des Informationssicherheitsrisikomanagements, indem es Sicherheitslücken in der Infrastruktur eines Unternehmens aktiv und regelmäßig identifiziert, bewertet, überwacht und reduziert, bevor sie Schaden anrichten können.

Was sind die fünf Phasen von CTEM?

Ein CTEM-Programm folgt einer zyklischen Struktur, die aus fünf Phasen besteht, wobei jede Phase den iterativen Prozess wiederholt.

1. Umfang

Jedes CTEM-Projekt beginnt mit der Definition eines spezifischen Umfangs, der geschäftskritische Vermögenswerte umfasst, die identifiziert, getestet und gestärkt werden müssen.

Im Idealfall sollten bei der Festlegung des Scopings alle Beteiligten einbezogen werden, einschließlich IT-Betrieb, Governance, Risiko, Compliance und Asset-Eigentümer. Sie müssen gemeinsam die gesamte Angriffsfläche des Unternehmens berücksichtigen, sowohl intern als auch extern, einschließlich Faktoren wie Cloud-Infrastruktur, Software-Lieferkette und Anwendungsrisiken sowie Gebäude und Hardware.

2. Entdeckung

In dieser Phase führen Sicherheitsteams eine Bestandsaufnahme der Vermögenswerte durch und bewerten Risikoprofile auf der Grundlage des früheren Scoping-Prozesses. Sie erfassen Vermögenswerte, Schwachstellen, Fehlkonfigurationen, Technologien und Risiken, um ein umfassendes Verständnis zu erlangen.

Allerdings ist nicht jede Schwachstelle oder Fehlkonfiguration gleichermaßen relevant. Auch der Versuch, alle Schwachstellen sofort zu beheben, ist unpraktisch. Daher ist eine Priorisierung von entscheidender Bedeutung, um zu bestimmen, welche Schwachstellen zuerst behoben werden sollten.

3. Priorisierung

Der Zweck der Priorisierung besteht darin, festzustellen, welche Bedrohungen mit größerer Wahrscheinlichkeit ausgenutzt werden und ein unmittelbares Risiko für das Unternehmen darstellen. Die Priorisierung geht über die Zuweisung von Schweregradwerten für Schwachstellen hinaus. Sicherheitsteams sollten die folgenden Faktoren berücksichtigen, um fundierte Entscheidungen zu treffen:

• Ausnutzbarkeit: Bewerten Sie, wie einfach es für einen Angreifer ist, die Bedrohung auszunutzen.
• Wirksamkeit von Sicherheitskontrollen: Bewerten Sie die Abhilfemöglichkeiten vorhandener Sicherheitsmaßnahmen.
• Netzwerktopologie: Verstehen Sie, wie sich Netzwerksicherheitsbedrohungen über die Infrastruktur des Unternehmens ausbreiten können.
• Risikobereitschaft: Berücksichtigen Sie die Risikotoleranz Ihres Unternehmens und priorisieren Sie Bedrohungen, die mit der Risikoschwelle übereinstimmen.
• Gesamtauswirkung: Bewerten Sie die potenziellen Folgen einer Bedrohung, einschließlich finanzieller Verluste, Reputationsschäden, Betriebsunterbrechungen und Compliance-Verstöße aufgrund einer erfolgreichen Ausnutzung.

4. Validierung

Während der Validierungsphase bewerten Organisationen, wie sie mit einem tatsächlichen Angriff umgehen würden, und bewerten ihre Fähigkeit, sich dagegen zu verteidigen. Diese Bewertung muss über die Identifizierung potenzieller Bedrohungen hinausgehen und die Validierung von Sicherheitskontrollen und die Festlegung der Reihenfolge der Schwachstellenbehebung mithilfe simulierter Angriffe umfassen.

Durch die Durchführung einer Kombination aus technischen Bewertungen wie Penetrationstests, Red Teaming, Simulation von Datenschutzverletzungen und Angriffen sowie Angriffspfadanalysen liefern Sicherheitsteams Beweise, die ihre Priorisierungsentscheidungen unterstützen und sowohl dem IT-Betrieb als auch den Geschäftsinteressengruppen wirksam den Bedarf an Abhilfemaßnahmen aufzeigen .

Diese Erkenntnisse sind von entscheidender Bedeutung für den Prozess der Erstellung und Verbesserung eines Reaktionsplans für Cybersicherheitsvorfälle.

5. Mobilisierung

Während des Mobilisierungsschritts ergreifen Organisationen Maßnahmen, um ihre Sicherheitslage zu verbessern. Sie integrieren die Erkenntnisse aus dem Validierungsprozess in die Schritte zur Behebung von Schwachstellen und ermöglichen so eine schnelle Umsetzung und verbesserte Effizienz.

Um die Anhäufung einer langen Liste ungelöster Schwachstellen zu verhindern, ist es wichtig, Verzögerungen zu beheben, die durch Genehmigungsprozesse und Missverständnisse zwischen verschiedenen Teams verursacht werden. Durch die Konzentration auf Prioritäten, die mit den Geschäftszielen übereinstimmen, können die relevantesten Bedrohungen umgehend angegangen werden. Auf diese Weise werden Schwachstellen behoben, bevor böswillige Akteure sie ausnutzen können, was die Bemühungen zum Business Continuity Management gefährdet.

Um einen umfassenden Ansatz zu gewährleisten, ist es wichtig, alle Beteiligten einzubeziehen, auch wenn sie mit Sicherheitsfragen weniger vertraut sind.

Wie unterscheidet sich CTEM von herkömmlichen Vulnerability-Management-Programmen?

CTEM unterscheidet sich von herkömmlichen Schwachstellenmanagementprogrammen durch die folgenden sechs Merkmale:

1. Proaktiver Ansatz

Während herkömmliche Programme bekannte Schwachstellen reaktiv identifizieren und beheben, nimmt CTEM eine proaktive Haltung ein, indem es die Bedrohungslandschaft kontinuierlich überwacht. Es priorisiert die Behebung identifizierter Bedrohungen und Schwachstellen, bevor Hacker sie ausnutzen können.

2. Breiter Anwendungsbereich

Im Gegensatz zu herkömmlichen Programmen, die sich ausschließlich auf technische Schwachstellen konzentrieren, verfolgt CTEM eine ganzheitliche Sichtweise. Dabei wird berücksichtigt, dass Bedrohungen aus verschiedenen Quellen stammen können, beispielsweise Konfigurationsfehlern, missbräuchlich verwendeten Anmeldeinformationen und Insider-Bedrohungen.

3. Geschäftsorientierte Priorisierung

Beim herkömmlichen Schwachstellenmanagement fällt es oft schwer, Behebungsbemühungen effektiv zu priorisieren, was dazu führt, dass alle Schwachstellen ungeachtet ihres Schweregrads gepatcht werden. Umgekehrt richtet CTEM seine Priorisierung an den Geschäftszielen aus und konzentriert sich auf die kritischsten Bedrohungen und Schwachstellen, die sich auf die wertvollsten Vermögenswerte des Unternehmens auswirken könnten.

4. Kontinuierliche Verbesserung

Herkömmliche Programme verfolgen in der Regel einen Point-in-Time-Ansatz, führen regelmäßige Scans durch und fahren dann fort. Im Gegensatz dazu fördert CTEM einen Zyklus kontinuierlicher Verbesserung, bei dem die Sicherheitslage der Organisation ständig überwacht, bewertet und verbessert wird.

5. Integration mit Sicherheitskontrollen

Das traditionelle Schwachstellenmanagement funktioniert oft getrennt von anderen Sicherheitsmaßnahmen. CTEM lässt sich jedoch in bestehende Sicherheitskontrollen integrieren und fördert so einen umfassenderen und effektiveren Ansatz zur Bewältigung der Bedrohungslage.

6. Schwerpunkt auf Validierung

Während herkömmliche Frameworks stark auf Schwachstellenbewertungen basieren, legt CTEM großen Wert auf die Validierung, um die Abwehrkräfte des Unternehmens gegen simulierte Angriffe zu testen.

Vorteile von CTEM

Laut Gartner wird sich die Wahrscheinlichkeit eines Sicherheitsverstoßes bei Unternehmen, die ein kontinuierliches Bedrohungsmanagementprogramm implementieren, bis zum Jahr 2026 verdreifachen.

Durch die Übernahme des CTEM-Ansatzes können Organisationen Bedrohungen proaktiv und vorausschauend angehen, anstatt sich auf reaktive und reaktionsfähige Maßnahmen zu verlassen. Diese Strategie ermöglicht es ihnen, Schwachstellengeräusche zu reduzieren, Risiken zu minimieren und eine verbesserte Zusammenarbeit zwischen verschiedenen Organisationsfunktionen zu fördern.

Um CTEM effektiv umzusetzen, müssen Unternehmen jedoch sicherstellen, dass ihre unterstützenden Tools nicht isoliert und vollständig integriert sind.

Herausforderungen der CTEM-Implementierung

Die Implementierung eines CTEM-Programms ist eine lohnenswerte Initiative, aber Sie müssen sich zunächst einigen Herausforderungen stellen, um eine erfolgreiche Umsetzung sicherzustellen. Wenn Sie diese Herausforderungen frühzeitig angehen, sparen Sie später Zeit und Frustration.

1. Angleichung von Nicht-Sicherheits- und Sicherheitsteams

IT-Infrastruktur, DevOps und Sicherheitsteams weisen häufig Kommunikationslücken auf. Diese Diskrepanz wird noch problematischer, wenn neue Programme wie CTEM implementiert werden. Dies kann zu Verwirrung über die Eigentumsverhältnisse, mangelnder Übereinstimmung mit den Erwartungen und anderen Problemen führen.

Um dieser Herausforderung zu begegnen, beziehen Sie Interessenvertreter aus Nicht-Sicherheitsteams von Anfang an mit ein. Es reicht nicht aus, ihnen nur eine To-Do-Liste zur Verfügung zu stellen. Nehmen Sie sich die Zeit, die Ziele des CTEM-Programms zu erläutern, und stellen Sie sicher, dass sie die Ziele richtig verstehen. Holen Sie ihren Input ein, verstehen Sie ihre Bedürfnisse und finden Sie heraus, wie Sie ihnen die Arbeit erleichtern können.

Erwägen Sie außerdem die Einführung eines Schulungsprogramms zur Sensibilisierung für das Thema Sicherheit, um Ihre Mitarbeiter über gängige Arten von Cyberangriffen und deren geschäftliche Auswirkungen aufzuklären und ihnen zu helfen, zu verstehen, welche Relevanz diese für ihre Arbeit haben.

2. Erstellen einer umfassenden Sicht

Ein umfassendes CTEM-Programm umfasst verschiedene Bereiche, beispielsweise Cloud- und Software-Schwachstellen sowie Netzwerksicherheit. Traditionell arbeitet jeder Bereich in seinem eigenen Silo mit separaten Eigentümern, Tools und zu lösenden Problemen. CTEM zielt darauf ab, diese Bereiche zu vereinen, um Informationen so zu aggregieren, dass jeder Prioritäten und Verantwortlichkeiten verstehen und eine ganzheitliche Perspektive schaffen kann.

Um diese Herausforderung zu meistern, benennen Sie eine „Kontaktperson“, die eine umfassende Sichtweise einnehmen und verstehen kann, wie alle abgedeckten Bereiche zusammenlaufen und sich gegenseitig beeinflussen. Diese Person muss nicht über detaillierte Fachkenntnisse in jedem Tool oder jeder Sicherheitskategorie verfügen. Dennoch sollten sie das Gesamtbild erfassen und sicherstellen, dass alle Bereiche berücksichtigt und kontinuierlich von Fachleuten mit Spezialwissen bearbeitet werden.

3. Bewältigung der Diagnoseüberlastung

Da CTEM verschiedene Bereiche mit jeweils eigenen Werkzeugen und Warnungen abdeckt, kann es zu einer überwältigenden Menge an Fremdgeräuschen kommen. Die Rationalisierung von Informationen ist ein Hauptziel von CTEM. Dennoch kann dieses Programm zu erheblichen Signalstörungen durch mehrere Tools führen.

Um diese Herausforderung anzugehen:

• Akzeptieren Sie, dass es fast unmöglich ist, jedes Problem zu lösen, und konzentrieren Sie sich auf Priorisierung und Effizienz.
• Identifizieren Sie Bereiche und Gefährdungen, die Angreifer am wahrscheinlichsten ausnutzen und die die größten geschäftlichen Auswirkungen haben.
• Erwägen Sie, mit einem „Kriechen, Gehen, Laufen“-Ansatz zu beginnen, bei dem Sie mit einem kleinen Umfang beginnen und ihn mit zunehmender Reife des Programms schrittweise erweitern.

Abschluss

Herkömmliche Ansätze zur Gewährleistung der Sicherheit müssen mit den sich schnell entwickelnden Bedrohungen und wachsenden Angriffsflächen Schritt halten. Technologieorientierte Bewertungen führen oft zu langwierigen Berichten und allgemeinen Empfehlungen, auf die Führungskräfte selten reagieren. Auch Schwachstellenmanagementprogramme haben Schwierigkeiten, mit der wachsenden Zahl von Verbindlichkeiten in großen Organisationen Schritt zu halten.

Diese Herausforderungen machen herkömmliche Methoden zur Schwachstellenminderung weniger effektiv. Das Ziel von CTEM besteht darin, einen konsistenten und umsetzbaren Plan zur Verbesserung der Sicherheit bereitzustellen, der leicht verständlich und kostengünstig umzusetzen ist.

Das Fazit ist, dass Unternehmen durch den Einsatz von CTEM ihre Sicherheit effektiv verbessern können, indem sie potenzielle Schwachstellen identifizieren und beheben, bevor böswillige Akteure sie ausnutzen können.