Zeitbombe Reaktionszeit
Kommentar von Márton Illés, Product Evangelist beim Sicherheitsspezialisten BalaBit
(pressebox) München, 31.03.2015 - Zeit ist ein wichtiger Faktor der IT-Sicherheit. Wie schnell wird die Viren-Datenbank aktualisiert, das System gepatcht? Wie lange dauert es, einen Alarm zu untersuchen? Und so weiter, und so fort. Márton Illés, Product Evangelist beim Sicherheitsspezialisten BalaBit, gibt es zu denken, dass Unternehmen - wie etwa kürzlich das Transportunternehmen Uber - oft Monate brauchen, um einen Datendiebstahl überhaupt zu bemerken. Ist das normal? Wenn ja, können sich Unternehmen das leisten? Und was lässt sich dagegen tun?
Es war ziemlich genau vor einem Monat bei dem Taxi-Konkurrenten Uber, wir erinnern uns? Da machte das Unternehmen bekannt, dass ein einmaliger nicht autorisierter Zugriff - also ein Datendiebstahl - auf eine seiner Datenbanken stattgefunden hat. Und zwar angeblich am 13. Mai 2014. Entdeckt hat ihn Uber am 17. September 2014, bekannt gemacht am 27. Februar 2015.
Was mich jetzt aber ernsthaft ins Grübeln bringt: Ist eine Zeitspanne von vier Monaten für das Entdecken des Datenlecks eigentlich eine gute, schlechte oder durchschnittliche Dauer für Unternehmen? Klar: Es ist besser, ein Datenleck nach vier Monaten zu finden, als gar nicht. Aber vier Monate? Vier lange Monate, in denen sich ein Datendieb womöglich mehrmals bedienen kann. In denen er seine Spuren verwischen und sich und die gestohlenen Informationen in Sicherheit bringen und sie ohne Hetze verwenden kann. Nach so langer Zeit stehen auch kaum mehr genügend Daten zur Verfügung, um eine ordentliche forensische Analyse durchführen zu können.
Und Uber ist kein Einzelfall. Also warum brauchen Unternehmen so lange, um Lecks zu entdecken? Wieso dauert es dann noch ewig - selbst bei vergleichsweise kleinen Vorfällen, bei denen nicht sonderlich sensitive Daten verloren gehen - bis die Nachforschungen abgeschlossen und alle Betroffenen informiert sind?
Der Knackpunkt ist: Unternehmen müssen es schaffen, einen laufenden Angriff rechtzeitig zu erkennen. Denn nur dann lässt sich eine weitere Eskalation verhindern. Nur dann ist es möglich, die Hacker zu verfolgen und möglicherweise deren Identität zu ermitteln. Und es können rechtzeitig erforderliche Gegenmaßnahmen eingeleitet werden, die die Datendiebe daran hindern, die gestohlenen Informationen zu nutzen.
Zugegeben ist es nicht einfach, einen einmaligen, unautorisierten Zugriff zu ermitteln. Es ist ein wenig so wie die Nadel im Heuhaufen zu finden. Aber es besteht für Unternehmen durchaus die Möglichkeit, sich die richtige Brille aufzusetzen, mit der sich solch eine Bedrohung erkennen lässt: Neben einem guten Patch-Management, das Einfallstore schnellstmöglich schließt, ist es daher dringend an der Zeit, in verbesserte Monitoring-Funktionen zu investieren - und dadurch die Entdeckungszeit von vier Monaten auf vier Stunden zu verkürzen.
Es war ziemlich genau vor einem Monat bei dem Taxi-Konkurrenten Uber, wir erinnern uns? Da machte das Unternehmen bekannt, dass ein einmaliger nicht autorisierter Zugriff - also ein Datendiebstahl - auf eine seiner Datenbanken stattgefunden hat. Und zwar angeblich am 13. Mai 2014. Entdeckt hat ihn Uber am 17. September 2014, bekannt gemacht am 27. Februar 2015.
Was mich jetzt aber ernsthaft ins Grübeln bringt: Ist eine Zeitspanne von vier Monaten für das Entdecken des Datenlecks eigentlich eine gute, schlechte oder durchschnittliche Dauer für Unternehmen? Klar: Es ist besser, ein Datenleck nach vier Monaten zu finden, als gar nicht. Aber vier Monate? Vier lange Monate, in denen sich ein Datendieb womöglich mehrmals bedienen kann. In denen er seine Spuren verwischen und sich und die gestohlenen Informationen in Sicherheit bringen und sie ohne Hetze verwenden kann. Nach so langer Zeit stehen auch kaum mehr genügend Daten zur Verfügung, um eine ordentliche forensische Analyse durchführen zu können.
Und Uber ist kein Einzelfall. Also warum brauchen Unternehmen so lange, um Lecks zu entdecken? Wieso dauert es dann noch ewig - selbst bei vergleichsweise kleinen Vorfällen, bei denen nicht sonderlich sensitive Daten verloren gehen - bis die Nachforschungen abgeschlossen und alle Betroffenen informiert sind?
Der Knackpunkt ist: Unternehmen müssen es schaffen, einen laufenden Angriff rechtzeitig zu erkennen. Denn nur dann lässt sich eine weitere Eskalation verhindern. Nur dann ist es möglich, die Hacker zu verfolgen und möglicherweise deren Identität zu ermitteln. Und es können rechtzeitig erforderliche Gegenmaßnahmen eingeleitet werden, die die Datendiebe daran hindern, die gestohlenen Informationen zu nutzen.
Zugegeben ist es nicht einfach, einen einmaligen, unautorisierten Zugriff zu ermitteln. Es ist ein wenig so wie die Nadel im Heuhaufen zu finden. Aber es besteht für Unternehmen durchaus die Möglichkeit, sich die richtige Brille aufzusetzen, mit der sich solch eine Bedrohung erkennen lässt: Neben einem guten Patch-Management, das Einfallstore schnellstmöglich schließt, ist es daher dringend an der Zeit, in verbesserte Monitoring-Funktionen zu investieren - und dadurch die Entdeckungszeit von vier Monaten auf vier Stunden zu verkürzen.
