eelnosiva - stock.adobe.com
Kritische Sicherheitslücken im Unternehmen richtig behandeln
Dass kritische Sicherheitslücken zu schließen sind, lässt sich nicht vermeiden und ist wichtig für den laufenden Geschäftsbetrieb. Dabei sollte mit Bedacht vorgegangen werden.
Wenn ein Softwarefehler in den Medien landet, wissen IT-Teams meist spätestens was die Stunde geschlagen hat und es ein langer Arbeitstag für die IT-Abteilung wird. Und es ist mit einer Flut von E-Mails zu rechnen, denn Geschäftsführung, Abteilungsleiter, Mitarbeiter und Kunden erwarten je nach Schwachstelle meist zeitnah Antworten.
In den meisten Fällen integrieren IT-Teams die Beseitigung von Schwachstellen in ihren ganz normalen Wartungszyklus. Aber kritische Sicherheitslücken verlangen oft andere Maßnahmen und generieren darüber hinaus auch oft ein hohes Maß an Aufmerksamkeit.
Selbst wenn die IT-Systeme eines Unternehmens auf dem aktuellen Stand sind, wird eine Sicherheitslücke, die in den Medien auftaucht, dennoch eine Herausforderung darstellen. Denn wenn das IT-Team die Medien verfolgt, tun dies andere Abteilungen und die Geschäftsführung auch. So muss kommuniziert werden, auch wenn das Problem bereits technisch gelöst ist.
Nachfolgend haben wir einige Schritte zusammengefasst, wie IT-Teams vorgehen können, um die Reaktion auf kritische Fehler und deren Behebung geordnet abzuarbeiten.
Die Ressourcen und Kräfte organisieren
Bei einem kritischen Fehler, der sich auf mehrere Systeme auswirkt, müssen alle IT-Mitarbeiter einsatzbereit sein. Der wichtige Faktor ist jedoch nicht die Anzahl der Fachkräfte, sondern wie diese eingesetzt werden. Jede überstürzte Entscheidung kann zu Fehlern und Chaos führen, was das eigentliche Problem verschlimmert und eventuell vergrößert.
Damit IT-Teams die Situation richtig bewältigen können, ist sowohl eine definierte Kommunikation als auch Untersuchung vonnöten.
Kommunikation
Es muss eine Person oder auch ein Team bestimmt werden, die die Situation den Benutzern und der Geschäftsleitung gegenüber kommuniziert. Dies kann eine rotierende Verantwortung oder eine spezielle Rolle sein, aber es ist eine wichtige.
Der Rest des IT-Teams arbeitet an anderen Aspekten der kritischen Fehlerbehebung und hat keine Zeit sich um Fragen von Mitarbeitern oder Führungskräfte zu kümmern. Ein zentraler und auch bekannter Ansprechpartner verhindert ständige Arbeitsunterbrechung für die IT-Mitarbeiter, die sich mit dem eigentlichen Problem befassen.
Die zuständige Kontaktperson sollte eine überprüfbare und gründliche Nachrichtenlage schaffen, um andere Beteiligte über die Situation zu informieren. Die genannten Detailinformationen können je nach Zielgruppe variieren. So kann es sinnvoll sein, Anwender anders zu informieren als die Geschäftsführung. In allen Fällen sollte die Informationspolitik Transparenz für alle schaffen, ohne immer alle Details zu nennen. Denn vermutlich wird die IT-Abteilung auch nicht sofort alle Details kennen und das kann auch kommuniziert werden. Dies ist allemal besser, als Falschinformationen oder Ungenauigkeiten zu liefern, die dann für noch mehr Probleme sorgen können.
Untersuchung
Es sollte der Fehler selbst, sowie alle möglichen Auswirkungen auf Systeme und Anwendungen untersucht werden. Idealerweise sollten mehrere IT-Mitarbeiter diesen Prozess gemeinsam durchführen.
Diese Phase des Sammelns von Informationen ist entscheidend für die Ausarbeitung eines Plans zur Fehlerbehebung. Wenn die Mitarbeiter mehr über den Fehler erfahren und Optionen für die Lösung entwickeln, sollten sie dies nach einem Zeitplan gegenüber den Beteiligten kommunizieren. Diejenigen, die von dem Fehler betroffen sind, werden dann nicht alle fünf Minuten nach einem Update Ausschau halten, sondern sich auf den genannten Zeitplan einrichten.
Die beiden wichtigsten Fragen, die es zu beantworten gilt, sind, was betroffen war und in welchem Umfang. Es kann einige Zeit in Anspruch nehmen, diese Informationen zusammenzutragen, aber sie bilden die Grundlage für alle Mitteilungen zu diesem Thema.
Kritische Fehlerbehebungen durchführen
Typischerweise führt man an einem Freitagnachmittag oder dem Tag vor einem langen Feiertagswochenende keine Änderungen durch, die das gesamte IT-Ökosystem aus dem Takt bringen können. Es sollte so vorgegangen werden, dass der Schaden überschaubar bleibt, wenn etwas schiefgeht. Aktionen, die weitere Probleme verursachen oder Anwendungen unbrauchbar machen, können weitreichende Folgen nach sich ziehen.
Nun führen die meisten Patches oder Updates von Betriebssystemen nicht zu einem Ausfall von Anwendungen, aber Ausnahmen bestätigen die Regel und IT-Teams müssen sich auf dieses Szenario vorbereiten – bevor es eintritt. In einer kritischen Situation ist es verlockend, sich zuerst um die geschäftskritische Infrastruktur zu kümmern. Dies ist nicht unbedingt die beste Idee.
Wenden Sie das Update zunächst auf Server an, die im Testbetrieb sind, oder deren Ausfall sich leichter verschmerzen ließe, um insgesamt ein sicheres Testumfeld zu schaffen. Testen Sie den Patch vor dem Einsatz in produktiven Systemen, um sicherzustellen, dass geschäftskritische Systeme nicht gestört werden. Bevor ein Update getestet wird, sollte zudem sichergestellt werden, dass die Backups auf dem neuesten Stand sind.
Häufig ist es nicht möglich, alle Systeme gleichzeitig herunterzufahren, um weitreichende Änderungen vorzunehmen. Erstellen Sie einen Plan für die Testphase, der die Reihenfolge festlegt, in der die Admins die Server und die geschäftskritische Infrastruktur aktualisieren.
Beseitigen Sie das durch die Sicherheitslücke entstandene Risiko so schnell wie möglich, ohne dabei Schaden anzurichten. IT-Teams sind für die Wiederherstellungsbemühungen ebenso wichtig, wie die Infrastruktur selbst, daher sollten bei diesen besonderen Situationen auch die Mitarbeiter auf sich achten und Pausen einlegen, um immer geordnet vorgehen zu können.
Wenn das IT-Team groß genug ist, kann eine Rotation der Zuständigkeiten in Erwägung gezogen werden. Je nach Problemstellung sollte akzeptiert werden, dass eine kritische Fehlerbehebung ein gewisses Maß an Zeit in Anspruch nehmen wird. Dies gilt es auch gegenüber anderen Abteilungen zu vertreten und zu kommunizieren.
Das Ziel einer kritischen Fehlerbehebung ist es, alles zu flicken oder zu korrigieren, was durch die Sicherheitslücke beeinflusst wird. Es besteht immer die Möglichkeit, dass einige Segment des Ökosystems des Unternehmens zu alt sind oder ein anderes Problem aufweisen, das zum aktuellen Zeitpunkt nicht behoben werden kann. Diese Schwachpunkte sollten an einen isolierten Ort migriert werden, damit sich die IT-Mitarbeiter so schnell und sicher wie möglich diesem Problem widmen können.
Wenn sich das Problem so nicht beheben lässt, muss das IT-Team mit einem Workaround arbeiten, um die betroffenen Systeme abzusichern, etwa mit einer NGFW (Next-Generation Firewall). Es gibt eine Reihe von Möglichkeiten, hier eine Art virtuelles Patchen anzuwenden. Hier gilt es ein unmittelbares Risiko abzuwenden. Diese Optionen übersteigen jedoch den Umfang eines einfachen Notfall-Server-Updates.
Der ganze Prozess sollte auch stets genutzt werden, um für künftige Schwachstellen gerüstet zu sein. Natürlich kann man nach der Behebung eines kritischen Fehlers erstmal keine weiteren Schritte unternehmen. Aber eine IT-Umgebung ist immer nur so sicher wie ihr schwächstes Glied. Wenn das IT-Team nicht weiß, wo potenzielle Schwachstellen liegen, kann die nächste einfache Sicherheitslücke eine kritische für die eigene Umgebung sein.
