IT- und Sicherheitsexperten verfügen über eine breite Palette von Tools und Technologien zur Bekämpfung von Daten- und Gerätesicherheitsrisiken. Laut Gartner werden die weltweiten Ausgaben für Informationssicherheit 124 voraussichtlich mehr als 2019 Milliarden Euro betragen. Trotzdem scheint es jede Woche einen neuen, öffentlich bekannt gewordenen Datenverstoß zu geben.
Als das Memorial Day-Wochenende näher rückte, gab der unabhängige Sicherheitsreporter Brian Krebs bekannt, dass "auf der Website des Versicherungsgiganten Fortune 500 Realty, First American Financial Corp., Hunderte Millionen Dokumente im Zusammenhang mit Immobilienkreditgeschäften durchgesickert sind". "Die erste amerikanische Website enthüllte rund 885 Millionen Dateien, die ältesten stammen aus mehr als 16 Jahren."
Wenn diese Lücke ein Erdbeben gewesen wäre, hätten die 885 Millionen Datensätze, die auf der Website von First American veröffentlicht wurden, 8.85 auf der Richterskala registriert. Während es in diesem Newsfeed-Szenario unwahrscheinlich ist, dass die FEMA den Betroffenen schnell hilft und das Rote Kreuz nicht betroffen ist, wirkt sich die Offenlegung der Daten tatsächlich auf das Leben realer Menschen aus. Ihre digitale Sicherheit und Ihr finanzielles und identitätsschädliches Chaos. Lebensgrundlagen.
Bleib bei mir in diesem Erdbeben parallel. Wissenschaftler können Erdbeben noch nicht vorhersagen oder die Wahrscheinlichkeiten bestimmter Orte abschätzen. Das hinderte die Ingenieure jedoch nicht daran, die Gebäude stabiler zu machen. Wie bei Erdbeben können IT- und Sicherheitsteams nicht vollständig vorhersagen, wann und wann ein Verstoß auftreten könnte. Die äußerst komplexe Welt wird eine Fülle von Datenerdbeben erzeugen.
Wenn wir jedoch Erdbeben, die unvorhersehbarste Naturkatastrophe, abmildern können, wäre es logisch zu glauben, dass wir Datenkatastrophen mit strengen IT- und Sicherheitsmaßnahmen abmildern können. Was haben die antiseismischen Ingenieure getan, um der Naturgewalt zu widerstehen? Sie konzentrierten sich auf Resilienz.
Bildnachweis: Shutterstock
(Bild: © Bildnachweis: BeeBright / Shutterstock)
Das Argument der Cyber-Resilienz.
Dies ist die Lektion, die Sicherheit und IT-Manager lernen müssen. Ausfallsicherheit ist Ihr wichtigstes Bedürfnis angesichts sich entwickelnder Bedrohungen, allgegenwärtiger Schwachstellen und einer großen Angriffsfläche.
Wir können nicht vorhersagen, welche System-, Angreifer-, Fehler-, Fehlkonfigurations- oder Insiderinformationen unsere Tektonik antreiben werden, daher ist der typische "Härtungs" -Bestreben schlecht ausgelegt. Wir brauchen keine komplexeren Systeme, Steuerungen, Anwendungen und Agenten. Starre Dinge brechen. Schauen Sie sich Bauvorschriften nur an, wenn wir glauben, dass ein dichtes Material einem Erdbeben entgegenwirken könnte.
Wie in erdbebengefährdeten Regionen gingen IT-Sicherheitsteams jeden Morgen Risiken ein. Schließlich leben wir in einer Welt voller physischer und digitaler Gefahren.
Wir beginnen nun zu sehen, dass diese Risikohypothese zu einer Kompromisshypothese wird.
Im Fall von First American bemerkt Krebs: "Ich sollte darauf hinweisen, dass diese Dokumente einfach auf der First American-Website verfügbar waren. Ich weiß nicht, ob den Betrügern diese Tatsache zuvor bekannt war, und ich glaube auch nicht, dass die Dokumente gesammelt wurden en masse. ", räumt jedoch ein, dass" eine langsame und verteilte Indizierung dieser Daten selbst für einen Rookie-Angriff nicht schwierig gewesen wäre "und" die von First American enthüllten Informationen eine virtuelle Goldmine für Phisher und Betrüger wären, die an sogenannten E-Mail-Kompromiss-Betrügereien beteiligt sind (BEC), die häufig Immobilienmakler, Agenturen und Wertpapierfirmen sowie alle Verbrechen imitieren, um Käufer zu täuschen, indem sie Gelder an Betrüger überweisen. "
Unabhängig von der verwendeten Methode ist es im Allgemeinen wichtig zu beachten, dass Flexibilität und nicht Steifheit das Besondere an einem System sind. Dies bedeutet, dass wir Informationen und Informationen benötigen, die aus den tatsächlichen Aktivitäten der einzelnen Elemente der IT-Umgebung stammen. Dieser evidenzbasierte Ansatz, bei dem IT-Informationen genutzt werden, treibt Unternehmen voran. Berichten Sie über jede Entscheidung und modellieren Sie die möglichen Ergebnisse.
Also müssen wir unsere Vorstellungskraft erweitern. Wir wissen nicht, auf welche Steuerinstanz, App, Agent, Datenspeicher oder Cloud als Nächstes abgezielt wird. Indem wir jedoch sicherstellen, dass unsere kritischen Kontrollen bestehen bleiben, nähern wir uns der Widerstandsfähigkeit.
Fangen Sie klein an, um erfolgreich zu sein
Lassen Sie uns nach dem ersten Vorfall in den USA zunächst einfache, personen-, prozess- und technologieorientierte Verbesserungen vornehmen, da ein Ingenieur die Modernisierung von Gebäuden implementieren würde. Wir denken vielleicht "Sie haben keine Zeit." Aber weder Erdbeben noch Cyber-Bedrohungen haben eine Saison. Sie können jederzeit ohne vorherige Ankündigung Schäden verursachen. Aus Gründen der Erdbebensicherheit ist es daher besser, diese starren Versorgungsleitungen jetzt durch flexible Leitungen zu ersetzen.
Ich ermutige alle, unsere Vorstellungskraft für Möglichkeiten zu öffnen, unseren Horizont zu erweitern, um Informationen aus unserer Computerumgebung zu extrahieren und jedem Thread im Web Beharrlichkeit und Ausfallsicherheit zu verleihen.
Josh Mayfield, Direktor für Sicherheitsstrategie bei Absolute
