«Wie können wir anfangen, Systeme so zu bauen, dass sie überhaupt keine Sicherheit benötigen?»
Diese Frage haben wir das erste Mal von Sounil Yu gehört, bevor er das Konzept von DIE (Distributed, Immutable & Ephemeral) erläutert hat. Dieser Ansatz beschäftigt sich damit, ICT-Assets so zu bauen, dass diese das Sicherheitskonzept von CIA (Confidentiality, Integrity & Availability) vernachlässigen können.
In unserem Blogbeitrag erklären wir dir dieses Konzept und wie es bereits heute angewendet wird.
Distributed, Immutable & Ephemeral
Sounil Yu ist der CISO und Head of Research von JupiterOne. Er rekapituliert die letzten Jahrzehnte in der IT Security Welt wie folgt. In den 1980er-Jahren wurde IT-Equipment günstiger und die Unternehmen kauften viel Hardware in Form von Server und Computer, um ihre Firma voranzubringen. Die erste Herausforderung bestand darin, das ganze IT-Equipment zu identifizieren und zu katalogisieren. Dies konnte mit Asset Management und Asset Discovery gelöst werden. In den 1990er-Jahren standen die Unternehmen vor einer neuen Herausforderung. Cyberattacken wurden langsam aber sicher zum Thema. Angreifer nutzten ebenfalls IT-Equipment, um Unternehmen mit Viren wie dem «I love you»-Virus zu attackieren und in Netzwerke einzudringen. Als erste effektive Schutzlösungen kamen Antivirus Softwares und die Implementation von Firewalls auf. In den 2000er-Jahren wurden die Unternehmen von Sicherheitswarnungen überflutet. Man glaubte, dass sich Eindringlinge im Netzwerk befinden, aber man hatte Mühe diese dann auch zu finden. Mit Intrusion Detection Systemen (IDS) und Secure Information Management (SIM) Lösungen wurde versucht das Dilemma einzudämmen, indem Daten zentralisiert gesammelt und ausgewertet wurden. Im nächsten Jahrzehnt schien, als bräuchten Unternehmen Lösungen, welche helfen, schnell auf ebendiese Eindringlinge zu reagieren. Die Auswirkungen eines Angriffs sollten möglichst gering gehalten werden. Als Lösung wurden Technologien wie Extended Detection and Response (XDR) implementiert. Diese Lösungen bedienen sich an unterschiedlichen Sicherheitsdatenquellen, wie zum Beispiel Mail Gateway oder Anti-Malware Anwendungen, und korrelieren diese Daten, damit komplexe Angriffsmuster besser erkannt werden können. Die 2020er-Jahre werden das Jahrzehnt der Wiederherstellung sein. Wir sehen die Gegenwart mit den weitverbreiteten Ransomware angriffen. Es wurde wichtig, dass Backupdaten nicht verschlüsselt und im Notfall aktuelle Datenbestände möglichst schnell wiederhergestellt werden können. Hierzu wurden Lösungen wie Immutable implementiert, damit Backupdaten nicht verändert werden können oder Disaster Recovery (DR), um kritische Systeme an einen anderen Standort zu replizieren
Die vergangenen Jahrzehnte können im Kontext des NIST Cyber Security Frameworks und den fünf Funktionen Identify, Protect, Detect, Respond und Recover betrachtet werden. Somit kann man die Problematiken wie folgt den Jahrzehnten zuordnen:
1980er-Jahre > «Identify»
Wir mussten lernen, alle Assets unserer Infrastruktur zu identifizieren, um zu verstehen, was es zu schützen gilt.
1990er-Jahre > »Protect»
Nachdem wir verstanden haben, was wir schützen möchten, mussten die entsprechenden Lösungen implementiert werden.
2000er-Jahre > «Detect»
Sicherheitslösungen sind implementiert und die davon generierten Meldungen mussten verstanden werden.
2010er-Jahre > «Respond»
Alarme mussten aus den entsprechenden Lösungen korreliert und geeignete Aktionen möglichst schnell getroffen werden.
2020er-Jahre > «Recover»
Falls doch durch eine Schwachstelle ein System kompromittiert wurde, gilt es ein möglichst aktuelles Backup zeitnah wiederherzustellen.
Was bedeutet das nun für die Zukunft? Laut Sounil Yu werden unsere Sicherheitsprobleme nicht gelöst, indem wir noch mehr Produkte implementieren, um unsere Assets zu schützen. Er stellt die Frage: «Wie können wir anfangen, Systeme so zu bauen, dass sie überhaupt keine Sicherheit benötigen?»
Um diese sehr interessante Frage weiter zu analysieren, müssen zuerst die heute bestehenden Schutzziele und das Konzept von CIA verstanden werden. CIA steht für Confidentiality, Integrity & Availability. Die drei Begriffe umschreiben folgende Punkte:
- Confidentiality (Vertraulichkeit) beschreibt den Schutz von Informationen vor unautorisiertem Zugriff. Es geht darum, sicherzustellen, dass nur berechtigte Personen Zugang zu bestimmten Informationen haben.
- Integrity (Integrität) beschreibt die Integrität von Daten und Systemen. Es geht darum, sicherzustellen, dass Daten nicht unbeabsichtigt oder absichtlich verändert werden und dass das System in einem gültigen Zustand bleibt.
- Availability (Verfügbarkeit) beschreibt das Vorhandensein von Daten und Systemen. Es geht darum, sicherzustellen, dass Daten und Systeme jederzeit zur Verfügung stehen, wenn sie benötigt werden.
Sounil Yu stellt nun die Frage in den Raum, wie Assets aufgebaut werden müssen, damit diese das CIA-Konzept ignorieren können. Ein interessanter Vergleich ist das Verhältnis von Mensch zu Haustieren und zu Nutztieren. Zu Haustieren haben wir einen persönlichen Bezug, betrachten sie als Teil der Familie, geben ihnen einen Namen und sorgen uns um sie. Einfach gesagt, wir schützen unsere Haustiere nach dem Konzept von CIA. Zu Nutztieren haben wir keine persönliche Beziehung. Werden diese krank, werden sie eingeschläfert und ausgetauscht. Packt man dies in ein Konzept, kommt man auf DIE – Distributed, Immutable & Ephemeral. Es beschreibt die Idee von Verteilung, Unveränderbarkeit und Verfügbarkeit für einen begrenzten Zeitraum. Folgende Umschreibung definiert diese drei Begriffe:
- Distributed bezieht sich auf die Verteilung von Daten und Systemen über mehrere Standorte oder Geräte.
- Immutable bezieht sich auf die Unveränderlichkeit von Daten oder Systemen. Einmal generierte Daten können nicht mehr geändert oder gelöscht werden.
- Ephemeral bezieht sich auf die Verfügbarkeit von Daten für einen begrenzten Zeitraum. Solche Daten existieren nur für eine kurze Zeitspanne und werden automatisch gelöscht.
Wenn ein System weit verteilt ist, zum Beispiel in mehrere Rechenzentren in unterschiedlichen Ländern, müssen wir uns keine grossen Gedanken über die Verfügbarkeit machen. Wenn ein System unveränderbar ist, müssen wir uns keine Sorgen über die Integrität dieses Systems machen. Ist ein System oder eine Information nur für eine kurze Zeit verfügbar oder hat eine kurze Gültigkeitsdauer, können wir das Thema Vertraulichkeit in Bezug auf diese Daten vernachlässigen oder zumindest als tragbares Risiko betrachten.
Das klingt zunächst sehr logisch. Kritische Leser sehen aber bereits mehrere Probleme. Nicht alle heute bestehenden Systeme können nach dem Konzept von DIE gesichert werden. Das ist in unseren Augen völlig korrekt, aber der Ansatz ist der Richtige. Informationen einer klassischen Kreditkarte müssen nach wie vor mit dem Konzept von CIA gesichert werden. Sie haben eine lange Gültigkeit und müssen vertraulich behandelt werden. Es gibt aber auch Anbieter, welche digitale Kreditkarten mit einer sehr kurzen Gültigkeitsdauer und eingegrenzter Verwendungsmöglichkeit, zum Beispiel auf vorher klar definierten Webseite ermöglichen. Der Cloud-native Ansatz verkörpert bereits heute das Konzept von DIE. Systeme werden auf mehrere Rechenzentren, im optimalen Fall auf verschiedenen Kontinenten verteilt. Es wird mit Containern gearbeitet, welche nach ihrer Bereitstellung als unveränderbar gelten und eine kurze Lebensdauer haben, da diese Container einfach und schnell ausgetauscht werden können.
DIE wird Schritt für Schritt das Konzept von CIA ablösen. Lange wird es ein Zusammenspiel beider Ideen und Umsetzungen sein. Aber je länger, je mehr werden wir von Systemen umgeben sein, welche wir nicht mehr als schützenswerte Haustiere behandeln, sondern als einfach ersetzbare Nutztiere.
- neobix Team
- neobix AG
- Cybersecurity