Analyse der Rechenzentrum-Exposition: 1 von 5 ist nur einen Hop entfernt

Das Gruseligste in einem Rechenzentrum ist nicht immer das blinkende Server-Rack. Manchmal ist es der HVAC-Controller, der still nur eine Netzwerkverbindung vom Internet entfernt lebt und sich um seine eigenen Angelegenheiten kümmert wie eine Nebenfigur in einem Katastrophenfilm. Laut dem Bericht von SecurityWeek über die Forschung von Claroty ist fast jedes fünfte cyber-physische System, das große Rechenzentren am Laufen hält, nah genug an internetexponierten Pfaden, um für Bedrohungsakteure erreichbar zu sein. Übersetzung: Die Breach-Anzeigetafel beginnt nicht mit der größten CVE-Nummer. Sie beginnt mit dem, was ein Angreifer tatsächlich erreichen kann.

Das One-Hop-Problem, das SecurityWeek sichtbar gemacht hat

SecurityWeek berichtet, dass Claroty mehr als 750.000 Rechenzentrums-Assets in einigen der größten Anlagen der Welt analysiert hat, darunter rund 191.000 OT-Assets und 174.000 Infrastruktur-Assets. Zu diesen Infrastruktur-Assets gehören HVAC, Stromüberwachung und -verteilung, Brandmanagement und USV-Systeme. Das ist die höfliche Art zu sagen: die Maschinen, die verhindern, dass die Cloud zu einem sehr teuren Heizlüfter wird. SecurityWeek sagt, dass weniger als 1.000 der 174.000 Infrastruktur-Assets, also 0,4 %, direkt dem Internet ausgesetzt sind. Die interessantere Zahl liegt bei ungefähr 32.000, also 18 %, die nur einen Hop von internetexponierten Systemen entfernt sind. Genau diesen Teil sollten Verteidiger an die Wand kleben, am besten neben den Incident-Response-Plan, den seit der letzten Tabletop-Übung niemand mehr geöffnet hat. Direkte Exponierung ist offensichtlich schlecht, aber nahe Exponierung ist der Ort, an dem sich viel praktisches Risiko versteckt. Wenn ein erreichbares System zu einem Sprungbrett in die operative Technologie werden kann, lautet die Frage nicht mehr, ob das sensible Asset eine öffentliche IP-Adresse hat. Die Frage lautet, ob das Netzwerk eine sinnvolle Grenze zwischen internetseitigen Diensten und den Systemen gezogen hat, die Stromversorgung, Kühlung und Sicherheitssteuerungen am Leben halten.

Warum Schwachstellenzahlen die falsche Hauptfigur sind OffSeq Threat Radar fasst

denselben Claroty-Befund als Exponierungsproblem zusammen, nicht nur als Schwachstellenproblem, und stellt fest, dass etwa 18 % der Infrastruktur-Assets einen Netzwerk-Hop von internetexponierten Systemen entfernt sind, während weniger als 0,4 % direkt exponiert sind. Außerdem werden die relevanten Asset-Klassen als HVAC, Stromverteilungseinheiten und Gebäudemanagementsysteme benannt. Das ist wichtig, denn das sind keine austauschbaren Laptops, die auf die Patch-Parade am Dienstag warten. Es sind operative Systeme, bei denen Verfügbarkeit, Herstellerbeschränkungen und Änderungsfenster einfache Behebung in eine kleine Oper verwandeln. Die Analyse von OffSeq nennt unsichere Protokolle, veraltete Firmware, bekannte ausgenutzte Schwachstellen, unverwalteten Fernzugriff und schwache Authentifizierung als Angriffsvektoren. Nichts davon ist exotisch. Es sind die vertrauten Gremlins der Unternehmenssicherheit, nur dass sie jetzt in der Nähe von Kühl- und Stromsystemen herumlungern statt neben einer weiteren vergessenen Test-VM. Bedrohungsakteure brauchen kein filmreifes Genie, wenn die Handlung ihnen einen internetseitigen Einstiegspunkt, ein ausreichend flaches Netzwerk und ein Legacy-Protokoll bietet, das älter ist als die aktuelle Passwort-Richtlinie aller Beteiligten.

Exposure Management bedeutet, dem Pfad zu folgen Die breitere Lehre für

Exposure Management passt zum Bericht „State of Exposure Management in 2024“ von XM Cyber. Darin wird die Disziplin als das Erkennen beschrieben, wie eine Organisation exponiert ist, das Verstehen, wie Gegner diese Exponierungen ausnutzen könnten, und das Priorisieren von Behebungsmaßnahmen, um Risiken wirksam zu reduzieren. XM Cyber sagt, dass der Bericht auf Hunderttausenden von Angriffspfad-Bewertungen basiert, die 2023 über seine Continuous-Exposure-Management-Plattform durchgeführt wurden. Die Bewertungen deckten über 40 Millionen Exponierungen auf, die 11,5 Millionen Entitäten betrafen, die als kritisch für den Geschäftsbetrieb gelten. Anonymisierte Daten wurden dem Cyentia Institute für eine unabhängige Analyse bereitgestellt. Deshalb sollte diese Rechenzentrums-Geschichte Sicherheitsteams dazu bringen, nach Pfadanalyse zu greifen, nicht nur nach einer weiteren Tabelle, die nach Schweregrad sortiert ist. Eine kritische Schwachstelle auf einem isolierten Asset ist immer noch ein Problem, aber eine mittelmäßig wirkende Schwäche auf einem System, das eine Brücke zu Stromversorgung oder Kühlung bildet, kann der dringendere Brand sein. Patch Notes mögen dramatisch sein, und glauben Sie mir, ich liebe einen guten CVSS-Schreckmoment. Aber Erreichbarkeit ist die Wendung in der Handlung, die entscheidet, ob eine Schwäche nur hässlich oder betrieblich gefährlich ist.

Was das konkret für Sie bedeutet

Für Betreiber macht die Claroty-Berichterstattung von SecurityWeek aus Asset-Inventarisierung mehr als nur Aufräumarbeit: Sie wird zu Threat Modeling. Sie müssen wissen, welche Systeme direkt exponiert sind, welche nur einen Hop entfernt sind und welche Pfade in HVAC, Stromüberwachung und -verteilung, Brandmanagement, USV-Systeme und andere cyber-physische Infrastruktur führen. Wenn das mühsam klingt: Glückwunsch, Sie haben den Teil der Sicherheit entdeckt, der Pressemitteilungen verhindert, die mit der üblichen rituellen Entschuldigung beginnen. Meine inoffizielle Anzeigetafel für „Wir nehmen Sicherheit ernst“-Erklärungen bleibt ungeschlagen, und ich würde mich freuen, wenn Rechenzentrumsbetreiber aufhören würden, sie weiter zu füttern. Die Mitigations-Zusammenfassung von OffSeq weist in die richtige Richtung: kontinuierliches Exposure Management, Zero-Trust-Netzwerksegmentierung und protokollbewusste Bedrohungserkennung. Der praktische Schritt besteht darin, Korrekturen nach erreichbarer Auswirkung zu priorisieren, Fernzugriff zu verschärfen, internetseitige Systeme von operativen Netzwerken zu trennen und die Protokolle zu überwachen, die Ihre normalen IT-Tools kaum verstehen. Für Leser außerhalb des Rechenzentrums-Bunkers ist die Erkenntnis einfach: Die Dienste, auf die Sie sich verlassen, sind nur so widerstandsfähig wie die weniger glamourösen Systeme darunter. Achten Sie darauf, ob Betreiber und Cloud-Anbieter weniger über die Menge an Schwachstellen und mehr über Angriffspfade sprechen, denn die nächste große Resilienz-Geschichte könnte mit einem stillen Netzwerk-Hop beginnen.