Log4j-Sicherheitslücke: Sind Organisationen immer noch gefährdet?

Dies ist lediglich ein Beispiel für ein CVEs, das die fortbestehenden Herausforderungen verdeutlicht, da Unternehmen Schwierigkeiten haben, mit der Verwaltung der CVE-Behebung Schritt zu halten, und es handelt sich um ein Problem, das in Zukunft nur noch größer werden wird. Die Anzahl der veröffentlichten CVEs nimmt zu und F5 Labs geht davon aus, dass die Rate, mit der in einer typischen Woche neue CVEs veröffentlicht werden, bis 2025 auf 500 pro Woche ansteigen wird. Es sind fast zwei Jahre vergangen, seit die Log4j-Sicherheitslücke aufgedeckt wurde, und die Unternehmen versuchen immer noch, den Rückstand aufzuholen, während sich das umfassendere Problem ständig weiterentwickelt. Trotz der Verfügbarkeit von Patches und Updates tragen zahlreiche Faktoren zu anhaltenden Schwachstellen wie log4j bei.

Allein die schiere Anzahl und Häufigkeit neuer Sicherheitslücken führt dazu, dass Unternehmen Mühe haben, mit ihnen Schritt zu halten (und sie möglicherweise gar nichts davon mitbekommen), weil ihnen entweder die Informationen fehlen oder sie nicht über die nötigen Ressourcen verfügen, um über neue Sicherheitshinweise auf dem Laufenden zu bleiben. Sobald eine Schwachstelle identifiziert wurde, kann das Patchen anfälliger Systeme eine komplexe Angelegenheit sein, insbesondere in großen Organisationen mit miteinander verbundenen Systemen. Es erfordert erheblichen Aufwand und Koordination und führt zu langen Patchzyklen. Die Komplexität wird noch dadurch erhöht, dass in den meisten Unternehmen eine Mischung aus veralteter und moderner Infrastruktur, Systemen und Anwendungen vorhanden ist. Dies kann bei der Implementierung wichtiger Updates zu Kompatibilitätsproblemen, hohen Kosten oder einem ungünstigen Zeitaufwand führen. Darüber hinaus sind komplizierte Patches und Updates indirekte Abhängigkeiten, die in Software-Lieferketten oder Infrastrukturkomponenten bestehen können und einen blinden Fleck darstellen können, selbst wenn eine Organisation das anfällige System nicht direkt verwendet. Genau wie der Softwarecode selbst können auch menschliche Fehler und Unachtsamkeiten die Schadensbegrenzungsbemühungen behindern, da Entwickler oder Administratoren möglicherweise die Notwendigkeit von Patches übersehen oder Systeme falsch konfigurieren. Schließlich kann es in Unternehmen mit komplexen IT-Infrastrukturen oder einer risikoscheuen Unternehmenskultur zu Verzögerungen bei der Einführung von Patches kommen, da dort umfangreiche Tests durchgeführt werden, die Sorge vor Unterbrechungen besteht oder konkurrierende Geschäftsprioritäten bestehen. Erschwerend kommt hinzu, dass die meisten Organisationen – insbesondere im Sicherheitsbereich – unter Personalmangel leiden. Wie also sollen sie mithalten, während sie fieberhaft daran arbeiten, Systeme und Anwendungen zu patchen und zu aktualisieren?