CISO Corner: NSA-Richtlinien; eine SBOM-Fallstudie für Versorgungsunternehmen; Lavalampen

Willkommen bei CISO Corner, der wöchentlichen Zusammenfassung von Artikeln von Dark Reading, die speziell auf Leser von Sicherheitsabläufen und Sicherheitsleiter zugeschnitten sind. Jede Woche bieten wir Artikel aus unserem gesamten Nachrichtenbereich, The Edge, DR Technology, DR Global und unserem Kommentarbereich an. Wir sind bestrebt, Führungskräften in Organisationen aller Formen und Größen unterschiedliche Perspektiven zu präsentieren, um die Operationalisierung von Cybersicherheitsstrategien zu unterstützen.

In dieser Ausgabe von CISO Corner:

Die Zero-Trust-Richtlinien der NSA konzentrieren sich auf die Segmentierung

Von David Strom, beitragender Autor, Dark Reading

Zero-Trust-Architekturen sind wesentliche Schutzmaßnahmen für das moderne Unternehmen. Die neuesten NSA-Leitlinien enthalten detaillierte Empfehlungen zur Umsetzung des Netzwerkaspekts des Konzepts.

Die US-amerikanische National Security Agency (NSA) hat diese Woche ihre Richtlinien für Zero-Trust-Netzwerksicherheit vorgelegt und damit einen konkreteren Fahrplan für die Einführung von Zero-Trust angeboten, als wir es gewohnt sind. Es ist eine wichtige Anstrengung, die Lücke zwischen dem Wunsch nach dem Konzept und der Umsetzung zu schließen.

Das NSA-Dokument enthält zahlreiche Empfehlungen zu bewährten Zero-Trust-Praktiken, einschließlich der grundlegenden Segmentierung des Netzwerkverkehrs nach Blockieren Sie Gegner daran, sich in einem Netzwerk zu bewegen und Zugriff auf kritische Systeme zu erhalten.

Es wird erläutert, wie Netzwerksegmentierungskontrollen durch eine Reihe von Schritten erreicht werden können, einschließlich der Zuordnung und des Verständnisses von Datenflüssen sowie der Implementierung von Software Defined Networking (SDN). Jeder Schritt erfordert viel Zeit und Mühe, um zu verstehen, welche Teile eines Unternehmensnetzwerks gefährdet sind und wie man sie am besten schützt.

Das NSA-Dokument unterscheidet außerdem zwischen Makro- und Mikronetzwerksegmentierung. Ersteres steuert den Datenverkehr zwischen Abteilungen oder Arbeitsgruppen, sodass ein IT-Mitarbeiter beispielsweise keinen Zugriff auf Personalserver und -daten hat.

John Kindervag, der 2010 als Analyst bei Forrester Research als Erster den Begriff „Zero Trust“ definierte, begrüßte den Schritt der NSA und stellte fest, dass „nur sehr wenige Organisationen die Bedeutung von Netzwerksicherheitskontrollen bei Building Zero verstanden haben.“ -Vertrauensumgebungen, und dieses Dokument trägt wesentlich dazu bei, Organisationen dabei zu helfen, ihren Wert zu verstehen.“

Mehr lesen: Die Zero-Trust-Richtlinien der NSA konzentrieren sich auf die Segmentierung

Related: NIST Cybersecurity Framework 2.0: 4 Schritte zum Einstieg

Sicherheit durch Zufälligkeit schaffen

Von Andrada Fiscutean, beitragende Autorin, Dark Reading

Wie Lavalampen, Pendel und hängende Regenbögen das Internet schützen.

Wenn Sie das Büro von Cloudflare in San Francisco betreten, fällt Ihnen als Erstes eine Wand aus Lavalampen auf. Besucher bleiben oft stehen, um Selfies zu machen, aber die eigenartige Installation ist mehr als ein künstlerisches Statement; Es ist ein geniales Sicherheitstool.

Die wechselnden Muster, die durch die schwebenden Wachskleckse der Lampen entstehen, helfen Cloudflare dabei, den Internetverkehr durch die Generierung von Zufallszahlen zu verschlüsseln. Zufallszahlen werden in der Cybersicherheit vielfältig eingesetztund spielen eine entscheidende Rolle bei Dingen wie der Erstellung von Passwörtern und kryptografischen Schlüsseln.

Die Wall of Entropy von Cloudflare, wie sie genannt wird, verwendet nicht nur eine, sondern 100 Lampen, deren Zufälligkeit durch menschliche Bewegungen erhöht wird.

Cloudflare nutzt außerdem zusätzliche Quellen physischer Entropie, um Zufälligkeit für seine Server zu erzeugen. „In London haben wir diese unglaubliche Wand aus Doppelpendeln, und in Austin, Texas, haben wir diese unglaublichen Mobiles, die von der Decke hängen und sich mit Luftströmungen bewegen“, sagt John Graham-Cumming, CTO von Cloudfare. Im Büro von Cloudflare in Lissabon wird es bald eine Installation „basierend auf dem Ozean“ geben.

Andere Organisationen haben ihre eigenen Entropiequellen. Die Universität von Chile beispielsweise hat dem Mix seismische Messungen hinzugefügt, während die Eidgenössische Technische Hochschule den lokalen Zufallsgenerator verwendet, der auf jedem Computer unter /dev/urandom vorhanden ist, was bedeutet, dass er auf Dinge wie Tastaturdrücke und Mausklicks angewiesen ist und Netzwerkverkehr, um Zufälligkeit zu erzeugen. Kudelski Security hat einen kryptografischen Zufallszahlengenerator verwendet, der auf der Stream-Chiffre ChaCha20 basiert.

Mehr lesen: Sicherheit durch Zufälligkeit schaffen

Southern Company baut SBOM für Umspannwerk

Von Kelly Jackson Higgins, Chefredakteurin, Dark Reading

Das Software-Bill-of-Materials-Experiment (SBOM) des Versorgungsunternehmens zielt darauf ab, eine stärkere Sicherheit in der Lieferkette zu schaffen – und eine stärkere Abwehr gegen potenzielle Cyberangriffe.

Der Energieriese Southern Company startete dieses Jahr ein Experiment, das damit begann, dass sein Cybersicherheitsteam zu einem seiner Umspannwerke in Mississippi Power reiste, um dort die Ausrüstung physisch zu katalogisieren, Fotos zu machen und Daten von Netzwerksensoren zu sammeln. Dann kam der entmutigendste – und manchmal frustrierendste – Teil: die Beschaffung von Software-Lieferkettendetails von den 17 Anbietern, deren 38 Geräte die Umspannstation betreiben.

Die Mission? Zu Inventarisieren Sie die gesamte Hardware, Software und Firmware der im Kraftwerk betriebenen Geräte in dem Bemühen, eine Software-Stückliste (SBOM) für den Betriebstechnik-Standort (OT) zu erstellen.

Vor dem Projekt hatte Southern über seine Dragos-Plattform Einblick in seine dortigen OT-Netzwerkressourcen, aber die Softwaredetails waren ein Rätsel, sagte Alex Waitkus, leitender Cybersicherheitsarchitekt bei Southern Company und Leiter des SBOM-Projekts.

„Wir hatten keine Ahnung, welche unterschiedlichen Softwareversionen wir verwendeten“, sagte er. „Wir hatten mehrere Geschäftspartner, die verschiedene Teile des Umspannwerks verwalteten.“

Mehr lesen: Southern Company baut SBOM für Umspannwerk

Related: Verbesserte, Stuxnet-ähnliche PLC-Malware zielt darauf ab, kritische Infrastrukturen zu stören

Was Cybersicherheitschefs von ihren CEOs brauchen

Kommentar von Michael Mestrovich CISO, Rubrik

Indem sie CISOs dabei unterstützen, die an sie gestellten Erwartungen zu bewältigen, können CEOs ihren Unternehmen großen Nutzen bringen.

Es scheint offensichtlich: CEOs und ihre Chief Information Security Officers (CISOs) sollten natürliche Partner sein. Und doch haben laut einem aktuellen PwC-Bericht nur 30 % der CISOs das Gefühl, dass sie von ihrem CEO ausreichend Unterstützung erhalten.

Als ob es nicht schon schwierig genug wäre, ihre Organisationen trotz Budgetbeschränkungen und chronischem Fachkräftemangel im Bereich Cybersicherheit vor böswilligen Akteuren zu schützen, CISOs sind nun mit Strafanzeigen und dem Zorn der Regulierungsbehörden konfrontiert wenn ihnen bei der Reaktion auf Vorfälle ein Fehler unterläuft. Kein Wunder, dass Gartner prognostiziert, dass bis 2025 fast die Hälfte der Führungskräfte im Bereich Cybersicherheit aufgrund mehrerer arbeitsbedingter Stressfaktoren den Arbeitsplatz wechseln werden.

Hier sind vier Dinge, die CEOs tun können, um zu helfen: Stellen Sie sicher, dass der CISO einen direkten Draht zum CEO hat; den CISO unterstützen; Arbeiten Sie mit dem CISO an einer Resilienzstrategie. und sind sich über die Auswirkungen von KI einig.

CEOs, die sich darauf einlassen, tun nicht nur das Richtige für ihre CISOs, sie sind auch für ihre Unternehmen von großem Nutzen.

Mehr lesen: Was Cybersicherheitschefs von ihren CEOs brauchen

Related: Die CISO-Rolle erfährt eine große Entwicklung

So stellen Sie sicher, dass Open-Source-Pakete keine Landminen sind

Von Agam Shah, beitragender Autor, Dark Reading

CISA und OpenSSF haben gemeinsam neue Leitlinien veröffentlicht, in denen technische Kontrollen empfohlen werden, um es Entwicklern zu erschweren, schädliche Softwarekomponenten in den Code einzubauen.

Open-Source-Repositorys sind für die Ausführung und das Schreiben moderner Anwendungen von entscheidender Bedeutung, können aber auch Inhalte enthalten bösartige, lauernde Codebomben, die nur darauf warten, in Apps und Dienste integriert zu werden.

Um diese Landminen zu vermeiden, haben die Cybersecurity and Infrastructure Security Agency (CISA) und die Open Source Security Foundation (OpenSSF) neue Richtlinien für die Verwaltung des Open-Source-Ökosystems herausgegeben.

Sie empfehlen die Implementierung von Kontrollen wie der Aktivierung der Multifaktor-Authentifizierung für Projektbetreuer, Sicherheitsberichtsfunktionen von Drittanbietern und Warnungen für veraltete oder unsichere Pakete, um die Gefährdung durch bösartigen Code und als Open-Source-Code getarnte Pakete in öffentlichen Repositorys zu verringern.

Unternehmen ignorieren das Risiko, das sie selbst mit sich bringen: „Wenn wir über bösartige Pakete sprechen, haben wir im letzten Jahr einen Anstieg um das Doppelte im Vergleich zu den Vorjahren gesehen“, sagte Ann Barron-DiCamillo, Geschäftsführerin und globale Leiterin für Cyber-Operationen bei Citi, auf der OSFF-Konferenz vor ein paar Monaten. „Dies wird in unserer Entwicklungsgemeinschaft zur Realität.“

Mehr lesen: So stellen Sie sicher, dass Open-Source-Pakete keine Landminen sind

Related: Millionen bösartiger Repositories überschwemmen GitHub

Der Nahe Osten ist führend bei der Bereitstellung von DMARC-E-Mail-Sicherheit

Von Robert Lemos, beitragender Autor, Dark Reading

Dennoch bleiben Herausforderungen bestehen, da die Richtlinien vieler Länder für das E-Mail-Authentifizierungsprotokoll nach wie vor lax sind und möglicherweise mit den Beschränkungen von Google und Yahoo in Konflikt geraten.

Am 1. Februar haben sowohl Google als auch Yahoo damit begonnen, vorzuschreiben, dass alle an ihre Nutzer gesendeten E-Mails über überprüfbare Sender Policy Framework (SPF)- und Domain Key Identified Mail (DKIM)-Einträge verfügen müssen, während Massenversender – Unternehmen, die mehr als 5,000 E-Mails pro Tag versenden – dies tun müssen Sie verfügen außerdem über einen gültigen DMARC-Datensatz (Domain-based Message Authentication Reporting and Conformance).

Dennoch Viele Organisationen hinken bei der Einführung hinterher dieser Technologien, obwohl sie nicht neu sind. Es gibt jedoch zwei leuchtende Ausnahmen: Das Königreich Saudi-Arabien und die Vereinigten Arabischen Emirate (VAE).

Im Vergleich zu etwa drei Vierteln (73 %) der weltweiten Organisationen haben etwa 90 % der Organisationen in Saudi-Arabien und 80 % in den Vereinigten Arabischen Emiraten die einfachste Version von DMARC implementiert, die – zusammen mit den beiden anderen Spezifikationen – den E-Mail-basierten Identitätswechsel deutlich vereinfacht schwierig für Angreifer.

Insgesamt sind die Länder des Nahen Ostens bei der Einführung von DMARC vorne. Etwa 80 % der Mitglieder des Pan Arab Composite Index von S&P verfolgen eine strikte DMARC-Richtlinie, was laut Nadim Lahoud, Vizepräsident für Strategie und Strategie, höher ist als die 100 % des FTSE72 und noch höher als die 61 % des französischen CAC40-Index Operationen für Red Sift, ein Threat-Intelligence-Unternehmen.

Mehr lesen: Der Nahe Osten ist führend bei der Bereitstellung von DMARC-E-Mail-Sicherheit

Related: DMARC-Daten zeigen einen Anstieg verdächtiger E-Mails in Posteingängen um 75 %

Cyber-Versicherungsstrategie erfordert CISO-CFO-Zusammenarbeit

Von Fahmida Y. Rashid, Chefredakteurin, Features, Dark Reading

Die Quantifizierung von Cyber-Risiken vereint das technische Fachwissen des CISO und den Fokus des CFO auf finanzielle Auswirkungen, um ein stärkeres und besseres Verständnis dessen zu entwickeln, worum es geht.

Cyber-Versicherungen sind für viele Unternehmen zur Norm geworden. Mehr als die Hälfte der Befragten der jüngsten Strategic Security Survey von Dark Reading gaben an, dass ihre Unternehmen über irgendeine Form der Absicherung verfügen. Während Versicherungen üblicherweise die Domäne des Vorstands und der CFOs des Unternehmens waren, bedeutet die technische Natur des Cyberrisikos, dass der CISO zunehmend gebeten wird, Teil des Gesprächs zu sein.

In der Umfrage sagen 29 % Cyber-Versicherungsschutz ist Teil einer umfassenderen Unternehmensversicherung, und 28 % geben an, dass sie eine Police speziell für Cybersicherheitsvorfälle haben. Fast die Hälfte der Unternehmen (46 %) gibt an, dass sie über eine Richtlinie verfügen, die Ransomware-Zahlungen abdeckt.

„Für die CISO-Organisation wird es immer wichtiger zu verstehen, wie man über Risiken spricht und wie man Risiken verwaltet und mindert“, sagt Monica Shokrai, Leiterin für Geschäftsrisiken und Versicherungen bei Google Cloud Der CFO hat „schon ewig gearbeitet“.

Anstatt zu versuchen, CISOs zu „Cyber-CFOs“ zu machen, sollten die beiden Organisationen zusammenarbeiten, um eine kohärente und integrierte Strategie für den Vorstand zu entwickeln, sagt sie.

Mehr lesen: Cyber-Versicherungsstrategie erfordert CISO-CFO-Zusammenarbeit

Verbunden: Datenschutz übertrifft Ransomware als größtes Versicherungsproblem

Tipps zum Management verschiedener Sicherheitsteams

Kommentar von Gourav Nagar, Senior Manager of Security Operations, BILL

Je besser ein Sicherheitsteam zusammenarbeitet, desto größer ist der direkte Einfluss darauf, wie gut es das Unternehmen schützen kann.

Der Aufbau eines Sicherheitsteams beginnt mit der Einstellung, aber sobald das Team mit der Zusammenarbeit beginnt, ist es wichtig, eine gemeinsame Sprache sowie eine Reihe von Erwartungen und Prozessen zu schaffen. Auf diese Weise kann das Team schnell auf ein gemeinsames Ziel hinarbeiten und Missverständnisse vermeiden.

Insbesondere bei heterogenen Teams, in denen das Ziel darin besteht, dass jede Person ihre unterschiedlichen Erfahrungen, einzigartigen Perspektiven und unterschiedlichen Lösungsansätze einbringt, stellen gemeinsame Kommunikationskanäle zum Austausch von Updates und zur Zusammenarbeit sicher, dass die Teammitglieder mehr Zeit für das haben, was sie gerne tun und keine Sorge um die Teamdynamik.

Hier sind drei Strategien, um dieses Ziel zu erreichen: Stellen Sie Mitarbeiter mit Diversität ein und passen Sie sich schnell an die Teamkultur und -prozesse an. Vertrauen für jede einzelne Person im Team schaffen; und helfen Sie Ihren Teammitgliedern, eine Karriere im Bereich Cybersicherheit aufzubauen und weiterhin von Innovationen begeistert zu sein.

Natürlich liegt es an jedem von uns, die Verantwortung für seine eigene Karriere zu übernehmen. Als Manager wissen wir das vielleicht gut, aber nicht alle unsere Teammitglieder wissen es. Unsere Aufgabe besteht darin, jeden von ihnen daran zu erinnern und zu ermutigen, aktiv Rollen und Verantwortlichkeiten zu erlernen und zu übernehmen, die sie begeistern und ihnen in ihrer Karriere helfen.

Mehr lesen: Tipps zum Management verschiedener Sicherheitsteams

Related: Wie Neurodiversität dazu beitragen kann, den Fachkräftemangel im Bereich Cybersicherheit zu beheben

• SEO-gestützte Content- und PR-Distribution. Holen Sie sich noch heute Verstärkung.
• PlatoData.Network Vertikale generative KI. Motiviere dich selbst. Hier zugreifen.
• PlatoAiStream. Web3-Intelligenz. Wissen verstärkt. Hier zugreifen.
• PlatoESG. Kohlenstoff, CleanTech, Energie, Umwelt, Solar, Abfallwirtschaft. Hier zugreifen.
• PlatoHealth. Informationen zu Biotechnologie und klinischen Studien. Hier zugreifen.
• Quelle: https://www.darkreading.com/cybersecurity-operations/ciso-corner-nsa-guidelines-utility-sbom-case-study-lava-lamps