Torsten George warnt: Angriffsfläche für Endgeräte wächst – die Schwachstellen bleiben

George erörtert, wie Unternehmen im Wettrennen um Mobile Security aufholen können

[datensicherheit.de, 06.02.2023] Vom 27. Februar bis 2. März 2023 findet in Barcelona der diesjährige „Mobile World Congress“ (MWC) statt: „Bei der Leistungsschau der Mobile-Communications-Industrie werden neben dem ,Höher, Schneller, Weiter’ auch kritische Themen auf der Agenda stehen, und eines davon ist die löcherige Sicherheitsumgebung der mobilen Endpoints“, so Torsten George, „VP“ von Absolute Software), in seiner aktuellen Stellungnahme. Absolute Software hat demnach „hierzu Millionen an User-Daten analysiert“. Für diese Analyse wurden laut Absolute Software anonymisierte Daten von verschiedenen Untergruppen von mehr als 14 Millionen „Absolute-fähigen Geräten“ – aktiv bei fast 18.000 Kunden weltweit – über einen Zeitraum von zwei Wochen im August 2022 analysiert. Daten und Informationen seien auch von vertrauenswürdigen Drittquellen bezogen worden.

Foto: Absolute Software

Torsten George: Beträchtliche Anzahl von Endgeräten in Bezug auf Patches nicht auf dem neuesten Stand und daher anfällig für Ausnutzung und Angriffe!

2022 bisher 20.265 neue Software-Schwachstellen identifiziert und gemeldet

Im Jahr 2022 seien bisher 20.265 neue Software-Schwachstellen identifiziert und gemeldet worden. George: „Dies ist ein Anstieg gegenüber 20.171 im gesamten Jahr 2021 und 18.325 im Jahr 2019.“

Das sei nicht wenig angesichts der für IT- und Sicherheitsteams erforderlichen Schritte, um jede dieser Schwachstellen zu erkennen und Updates für jeden einzelnen Endpunkt, der sich im Besitz eines Unternehmens befindet oder von ihr verwaltet wird, bereitzustellen.

Für Unternehmen mühsam, Windows-Geräte mit Patches stets auf dem neuesten Stand zu halten

Für „Windows 10“-Geräte gebe Microsoft jeden Monat am „Patch Tuesday“ neue Updates heraus. „Es kann für Unternehmen mühsam werden, ,Windows’-Geräte mit den neuesten Patches auf dem neuesten Stand zu halten. Wenn dies jedoch nicht erfolgt, öffnen sie ihre Umgebungen für potenzielle Kompromittierungen“, gibt George zu bedenken.

Er erläutert: „Die Analyse von Absolute Software ergab, dass das durchschnittliche ,Windows 10 Enterprise’-Gerät 59 Tage mit Patches im Rückstand ist, wobei Behörden und Einzelhändler die längsten Verzögerungen im Enterprise-Bereich (83 bzw. 77 Tage) aufweisen.“ Wenn man das Bildungswesen mit einbeziehe, sei der Rückstand bei den Patches sogar noch größer – im Durchschnitt 115 Tage.

Betroffene Unternehmen mit extrem geringem Aufwand anzugreifen

„Betrachtet man die Gesamtzahl der Schwachstellen, die allein im Juli und August am ,Patch Tuesday’ behoben wurden, so zeigt sich, dass diese Geräte für mehr als 200 Schwachstellen anfällig sind, für die es bereits eine Lösung gibt – darunter 21, die als kritisch eingestuft sind, und eine, die bereits ausgenutzt wird“, berichtet George.

Als „kritische Schwachstellen“ seien jene CVEs definiert, für welche „ein öffentlich zugänglicher Mechanismus zu deren Ausnutzung existiert“. Er erklärt: „Das bedeutet, dass Hacker im Internet Code veröffentlicht haben, mit dem sie die Geräte von Unternehmen ausnutzen können, sofern die Schwachstelle noch nicht behoben wurde.“ Mit anderen Worten: Betroffene Unternehmen könnten mit extrem geringem Aufwand angegriffen werden.

Behebung von Sicherheitslücken: Kleinere Unternehmen – mit weniger Geräten – oft mit längeren Verzögerungen

George führt aus: „Angesichts dieser Tatsache sollte man meinen, dass die Dringlichkeit, Sicherheitslücken zu schließen, hoch ist.“ Dennoch blieben die Geräte von Unternehmen möglicherweise aus Monotonie oder einfach aus Mangel an Ressourcen und Zeit über längere Zeiträume ungepatcht.

Der interessanteste Trend, den die Daten von Absolute Software aufgezeigt hätten, „war jedoch, dass kleinere Unternehmen – mit weniger Geräten – längere Verzögerungen hinnehmen mussten“.

Torsten Georges Schlussfolgerungen:

Die Analyse von Absolute Software zeige, „dass eine beträchtliche Anzahl von Endgeräten in Bezug auf Patches nicht auf dem neuesten Stand ist und daher anfällig für Ausnutzung und Angriffe ist“. Dies sei in stark regulierten Branchen wie Behörden, Dienstleistungsunternehmen und Bildungseinrichtungen der Fall. „Diese Institutionen sind eigentlich dafür verantwortlich, dass ihre Daten und Endgeräte sicher bleiben“, betont George.

Sichtbarkeit sei immer der erste Schritt, um ein solches Problem zu beheben: „Wenn IT-Administratoren wissen, wie viele Geräte veraltet sind und welches Risiko dies darstellt, können sie Maßnahmen ergreifen, um sicherzustellen, dass Patches installiert werden – und dass die Geräte ohne diese Maßnahmen nicht funktionieren.“

Weitere Informationen zum Thema:

CVE Details
Browse Vulnerabilities By Date

SANS Internet Storm Center, Renato Marinho, 12.07.2022
Microsoft July 2022 Patch Tuesday