Das Essential Eight Maturity Model beherrschen

Angesichts der zunehmenden Cyber-Bedrohungen schaffen Regierungen immer häufiger ihre eigenen Sicherheitsrahmen. In Australien müssen bestimmte Organisationen eine Reihe von bewährten Praktiken und Schutzmaßnahmen, die so genannten „Essential Eight”-Risikominderungsstrategien, umsetzen.

Lesen Sie weiter, um mehr über diese grundlegenden Sicherheitskontrollen zu erfahren und wie Ihr Unternehmen die Essential Eight-Konformität erreichen kann.

Die Essential Eight (E8) ist eine vom Australian Cyber Security Centre (ACSC) entwickelte Reihe von priorisierten Risikominderungsstrategien, die Unternehmen dabei helfen sollen, ihre mit dem Internet verbundenen IT-Netzwerke vor verschiedenen Cyber-Bedrohungen zu schützen. Diese Sicherheitskontrollen sind Teil der Strategies to Mitigate Cyber Security Incidents des Australian Signals Directorate (ASD), eines umfassenderen Rahmens für bewährte Verfahren.

Zu den Essential Eight-Strategien gehören:

1. Patching von Anwendungen
2. Patching von Betriebssystemen
3. Multi-Faktor-Authentifizierung (MFA)
4. Einschränkung administrativer Rechte
5. Kontrolle der Anwendung
6. Einschränkung der Microsoft Office-Makros
7. Härtung von Benutzeranwendungen 
8. Regelmäßige Backups

Warum ist die Essential Eight wichtig?

Die Essential Eight sind von entscheidender Bedeutung, da sie die effektivsten Bereiche der Cybersicherheit abdecken und Unternehmen dabei helfen, Cyber-Bedrohungen zu verhindern, zu erkennen und darauf zu reagieren. Durch die Umsetzung dieser Strategien können australische Unternehmen das Risiko von Cybervorfällen erheblich verringern, sensible Daten schützen und die Integrität und Verfügbarkeit ihrer Systeme sicherstellen.

Und laut der australischen Regierung ist die proaktive Konzentration auf diese Taktiken „kosteneffizienter in Bezug auf Zeit, Geld und Aufwand als die Reaktion auf einen groß angelegten Cybersicherheitsvorfall”. In Anbetracht der Tatsache, dass die durchschnittlichen Kosten einer Datenschutzverletzung bei 4,88 Millionen US-Dollar liegen und damit so hoch sind wie nie zuvor, sollten Unternehmen lieber vorbeugende Maßnahmen ergreifen, als den Bedrohungen hinterherzulaufen.

Für wen gilt die E8-Compliance?

Die Essential Eight sind nicht überall erforderlich. Für bestimmte australische Regierungsbehörden und -abteilungen können E8-Sicherheitskontrollen jedoch durch behördliche Richtlinien, Vorschriften oder regulatorische Anforderungen vorgeschrieben sein.

In diesen Fällen ist die Einhaltung von Essential Eight erforderlich, um bestimmte Cybersicherheitsstandards und -vorschriften zu erfüllen. Organisationen, die nicht in den obligatorischen Geltungsbereich fallen, werden ermutigt, die E8 als bewährtes Verfahren zum Schutz vor Cyber-Bedrohungen zu übernehmen, sind aber nicht gesetzlich dazu verpflichtet.

Das ASD Essential Eight Maturity Model (E8MM) bietet einen strukturierten Ansatz für Organisationen zur schrittweisen Umsetzung von E8-Strategien mit dem Ziel, einen angemessenen Reifegrad in ihren Cybersicherheitspraktiken zu erreichen. Einfacher ausgedrückt: Es ist ein Rahmen zur Verbesserung der Sicherheitskontrollen.

Das Modell unterteilt den Reifegrad in vier Stufen, wobei jede Stufe auf der Abwehr zunehmend ausgefeilter Grade von „Handwerkskunst“ basieren. Laut dem Australian Signals Directorate können „böswillige Akteure bei verschiedenen Operationen gegen verschiedene Ziele unterschiedliche Grade an Handwerkskunst an den Tag legen.“

So könnte ein Cyberkrimineller, der über fortschrittliche Taktiken verfügt, diese gegen ein Ziel einsetzen, während er gegen ein anderes grundlegende Strategien nutzt. Die australischen Unternehmen wiederum sollten sich überlegen, welcher Reifegrad von Essential Eight ihrem spezifischen Risikoumfeld entspricht – d. h. der Wahrscheinlichkeit eines Angriffs und dem möglichen Schaden.

Im Folgenden finden Sie eine Aufschlüsselung der einzelnen Stufen und was sie beinhalten:

• Reifegrad Null: Weist auf Schwachstellen in der allgemeinen Cybersicherheit hin, wodurch die Organisation anfällig für Angriffe wird. Einfach ausgedrückt, fehlt es Organisationen auf dieser Ebene an angemessenen Schutzmaßnahmen, um sensible Daten vor unbefugtem Zugriff und Missbrauch zu schützen.
• Reifegrad Eins: Eindämmung von Bedrohungen durch böswillige Akteure unter Verwendung grundlegender, weit verbreiteter Techniken und Tools. Bei dieser Stufe wird davon ausgegangen, dass die Bedrohungsakteure nur bekannte Schwachstellen ausnutzen, z. B. Sicherheitslücken, für die noch kein Patch zur Verfügung steht.
• Reifegrad Zwei: Eindämmung der Bedrohungen durch raffiniertere Cyberkriminelle, die bereit sind, zusätzliche Zeit und Mühe zu investieren, um Sicherheitskontrollen zu umgehen. So können sie beispielsweise aktiv auf Anmeldedaten abzielen, indem sie Phishing- und Social-Engineering-Techniken einsetzen, um schwache MFA-Tools zu umgehen. Bei dieser Stufe wird auch davon ausgegangen, dass böswillige Akteure bei der Suche nach Opfern selektiver vorgehen und Benutzer:innen mit privilegiertem Zugang bevorzugen, da sie so mehr sensible Informationen abgreifen können.
• Reifegrad Drei: Ziel ist die Abwehr hochgradig anpassungsfähiger und geschickter Angreifer, die fortschrittliche Methoden und Techniken zur Kompromittierung von Systemen einsetzen. Dazu gehören in der Regel Cyberkriminelle, die bereit und in der Lage sind, Zeit, Geld und Mühe in die Umgehung stärkerer Schutzmaßnahmen zu investieren. Beispielsweise könnten sie versuchen, ausgeklügelte MFA-Mechanismen zu umgehen, indem sie Authentifizierungstoken stehlen.

Während also die Reifegradstufe Null die schwächste Sicherheitslage darstellt, ist die Reifegradstufe Drei die stärkste.

Verbesserung des Reifegrads Ihrer Essential Eight

Unabhängig davon, wo Sie beginnen, ist das Erreichen eines angemessenen Cyber-Reifegrads der Schlüssel zum Schutz sensibler Daten. Hier sind ein paar grundlegende Schritte für den Einstieg:

1. Planung: Legen Sie einen Ziel-Reifegrad fest und ermitteln Sie, was erforderlich ist, um diesen zu erreichen. Überlegen Sie, welche Arten von sensiblen Informationen in Ihrem Unternehmen verarbeitet werden und wie wahrscheinlich es ist, dass Bedrohungsakteure Ressourcen investieren, um Ihre Systeme gezielt anzugreifen. Basierend darauf sollten Sie das Reifegradmodell der ASD heranziehen, um Ihre Anforderungen an Sicherheitskontrollen besser zu verstehen.
2. Bewertung: Führen Sie eine Gap-Analyse durch, um Verbesserungspotenziale zu identifizieren. Auf diese Weise lässt sich feststellen, wie weit Ihre Cybersicherheits von der Zielvorgabe entfernt ist.
3. Umsetzung: Führen Sie jede Risikominderungsstrategie schrittweise ein und stellen Sie sicher, dass Ausnahmen auf ein Minimum beschränkt und nachvollziehbar dokumentiert werden.
4. Überwachung und Überprüfung: Überprüfen und aktualisieren Sie regelmäßig Ihre Risikominderungsstrategien, um die Einhaltung der Vorschriften zu gewährleisten und sich an neue Bedrohungen anzupassen. Wenn sich Ihre Risikolandschaft ändert, sollten Sie prüfen, ob Ihr derzeitiger Reifegrad ausreichend ist.
5. Kontinuierliche Verbesserung: Streben Sie nach einem höheren Reifegrad, indem Sie Ihre Strategien mit der Zeit verfeinern und verbessern.

Das Australian Cyber Security Centre empfiehlt nicht eine einzige Lösung, um die Reifegradstufe drei zu erreichen, sondern eine Reihe von Risikominderungsstrategien und Sicherheitskontrollen. Warum? Denn es bedarf einer Kombination aus Prozessen und Werkzeugen, um sich gegen immer fortschrittlichere Bedrohungen zu schützen.

Schauen wir uns die einzelnen Risikominderungsstrategien im Detail an:

1. Anwendungskontrolle
   Diese Sicherheitsmaßnahme schränkt die Ausführung nicht zugelassener oder nicht genehmigter Software ein und verhindert, dass Malware und potenziell schädliche Anwendungen auf den Systemen eines Unternehmens ausgeführt werden. Dazu gehört das Erstellen und Durchsetzen einer Whitelist mit zugelassenen Anwendungen, die sicherstellt, dass nur geprüfte und notwendige Software ausgeführt werden kann.
   Die Anwendungskontrolle ist von entscheidender Bedeutung, da sie dazu beiträgt, die Ausführung von bösartigem Code zu verhindern, das Risiko von Malware-Infektionen zu verringern und die potenzielle Angriffsfläche zu begrenzen. Zu den Sicherheitskontrollen gehören die Aufnahme von Software in die Whitelist, die Implementierung ausführbarer Regeln und die kontinuierliche Überwachung der Anwendungsaktivitäten.
2. Patching von Anwendungen
   Im Laufe der Zeit können neue Sicherheitslücken Anwendungen anfälliger machen als zuvor. Mit dieser Risikominderungsstrategie wird sichergestellt, dass die gesamte Software regelmäßig mit den neuesten Sicherheits-Patches aktualisiert wird. Regelmäßige Patches können Schwachstellen-Scans zur Ermittlung von Fehlkonfigurationen und ein automatisiertes Patch-Management zur rechtzeitigen Aktualisierung der Systeme umfassen.
3. Konfigurieren von Microsoft Office-Makroeinstellungen
   Mit Microsoft Office-Makros können Benutzer:innen die Funktionsweise ihrer Anwendungen konfigurieren. Es handelt sich im Wesentlichen um Programmieranweisungen, mit denen sich wiederholende Aufgaben automatisiert werden können. Obwohl sie für Produktivitätssteigerungen nützlich sind, nutzen bösartige Akteure Makros auch als Vehikel für Malware. Sie können zum Beispiel bösartigen Code in einer Excel-Datei verstecken.
   Die Deaktivierung oder Einschränkung von Makros aus nicht vertrauenswürdigen Quellen kann verhindern, dass Bedrohungen in Ihrer Umgebung Fuß fassen, und so wichtige Ressourcen vor unbefugtem Zugriff schützen.
4. Härtung von Benutzeranwendungen
   Die Härtung von Benutzeranwendungen reduziert die Angriffsfläche, indem unnötige Funktionen in bestimmten Anwendungen wie Flash, Java und Web-Anzeigen, die Angreifer häufig ausnutzen, deaktiviert oder eingeschränkt werden. Die Härtung ist von entscheidender Bedeutung, da sie Funktionen entfernt oder einschränkt, die dazu genutzt werden können, sich Zugang zu verschaffen oder bösartigen Code auszuführen.
   Entscheidend ist, dass diese Sicherheitsmaßnahme auch eine wirksame Schlüsselverwaltung und Public Key Infrastructure (PKI) unterstützt. Die Sicherung von Anwendungen, die kryptografische Schlüssel verwenden, kann dazu beitragen, dass diese nicht offengelegt oder missbraucht werden. Dazu gehört die Deaktivierung unnötiger Funktionen und die Durchsetzung starker Verschlüsselungsstandards in den Anwendungen.
5. Einschränkung administrativer Rechte
   Administrative Rechte beziehen sich auf die erhöhten Rechte und Berechtigungen, die bestimmten Benutzerkonten gewährt werden und die es ihnen ermöglichen, systemweite Änderungen vorzunehmen, Software zu installieren, auf sensible Daten zuzugreifen und Sicherheitseinstellungen zu konfigurieren. Der privilegierte Zugang ist zwar für die Verwaltung von IT-Systemen notwendig, stellt aber auch ein erhebliches Sicherheitsrisiko dar, wenn er nicht ordnungsgemäß kontrolliert wird.
   Wenn sich Cyberkriminelle Zugang zu einem privilegierten Konto verschaffen, können sie die Berechtigungen ausnutzen, um Malware zu installieren, vertrauliche Daten zu exfiltrieren, Hintertüren zu erstellen und Sicherheitskontrollen zu deaktivieren und so das gesamte System zu übernehmen. Die Einschränkung und Verwaltung von Verwaltungsrechten ist daher von entscheidender Bedeutung, um die potenziellen Auswirkungen solcher Angriffe zu minimieren.
   Ein Hardware-Sicherheitsmodul (HSM), das in Verbindung mit einer Privileged-Access-Management-Anwendung eingesetzt wird, kann diese Strategie erheblich stärken, indem es kryptografische Schlüssel und sensible Vorgänge sicher verwaltet und schützt.nShield Hardware-Sicherheitsmodule arbeiten mit PAM-Anwendungen zusammen, um eine Kontoübernahme zu verhindern – durch bewährte Schutzmechanismen für privilegierte Zugangsdaten wie API-Schlüssel, SSH-Schlüssel, DevOps-Geheimnisse und Cloud-Administrationskonten sowie für die kryptografischen Schlüssel, die die Sicherheit Ihrer Infrastruktur untermauern.
6. Patching von Betriebssystemen
   Beim Patching von Betriebssystemen (OS) geht es darum, das OS mit den neuesten Sicherheitsupdates auf dem neuesten Stand zu halten, um bekannte Schwachstellen zu beheben. Ähnlich wie beim Patchen von Anwendungen ist diese Strategie unerlässlich, um sich vor Angriffen zu schützen, die bekannte Schwachstellen und Fehlkonfigurationen ausnutzen. Regelmäßige Betriebssystem-Patches sind unerlässlich, denn das Betriebssystem ist das Rückgrat der IT-Infrastruktur, und jede Schwachstelle kann zu weitreichenden Sicherheitsverletzungen führen.
7. Verwendung von Multi-Faktor-Authentifizierung
   MFA stärkt die Benutzerauthentifizierung, indem sie mehrere Formen der Verifizierung verlangt, z. B. etwas, das Benutzer:innen kennen (Passwort), und etwas, das Benutzer:innen besitzen (Sicherheits-Token). Es kann auch abfragen, wer sie sind, indem es Gesichtserkennung oder Fingerabdrücke zur Bestätigung biometrischer Identifikatoren verwendet.
   Diese Strategie ist von entscheidender Bedeutung, da sie eine zusätzliche Sicherheitsebene hinzufügt, die es Angreifern sehr viel schwerer macht, sich unbefugten Zugang zu verschaffen, selbst wenn die Anmeldedaten kompromittiert wurden. Phishing-resistente Multi-Faktor-Authentifizierung, wie z. B. Adaptive Authentifizierung, können den Prozess noch weiter vorantreiben, indem sie unter bestimmten Bedingungen eine risikobasierte, abgestufte Verifizierung durchführen.
8. Regelmäßige Backups
   Regelmäßige oder tägliche Backups stellen sicher, dass Daten im Falle eines Datenverlusts, einer Beschädigung oder eines Cybersecurity-Vorfalls wiederhergestellt werden können. Diese Strategie beinhaltet die Erstellung und Pflege von sicheren, belastbaren Backups von Daten, Anwendungen und Systemeinstellungen, die für die Geschäftskontinuität unerlässlich sind. Diese Praxis bietet ein Sicherheitsnetz, das es Unternehmen ermöglicht, sich von Ransomware-Angriffen, Hardwareausfällen oder anderen katastrophalen Ereignissen zu erholen.

Von Multi-Faktor-Authentifizierung bis zum Privileged Access Management und darüber hinaus bietet Entrust eine Vielzahl von Lösungen, die Ihnen helfen, die Essential Eight-Strategien zu implementieren und Informationen zu schützen.