Verteidigung gegen gezielte Angriffe im Zeitalter der Cyberspionage

Howard Schmidt hat alles getan. Er kümmert sich um die Sicherheit von Microsoft und eBay. Er diente als Sonderassistent des Präsidenten und als Koordinator für Cybersicherheit der Regierung. Derzeit ist er zusammen mit dem ehemaligen DHS-Sekretär Tom Ridge Partner des Beratungsunternehmens Ridge-Schmidt Cyber. In seiner Funktion als Vorsitzender des International Advisory Board für Kaspersky Labs führte er auf dem jüngsten Kaspersky Cybersecurity Summit ein faszinierendes Panel zu gezielten Angriffen und Cyberspionage durch.

Die anderen Diskussionsteilnehmer brachten Wissen und Erfahrung aus verschiedenen Branchen mit. Fred Schwien, Direktor für Heimatschutzprogramme und -strategien bei The Boeing Company, muss sich mit Sicherheit auf allen Ebenen befassen, beginnend mit der Lieferkette. (Schwien scherzte: "Mein Gehaltsscheck ist an die Anzahl der Buchstaben in meinem Titel gebunden.") Joe Sullivan, CSO von Facebook, macht sich natürlich mehr Sorgen um den elektronischen Bereich. Eugene Kaspersky ist der Gründer, Vorsitzende und CEO des globalen Sicherheitsriesen Kaspersky Lab. Ich kann nicht die Gesamtheit der weitreichenden Diskussion melden, aber ich werde die Höhepunkte treffen.

Schmidt: "Wenn wir das Thema Lieferkette betrachten, Fred, in Ihrer Lieferkette ist alles. Sie haben Nieten, Motoren, Sitze und Dinge, die für Ihr Unternehmen und die Regierung sehr wichtig sind. Wie sehen Sie die Lieferkette in Ihre kritische Infrastrukturwelt?"

Schwien: "Ich möchte sagen, der neue 747 besteht aus sechs Millionen Teilen, die in Formation fliegen. Wir arbeiten hart daran, die Kette zu sichern, um sicherzustellen, dass die Dinge nach Maß gefertigt und nicht beschädigt werden. Wir haben eine wöchentliche Gruppe, die speziell auf die Lieferkette zugeschnitten ist. " Schwien ging weiter auf die vielfältigen Möglichkeiten des Informationsaustauschs zwischen Luftfahrtunternehmen und Regierungsbehörden ein, einschließlich klassifizierter Briefings vom FBI, der TSA und anderen.

Schmidt: "Joe, Fred spricht über große Infrastruktur, Regierungsbehörden, Transport. Wie wäre es mit Facebook? Ich gehe davon aus, dass Sie viele Lieferanten haben, auf die Sie sich verlassen können. Das ist also eine Frage der Lieferkette. Wie gehen Sie damit um?"

Sullivan: "Die Leute vertrauen uns, deshalb schauen wir uns nicht nur die Website an, sondern jeden Bereich, der anfällig sein könnte. Wir denken über vier Dinge nach, das Front-End, das Back-End, unsere Mitarbeiter und unsere Lieferanten. Das haben wir ein umfassender Plan für jeden, und wir bemühen uns um einen konstanten Zustand der Verbesserung. " Sullivan bemerkte, dass Facebook, als es ein Bug Bounty für serverseitige Sicherheitslücken hinzufügte, wertvolle Erkenntnisse von der Forschungsgemeinschaft erhielt.

Schmidt: "Eugene, Sie haben darüber gebloggt. Eine Verletzung muss kein Frontalangriff sein. Wir haben gesehen, dass ein großer Einzelhändler durch einen scheinbar unabhängigen Anbieter kompromittiert wurde. Wie sehen Sie und Ihr Team die Zusammenarbeit mit einer Lieferkette?"

Kaspersky: "Es ist ein bisschen kompliziert. Ich vertrete ID-Sicherheit und bin paranoid. Unternehmen müssen nicht nur an ihre eigene Sicherheit denken, sondern auch an ihre Lieferanten. Es sind nicht nur die Unternehmen, die Teile für ein großes Unternehmen wie Boeing liefern. Die Restaurants Im Speisesaal bieten sie einen Service. Stellen sie eine Verbindung zu Ihrem Netzwerk her? Bieten Sie einen Taxiservice an? Verfügt er über WLAN? Sie müssen an alle direkten und indirekten Lieferanten denken. " Er erzählte von einer Entdeckung der Kaspersky-Lab-Forscher. Bei der Überprüfung eines Unternehmens, das SCADA-Anwendungen für Kraftwerke entwickelt, entdeckten sie eine Hintertür. Jeder, der es gepflanzt hat, hat vollen Zugriff auf die Technologie und die Möglichkeit, den Quellcode zu ändern. "Wenn Ihr Lieferant infiziert war, können Sie sich nicht mehr auf Ihre Daten verlassen", sagte Kaspersky. "Es sind gute Nachrichten für die IT-Sicherheit, schlechte Nachrichten für den Rest der Welt."

Schmidt: "Eugene, wenn Sie sich den globalen Fußabdruck der Welt ansehen, blockieren Sie APTs für Microsoft, Boeing, Facebook… Wie profitieren die kleinen Leute?"

Kaspersky: "Internetkriminalität ist eine andere Geschichte. Sie wollen Geld . Sie wollen Sie nicht töten, Ihren Ruf ruinieren oder Ihre Geheimnisse stehlen. Wenn eine kleine Firma von der Cyberspionage getroffen wurde, hat jemand einen Fehler gemacht."

Schmidt: "Joe, wo setzen Sie sich für die Sicherung der Lieferkette ein?"

Sullivan: "Wir prüfen, ob Dritte veröffentlichte Standards erfüllen können, aber das reicht nicht. Sie können keine Schlussfolgerungen ziehen, die auf der Größe oder dem Alter des Unternehmens beruhen. Wir haben ein 15-köpfiges Unternehmen geprüft, das wirklich sicher war, weil es es war Ein anderer Anbieter, ein großes Finanzinstitut, hat die Kennwörter auf acht Zeichen beschränkt, keine Sonderzeichen und keine Unterscheidung zwischen Groß- und Kleinbuchstaben. Sie können nicht nach der Größe beurteilen."

Schmidt: "Eugene, seit zehn Jahren hören wir, Antivirus ist tot." Ist das wahr?"

Kaspersky: "Was ist das für ein Zitat von Mark Twain? Gerüchte über seinen Tod sind stark übertrieben. Antivirus-Signaturen existieren, sie sind immer noch wichtig, aber nicht die wichtigsten. Wie der Sicherheitsgurt in Ihrem Auto, Sie müssen ihn haben, aber es ist nicht der wichtigster Teil."

Schmidt: Fred, Tom Ridge hat sicherheitsrelevante Vorschriften erwähnt. Diese gibt es hier und in jedem Land. Sie können konform und dennoch unsicher sein. Wie gehen Sie als globales Unternehmen mit Vorschriften um?"

Schwien: "Manchmal bezeichnen wir ein Flugzeug als globales mobiles industrielles Kontrollsystem. Ein Flugzeug, das mich in Newark abgeholt hat, ist von Singapur nach Tel Aviv geflogen. Wir arbeiten für jedes Land in der Umwelt." Schwien merkte an, dass die US-Vorschriften sowohl für die physische Sicherheit als auch für die Cybersicherheit häufig die strengsten, den Goldstandard darstellten. Anschließend zitierte er General Keith Alexander, den ehemaligen Chef der NSA, zum US-amerikanischen Cyber-Defense-Team: "Wir haben das beste Team der Welt, aber sie sind immer noch in der Umkleidekabine."

Sullivan: "Die größten Probleme bei der Nutzung waren brandneue Bedrohungen. Signaturen hätten nicht funktioniert. Wir brauchen mehr Investitionen in die Sicherheit außerhalb unserer Grenzen, und wenn wir mit neuen Sicherheitslücken umgehen, müssen wir neue Schutzmethoden entwickeln Der Austausch von Informationen ist der Schlüssel."

Kaspersky: "Was muss getan werden? Die Welt muss in drei Kategorien unterteilt werden: Individuum, Unternehmen und kritische Infrastruktur. Wir brauchen keine Regulierung von Individuen und Facebook-Nutzern. Aber wir brauchen eine strikte Regulierung der Sicherheit kritischer Infrastrukturen. Unternehmen, die" Dazwischen. Wir brauchen Bildung. Vor allem brauchen wir spezielle behördliche Vorschriften für Sicherheitsbeamtentests. Sie müssen einen Paranoia-Test bestehen! Das wird die Welt verändern."

Hier hast du es. Schützen Sie die Lieferkette, stellen Sie sicher, dass wichtige Sicherheitsinformationen weitergegeben werden, und stellen Sie sicher, dass alle Sicherheitsbeauftragten den Paranoia-Test bestehen. Die Zuschauer zeigten große Begeisterung.