„Von Kompromissen ausgehen“ hat seinen Lebenszyklus von der Erkenntnis bis zum Slogan durchlaufen. Jeder Anbieter, der über die Sicherheit kritischer Infrastrukturen schreibt, führt diesen Satz mittlerweile als Leitsatz an. In den Kommentaren zu CI Fortify wird er so einheitlich wiederholt, dass der Ausdruck keine Informationen mehr vermittelt: Er unterscheidet nicht mehr zwischen verschiedenen Ansätzen und sagt einem Betreiber auch nicht mehr, was er am Montag anders machen soll.

Um den Wert dieser Idee voll auszuschöpfen, muss man sie wörtlich nehmen. Nehmen wir einmal an, Sie wären heute fest davon überzeugt, dass ein fähiger Angreifer in gewissem Umfang Zugriff auf Ihre Umgebung hätte – nicht hypothetisch als Konstruktionsprinzip, sondern tatsächlich. Was ändert sich als Erstes? Die ehrliche Antwort lautet: nicht Ihre Firewall-Regeln, sondern Ihre Kommunikation.

Das ist keine hypothetische Darstellung. In den CI Fortify-Leitlinien der CISA definieren Isolation als „Betrieb ohne zuverlässige Telekommunikations-, Internet- und Dienstanbieter sowie ohne Abhängigkeiten von vorgelagerten Systemen“ – die Annahme einer Kompromittierung, die in den Bundesrichtlinien als Betriebsbedingung und nicht als Sicherheitshaltung festgeschrieben ist.

Das erste Opfer eines vermeintlichen Kompromisses ist das Vertrauen in die eigenen Kanäle

Ein Angreifer mit Zugriff kann alles lesen, was Sie über die Kanäle senden, zu denen er Zugang hat. Geht man davon aus, dass die Sicherheit tatsächlich kompromittiert ist, stellen Ihre E-Mails, Ihr Unternehmens-Chat und möglicherweise auch Ihr Sprachverkehr ein Offenlegungsrisiko dar – und zwar genau dann, wenn eine Offenlegung am kritischsten ist: während Sie darüber sprechen, was Sie wissen, was Sie dagegen unternehmen wollen und wo Ihre Abwehrmaßnahmen Schwachstellen aufweisen.

Aus diesem Grund ist die Out-of-Band-Koordination eine etablierte Kontrollmaßnahme und keine bloße Empfehlung. MITRE ATT&CK führt sie als Schutzmaßnahme M1060 aufund weist Verteidiger an, „sichere Out-of-Band-Kommunikationskanäle einzurichten, um die Kontinuität kritischer Kommunikation während Sicherheitsvorfällen, Angriffen auf die Datenintegrität oder Kommunikationsausfällen innerhalb des Netzwerks sicherzustellen“. Seriöse Reaktionsszenarien richten diese Kanäle ein, bevor irgendetwas anderes unternommen wird. Dennoch geht der „CI Fortify“-Inhalt der Branche ständig von einer angenommenen Kompromittierung aus und folgt selten der Prämisse, die sich daraus ergibt – nämlich dieser unmittelbarsten operativen Konsequenz.

„Assume Compromise“ ernst zu nehmen bedeutet, davon auszugehen, dass der Gegner Ihre Koordination mitverfolgen kann. Die erste Anforderung, die sich daraus ergibt, ist ein Kommunikationskanal, auf dem sich der Gegner nicht befindet.

Die „ Checkliste “, die die Prämisse tatsächlich hervorbringt

Bis zu seinen Schlussfolgerungen durchdacht, führt der angenommene Kompromiss zu einer Reihe konkreter operativer Anforderungen.

1. Ein Out-of-Band-Koordinationskanal. End-to-End-verschlüsselte Sprach- und Nachrichtenübertragung, unabhängig vom Identitäts-Stack des Unternehmens und vom Netzwerkpfad, die Führungskräften und Einsatzkräften bereits vor einem Vorfall zur Verfügung steht und nicht erst währenddessen improvisiert werden muss. BlackBerry^® SecuSUITE^® stellt diese Ebene bereit.
   

2. Eine Benachrichtigung, die nicht von einer kompromittierten Infrastruktur abhängt. Die Möglichkeit, alle Ihre Einsatzkräfte über mehrere Kanäle hinweg mit Zustellbestätigung zu erreichen – selbst wenn E-Mail und die Unternehmens-Telefonie ausgefallen sind oder als nicht vertrauenswürdig gelten. BlackBerry^® AtHoc^® bietet Massenbenachrichtigungen und die Nachverfolgung des Personals und ist nach FedRAMP Klasse D (High) zertifiziert, wobei die Zertifizierung in diesem Jahr erneuert wurde – was entscheidend ist, wenn die Ausweichlösung selbst nicht zum leichten Angriffsziel werden darf.
   

3. Vertrauenswürdige Endgeräte für die Reaktion selbst. Verwaltete, abgesicherte Geräte für die Mitarbeiter, die die Reaktion leiten, denn ein Ausweichkanal, auf den von einem kompromittierten Laptop aus zugegriffen wird, ist kein echter Ausweichkanal. BlackBerry^®UEM sorgt dafür, dass diese kleine Gruppe von Geräten stets auf dem neuesten Stand, abgesichert und wiederherstellbar ist.
   

4. Probe. Die Annahme ist nur dann anwendbar, wenn die Teams ihre Umsetzung tatsächlich geübt haben.

Beachten Sie, was dieses „ Checkliste “ nicht ist. Es ist kein Ersatz für Segmentierungs-, Erkennungs- oder Wiederherstellungsfunktionen, und es ist auch keine andere Art zu sagen: „Kaufen Sie einfach alles.“ Es handelt sich um die spezifische, abgegrenzte Reihe von Funktionen, die der Lieblingsslogan der Branche logischerweise erfordert, die in dessen Inhalt jedoch systematisch ausgelassen wird.

Warum diese Auslassung weiterhin besteht

Anbieter schreiben über die Probleme, die ihre Produkte lösen. Die meisten Anbieter, die diese Debatte prägen, verkaufen Netzwerksicherheit, OT-Transparenz oder Zugriffskontrolle – leistungsfähige Produkte, die die in ihren Diagrammen dargestellten Teile des Problems lösen. Die Koordinationsschicht liegt außerhalb all dieser Diagramme, und genau deshalb wird sie nicht finanziert.

Gehen Sie von einer Kompromittierung aus. Handeln Sie dann entsprechend: Verlegen Sie Ihre Koordination auf einen Kanal, den der Angreifer nicht erreichen kann, stellen Sie sicher, dass Sie Ihre Mitarbeiter weiterhin zusammenrufen können, und verlagern Sie die Reaktion auf Hardware, der Sie vertrauen. Das ist es, was der Slogan bedeutet – wenn er überhaupt etwas bedeutet.

Weiterführende Literatur:
Was CI Fortify von Versorgungsunternehmen verlangt – und die Funktion, die es nie erwähnt
Wenn die Telefonverbindungen ausfallen: Die Koordinationslücke, mit der niemand rechnet
Lehren aus den Angriffen auf Wasserversorger im Juli: Was die gemeinsame Empfehlung den Betreibern als Nächstes rät
Warum die Planung der OT-Isolierung auf Kommunikationskontinuität angewiesen ist