ISX 2022: Interview mit Keynote-Speaker Stefan Strobel So wandelt sich der Security-Markt aktuell

Anbieter zum Thema

G DATA CyberDefense AG

WatchGuard Technologies GmbH

Fujitsu Technology Solutions GmbH

Vogel IT-Akademie

Cirosec GmbH

Der Security-Markt wandelt sich und Unternehmen müssen sich durch einen Dschungel kryptischer Abkürzungen kämpfen. Welche Konzepte hinter den neuen Buzzwords stecken und wo moderne Erkennungstechniken mit Effizienz brillieren, verrät Sicherheitsberater Stefan Strobel im Interview.

Mit EDR, XDR und CDC liefert der Security-Markt neben jeder Menge Buzzwords auch vielversprechende Ansätze; die sollen deutlich mehr Sicherheitsvorfälle als bisher erkennen und dabei zugleich weniger kosten. Wann Angebote hinter den neuen Abkürzungen wirklich punkten und wo klassische Lösungen immer noch die bessere Wahl sind, weiß Stefan Strobel vom Beratungshaus cirosec GmbH. Wir haben im Vorfeld der IT-Security Conference ISX 2022 mit dem Geschäftsführer und Fachbuchautor gesprochen.

Sie haben augenscheinlich eine gewisse Vorliebe für Abkürzungen zur IT-Sicherheit – das legen zumindest die mit ihnen angekündigten Beiträge zur ISX 2022 nahe. Wie kam es zu diesem Faible?

Stefan Strobel: Das ist kein Faible von mir, das ist eher ein Faible des Marktes; ich will vielmehr mit diesen Abkürzungen aufräumen und den Teilnehmern erklären, was wirklich hinter den Begriffen steckt. Ist das alles nur heiße Luft, sind es neue Label für alte Themen oder haben wir es wirklich mit etwas wirklich Neuem zu tun?

Dabei werden Sie es aber nicht bei einem Glossar und trockener Theorie belassen, oder?

Strobel: In meiner Keynote werde ich tatsächlich auch den vollständigen Weg einer Kompromittierung skizzieren – von der erste Phishing-E-Mail bis hin zur Übernahme einer kompletten Domäne. Dabei präsentiere ich aktuelle und neue Erkennungstechniken, die an dieser Stelle vielleicht eine Verbesserung der Situation bringen könnten.

Auf welche Verfahren spielen Sie hier an?

Strobel: Früher hat man ja auf die zentrale Sammlung aller Log- und Eventdaten gesetzt, um Angriffe frühzeitig zu erkennen und zu stoppen. Mittlerweile hat sich herumgesprochen, dass das schlecht funktioniert und man so meist nur einen riesigen Datenwust produziert.

Aktuell konzentriert man sich daher auf Endpoint Detection & Response (EDR); dabei wird auf den Endgeräten ein Agent installiert, der sicherheitsrelevante Aktivitäten und Prozesse direkt überwacht. So können wir nicht nur nachverfolgen, ob und was ein Endanwender beispielsweise von einer zwielichtigen russischen Website herunterlädt, sondern auch, ob Rechte erweitert, Schadcode nachgeladen oder die Registry manipuliert wurden. Und graphisch aufbereitet erhalten wir so eine Art Verhaltensnetzwerk, sehen wie die Dinge ineinandergreifen und was der Reihe nach passiert ist.

Und das hat natürlich eine ganz neue Qualität: Man bekommt einen Gesamtzusammenhang geliefert statt GByte-weise Events ohne Kontext.

Können Sie den Sicherheitsgewinn in Zahlen ausdrücken?

Strobel: Gleich vorweg: Eine 100-prozentige Erkennungsrate werden wir nie erreichen, weil die Gegner ja ebenfalls intelligente Menschen sind, die Sicherheitssysteme überwinden können. Aber das Verhältnis zwischen Kosteneinsatz und Erkennungsfähigkeit unterscheidet sich wirklich sehr stark zwischen den verschiedenen Herangehensweisen.

Wer einen klassischen Ansatz ohne Erkennungstechniken oder Security Information & Event Management (SIEM) nutzt, bemerkt wahrscheinlich nur zehn Prozent von all dem, was er hätte erkennen können – und das auch nur durch Zufall. Ein SIEM ohne moderne Sensoren verschlingt jede Menge Geld und erreicht bestenfalls eine Erkennungsrate von 30 bis 40 Prozent. Mit modernen Sensoren wie EDR, Deception oder AD-Security erkennt man bei sehr viel geringeren Kosten bis zu 70 oder 80 Prozent der Vorfälle.

Damit spricht also heutzutage alles gegen ein SIEM?

Strobel: Es kommt drauf an, was man für ein Unternehmen hat und was es zu schützen gilt. EDR-Lösungen konzentrieren sich auf Endgeräte und Arbeitsplätze der Mitarbeiter. Deswegen sind sie gut geeignet, um die klassische Ransomware-Infektion zu erkennen.

Wenn ein Unternehmen aber Online-Shop, Kunden- oder Herstellerportale betreibt, dann sind diese extern erreichbaren Webapplikationen natürlich immer noch Angriffspunkte. Die werden mit EDR-Lösungen eher schlecht abgedeckt. Hier braucht man andere Sensoren, die dann eher in einem klassischen SIEM von einem Security Operations Center (SOC) betrieben werden.

Und man braucht natürlich die entsprechende Expertise im Unternehmen...

Strobel: Nun, die tatsächliche Reaktion auf Alarme wird man nur schwer outsourcen können. Hier geht es ja um die eigene IT, die eigenen Geschäftsprozesse und um die eigene Entscheidung: Schalte ich ein System ab oder lasse ich es lieber weiterlaufen? An dieser Stelle können Externe nur unterstützen und beraten.

In der Phase davor kann man aber durchaus einiges in externe Hände geben, also da wo die Alarme verifiziert werden und wo man versucht, ein Gesamtbild aus den Alarmen zu zeichnen.

Und hier spannt sich wieder der Bogen zu den eingangs erwähnten Abkürzungen. Manche Dienstleister sprechen von MDR, also Managed Detection & Response; andere werben mit einem Cyber Defense Center (CDC) – das ist zwar prinzipiell das gleiche wie ein SOC, klingt aber für manche Leute einfach ein bisschen moderner.

Herr Strobel, vielen Dank für das Gespräch und dieses aufschlussreiche Schlusswort.

Zur Person:

Stefan Strobel ist Geschäftsführer der cirosec GmbH. Er verfügt über langjährige Erfahrungen in der Beratung großer Firmen mit sehr hohem Sicherheitsbedarf und in der Erstellung von Konzepten und Policies. Neben seiner Tätigkeit hält er regelmäßig Vorträge an Hochschulen und auf Sicherheitskonferenzen und ist Autor verschiedener Fachbücher, die in mehreren Sprachen erschienen sind.

(ID:48423164)