Das Open SSL Project hat kürzlich zwei schwerwiegende Sicherheitslücken
in seiner Open-Source-Kryptografie-Bibliothek bekannt gegeben, die zur Verschlüsselung von Kommunikationskanälen und HTTPS-Verbindungen verwendet wird. Wenn diese Sicherheitslücken nicht behoben werden, können sie zu Stack-Pufferüberläufen oder der Ausführung von Remote-Code führen. Die Sicherheitslücken betreffen die Open SSL-Versionen 3.0.1 bis 3.0.6. Als Reaktion darauf hat das Open SSL-Projekt die Version 3.0.7 veröffentlicht, um die Sicherheitslücken zu beheben, und erklärt, dass derzeit keine aktiven Exploits gegen die Sicherheitslücken bekannt sind.
Kostenlose Bewertung zur Ermittlung der Anfälligkeit der Drittanbieter und Lieferanten Ihres Unternehmens für die Open-SSL-Sicherheitslücke
Trotz der Zusicherung des Open SSL-Projekts ist es unerlässlich, den Umfang der Nutzung von Open SSL 3.0.1-3.0.6 bei Ihren Drittanbietern und Lieferanten zu ermitteln, damit Ihr Unternehmen das Risiko quantifizieren und geeignete Maßnahmen zur Risikominderung entwickeln kann. Um Ihnen dabei zu helfen, hat Prevalent einen sieben Fragen umfassenden Fragebogen erstellt, den wir der Sicherheits-Community kostenlos zur Verfügung stellen. Die Verwendung des Fragebogens bietet Ihnen folgende Vorteile:
- Bestimmen Sie die Verwendung der Open SSL-Version im Geltungsbereich.
- Pläne von Drittanbietern zur Bestandsaufnahme gefährdeter Systeme offenlegen
- Priorität der Fehlerbehebung und Ansprechpartner ermitteln
- Geschäftliche Auswirkungen klären
- Nutzung und Risiken durch vierte und N-te Parteien aufdecken
Hinweis für Prevalent-Kunden: Diese Bewertung ist jetzt in Ihrer Fragebogenbibliothek verfügbar.
| Fragen | Antwortmöglichkeiten |
|---|---|
| 1) Verwendet die Organisation OpenSSL für ihre kryptografische Schlüsselverwaltung?
Hilfetext: OpenSSL ist die zentrale Open-Source-Bibliothek, die SSL- und TLS-Protokolle implementiert und damit eine sichere Kommunikation über das Internet ermöglicht. |
Bitte wählen Sie eine der folgenden Möglichkeiten:
a) Ja, OpenSSL wird für die Verwaltung kryptografischer Schlüssel verwendet. b) Nein, OpenSSL wird nicht für die Verwaltung kryptografischer Schlüssel verwendet. |
| 2) Welche Versionen von OpenSSL verwendet die Organisation?
Hilfetext: OpenSSL hat eine Sicherheitslücke gemeldet, die die Versionen 3.0.1 bis 3.0.6 seiner OpenSSL-Softwarebibliothek betrifft. |
Bitte wählen Sie eine der folgenden Möglichkeiten:
a) Die Organisation verwendet OpenSSL Version 1.1.1 oder früher. b) Die Organisation verwendet eine Mischung aus OpenSSL Version 1.1.1 oder früher und Version 3.0.1 oder später. c) Die Organisation verwendet OpenSSL Version 3.0.1 oder höher. |
| 3) Hat die Organisation der Erstellung einer Bestandsaufnahme aller Systeme mit anfälligen Versionen von OpenSSL Priorität eingeräumt? | Bitte wählen Sie eine der folgenden Möglichkeiten:
a) Ja, für alle Systeme, die Version 3 oder höher verwenden, wurde ein Inventar erstellt. b) Für Systeme, die Version 3 oder höher verwenden, wurde kein Inventar identifiziert. Vier bewährte Verfahren für proaktive Reaktionen auf Vorfälle durch Dritte |
| 4) Hat die Organisation den neuesten von OpenSSL veröffentlichten Patch 3.0.7 heruntergeladen und installiert?
Hilfetext: Das Open SSL Project gab bekannt, dass am 1. November 2022 die Version 3.0.7 von Open SSL veröffentlicht wurde, die die Sicherheitslücke in den Versionen 3.0.1 bis 3.0.6 behebt. |
Bitte wählen Sie eine der folgenden Möglichkeiten:
a) Ja, der Patch 3.0.7 wurde installiert und auf alle Systeme mit Version 3.0.1 oder höher angewendet. b) Nein, der Patch 3.0.7 wurde nicht auf allen Systemen mit Version 3.0.1 oder höher installiert und angewendet. |
| 5) Hat die Organisation auf der Grundlage der Verwendung von OpenSSL v.3.0.1 oder höher den Grad der Auswirkungen auf kritische Systeme und Anwendungen ermittelt?
Hilfetext: Es sollte berücksichtigt werden, wo die Auswirkungen aufgetreten sind und wie stark sie sind. a) Erhebliche Auswirkungen: Die Schwachstelle hat zu einem Verlust der Vertraulichkeit oder Integrität von Daten geführt. b) Hohe Auswirkung: Die Systemverfügbarkeit war zeitweise nicht gegeben, und es kam zu einem gewissen Verlust der Vertraulichkeit oder Integrität der Daten. c) Geringe Auswirkungen: Keine Beeinträchtigung der Vertraulichkeit oder Integrität der Daten; minimale oder keine Beeinträchtigung der Systemverfügbarkeit. |
Bitte wählen Sie eine der folgenden Möglichkeiten:
a) Es gab erhebliche Auswirkungen auf unsere kritischen Systeme oder Anwendungen. b) Es besteht eine hohe Auswirkung auf unsere kritischen Systeme oder Anwendungen. c) Die Auswirkungen auf unsere kritischen Systeme oder Anwendungen waren gering. d) Der Cyberangriff hatte keine Auswirkungen auf unsere kritischen Systeme oder Anwendungen. |
| 6) Wer ist als Ansprechpartner für weitere Fragen zuständig? | Bitte geben Sie den wichtigsten Ansprechpartner für das Management von Informations- und Cybersicherheitsvorfällen an.
Name: Titel: E-Mail: Telefon: |
| 7) Hat die Organisation bei Dritten überprüft, ob diese OpenSSL v.3.0.1 oder höher verwenden? Wenn ja, gibt es Pläne, um die Sicherheitslücke zu beheben? | Bitte wählen Sie eine der folgenden Möglichkeiten:
a) Ja, die Organisation hat unsere Drittanbieter identifiziert, die Version 3.0.1 oder höher verwenden, und diese haben die neuesten Patches implementiert. b) Die Organisation hat ihre Drittanbieter identifiziert, die Version 3.0.1 oder höher verwenden, jedoch gibt es derzeit keine Pläne, um die Sicherheitslücke zu beheben. c) Nein, die Organisation hat keine Dritten identifiziert, die Version 3.0.1 oder höher verwenden. |
Die Bekanntgabe eines schwerwiegenden Sicherheitsvorfalls ist nicht der richtige Zeitpunkt, um sicherzustellen, dass Ihr Unternehmen über einen Notfallplan für Vorfälle durch Dritte verfügt. Bereiten Sie sich stattdessen schon jetzt proaktiv auf den nächsten Vorfall vor. Hier sind vier bewährte Vorgehensweisen, die Sie berücksichtigen sollten:
1. Erstellen Sie ein zentrales Verzeichnis aller Drittanbieter.
Die Bestandsaufnahme Ihrer Lieferanten sollte auf einer zentralen Plattform erfolgen – nicht in Tabellenkalkulationen –, damit mehrere interne Teams an der Lieferantenverwaltung teilnehmen können und der Prozess zum Nutzen aller automatisiert werden kann. Führen Sie anschließend eine Bewertung der inhärenten Risiken durch, um zu ermitteln, wie Sie Ihre Drittanbieter entsprechend den Risiken, die sie für Ihr Unternehmen darstellen, kontinuierlich bewerten können.
2. Erstellen Sie eine Karte von Drittanbietern, um das Risiko einer Technologiekonzentration zu ermitteln.
Das Sammeln von Technologien von Drittanbietern, die in Ihrem Lieferanten-Ökosystem eingesetzt werden, während des Inventarisierungsprozesses hilft dabei, Beziehungen zwischen Ihrem Unternehmen und Dritten auf der Grundlage bestimmter Technologienutzungen zu identifizieren. Außerdem können Sie damit Angriffspfade in Ihr Unternehmen visualisieren und proaktive Maßnahmen zur Risikominderung ergreifen. Dies können Sie durch eine gezielte Bewertung oder durch passives Scannen erreichen.
3. Bewertung der Geschäftskontinuitätspläne und der Widerstandsfähigkeit von Drittunternehmen
Beziehen Sie betroffene Lieferanten proaktiv mit ein, indem Sie einfache, gezielte Bewertungen durchführen, die sich an bekannten Sicherheitsstandards für Lieferketten in der Branche orientieren, wie beispielsweise NIST 800-161 „
”
und ISO 27036. Die Ergebnisse dieser Bewertungen helfen Ihnen dabei, die erforderlichen Abhilfemaßnahmen zu ergreifen, um potenzielle Sicherheitslücken zu schließen. Gute Lösungen bieten integrierte Empfehlungen, um den Abhilfeprozess zu beschleunigen und diese Lücken schneller zu schließen.
4. Überwachen Sie betroffene Anbieter und Lieferanten kontinuierlich auf Cyberangriffe.
Um ständig auf den nächsten Angriff vorbereitet zu sein, müssen Sie nach Anzeichen für einen bevorstehenden Sicherheitsvorfall Ausschau halten. Die Überwachung von
kriminellen Foren, Onion-Seiten, speziellen Dark-Web-Foren, Threat-Feeds, Paste-Seiten für gestohlene Zugangsdaten, Sicherheits-Communities, Code-Repositorys und Datenbanken zu Schwachstellen und Hackerangriffen ist unerlässlich. Sie können diese Quellen einzeln überwachen oder nach Lösungen suchen, die alle Erkenntnisse in einer einzigen Lösung zusammenfassen, sodass alle Risiken zentralisiert und für das Unternehmen sichtbar sind.
Nächste Schritte: Nutzen Sie die Bewertung und messen Sie Ihr Programm zur Reaktion auf Vorfälle durch Dritte.
Weitere Informationen darüber, wie Prevalent die Erkennung und Reaktion auf Cybervorfälle von Drittanbietern vereinfachen und beschleunigen kann, finden Sie in unserem Leitfaden zu bewährten Verfahren, den Sie herunterladen können. Oder kontaktieren Sie uns noch heute, um eine Reifegradbewertung oder eine Demo zu vereinbaren.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich auf Prevalent.net veröffentlicht. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
