Schwachstellen: Zehntausende Fälle falsch konfigurierter Systeme und ungepatchter Software

F-Secure-Analyse deckt Möglichkeiten für Angreifer auf, Unternehmensnetzwerke zu infiltrieren

[datensicherheit.de, 14.04.2016] Eine nach eigenen Angaben von F-Secure im Frühjahr 2016 durchgeführte Untersuchung von Firmennetzwerken soll Tausende von schwerwiegenden Sicherheitslücken identifiziert haben, durch die sich Angreifer unbemerkt Zugang zu den Unternehmen hätten verschaffen können. Mit Hilfe von „F-Secure Radar“, einer „Vulnerability Scanning- und Managementlösung“ für Software-Schwachstellen, seien im Rahmen der Untersuchung Zehntausende Fälle von falsch konfigurierten Systemen, ungepatchter Software und anderen Anfälligkeiten aufgedeckt worden – für Sicherheitsexperten ein klarer Beweis, dass viele Unternehmen über keinen ausreichenden Überblick ihrer Netzwerke verfügten.

Schwerwiegende Sicherheitsschwächen im Prinzip einfach zu beheben

Das Ergebnis dieser Untersuchung sei besorgniserregend – die in deren Rahmen hundert häufigsten in Firmennetzwerken erkannten Schwachstellen seien insgesamt in fast 85.000 Fällen nachgewiesen worden.
In etwa sieben Prozent dieser Fälle sei die Sicherheitsschwäche – laut den Richtlinien der „National Vulnerability Database“ als „schwerwiegend“ einzustufen. Fast die Hälfte dieser schwerwiegenden Sicherheitslücken seien ausnutzbar gewesen und könnten es Angreifern erlauben, durch die Ausführung von Remote-Code die Kontrolle über infiltrierte Systeme zu erlangen. Dabei wären fast alle dieser ausnutzbaren Schwachstellen durch die richtigen Software-Patches oder ganz simple administrative Änderungen leicht zu beheben.

Unmenge von Angriffsmöglichkeiten

Sollten Angreifer eine dieser schwerwiegenden Schwachstellen ausfindig machen, verheiße das nichts Gutes für das Unternehmen, so Jarno Niemelä, „Lead Researcher“ bei F-Secure Labs. Die Tatsache, dass sie Tausende Probleme dieses Kalibers hätten entdecken können, deute bei den betroffenen Unternehmen auf einige gravierende Sicherheitsdefizite hin. Entweder würden dort keine Patch-Management-Programme verwendet oder Teile des Netzwerks bei der administrativen Wartung schlichtweg vergessen. „Die zugrunde liegenden Ursachen machen dabei aber keinen Unterschied, denn das Resultat ist und bleibt eine Unmenge von Angriffsmöglichkeiten, die nur darauf warten, von Hackern ausgenutzt zu werden“, warnt Niemelä.
Das Ergebnis unterstreiche dabei ein weiteres Mal die oft angemahnte Bedeutung grundlegender Sicherheitsmaßnahmen und deren gewissenhafte Umsetzung. Laut dem US-amerikanischen „Computer Emergency Readiness Team“ könnten mit einigen, unkomplizierten Schritten, wie dem Patchen anfälliger Software, bis zu 85 Prozent gezielter Cyberattacken verhindert werden.

Jede Sicherheitslücke als Paradies für Hacker

Während die Untersuchung Tausende von schwerwiegenden Schwachstellen habe ausfindig machen können, hätten sich falsch konfigurierte Systeme als weitaus häufigeres Problem herausgestellt. Die zehn meist erkannten Sicherheitsschwächen seien von niedriger oder mittlerer Schwere, machten aber 61 Prozent aller identifizierten Schwachstellen aus. Obwohl diese Probleme nicht dieselbe Gefahr wie Hochrisiko-Sicherheitslücken darstellten, ermutigten sie Hacker, das Netzwerk weiter zu testen und nach anderen Schwächen zu suchen.
An sich betrachtet, erschienen diese Probleme nicht besonders kritisch, aber Hacker sähen in jeder dieser kleineren Schwachstellen das Cyber-Security-Äquivalent einer Einladung zum Angriff, warnt Rüdiger Trost, Sicherheitsexperte bei F-Secure.
Über viele dieser Schwachstellen könne man einfach nur durch bloßes Surfen im Web stolpern – und selbst wenn ein Hacker keinen Angriff geplant hätte, sei die Versuchung, dieser „Einladung“ zu folgen und zu schauen, was passiert, groß. „Im besten Fall können sich Unternehmen über eine informative E-Mail freuen, die sie über das Problem unterrichtet, im schlimmsten Fall seien Cyberkriminelle bereits dabei, erste Aufklärungen in Vorbereitung eines gezielten Angriffs durchzuführen“, erläutert Trost.