2022 Cybersecurity Effectiveness-Report: Unternehmen setzen falschen Fokus

Professional Automotive Graphic Designer is Working on 3D CAD Software Rendering Electric Concept Car and Calculating its Efficiency in a High Tech Innovative Laboratory with a Prototype.

Cymulate, das führende Unternehmen, wenn es um die Validierung von Cyberrisiken und Exposure-Management geht, hat heute die zentralen Ergebnisse seines 2022 Cybersecurity Effectiveness Reports vorgestellt.

Der Report liefert kritische Analysen zur und tiefere Einblicke in die am häufigsten von Cyberkriminellen zum Einsatz gebrachten Angriffstaktiken, -techniken und -verfahren (TTPs) und die Effektivität der von Unternehmen implementierten Cybersicherheitsmaßnahmen. Vorgestellt werden außerdem zahlreiche Best Practices zur Anhebung der eigenen Cybersicherheit. Die Daten des Reports entstammen rund einer Million Cymulate-Sicherheitsbewertungen. Diese entsprechen rund 1,7 Millionen Arbeitsstunden offensiver Cybersicherheitstests.

Die wichtigsten Ergebnisse des Reports:

  • Viele Unternehmen testen ihre Sicherheit im Hinblick auf Bedrohungen, die gerade im Trend liegen, statt auf Bedrohungen, von denen das größte Angriffsrisiko droht – Viele Unternehmen testen derzeit vor allem aktiv gegen Bedrohungen, die in den Nachrichten zu sehen sind – wohl aufgrund des erhöhten Drucks, über ihre Maßnahmen zur Risikminimierung zu berichten. Die Berücksichtigung dieser Risiken ist prinzipiell nicht schlecht, sollte aber nicht von den Bedrohungen und Risiken ablenken, die für das Unternehmen eine größere Gefahr darstellen. Unternehmen, die planmäßige und vollständige Kill-Chain-Tests einsetzten, wiesen die breiteste Testabdeckung und die gründlichste Validierung auf, wenn sie ihre Programme um erweiterte Szenariotests ergänzten.
  • Bekannte und katalogisierte branchenweite Sicherheitsprobleme werden nach wie vor nicht behoben – 40 Prozent der 10 wichtigsten CVEs, die von Schwachstellenmanagement-Plattformen am häufigsten identifiziert werden, sind über zwei Jahre alt und noch immer nicht behoben. Eine beträchtliche Anzahl von Unternehmen testet nicht gegen bekanntere Bedrohungen wie ProxyNotShell und Emotet, die weiterhin bestehen und den größten Schaden anrichten können, wenn sie nicht behoben werden.
  • Die Effektivität der Datenschutzmaßnahmen hat abgenommen – der durchschnittliche Risikowert für eine Datenexfiltration ist im Jahr 2022 von 30 auf 44 gestiegen und hat sich damit erheblich verschlechtert. Netzwerk- und Gruppenrichtlinien haben sich positiv auf die Verhinderung von Datenexfiltrationen ausgewirkt. Angreifer sind jedoch auf alternative Exfiltrationsmethoden ausgewichen.
  • 92 Prozent der Top 10 Gefährdungen beziehen sich auf Domain- und E-Mail-Sicherheit – im Jahr 2022 zeigten die Top 10 Gefährdungen, die von Cymulate’s External Attack Surface Management (EASM) Modul entdeckt wurden, dass die meisten entdeckten Gefährdungen über Domain-Sicherheit (59,3 Prozent) und E-Mail-Sicherheit (32,8 Prozent) verteilt waren.
  • Die Simulation von Sicherheitsverletzungen und Angriffen hatte einen signifikant positiven Einfluss auf die Widerstandsfähigkeit im Internet – Beim Vergleich der anonymisierten Daten wurden – zwischen der ersten abgeschlossenen Endpoint Security-Bewertung und der letzten abgeschlossenen Bewertung – erhebliche Verbesserungen bei der Risikominderung festgestellt, wenn BAS-Tests regelmäßig durchgeführt wurden. Die Verbesserungen wurden bei Kunden aller Branchen und Größen festgestellt.

Es ist nur zu verständlich, dass sich Unternehmen gegen die großen Bedrohungen, die die täglichen Schlagzeilen bestimmen, schützen wollen„, so Carolyn Crandall, Chief Security Advocate bei Cymulate. „Der Cybersecurity Effectiveness-Report zeigt jedoch, dass viele Angreifer keine fortschrittlichen, neuen Strategien anwenden, sondern weiterhin mit bekannten Taktiken erfolgreich sind. Unternehmen müssen ihre Schwachstellenmanagement-Strategien ändern, um diese Lücken zu schließen, indem sie Attack Surface Management-Tools zur Bewertung der Gefährdung, Breach- und Attack-Simulationen zur Überprüfung der Wirksamkeit von Sicherheitskontrollen und Continuous Automated Red Teaming für häufigere Penetrationstests einsetzen.“

Unternehmen müssen ihre Sicherheitslage verstehen, um Schwachstellen zu erkennen und sich gegen Cyber-Bedrohungen zu schützen„, so David Neuman, Senior Analyst bei TAG Cyber. „Die von Cymulate veröffentlichten Ergebnisse von über einer Million Sicherheitsbewertungen und 1,7 Millionen Teststunden bieten wertvolle Einblicke in allgemeine Schwachstellen und verbesserungswürdige Bereiche der Cybersicherheit. Die Daten unterstreichen die Notwendigkeit kontinuierlicher Sicherheitstests und Risikobewertungen, um neuen Bedrohungen immer einen Schritt voraus zu sein.“

Das sieht auch Torsten Wiedemeyer, Country Manager DACH, Central & Eastern Europe bei Cymulate so: „In der Produktion gehört es schon lange zum Standard, die eigenen Produkte regelmäßig zu testen, bevor sie in den Vertrieb gehen. Es ist an der Zeit, dass Unternehmen beginnen, auch ihre Sicherheitstools regelmäßig auf ihre Effektivität hin zu prüfen. Es genügt eben nicht mehr, einfach nur zu hoffen, dass die eigene Sicherheitsarchitektur schon so, wie ursprünglich geplant, funktionieren wird. Man muss wissen, dass man sich, wenn es einmal erforderlich wird, wirklich zu einhundert Prozent auf sie verlassen kann.

Den vollständigen Cymulate 2023 Cybersecurity Effectiveness Report können Sie hier abrufen. Die Aufzeichnung eines Webinars zu den Report-Ergebnissen finden Sie hier.