Warum scheitern Unternehmen bei der Reaktion auf Vorfälle?

Laut dem M-TRENDS 2018-Bericht von Fireeye beträgt die durchschnittliche Zeit, die Unternehmen benötigen, um eine Datenschutzverletzung zu erkennen und darauf zu reagieren, 99 Tage. Es ist nicht so, dass Unternehmen keine Pläne zur Reaktion auf Vorfälle haben. Diese werden nur selten getestet und sind oft ineffektiv.

Die gute Nachricht ist, dass die „Verweildauer“ für die Bearbeitung von Sicherheitsvorfällen im Laufe der Zeit allmählich abgenommen hat, da Unternehmen neue und verbesserte Tools einführen, die ihnen helfen, verdächtiges Verhalten zu erkennen. Natürlich gibt es viel Raum für Verbesserungen.

Es gibt drei Hauptgründe, warum Unternehmen nicht rechtzeitig auf Sicherheitsvorfälle reagieren.

1. Ein Mangel an technischem Fachwissen

Da die Häufigkeit und Komplexität der Angriffsvektoren in den letzten Jahren zugenommen hat, ist natürlich auch die Zahl der Tools und Technologien, mit denen man ihnen entgegenwirken kann, explosionsartig angestiegen. Das Problem besteht jedoch nicht darin, dass Unternehmen nicht über genügend Technologie verfügen, sondern darin, dass es ihnen oft an technischem Fachwissen mangelt, um diese effektiv zu nutzen.

Unternehmen haben oft begrenzte Budgets und es ist für Sicherheitsteams in der Regel einfacher, Manager dazu zu bewegen, für teurere Technologie zu zahlen, als mehr Personal einzustellen. Erschwerend kommt hinzu, dass es einen gravierenden Mangel an Cyber-Sicherheitsfachkräften gibt und sie daher häufig stattdessen eine Reihe weniger qualifizierter Sicherheitskräfte einstellen müssen. Um den Mangel an technischem Fachwissen auszugleichen, sollten alle vorhersehbaren und wiederholbaren Prozesse automatisiert und nach Möglichkeit maschinelles Lernen eingesetzt werden.

Ein weiteres Problem, mit dem Organisationen konfrontiert sind, ist der Verlust von „Stammeswissen“, der auftritt, wenn ein erfahrener Sicherheitsexperte eine Organisation verlässt. Stammeswissen ist „jede ungeschriebene Information, die anderen innerhalb eines Unternehmens nicht allgemein bekannt ist“, und ohne diese Informationen wird es für Sicherheitsteams sehr schwierig, rechtzeitig auf Vorfälle zu reagieren.

Natürlich ist es für Sicherheitsexperten eine gute Praxis, alle Informationen und Verfahren zu dokumentieren, die Sicherheitsteams helfen können, die Sicherheitslage ihres Netzwerks in den Griff zu bekommen; Jedes komplexe System weist jedoch viele Nuancen auf, die nur durch jahrelange Erfahrung mit demselben System erkannt werden können.

2. Zu viel Lärm

SIEM-Lösungen sind zweifellos hilfreich für die Aggregation, Analyse und Korrelation von Protokolldaten aus mehreren Quellen. Es erfordert jedoch sowohl Zeit als auch Ressourcen, die große Anzahl von Warnungen, die diese Systeme generieren, manuell zu sichten. Und während Sicherheitsteams Zeit damit verschwenden, diese Protokolle auf Hinweise auf einen Verstoß zu untersuchen, könnte vor ihrer Nase ein Cyberangriff stattfinden, ohne dass sie es merken.

Es ist erwähnenswert, dass die meisten Sicherheitsvorfälle von Insidern verursacht werden - ob absichtlich oder unbewusst. Sich allein auf SIEM-Lösungen zu verlassen, um das Benutzerverhalten zu überwachen, führt zu blinden Flecken, da diese nicht für diesen Zweck konzipiert sind. UBA-Lösungen (User Behavior Analytics) sind speziell darauf ausgelegt, verdächtige Benutzeraktionen zu erkennen, zu warnen und darauf zu reagieren. Die von ihnen generierten Berichte sind weitaus intuitiver als die der meisten SIEM-Lösungen und erfordern deutlich weniger technisches Fachwissen für die Installation, Konfiguration und Wartung.

3: Schwierigkeiten bei der Messung des Erfolgs des IRP

Es ist sehr schwierig, den Erfolg (oder Misserfolg) einer Sicherheitsstrategie zu messen, bis es zu einer Sicherheitsverletzung kommt. Beispielsweise wird die Verwendung des Return on Investment (ROI) als Messgröße für die Wirksamkeit eines Sicherheitsprogramms eindeutig nicht funktionieren, da Cybersicherheit nicht direkt profitabel ist. Vielmehr geht es bei der Sicherung der eigenen Daten darum, den Ruf des Unternehmens zu schützen und hohe Bußgelder zu vermeiden.

Wir benötigen klar definierte Protokolle zur Bewertung der Wirksamkeit unserer Ermittlungs-, Eindämmungs- und Schadensbegrenzungsstrategien. Solche Protokolle müssen wiederholbar, überprüfbar und für alle relevanten Mitarbeiter verständlich sein.

Was ist die Lösung?

Aufgrund des Budgets oder der Organisationsstruktur ist es nicht immer möglich, sowohl eine UBA- oder SIEM-Lösung zu kaufen als auch technisch versierte Mitarbeiter für deren Nutzung einzustellen. Glücklicherweise ist der Markt inzwischen ausgereift genug, um Lösungen anzubieten, die das Benutzerverhalten mit kritischen Daten und den umgebenden Systemen auf eine Art und Weise prüfen, überwachen und warnen, die kaum oder gar kein technisches Fachwissen erfordert. Einige dieser Lösungen bieten Ihnen auch die Möglichkeit, herauszufinden, wo sich Ihre sensibelsten Daten befinden, und sie nach Risiko zu klassifizieren.

Durch die Bereitstellung einer solchen Lösung in Ihrer Umgebung können Sie Ihre Reaktionszeit auf eine wahrgenommene Bedrohung drastisch verkürzen. Wenn Sie beispielsweise innerhalb kürzester Zeit eine große Anzahl von Dateinamenänderungen feststellen, könnte dies ein Hinweis auf einen Ransomware-Angriff sein. Mit einer Lösung zur Überwachung von Dateiänderungen wie der Lepide Data Security Platform können Sie solche Änderungen erkennen und durch die Ausführung eines benutzerdefinierten Skripts eine Reaktion automatisieren.

Letztendlich müssen Sie sich nach der Lösung umsehen, die am besten zu Ihrem Unternehmen passt. Wenn Sie jedoch sicherstellen möchten, dass Sie nicht zu den vielen Organisationen gehören, die bei der Reaktion auf Vorfälle weiterhin versagen, sollten Sie lieber früher als später mit der Suche beginnen!