Defense in Depth

Defense in Depth ist ein Cybersicherheitsansatz, bei dem Unternehmen zahlreiche unterschiedliche Sicherheitsebenen aufbauen und miteinander kombinieren. Statt sich auf eine einzelne Sicherheitsmaßnahme zu verlassen, setzt Defense in Depth auf eine Reihe von Sicherheitsebenen, sodass eine andere einspringt, falls eine davon versagt. Ziel dieses Ansatzes ist die Prävention: Angreifern soll der Erfolg so schwer wie möglich gemacht werden.

Bei der Sicherheit eines Hauses wird ähnlich vorgegangen. Um ein Haus zu schützen, schließen Sie nicht einfach nur die Tür ab und betrachten die Sache als erledigt. Stattdessen können Sie ein zusätzliches Schloss an der Tür anbringen, die Fenster verriegeln, eine Alarmanlage installieren und Überwachungskameras aufstellen.

Um in Ihr Haus einzudringen, müsste ein Angreifer jede Sicherheitsebene überwinden, wobei für jede Ebene andere Fähigkeiten und Taktiken erforderlich wären. Zusätzliche Sicherheitsebenen machen einen Einbruch nicht nur insgesamt schwieriger, sondern erhöhen den Schwierigkeitsgrad exponentiell.

Bei Defense in Depth wird derselbe Ansatz auf die IT und die Anwendungssicherheit übertragen. Der Unterschied besteht natürlich darin, dass ein Haus ein einzelnes Objekt ist, um das sich ein Perimeter errichten lässt, während ein Unternehmen mit seiner Vielzahl an Anwendungen und Services für viele weitere Angriffstypen anfällig sein kann.

Dasselbe Prinzip gilt auch hier, doch die Verteidigung muss umfassender sein. In diesem Artikel erklären wir daher Defense in Depth, erläutern die Funktionsweise und sehen uns einige Beispiele für die praktische Umsetzung an.

Was ist Defense in Depth und warum ist es wichtig?

Defense in Depth ist eine Cybersicherheitsmethodik, bei der mehrere Maßnahmen zur Abwehr derselben Schwachstelle eingesetzt werden.

Der Begriff stammt aus einem Whitepaper aus dem Jahr 2012 der National Security Agency (NSA). Darin wird Defense in Depth als „praktische Strategie zur Gewährleistung der Informationssicherheit in den hochgradig vernetzten Umgebungen von heute“ beschrieben. Ein Jahrzehnt später ist die Strategie noch relevanter, denn moderne Umgebungen sind inzwischen noch stärker vernetzt.

Defense in Depth versteht Sicherheit als eine Reihe von Ebenen und nicht als einzelnen Perimeter. Wer diesen Ansatz verfolgt, muss Pessimismus und Optimismus in Einklang bringen. Statt ein neues Tool oder eine neue Vorgehensweise einzuführen und davon auszugehen, dass Sie vor dem Angriff geschützt sind, den diese Maßnahme abwehren soll, fordert Defense in Depth Sie dazu auf, davon auszugehen, dass die eingeführte Maßnahme versagt. Was dann?

Unternehmen, die aus der Perspektive von Defense in Depth denken, setzen weiterhin die besten Tools und Vorgehensweisen ein, bereiten sich aber auch auf deren Versagen vor. Sie sorgen dafür, dass ein Angreifer selbst dann noch zahlreiche weitere Sicherheitsmaßnahmen überwinden muss, wenn es ihm gelingt, eine einzelne Maßnahme zu umgehen.

Defense in Depth ist wichtig, weil Angreifer und ihre Angriffsmethoden immer ausgefeilter und skalierbarer werden. Wenn Unternehmen nicht mit dem nächsten großen Datendiebstahl in den Schlagzeilen landen wollen, müssen sie umfassende statt oberflächliche Schutzmaßnahmen aufbauen.

Wie funktioniert Defense in Depth?

Defense in Depth beruht auf drei Ebenen: physische, administrative und technische Maßnahmen (letztere sind für Sicherheitsexperten am relevantesten). Jede Ebene lässt sich in zahlreiche Methoden unterteilen. Eine wirksame Defense-in-Depth-Strategie nutzt alle drei Ebenen und kombiniert innerhalb jeder Ebene viele weitere Methoden.

Physische Maßnahmen

Physische Sicherheitskontrollen schützen den materiellen Zugang zu Unternehmenssystemen. Zu den physischen Sicherheitssystemen gehören beispielsweise verschlossene Tore und Türen sowie Kameras und Wachpersonal.

Administrative Maßnahmen

Administrative Kontrollen umfassen Richtlinien und Verfahren, die Mitarbeitenden und Nutzenden Sicherheitshinweise geben und sie dazu anhalten, diese zu befolgen. Sie können etwa in einem Mitarbeiterhandbuch festgehalten werden und Themen wie Cyberhygiene umfassen. Sie werden während des Einstellungsprozesses vermittelt, in Sicherheitsschulungen gelehrt und bei Phishing-Tests im Unternehmen erneut aufgegriffen.

Technische Maßnahmen

Zu den technischen Kontrollen, mit denen Defense in Depth besonders umfassend wird, gehören sämtliche Hard- und Software, die Unternehmen zum Schutz ihrer Systeme und Ressourcen einsetzen können.

Beispiele für technische Kontrollen gibt es viele, darunter:

• Auf den Geräten der Mitarbeitenden installierte Antivirensoftware

• Verschlüsselung ruhender und übertragener Daten

• Multi-Faktor-Authentifizierung zur Verwaltung des Zugriffs auf Unternehmenssysteme sowie zugriffsbasierte Genehmigungsverfahren für besonders wichtige Ressourcen

• Schwachstellenscanner wie Snyk, die nach Schwachstellen in Open-Source-Software, Code und Containern suchen

• Firewalls und weitere Netzwerksicherheitsmaßnahmen

In der Praxis ist eine unkoordinierte Kombination von Sicherheitsmaßnahmen nur im technischen Sinne Defense in Depth. Eine echte Defense-in-Depth-Strategie bildet mögliche Angriffswege ab, errichtet entlang dieser Wege zahlreiche Verteidigungsebenen und überträgt diesen Ansatz anschließend auf jeden denkbaren Angriffsweg.

Beispiele für Defense in Depth

Am besten lässt sich Defense in Depth anhand von Beispielen verstehen, denn diese Methodik leuchtet in der Theorie ein, ist in der Praxis jedoch schwer umzusetzen – nicht zuletzt, weil sich immer noch weitere Ebenen ergänzen und die Verteidigung vertiefen lässt.

Defense in Depth mit mehreren Taktiken

Wie bereits beschrieben, fasst eine gute Defense-in-Depth-Strategie nicht einfach verschiedene Taktiken zusammen. Stattdessen bewertet sie einen Angriffsweg und errichtet entlang dieses Weges mehrere Verteidigungsebenen.

Sehen wir uns ein Beispiel an.

Betrachten wir Cross-Site-Scripting-Angriffe. Bei einem Cross-Site-Scripting-Angriff nutzt ein Angreifer eine Webanwendung, um einem Nutzer über ein browserseitiges Skript schädlichen Code zu senden. Untersuchungen von Unit42 zeigen, dass Cross-Site-Scripting unter 6.443 zwischen November 2021 und Januar 2022 veröffentlichten Schwachstellen als einer der häufigsten Angriffsvektoren hervorstach.

Solche Daten sollten alarmierend sein, denn erfolgreiche Cross-Site-Scripting-Angriffe können zur Übernahme von Nutzerkonten, zur Überwachung von Nutzenden und dazu führen, dass Angreifer externe Inhalte auf den Geräten der Nutzenden laden und vertrauliche Daten stehlen.

Die übliche und weitgehend wirksame Strategie zum Schutz vor solchen Angriffen ist die Eingabevalidierung. OWASP beschreibt sie als „Sicherstellung, dass alle Variablen validiert und anschließend escaped oder bereinigt werden“. Beliebte Frameworks wie React und Angular können die Validierung von Variablen erleichtern. Dennoch bleiben Sicherheitslücken bestehen und Cross-Site-Scripting-Angriffe sind weiterhin möglich.

Mit Defense in Depth sollten Unternehmen davon ausgehen, dass Angreifer diese gängigen Maßnahmen überwinden können. Deshalb sollten sie weitere Schutzebenen hinzufügen, etwa Output-Encoding, HTML-Bereinigung, sichere Senken und Content-Security-Policies. Durch die Kombination dieser und weiterer Methoden können Unternehmen zuversichtlicher sein, vor Cross-Site-Scripting-Angriffen geschützt zu sein.

Defense in Depth mit mehreren Produkten

Zusätzlich zur Einführung und Umsetzung verschiedener Sicherheitstechniken sollten Unternehmen auch den Einsatz erweiterbarer Sicherheitsprodukte in Betracht ziehen, die mehrere Schutzebenen bieten.

Eine hervorragende toolbasierte Defense-in-Depth-Strategie bedeutet auch, nicht einfach eine überwältigende Anzahl von Tools zusammenzuwerfen und das Defense in Depth zu nennen. Laut 451 Research verwenden 39 % der Unternehmen gleichzeitig 11 bis 30 Überwachungstools, und fast 10 % nutzen 21 bis 30. Dieses Phänomen wird häufig als „Tool-Wildwuchs“ bezeichnet und kann dazu führen, dass Mitarbeitende mit zu vielen Benachrichtigungen und Oberflächen überlastet werden.

Oft ist es praktischer, funktionsreiche Produkte mit zahlreichen Integrationen einzuführen. So können Sie diese als Teil einer koordinierten Defense-in-Depth-Strategie einsetzen.

Snyk bietet beispielsweise zahlreiche Produkte, darunter:

• Snyk Open Source scannt nach Schwachstellen, die durch Abhängigkeiten eingebracht werden.

• Snyk Container scannt nach Schwachstellen, die durch Container-Images eingebracht werden.

• Snyk Code scannt Code nach Schwachstellen, die dadurch entstehen, dass Mitarbeitende keine sicheren Programmierpraktiken anwenden.

Snyk IaC scannt Infrastructure as Code nach Fehlkonfigurationen und stellt die Einhaltung von Sicherheitsrichtlinien sicher.…

Erweiterbare Produkte wie diese können eine wirksame Schutzebene innerhalb einer umfassenderen Defense-in-Depth-Strategie bilden.

Angreifern den Erfolg so schwer wie möglich machen

Defense in Depth geht davon aus, dass es Angreifer gibt und diese früher oder später Ihr Unternehmen angreifen werden. Wenn Sie von dieser Annahme ausgehen, können Sie Sicherheit nicht mehr als einzelne Verteidigungsebene betrachten, sondern als mehrstufigen Präventionsprozess.

Die unbequeme Realität der Sicherheit ist: Keine Best Practice ist perfekt, kein Tool ist unverwundbar und kein Unternehmen kann perfekte Sicherheitsrichtlinien umsetzen und aufrechterhalten – insbesondere nicht in großem Maßstab. Mit genügend Zeit und Ressourcen können Angreifer nahezu jede Verteidigung durchbrechen.

Genau mit diesem Verständnis entfaltet Defense in Depth seine Stärken. Das Ziel besteht darin, Angreifern den Erfolg so schwer wie möglich zu machen und sicherzustellen, dass sie nach jeder überwundenen Verteidigungsmaßnahme auf die nächste treffen. Angreifer verfügen letztlich nicht über unbegrenzte Zeit und Ressourcen. Je schwerer Sie ihnen den Erfolg machen, desto geringer ist die Wahrscheinlichkeit, dass Sie Opfer eines Angriffs werden.