Um präventiv arbeiten zu können, ist eine exzellente Kenntnis der IT-/OT-Cloud-Landschaft unabdingbare Voraussetzung. Aber – Hand auf’s Herz – wer glaubt tatsächlich, dass heutige, hochkomplexe Strukturen noch manuell gemanaged und im Blick behalten werden können?

Richtig. Niemand.

Nachdem wir uns nun schon mit Digitalen Zwillingen, deren Erstellung/Modellierung nebst den zugehörigen Bibliotheken beschäftigt haben ist es an der Zeit, einen idealisierten Blick auf die Erkenntnisgewinnung zum Risikostatus eines Netzes zu werfen.

Ein Angriffsbaum oder attack tree, sinnvollerweise bezogen auf High-Value-Assets, wäre eine der wertvollsten Funktionen, die ein ganzheitliches Risikomanagement bieten kann. Ein Prozess zur Anwendung des Angriffsbaums kann dabei wie folgt aussehen:

• Erstellung des Digitalen Zwillings in ordentlichem Reifegrad
• CVE-Abgleich der Assets auf bekannte Schwachstellen
• Bündelung aller Findings, die negative Auswirkung auf das Risiko haben können
• Automatisiertes Risikomanagement-System mit KI-Algorithmen unterstützt beim Auffinden möglicher Angriffspfade, die ein Angreifer nehmen kann, inkl. Gewichtung nach Wahrscheinlichkeiten.

Jedes Asset sowie alle Schnittstellen über die das Asset (potenziell) in Kommunikation mit anderen Assets steht, würden einer Analyse unterzogen. Mittel der Wahl sei in unserem Fall S.T.R.I.D.E. („STRIDE ist ein Modell zur Identifizierung von Computer-Sicherheitsbedrohungen, das von Praerit Garg und Loren Kohnfelder bei Microsoft entwickelt wurde. Es bietet eine Eselsbrücke für Sicherheitsbedrohungen in sechs Kategorien“ lt. WIKIPEDIA).

Idealerweise evaluiert die Analyse für jeden Parameter die jeweilige Wahrscheinlichkeit. Zusätzlich dazu, werden alle Assets gemäß den geforderten Normen-Vorgaben in ein Zonen-Modell gesetzt und ein Zonen-Sicherheits-Level definiert. Die Risiko-Betrachtung würde dem Sicherheits-Level Rechnung tragen und die Risiken im Kontext der normativen Anforderungen in einer ganzheitlichen Analyse aufzeigen (eine solche Ganzheitlichkeit des Ansatzes wäre einzigartig im Markt der Plattformen für automatisiertes Risikomanagement).

Der absolute Vorteil eines solchen kontextbezogenen, ganzheitlichen Risikomanagements in der Praxis wäre, dass sich für die Security-Verantwortlichen eine optimale Möglichkeit bietet, nur so viel des Budgets auf die jeweilige Mitigation zu verwenden, bis ein anderer Pfad mit Schwachstellen dringlicher für eine Mitigation wird.

Wie diese Vision in der Praxis für IT/OT und Cloud aussehen kann, zeigen wir Ihnen erstmals auf der diesjährigen it-sa in Nürnberg. Bleiben Sie gespannt.