In diesem Artikel sehen wir uns an, was Cybersicherheitsschulungen sind, wie sie funktionieren und welchen Nutzen Cybersicherheitsübungen für Unternehmen haben können. Helfen Cybersicherheitsübungen wirklich dabei, gezielte Angriffe abzuwehren? Lesen Sie weiter, um mehr zu erfahren.
Weiterlesen: Die besten Tools für Serversicherheit für 2021
5 häufige Fragen zu Cybersicherheitsübungen
Welche Arten von Cybersicherheitsübungen gibt es?
Cybersicherheitsübungen lassen sich als jede Aktivität definieren, die die Bereitschaft von Mitarbeitern erhöht, Cyberbedrohungen zu begegnen.
Heute haben die Begriffe Cybersicherheitsschulung, Cyberübungen und Cyberpolygone keine klaren Grenzen. Historisch gesehen waren Cybersicherheitsübungen Papier-, Kommando- und Stabsübungen. Solche Veranstaltungen, bei denen Vertreter verschiedener Abteilungen zusammenkommen, dienten dazu, individuelle Fähigkeiten zu ermitteln. Heute werden Cyberübungen jedoch hauptsächlich dazu eingesetzt, die Zusammenarbeit im Team zu trainieren.
Cybersicherheitsübungen können manchmal als CTF- oder Capture-the-Flag-Wettbewerbe durchgeführt werden. Meist geht es dabei jedoch darum, neue Kenntnisse und Fähigkeiten im Bereich der Informationssicherheit zu erwerben, statt Maßnahmen für den Fall eines Cyberangriffs auf ein Unternehmen zu üben.
Die fortschrittlichsten Formen von Cybersicherheitsübungen simulieren einen echten Angriff auf eine Infrastruktur, die der des Unternehmens ähnelt. Solche Übungen sind schwierig durchzuführen und erfordern erhebliche finanzielle und technische Ressourcen sowie spezielle Software- und Hardwareplattformen. Bei der Abwehr eines Testangriffs können die Mitarbeiter des Unternehmens neue Fähigkeiten erwerben und die gemeinsame Reaktion auf Sicherheitsvorfälle üben.
Es gibt zwei Arten von Übungen: theoretische und funktionale. Theoretische Übungen, auch Tabletop-Übungen genannt, drehen sich um die Erörterung organisatorischer Aufgaben und das Einüben von Managemententscheidungen.
Im Gegensatz dazu umfassen funktionale Übungen, bei denen Techniker eine simulierte Umgebung verwenden, um Maßnahmen für den Fall eines Vorfalls zu üben. Daneben gibt es hybride Cybersicherheitsübungen, die sowohl das Management als auch technisches Personal einbeziehen.
Cybersicherheitsübungen können auch nach ihrem Umfang klassifiziert werden:
- Zielorientiert: Simuliert einen Angriff auf ein bestimmtes Unternehmen, um dessen individuelle Sicherheitslage zu verbessern
- Branchenspezifisch: Simuliert Angriffe auf mehrere Unternehmen derselben Branche
- Branchenübergreifend: Auch bekannt als branchenübergreifende Übungen, simulieren diese Angriffe auf mehrere verwandte Branchen oder Unternehmen
- Regional/international: Simuliert einen regional begrenzten oder internationalen Angriff, an dem häufig auch Regierungsvertreter beteiligt sind sowie Unternehmensmitarbeiter
Es gibt keine schlechten Formen von Cybersicherheitsübungen. Jede Aktivität, bei der ein Mitarbeiter neue Kenntnisse erwirbt oder seine Fähigkeiten im Bereich der Informationssicherheit verbessert, kommt dem Unternehmen zugute.
Ist Red Teaming eine Cybersicherheitsübung?
Ein Red Team ist eine externe Organisation, die hinzugezogen wird, um Mitarbeiter, Prozesse und Technologie eines Unternehmens in einem Szenario zu testen, das einen Angriff aus der realen Welt möglichst genau nachbildet. Laut Synopsys versucht der „Angreifer“ bei einer Red-Team-Analyse, sich mithilfe verschiedener Methoden Zugriff auf Ressourcen zu verschaffen, etwa durch Social Engineering, die Ausnutzung von Netzwerkdiensten, das Eindringen in physische Einrichtungen und die Ausnutzung der Anwendungsschicht.
Red Teaming sollte daher als eine Form der Cybersicherheitsübung betrachtet werden. Es handelt sich um ein geplantes Ereignis, das alle Merkmale anderer Cybersicherheitsübungen aufweist: Es umfasst das Erlernen und Üben von Fähigkeiten, eine Bewertung der Ergebnisse sowie die Zusammenarbeit von Teams.
Kann ich Cybersicherheitsschulungen ohne einen Drittanbieter durchführen?
Einerseits birgt die Selbstprüfung der eigenen Sicherheitslage das Risiko verzerrter Ergebnisse, da nicht alle Führungskräfte bereit sind, die Arbeitsleistung ihrer Mitarbeiter angemessen zu beurteilen. Die von Drittanbietern vorgenommene Bewertung liefert in den meisten Fällen aussagekräftigere Erkenntnisse über Schwachstellen.
Andererseits können Sie versuchen, einige Arten von Cybersicherheitsübungen selbst durchzuführen. Große, etablierte Unternehmen unterziehen sich regelmäßig verschiedenen internen Audits. Cybersicherheitsübungen können in die Standardverfahren der IT- und Sicherheitsabteilungen aufgenommen werden, um potenzielle Probleme von außen zu betrachten.
Die Reife des Unternehmens und seine Bereitschaft zu einem solchen Schritt sind entscheidend für die Frage, ob Cybersicherheitsübungen eigenständig durchgeführt werden sollten. Im weiteren Verlauf können sich folgende zentrale Fragen stellen:
- Ist das Unternehmen in der Lage, eine Kopie der Infrastruktur bereitzustellen, auf der die Übung durchgeführt werden kann?
- Ist das Unternehmen bereit, Übungen auf einem aktiven Geschäftssystem durchzuführen?
- Wer wird angreifen? Verfügt das Personal über die Fähigkeiten und Werkzeuge, um einen Angriff durchzuführen?
- Wie wird das Team während des Testangriffs die für echte Hacker typische „Kreativität“ simulieren?
- Ist es möglich, einen Angriff durch die Beauftragung von White-Hat-Hackern zu simulieren? Ist das sicher?
Es ist zu beachten, dass ein Angriff auf eine reale Infrastruktur mit erheblichen Risiken verbunden ist, insbesondere wenn mögliche Störungen Menschenleben und die Sicherheit gefährden könnten. Aus diesem Grund sind solche Tests des Betriebs kritischer Systeme in manchen Fällen schlichtweg verboten.
Wie kann ich Cybersicherheitsübungen kostengünstiger durchführen?
Es ist nicht immer klar, wie ein Unternehmen Cybersicherheitsübungen ohne ein großes Budget durchführen kann. Für kleine Unternehmen ist dies besonders schwierig. Ein kleines oder noch unreifes Unternehmen muss zunächst folgende Fragen beantworten:
- Warum benötigt es Cybersicherheitsübungen?
- Welche Ziele will das Unternehmen damit erreichen?
- Welche Tätigkeitsbereiche sollten verbessert werden?
Die Antworten bestimmen weitgehend die Art und Weise, wie der Testangriff oder das Szenario umgesetzt wird, und helfen dabei, Aufgaben für ein spezialisiertes externes Unternehmen zu erstellen.
Für die Ermittlung der Ziele eines geplanten Tests gibt es eine spezielle Methodik. In manchen Fällen ist es hilfreich, vor der Durchführung von Cyberübungen in einem Unternehmen ein Sicherheitsaudit durchzuführen, um Schwachstellen zu ermitteln. Der Schutz vor diesen Schwachstellen kann anschließend in Übungen und Schulungen erarbeitet werden.
Wie bereits erwähnt, hängt vieles von der Größe und Reife des Unternehmens ab. Wenn ein Unternehmen überhaupt keine Spezialisten für Informationssicherheit beschäftigt, ist es eher unwahrscheinlich, dass es von Cybersicherheitsübungen profitieren würde. Gibt es nur ein oder zwei solche Mitarbeiter, ist es besser, einfach einen Pentest zu beauftragen.
Unternehmen mit kleinem Budget können Tabletop-Übungen mit dem Einüben grundlegender Fähigkeiten zur Reaktion auf Bedrohungen in typischen Infrastrukturen kombinieren. Wichtig ist, bestehende Pläne zur Reaktion auf Sicherheitsvorfälle regelmäßig zu testen.
Auch das Format der Cyber-Quest, bei dem Mitarbeiter Schritt für Schritt ein Cyberangriffsszenario analysieren, kann für ein kleineres Unternehmen gute Ergebnisse liefern. Selbst wenn Ihrem Unternehmen ein eigenes InfoSec-Team fehlt, werden die Ergebnisse sofort sichtbar, wenn Sie dem Personal alles ausführlich erklären und ihm Wege aufzeigen, wie es neue Kenntnisse und Fähigkeiten erwerben kann.
Wie kann ich mich auf unbekannte Angriffe vorbereiten?
Cyberpolygone und Dienste zur Durchführung von Cybersicherheitsübungen umfassen meist die Entwicklung standardisierter, wenn auch angepasster Angriffsszenarien. Diese Szenarien ähneln typischerweise einem Schultest. Doch wie kann man ein Unternehmen auf nicht standardmäßige Aktionen von Hackern vorbereiten?
Zunächst lohnt es sich, Übungen im „Duell“-Format auszuprobieren, bei dem Ziele von echten Menschen statt von Algorithmen angegriffen werden. In diesem Fall treten immer unerwartete Situationen auf, die im ursprünglichen Plan nicht vorgesehen waren.
Letztlich ist es unmöglich, alle Notfallsituationen vorherzusehen. Dennoch kann man Spezialisten dabei unterstützen, Fähigkeiten für den Umgang mit „erwarteten unbekannten“ Ereignissen der Informationssicherheit zu entwickeln.
Vieles hängt vom Ansatz ab. Die meisten Plattformen zielen auf das Training technischer Fähigkeiten ab. Dem Einüben organisatorischer Abläufe und Entscheidungen der Führungsebene wird häufig weniger Aufmerksamkeit gewidmet.
Weiterlesen: Die besten Tools für statische Anwendungssicherheitstests (SAST)
6 wichtige Tipps für die Durchführung von Cybersicherheitsübungen
Hier sind einige wichtige Tipps für Unternehmen, die über die Durchführung von Cybersicherheitsübungen nachdenken:
- Vor der Durchführung von Cybersicherheitsübungen sollte Ihr Unternehmen verstehen, warum eine solche Schulung erforderlich ist und wie regelmäßig sie durchgeführt werden sollte, und außerdem standardisierte Prozesse zur Reaktion auf Sicherheitsvorfälle festlegen.
- Wenn Ihr Unternehmen Cybersicherheitsübungen bei einem Drittanbieter in Auftrag gibt, muss es dem Dienstleister vollständige Informationen über seine Infrastruktur übermitteln. Die Kenntnis aller kritischen Punkte, möglicher Sicherheitslücken und erwarteter Angriffsszenarien trägt dazu bei, die Qualität künftiger Übungen zu verbessern.
- Die Wahl einer Plattform für die Durchführung von Cybersicherheitsübungen sollte sorgfältig bedacht werden. Sie müssen einen vertrauenswürdigen Dienstleister auswählen und sich darüber im Klaren sein, dass dieser Partner die Ergebnisse angemessen bewertet und kompetente Empfehlungen formuliert.
- Versuchen Sie, Ihre Stärken und Möglichkeiten im Hinblick auf Zeit und Geld nüchtern einzuschätzen. Beginnen Sie langsam, wählen Sie einen eng begrenzten Verbesserungsbereich und gehen Sie dann in klaren und konkreten Schritten vor.
- Lernen Sie aus den Erfahrungen anderer Branchen, etwa aus der Softwareentwicklung und dem Softwaretesten. Viele Ihrer methodischen Ansätze wurden möglicherweise bereits von anderen ausgearbeitet.
- Vergessen Sie nicht, dass es keinen „schlechten“ Weg gibt, Cybersicherheitsfähigkeiten zu entwickeln – nutzen Sie alle Ihnen zur Verfügung stehenden Methoden.
Lesen Sie als Nächstes: Wie funktioniert ein SQL-Injection-Angriff? Beispiele und Arten