Das Voice-over-IP-Unternehmen (VoIP) 3CX gab kürzlich bekannt, dass seine Electron-Software Opfer eines Supply-Chain-Angriffs geworden ist. Die Angreifer, bei denen es sich vermutlich um die nordkoreanische Hackergruppe Labyrinth Chollima handelt, konnten eine Trojaner-Malware namens TAXHAUL auf der 3CX-Desktop-App installieren, um über die anfällige Anwendung weitere böswillige Aktivitäten auf den Clients durchzuführen.
Mit mehr als 242.000 öffentlich zugänglichen 3CX-Telefonverwaltungssystemen und 600.000 Unternehmen als Kunden von 3CX kann dieser Angriff auf die Software-Lieferkette zu weitreichenden Sicherheitsproblemen führen, wenn Antiviren-Tools die ausführbare Datei von 3XC nicht erkennen und deinstallieren und deren Ruhezustandsfunktion unterlaufen.
Dieser Beitrag untersucht fünf bewährte Verfahren zur Minderung der Risiken ähnlicher Angriffe auf die Software-Lieferkette.
Fünf bewährte Verfahren zur Minderung der Auswirkungen von Angriffen auf die Software-Lieferkette
Die Bekanntgabe eines schwerwiegenden Sicherheitsvorfalls in der Software-Lieferkette ist nicht der richtige Zeitpunkt, um sicherzustellen, dass Ihr Unternehmen über einen Plan für die Reaktion auf Vorfälle durch Dritte verfügt. Bereiten Sie sich stattdessen schon jetzt proaktiv auf den nächsten Vorfall vor. Hier sind fünf bewährte Vorgehensweisen, die Sie berücksichtigen sollten:
1. Erstellen Sie ein zentrales Verzeichnis aller Drittanbieter.
Eine zentralisierte Bestandsaufnahme aller Drittanbieter und Lieferanten sorgt für mehr Transparenz und bessere Prozesse im Lieferantenmanagement und verringert das Risiko, dass unseriöse Lieferanten Ihre IT-Abläufe gefährden. Die Bestandsaufnahme Ihrer Lieferanten sollte auf einer zentralisierten Plattform erfolgen – nicht in Tabellenkalkulationen –, damit mehrere interne Teams am Lieferantenmanagement teilnehmen können und der Prozess zum Nutzen aller automatisiert werden kann.
Sie können ein zentrales Lieferanteninventar aufbauen, indem Sie Lieferanten über eine Tabellenvorlage oder eine API-Verbindung zu einer bestehenden Beschaffungslösung in Ihre Risikomanagementplattform für Drittanbieter importieren. Teams im gesamten Unternehmen sollten in der Lage sein, wichtige Lieferantendaten mit einem zentralisierten und anpassbaren Erfassungsformular und einem zugehörigen Workflow zu erfassen. Diese Funktion sollte allen per E-Mail-Einladung zur Verfügung stehen, ohne dass eine Schulung oder Lösungskompetenz erforderlich ist.
Sobald die Lieferanten zentralisiert sind, führen Sie Bewertungen der inhärenten Risiken durch, um zu ermitteln, wie Sie Ihre Drittanbieter kontinuierlich entsprechend den Risiken, die sie für Ihr Unternehmen darstellen, bewerten können.
2. Erstellen Sie eine Karte von Drittanbietern, um das Risiko einer Technologiekonzentration zu ermitteln.
Das Sammeln von Technologien von Drittanbietern, die in Ihrem Lieferanten-Ökosystem eingesetzt werden, während des Inventarisierungsprozesses hilft dabei, Beziehungen zwischen Ihrem Unternehmen und Dritten auf der Grundlage bestimmter Technologienutzungen zu identifizieren. Außerdem können Sie damit Angriffspfade in Ihr Unternehmen visualisieren und proaktive Maßnahmen zur Risikominderung ergreifen. Dies können Sie durch eine gezielte Bewertung oder durch passives Scannen erreichen.
Im Fall des Angriffs auf die Lieferkette der 3CX-Software würde Ihnen eine Übersicht über die Anbieter, die die Electron-Lösung für VoIP nutzen, dabei helfen, genau zu bestimmen, welche Anbieter auf eine mögliche Malware-Exposition überprüft werden müssen. Konzentrieren Sie sich zunächst auf die wichtigsten oder geschäftskritischen Anbieter, da eine Unterbrechung ihres Betriebs Ihr Unternehmen möglicherweise stärker beeinträchtigen würde.
3. Bewertung der Geschäftskontinuitätspläne und der Widerstandsfähigkeit von Drittunternehmen
Beziehen Sie betroffene Lieferanten proaktiv mit ein, indem Sie einfache, gezielte Bewertungen durchführen, die den bekannten Branchenstandards für die Sicherheit der Lieferkette entsprechen, wie beispielsweise NIST 800-161 und ISO 27036. Die Ergebnisse dieser Bewertungen helfen Ihnen dabei, die erforderlichen Abhilfemaßnahmen zu ergreifen, um potenzielle Sicherheitslücken zu schließen.
Gute Lösungen bieten Workflow-Automatisierung, Überprüfung und Analyse, Unterstützung beim Evidenzmanagement und integrierte Empfehlungen, um Abhilfemaßnahmen zu beschleunigen und diese Lücken schnell zu schließen.
Verlangen Sie im Rahmen des Bewertungsprozesses von Softwareanbietern die Vorlage einer Software-Stückliste (SBOM). SBOMs können nicht nur die Komponenten einer Software detailliert auflisten, sondern auch die während des Softwareentwicklungsprozesses angewandten Qualitätssicherungs- (QA) und Sicherheitsbewertungsverfahren erläutern.
4. Überwachen Sie betroffene Anbieter und Lieferanten kontinuierlich auf Cyberangriffe.
Um stets auf den nächsten Angriff vorbereitet zu sein, muss man nach Anzeichen für einen bevorstehenden Sicherheitsvorfall Ausschau halten. Die Überwachung von kriminellen Foren, Onion-Seiten, speziellen Zugangsforen im Dark Web, Threat Feeds, Paste-Seiten für geleakte Zugangsdaten, Sicherheits-Communities, Code-Repositorys und Datenbanken zu Schwachstellen und Hackerangriffen/Sicherheitsverletzungen ist dabei unerlässlich.
Sie können diese Quellen einzeln überwachen oder nach Lösungen suchen, die alle Erkenntnisse in einer einzigen Lösung zusammenfassen, sodass alle Risiken zentralisiert und für das Unternehmen sichtbar sind. Korrelieren Sie alle Überwachungsdaten mit den Bewertungsergebnissen und zentralisieren Sie sie in einem einheitlichen Risikoregister für jeden Anbieter, um die Risikoprüfung, Berichterstattung und Reaktionsinitiativen zu optimieren.
5. Testen Sie Ihren Notfallplan für Vorfälle durch Dritte.
Die Automatisierung der Reaktion auf Vorfälle ist entscheidend für die Verkürzung der durchschnittlichen Erkennungszeit (MTTD) und der durchschnittlichen Reaktionszeit (MTTR) bei Vorfällen von Drittanbietern, wodurch die Auswirkungen des Vorfalls auf Ihren Betrieb verringert werden können.
Während Sie Ihre Notfallpläne kontinuierlich verbessern:
- Nutzung eines zentralisierten Fragebogens für das Ereignis- und Vorfallsmanagement zur Verkürzung der Reaktionszeiten und zur Vereinfachung und Standardisierung von Bewertungen
- Verfolgen Sie den Fortschritt beim Ausfüllen des Fragebogens in Echtzeit, um mögliche Auswirkungen zu reduzieren.
- Ermöglichen Sie Anbietern, proaktiv Vorfälle zu melden, um Kontext hinzuzufügen und die Reaktionszeiten zu verkürzen.
- Verwenden Sie Workflow-Regeln, um automatisierte Playbooks auszulösen, die entsprechend den potenziellen Auswirkungen auf das Unternehmen auf Risiken reagieren.
- Geben Sie dem Anbieter Anweisungen zur Behebung des Problems, um das Risiko für Ihr Unternehmen auf ein akzeptables Maß zu senken.
Durch die Zentralisierung der Reaktion auf Vorfälle von Drittanbietern in einem einzigen unternehmensweiten Vorfallmanagementprozess können Ihre IT-, Sicherheits-, Rechts-, Datenschutz- und Compliance-Teams effektiv zusammenarbeiten, um Risiken zu minimieren.
Nächste Schritte für eine bessere Sicherheit in der Software-Lieferkette
Ein manueller, reaktiver Ansatz zur Erkennung von Schwachstellen in Drittanbietersoftware und zur Reaktion auf Vorfälle erhöht nur die Wahrscheinlichkeit einer Betriebsunterbrechung. Setzen Sie stattdessen die fünf Best Practices in diesem Beitrag um, um besser auf Ihre nächste Herausforderung im Bereich der Lieferkettensicherheit vorbereitet zu sein.
Weitere Informationen darüber, wie Prevalent dazu beitragen kann, das Risiko in der Lieferkette in jeder Phase des Lieferantenlebenszyklus zu reduzieren, finden Sie in unserem Whitepaper „Checkliste für die Reaktion auf Vorfälle bei Drittanbietern“ oder fordern Sie noch heute eine Demo für eine Strategiesitzung an.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
