Acht Tage. Sechs Brände.
Am 14. Oktober veröffentlichte Palo Alto Networks eine PAN-OS-Schwachstelle, die einem authentifizierten Angreifer über das Management-Interface Root-Zugriff auf die Firewall ermöglicht. Sie war bereits als Zero-Day ausgenutzt worden. Am 17. Oktober zeigte ein Forscher, dass acht von eMudhra betriebene Zwischen-Zertifizierungsstellen private Schlüssel verwendeten, die jeder in unter einer Sekunde wiederherstellen konnte. Einer dieser Schlüssel war die Zahl 4. Am 19. Oktober meldete Unit 42, dass Ransomware-Gruppen, darunter Qilin, eine GlobalProtect-Schwachstelle nutzten, um MFA schlicht zu umgehen.
Am 21. Oktober veröffentlichte PHP Notfall-Patches für PHP2Shell, eine unauthentifizierte Codeausführung auf jeder PHP-Installation, die Web-Anfragen verarbeitet, nachdem die Details einen Tag zu früh durchgesickert waren. Am selben Tag lieferte Node.js zehn CVEs aus, darunter eine Remote-Code-Execution-Lücke im Brotli-Decoder. Am 22. Oktober bestätigte Palo Alto, dass PHP2Shell in jeder Version von PAN-OS und Panorama enthalten ist, ohne Patch und ohne Terminangabe. Gefixte Builds werden nun für den 26. bis 30. Oktober geschätzt, je nach Release-Zug.
Wer eine Sicherheitsfunktion verantwortet, hat sich durch diese Woche nicht hindurchgepatcht. Sie haben sich durchentschieden, oder jemand hat für Sie entschieden.
Die Scores haben nichts entschieden
Stellen Sie die Zahlen nebeneinander.
Der PAN-OS-Root-Exploit, gegen echte Firewalls eingesetzt: 8,6. Der GlobalProtect-Bypass, in den Händen von Ransomware-Betreibern: 7,8. Der eMudhra-Kollaps, eine vertrauenswürdige CA, deren Signaturschlüssel jeder neu berechnen konnte, von einem Mozilla-Kryptographieingenieur als Vorfall mit höchstmöglichen Auswirkungen beschrieben: der Vorfall selbst trägt keinen Score, und der einzige nachgelagerte CVE, den CISA bewertet hat, erhielt eine 5,4. PHP2Shell: 9,2 bei PHP, von Palo Alto hingegen als Verfügbarkeitsproblem auf den eigenen Firewalls eingestuft.
Am Tag vor allem anderen lieferte Microsoft mehr als 1.400 CVEs in einem einzigen Patch Tuesday. Neunundsechzig wurden als Critical eingestuft. Der bereits aktiv ausgenutzte war als Important bewertet.
Ein CVSS-Score beschreibt, wie gefährlich eine Schwachstelle auf dem Papier sein könnte. Er weiß nichts darüber, ob jemand sie heute Morgen einsetzt, ob sie in Ihrer Umgebung dem Internet exponiert ist oder was dahinterliegt. Diese Woche waren genau diese drei Punkte die ganze Geschichte.
Ihre Patch-Policy hätte den Ransomware-Angriffsvektor für nächsten Monat eingeplant
Öffnen Sie Ihre Schwachstellenmanagement-Richtlinie. Ich wette, sie liest sich ungefähr so: Critical innerhalb von 7 Tagen, High innerhalb von 30, Medium innerhalb von 90.
Führen Sie diese Woche durch das Raster. PHP2Shell landet im 7-Tage-Bucket, soweit in Ordnung. Die ausgenutzte PAN-OS-Root-Lücke ist High: 30 Tage. Der GlobalProtect-Bypass, den Ransomware-Gruppen aktiv einsetzen: High, 30 Tage. eMudhra: Medium, 90 Tage, vorausgesetzt, jemand hat überhaupt ein Ticket erstellt.
Ihre eigene Richtlinie hätte die beiden Dinge, die Angreifer tatsächlich nutzten, als zweitrangige Aufgaben eingestuft und einer kompromittierten Zertifizierungsstelle ein Quartal Zeit gegeben, sich zu sortieren.
Als Auditor würde ich genau das aufschreiben. Zu langsam zu sein ist ein Befund. Ein dokumentierter Prozess, der Sie bei buchstabengetreuer Anwendung verlangsamt, ist ein schwererer Befund, und das ist eine A.8.8-Nichtkonformität gegenüber einer Richtlinie, die genau das tut, wofür sie geschrieben wurde.
Entscheidungsrechte werden in Friedenszeiten vergeben
Hier ist die Frage, die Organisationen diese Woche unterschieden hat. Wer konnte ein Firewall-Management-Interface um 23:00 Uhr vom Internet nehmen, ohne auf den Change Advisory Board vom Donnerstag zu warten?
PAN-OS gab Ihnen innerhalb von acht Tagen zwei Gründe, dieses Interface nicht mehr zu exponieren. Die Empfehlung von Palo Alto zur ersten Schwachstelle lautet, den Management-Zugriff auf vertrauenswürdige interne Adressen einzuschränken; bei der zweiten heißt es, die Gefahr sei am größten, wenn das Interface Verbindungen aus dem Internet akzeptiert. Das ist eine Konfigurationsänderung, die ein kompetenter Ingenieur in Minuten vornimmt. In den meisten Organisationen darf niemand sie allein umsetzen.
Amazon verzeichnete am 17. Oktober einen PHP2Shell-Ausnutzungsversuch, vier Tage vor der öffentlichen Offenlegung. CISA gab US-Bundesbehörden drei Tage für die PAN-OS-Schwachstelle. Ihr CAB tagt wöchentlich. Die Mathematik geht nicht auf, und kein technisches Talent schließt eine Governance-Lücke.
Der Notfallpfad muss existieren, bevor der Notfall eintritt. Namentlich benannte Personen. Die genauen Maßnahmen, die sie ohne Rückfrage ergreifen können. Wie sie es dokumentieren. Wen sie danach informieren. Schreiben Sie das an einem ruhigen Dienstag auf, üben Sie es einmal durch, und es wird am Samstag da sein.
eMudhra war der eigentliche Test
PAN-OS und PHP haben Patches, oder werden sie haben. Bei eMudhra gibt es nichts einzuspielen.
Die Browser reagierten schnell. Chrome und Firefox sperrten die acht Zwischenzertifikate am 17. Oktober, Microsoft und Apple folgten innerhalb weniger Tage. eMudhra widerrief sie, und am 22. Oktober kündigte das Unternehmen an, das TLS-Zertifikatsgeschäft vollständig aufzugeben.
Ihre Browser sind in Ordnung. Ihre Container, VMs, Appliances, Java-Keystores und jede Python-Umgebung, die ihre eigene Kopie von certifi mitbringt, sind ein anderes Gespräch. Node.js musste das Distrust-Update innerhalb seines eigenen Security-Releases ausliefern. Go lieferte dafür neue Versionen.
Die Frage, die Ihre Organisation tatsächlich beantworten musste, lautete also: Wo vertrauen wir Zertifizierungsstellen, und wer kann das überall auf einmal ändern? Die meisten können die erste Hälfte nicht beantworten. Das ist ein Inventarproblem, und Inventar hört auf, eine IT-Aufgabe zu sein, sobald ein Regulator danach fragt. Unter NIS2 genehmigt das Leitungsorgan die Risikomanagementmaßnahmen und trägt die Verantwortung dafür.
Die Entscheidungsreihenfolge
Stellen Sie vor dem Score vier Fragen.
- Wird sie ausgenutzt? KEV, die Herstellerempfehlung, Ihre Threat Intelligence. Wenn ja, springt sie in die Warteschlange vor, unabhängig von ihrer Bewertung.
- Ist sie exponiert? Internetseitig schlägt intern. Management-Interfaces schlagen fast alles andere.
- Was ist davon betroffen? Identität, Vertrauen, die Systeme, die Ihre Daten halten, die Systeme, von denen alle anderen abhängen.
- Wie ist der Score? Nutzen Sie ihn, um das Verbleibende zu priorisieren.
Brüssel ist zum selben Ergebnis gelangt. Seit dem 11. September sind Hersteller unter dem Cyber Resilience Act verpflichtet, aktiv ausgenutzte Schwachstellen zu melden. Die Ausnutzung ist der Auslöser, und der Score taucht darin nicht auf.
Tipp: Schreiben Sie Ihr SLA auf Basis dieser Fragen um. Ausgenutzt und exponiert: Stunden. Ausgenutzt oder exponiert: Tage. Keines von beidem: Ihr normaler Zyklus, mit dem Score als Tiebreaker. Dann übergeben Sie Ihrem Auditor eine Richtlinie, die Sie tatsächlich einhalten können.
Was Ihr Executive Committee diese Woche hören muss
Drei Sätze.
Sind wir betroffen, ja oder nein. Was wir getan haben und wann. Was wir vorerst zurückgestellt haben und wer das abgezeichnet hat.
Eine CVE-Anzahl gibt ihnen nichts, worauf sie handeln können. Der dritte Satz ist der entscheidende. Unter NIS2 Artikel 20 genehmigt Ihr Leitungsorgan die Cybersicherheits-Risikomanagementmaßnahmen, überwacht deren Umsetzung und kann für Versäumnisse haftbar gemacht werden. Wenn das Leitungsorgan nie erfährt, was zurückgestellt wurde, kann es keine Verantwortung dafür übernehmen, und Sie haben stillschweigend eine Entscheidung getroffen, die ihm zustand.
Der Rückstand ist eine Entscheidung. Zeichnen Sie sie ab.
Sie werden nicht alles beheben. Das haben Sie seit Jahren nicht mehr. Das Volumen macht es schlicht unmöglich, so zu tun, als ob.
Was auch immer wartet, wurde akzeptiert, ob es jemand aufgeschrieben hat oder nicht. Schreiben Sie es also auf. Ein namentlich benannter Verantwortlicher, die Begründung, die kompensierende Maßnahme falls vorhanden, und ein Datum für die nächste Überprüfung. Eine zurückgestellte Schwachstelle mit Unterschrift ist eine Risikoentscheidung. Ohne Unterschrift ist sie eine Unterlassung, die Sie später erklären müssen.
Abschließende Gedanken
Solche Wochen werden wiederkommen. Entdeckungen beschleunigen sich schneller, als irgendjemand patchen kann, und jedes Bewertungssystem wird Ihnen weiterhin Listen liefern, auf denen alles dringend aussieht.
Die Organisationen, die diese Woche gut überstanden haben, hatten eines gemeinsam. Sie wussten, wer entscheiden durfte, in welcher Reihenfolge und wie sie den Verantwortlichen über ihnen mitteilen sollten, was auf dem Tisch liegen geblieben war. Ihre Scanner waren dieselben wie bei allen anderen.
Das ist Führungsarbeit. Niemand sonst im Unternehmen wird sie für Sie erledigen.
Das sind die Kompetenzen, auf die sich drei unserer Kurse stützen. Certified CISO by PECB für Entscheidungsrechte und das Gespräch mit Ihrem Executive Committee. NIS 2 Directive Lead Implementer für Artikel 20 und die Verantwortung, die Ihr Leitungsorgan nun trägt. ISO 27001 Lead Implementer für eine Schwachstellenrichtlinie, die Sie tatsächlich einhalten können, und eine Risikoakzeptanz, die einer Prüfung standhält.
Wählen Sie den Kurs, der zur Lücke passt, die diese Woche sichtbar gemacht hat.