2021 – Jahr der Zero-Days

So viele Vulnerabilities wie noch nie

Im Jahr 2021 kam es zu mehreren schwerwiegenden Schwachstellen, welche es sogar prominent in die Medien geschafft haben. Eine umfassende Liste zu den Vulnerabilities im ersten Halbjahr finden Sie im ersten Halbjahresbericht 2021 des NCSC. Doch auch in der zweiten Jahreshälfte wurden weitere schwerwiegende Schwachstellen gefunden.

Gemäss dem MIT Technology Review wurden 2021 so viele Zero-Days entdeckt wie noch nie zuvor. Zero-Days sind unbekannte Schwachstellen, welche nur einem Angreifer bekannt sind, der sie entweder selbst ausnutzt, um in Systeme einzudringen oder sie auf dem Schwarzmarkt zum Verkauf anbietet. Das Zero-Day Tracking Project zählte für das Jahr 2021 insgesamt 58 solcher Vulnerabilities. Das sind mehr als doppelt so viele wie noch im Jahr 2020.

Die Gründe dafür sind vielseitig. Experten davon aus, dass der aktivere Handel mit Zero-Days ein signifikanter Faktor ist. Früher waren diese Zero-Days nur sehr hochbegabten oder staatlichen Akteuren zugänglich. Heute ist es einfacher denn je, Zero-Days zu kaufen. Dieser aktive Handel würde das Aufdecken solcher Vulnerabilitäten wahrscheinlicher machen.

Microsoft Exchange Schwachstelle

Eine der schwerwiegendsten Sicherheitslücken wurde im März 2021 in Microsoft Exchange entdeckt. Was ursprünglich als Zero-Day Schwachstelle begann, wurde nach Bekanntgabe zu einem massiven Problem: Durch die Bekanntmachung wusste eine viel grössere Menge an Angreifern, wie man die Schwachstelle ausnutzen kann. Diese Zeitspanne zwischen Veröffentlichung der Schwachstelle und Einspielung der Patches ist der ideale Zeitpunkt für Hacker: Sie sparen sich die Kosten eines teuren Zero-Days und können so sehr kosteneffizient Systeme infizieren. Oftmals verwenden sie automatisierte Angriffe und suchen das Internet nach verwundbaren Systemen ab, welche anschliessend ohne manuelle Tätigkeiten infiziert werden können.

Vulnerability in Java-Library

Ende des letzten Jahres kam es dann zu einem Höhepunkt: Es wurde eine der gravierendsten Sicherheitslücken der letzten 20 Jahre entdeckt: Log4Shell. Die Lücke erlaubte es Angreifern auf einfachste Weise einen Server unter ihre Kontrolle zu bringen. Eines der Hauptprobleme beim Beheben der Schwachstelle ist, dass oftmals nicht bekannt ist, welche Produkte die Bibliothek Log4j einsetzen. Während man bei der eigenen entwickelten Software sich eigenständig einen Überblick verschaffen konnte, war man bei fremden Produkten komplett auf die gewissenhaften Abklärungen der Hersteller angewiesen.

Diese Schwachstelle wird uns auch in diesem Jahr noch weiterhin begleiten.

Keine Übersicht über Applikationslandschaft und eingesetzte Technologien

Die verschiedenen Zero-Day Vulnerabilities haben im letzten Jahr vielen Unternehmen deutlich aufgezeigt, dass ihnen die Übersicht über ihre Applikationslandschaft und den eingesetzten Technologien fehlt. Ein Inventar das sowohl eingesetzte Applikationen als auch Technologien trackt, ist in den meisten Unternehmen noch nicht vorhanden und kann auch nicht in einer nützlichen Frist aufgebaut werden. Weiter fehlt es gerade im KMU-Umfeld oftmals an maturen Vulnerabilty-Management-Prozessen. Derzeit sind daher viele Unternehmen den Cyberkriminellen vollständig ausgeliefert.

Welche alternativen Massnahmen gibt es?

Um auch ohne Inventar über seine Schwachstellen informiert zu werden, empfehlen wir mindestens die aus dem Internet erreichbaren Assets regelmässig einem Vulnerability-Scan zu unterziehen. Die Unternehmen erfahren so, welche Systeme kritische Schwachstellen aufweisen und können entsprechende Massnahmen ergreifen.

Für alle Unternehmen, die keine eigene Scan-Lösung aufbauen möchten, bietet Asecus einen preiswerten Managed Service an. Mit dem Managed Perimeter Scan wird der Perimeter des Unternehmens wöchentlich gescannt und der Kunde erhält einen PDF Report mit allen kritischen Schwachstellen. Zusätzlich erhält der Kunde jederzeit Unterstützung durch die Asecus Security Experten bei der Behebung der Schwachstellen.

Sagen Sie Schwachstellen im Jahr 2022 den Kampf an und engagieren Sie sich für ein aktives Vulnerability Management