Am 31. Mai 2023 gab Progress Software eine Sicherheitslücke bekannt (
),
die es nicht authentifizierten Akteuren ermöglicht, auf dieMOVEit® Transfer-Datenbank zuzugreifen und SQL-Anweisungen auszuführen, um Informationen zu ändern oder zu löschen. MOVEit Transfer ist eine Managed-File-Transfer-Software, die Teil der Progress MOVEit-Cloud-Plattform ist, mit der alle Dateiübertragungsaktivitäten in einem System konsolidiert werden.
Seit der Bekanntgabe hat die Cyberkriminellenbande Clop die Sicherheitslücke ausgenutzt und damit eine Vielzahl von Organisationen aus verschiedenen Branchen und Regionen angegriffen, darunter den HR-Softwareanbieter Zellis, die BBC, die Regierung von Nova Scotia und viele andere. Obwohl Progress Software die Sicherheitslücke geschlossen hat, gibt Clop weiterhin neue Opfer bekannt.
Wie bei den Angriffen auf SolarWinds, Kaseya, LastPass und dem ähnlichen Accellion-
ist es von entscheidender Bedeutung, dass Risikomanagement-Experten von Drittanbietern wissen, welche ihrer Lieferanten der MOVEit-Sicherheitslücke ausgesetzt sein könnten, um die Wahrscheinlichkeit und Schwere eines Angriffs auf ihre eigenen IT-Infrastrukturen oder die Gefährdung ihrer Daten zu verringern.
In diesem Beitrag empfehlen wir Ihnen acht Fragen, die Sie Ihren Drittanbietern stellen sollten, um deren Nutzung von MOVEit zu ermitteln und ihre Reaktion auf damit verbundene Sicherheitsvorfälle zu verstehen. Außerdem stellen wir Ihnen drei Best Practices vor, mit denen Sie die Reaktion Ihres Unternehmens auf Vorfälle bei Drittanbietern besser automatisieren können.
| Fragen | Mögliche Antworten |
|---|---|
| 1) Nutzt die Organisation die verwaltete Dateiübertragungssoftware MOVEit Transfer oder MOVEit Cloud? | Bitte wählen Sie eine der folgenden Möglichkeiten:
a) Ja, die Organisation nutzt die MOVEit Transfer- oder Cloud-Lösung. b) Nein, die Organisation nutzt weder die MOVEit Transfer- noch die Cloud-Lösung. |
| 2) Ist die Organisation von der MOVEit-SQL-Injection-Sicherheitslücke betroffen?
Hilfetext: Erhebliche Auswirkungen: Die Schwachstelle hat zu einem Verlust der Vertraulichkeit oder Integrität von Daten geführt. Hohe Auswirkung: Die Systemverfügbarkeit war zeitweise nicht gegeben, und es kam zu gewissen Verlusten hinsichtlich der Vertraulichkeit oder Integrität der Daten. Geringe Auswirkungen: Keine Beeinträchtigung der Vertraulichkeit oder Integrität der Daten; minimale oder keine Beeinträchtigung der Systemverfügbarkeit. |
Bitte wählen Sie eine der folgenden Möglichkeiten:
a) Es gab erhebliche Auswirkungenauf unsere kritischen Systeme, Anwendungen oder Informationen. b) Es besteht ein hohes Maß an Auswirkungenauf unsere kritischen Systeme, Anwendungen oder Informationen. c) Die Auswirkungen aufunsere kritischen Systeme, Anwendungen oder Informationen waren gering. d) Der Cyberangriff hatte keine Auswirkungenauf unsere kritischen Systeme, Anwendungen oder Informationen. |
| 3) Hat die Organisation bei Verwendung von MOVEit Transfer die vom Lösungsanbieter (Progress Software) empfohlenen Maßnahmen zur Behebung der Sicherheitslücke ergriffen?
Hilfetext: Unternehmen sollten ihre Firewall-Regeln so ändern, dass HTTP- und HTTPs-Datenverkehr zu MOVEit Transfer auf den Ports 80 und 443 gesperrt wird, bevor sie die neuesten Patches anwenden. Hier finden Sie eineListe mit Indikatoren für Kompromittierungen und empfohlenen Maßnahmen. |
Bitte wählen Sie alle zutreffenden Angaben aus.
a) Wir haben den gesamten HTTP- und HTTPS-Datenverkehr zur MOVEit Transfer-Umgebung deaktiviert. b) Wir haben Maßnahmen ergriffen, um die Anmeldedaten für Dienstkonten zu überprüfen, zu löschen und zurückzusetzen. c) Wir haben die neuesten Patches direkt von der PROGRESS-Website installiert, die für unsere MOVEit Transfer-Version relevant sind. d) Wir haben das Netzwerk, die Endpunkte und die Protokolle kontinuierlich auf Anzeichen für eine Kompromittierung (Indicators of Compromise, IoC) überwacht. |
| 4) Hat das Unternehmen bei Verwendung von MOVEit Cloud die vom Lösungsanbieter (Progress Software) empfohlenen Maßnahmen zur Behebung der Sicherheitslücke ergriffen? | Bitte wählen Sie alle zutreffenden Angaben aus.
a) Wir haben unsere Audit-Protokolle auf Anzeichen für unerwartete oder ungewöhnliche Dateidownloads überprüft. b) Wir haben Überprüfungen der in der CVE-Datei aufgeführten IP-Adressen durchgeführt. |
| 5) Hat der Kompromiss Auswirkungen auf wichtige Dienstleistungen, die für unsere Organisation erbracht werden? | Bitte wählen Sie eine der folgenden Möglichkeiten:
a) Ja. b) Nein. |
| 6) Wer ist als Ansprechpartner für weitere Fragen zuständig? | Bitte geben Sie den wichtigsten Ansprechpartner für das Management von Informations- und Cybersicherheitsvorfällen an.
Name: Titel: E-Mail: Telefon: |
| 7) Hat die Organisation die oben genannten und von Progress Software empfohlenen Abhilfemaßnahmen und Patches angewendet?
Hilfetext: In der Webanwendung MOVEit Transfer wurde eine neue Sicherheitslücke entdeckt, die es einem nicht authentifizierten Angreifer ermöglichen könnte, unbefugten Zugriff auf die MOVEit Transfer-Datenbank zu erlangen. Der Lösungsanbieter (Progress Software) empfiehlt allen betroffenen Unternehmen, die neuesten Patches zu installieren, die am 9. Juni veröffentlicht wurden. |
Bitte wählen Sie eine der folgenden Möglichkeiten:
a) Ja, wir haben die für die Sicherheitslücken vom Mai 2023 veröffentlichten Korrekturen angewendet. b) Nein, wir haben die für die Schwachstellen vom Mai 2023 veröffentlichten Korrekturen derzeit noch nicht angewendet. |
| 8) Hat die Organisation gemäß den Richtlinien von Progress Software die Patches angewendet?
Hilfetext: Die Anwendung des Patches vom 9. Juni kann in verschiedenen Installationspfaden (DLL vs. vollständiges Installationsprogramm) durchgeführt werden. Dieser [MOVEit Transfer Knowledge Base-Artikel](https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-CVE-Pending-Reserve-Status-June-9-2023) beschreibt die erforderlichen Schritte und Versionen, die aktualisiert werden müssen. |
Bitte wählen Sie eine der folgenden Möglichkeiten:
a) Wir haben die neuesten Patches, die direkt von der Progress Software-Website stammen und für unsere MOVEit Transfer-Version relevant sind, installiert. b) Wir haben die von Progress Software empfohlenen Patches derzeit noch nicht installiert. |
3 bewährte Verfahren zur Minderung von Risiken durch MOVEit und andere Sicherheitsverletzungen durch Dritte
Auch wenn es nicht möglich ist, alle Risiken aus jeder Lieferantenbeziehung zu eliminieren, kann Ihr Programm für das Risikomanagement von Drittanbietern die nötige Transparenz und Automatisierung bieten, um proaktiv die Risiken zu finden und zu mindern, die Ihr Geschäft stören können. Beginnen Sie mit diesen drei Schritten:
1. Identifizierung von Anbietern, die die betroffene Technologie nutzen könnten
Um zu wissen, welche Anbieter eine bestimmte Technologie verwenden, müssen Sie zunächst einmal wissen, wer Ihre Anbieter sind - und das bedeutet, dass Sie ein zentrales Anbieterinventar erstellen müssen. Dies lässt sich nicht mit Tabellenkalkulationen bewerkstelligen und auch nicht, indem man die Verwaltung der Lieferanten an die Teams der einzelnen Abteilungen delegiert. Die Verwaltung muss zentral in einem System erfolgen, auf das alle an der Lieferantenverwaltung Beteiligten Zugriff haben. Ihr zentrales System sollte den Import von Lieferantenprofildaten aus vorhandenen Tabellenkalkulationen oder über eine API-Verbindung zu Ihrer aktuellen Beschaffungslösung ermöglichen.
Nachdem Sie alle Ihre Lieferanten zentralisiert haben, verwenden Sie Lieferantenfragebögen, die durch passive Scanfunktionen unterstützt werden, um Beziehungen zu Technologien von Drittanbietern zu identifizieren. In diesem speziellen Fall würde diese Maßnahme aufzeigen, welche Lieferanten MOVEit verwenden. Das Sammeln von Informationen über Technologien von Drittanbietern, die in Ihrem Lieferanten-Ökosystem eingesetzt werden, hilft dabei, Unternehmen zu identifizieren, die die betroffene Technologie verwenden, sodass Sie priorisieren können, welche Ihrer Lieferanten einer weiteren Bewertung bedürfen.
2. Erstellung veranstaltungsspezifischer Risikobewertungen
Sobald Sie Anbieter identifiziert haben, die die betroffene Technologie in ihren Umgebungen einsetzen, sollten Sie sie mit einfachen, gezielten Bewertungen beauftragen, die sich an bekannten Sicherheitsstandards und bewährten Verfahren wie NIST 800-161
und ISO 27036 entsprechen. Die Ergebnisse dieser Bewertungen helfen Ihnen dabei, die notwendigen Abhilfemaßnahmen zur Schließung potenzieller Sicherheitslücken zu treffen. Gute Bewertungslösungen bieten integrierte Empfehlungen, um Abhilfemaßnahmen zu beschleunigen und diese Lücken schnell zu schließen.
Beginnen Sie Ihre ereignisspezifische Bewertung anhand der acht Fragen im obigen Abschnitt und gewichten Sie die Antworten entsprechend der Risikotoleranz Ihrer Organisation. Bitte beachten Sie: Dies sind grundlegende Fragen, die dazu dienen, einige erste Informationen zu erhalten. Ihre Organisation kann sich dafür entscheiden, andere oder zusätzliche Fragen zu stellen.
3. Kontinuierliche Überwachung betroffener Anbieter
Es ist wichtig, ständig wachsam zu sein – nicht nur hinsichtlich der Risiken, die sich aus dem MOVEit-Angriff ergeben, sondern auch hinsichtlich der Risiken, die mit dem nächsten Angriff einhergehen. Beginnen Sie damit, das Internet und das Dark Web mithilfe einer kontinuierlichen Cyberüberwachung zu überwachen, um Angebote zum Verkauf gestohlener Anmeldedaten und andere Anzeichen für einen bevorstehenden Sicherheitsvorfall aufzudecken.
Ihre Überwachungsmaßnahmen sollten kriminelle Foren, Onion-Seiten, spezielle Zugangsforen im Dark Web, Bedrohungs-Feeds, Paste-Seiten für geleakte Zugangsdaten, Sicherheits-Communities, Code-Repositorys, Datenbanken zu Schwachstellen und Hackerangriffen/Sicherheitsverletzungen sowie negative Nachrichten umfassen.
Sie können mehrere einzelne Quellen überwachen - oder Sie können eine Lösung verwenden, die Erkenntnisse aus mehreren Quellen zusammenführt, alle Risikodaten zentralisiert und sie für die wichtigsten Beteiligten sichtbar macht. Mit dem letztgenannten Ansatz können Sie die Ergebnisse der kontinuierlichen Überwachung mit den Antworten der Risikobewertung korrelieren, um zu überprüfen, ob die Anbieter Kontrollen eingerichtet haben oder nicht.
Nächste Schritte: Aktivieren Sie Ihr Programm zur Reaktion auf Drittanbietervorfälle
Wären Sie in der Lage, bei einem Cybersecurity-Vorfall in Ihrem Lieferanten-Ökosystem die Auswirkungen schnell zu verstehen und einen Reaktionsplan zu aktivieren? Bei der Reaktion auf Vorfälle ist Zeit das A und O. Wenn Sie also mit einem definierten Plan für die Reaktion auf Vorfälle proaktiv vorgehen, verkürzen Sie die Zeit, in der Sie potenzielle Probleme bei den Anbietern entdecken und entschärfen können. Ein programmatischer Reaktionsplan für Drittanbietervorfälle sollte Folgendes umfassen:
- Eine zentral verwaltete Datenbank mit Anbietern und den von ihnen genutzten Technologien
- Vorgefertigte Bewertungen der Widerstandsfähigkeit, Kontinuität und Sicherheit von Unternehmen, um die Wahrscheinlichkeit und die Auswirkungen eines Vorfalls abzuschätzen
- Scoring und Gewichtung zur Konzentration auf die wichtigsten Risiken
- Eingebaute Empfehlungen zur Behebung potenzieller Schwachstellen
- Stakeholder-spezifische Berichterstattung als Antwort auf die unvermeidliche Anfrage des Vorstands
Wenn Sie mehr darüber erfahren möchten, wie Prevalent Ihrem Unternehmen dabei helfen kann, die Erkennung und Minderung von Risiken Dritter zu beschleunigen, fordern Sie noch heute eine Demo an.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich auf Prevalent.net veröffentlicht. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
