Was ist CTEM und warum sollte sich Ihr Sicherheitsteam damit befassen?

In einer Zeit, in der Unternehmen die digitale Transformation in einem Tempo vorantreiben, das kaum zu überblicken ist, wird Exposure Management zu einem entscheidenden Element, um der allgegenwärtigen Herausforderung – der Eindämmung von Cyberangriffen, Datenschutzverletzungen und anderen Sicherheitsrisiken – wirksam zu begegnen. Die Einführung neuer Technologien und digitaler Dienste kann Unternehmen zwar den gewünschten Schub verleihen, vergrößert jedoch auch die Angriffsfläche und erhöht damit ihre Exposition gegenüber potenziellen Bedrohungen.

Da Cyberbedrohungen sich ständig weiterentwickeln und immer raffinierter werden, muss Exposure Management außerdem eine kontinuierliche Anstrengung sein, die es Unternehmen abverlangt, stets über die neuesten Entwicklungen bei Best Practices und Technologien im Bereich Sicherheit informiert zu bleiben. Um dieser Herausforderung zu begegnen und Sicherheitsteams dabei zu helfen, diese Bedrohungen zu erkennen und letztlich zu umgehen, kann die Umsetzung eines klar definierten strategischen Ansatzes wie Continuous Threat Exposure Management (CTEM) förderlich sein.

In diesem Blogbeitrag betrachten wir die Grundlagen von Continuous Threat Exposure Management (CTEM), einer von Gartner geprägten Cybersicherheitsstrategie, und wie sie Unternehmen dabei helfen kann, das Risiko von Cyberangriffen zu minimieren.

CTEM ist ein strategischer Ansatz für die Cybersicherheit, der eine kontinuierliche Echtzeitüberwachung und -verwaltung der Bedrohungsanfälligkeit eines Unternehmens umfasst. Es handelt sich um eine Sicherheitstechnik, die potenzielle Schwachstellen und Bedrohungen aufspürt, bevor Hacker sie ausnutzen können, statt sich ausschließlich auf reaktive Maßnahmen wie Firewalls und Antivirensoftware zu verlassen. In einem im Juli 2022 veröffentlichten Bericht stellte Gartner Folgendes fest:

“By 2026, organizations prioritizing their security investments based on a continuous exposure management program will be three times less likely to suffer from a breach.”  
Gartner

Das heißt, wenn Unternehmen keine konkreten Maßnahmen zur Erkennung und Verhinderung potenzieller Bedrohungen und Schwachstellen ergreifen, könnten sie einem höheren Risiko ausgesetzt sein.

Mit dem Ziel, Endanwendern zu helfen, den Grad zu bestimmen, in dem ihre digitalen Assets zugänglich, exponiert und für Cyberangreifer ausnutzbar sind, setzt CTEM auf fortschrittliche Analysen, maschinelles Lernen und künstliche Intelligenz, um diese Bedrohungen zu identifizieren und zu priorisieren.

Indem CTEM Unternehmen einen Echtzeit-Überblick über ihre Cybersicherheitslage verschafft, hilft es ihnen, fundiertere Sicherheitsentscheidungen zu treffen – etwa wie und wo Ressourcen eingesetzt werden sollten, um solche Angriffe einzudämmen. Wenn Unternehmen über einen gründlichen Incident-Response-Plan verfügen und automatisierte Systeme zur Bedrohungserkennung und -reaktion einsetzen, können sie die schädlichen Auswirkungen von Sicherheitsvorfällen verringern und verhindern, dass diese sich zu erheblichen Sicherheitsverletzungen ausweiten.

Angesichts der Allgegenwart von Cyberangriffen im digitalen Raum wird es für Unternehmen zudem unumgänglich, die „Rahmenwerke von Regierungen und Aufsichtsbehörden einzuhalten, um Cyber-Resilienz zu erreichen und nachzuweisen.“

Die fünf Phasen des CTEM-Programms – Scoping, Discovery, Priorisierung, Validierung und Mobilisierung – vervollständigen den Zyklus und sind für dessen Erfolg notwendig. Werfen wir also einen Blick auf diese Phasen.

Scoping, die erste Phase von Continuous Threat Exposure Management (CTEM), umfasst die Festlegung des Programmumfangs, die Identifizierung der wichtigsten zu schützenden Assets und die Bestimmung des mit diesen Assets verbundenen Risikos. Diese Phase des CTEM-Prozesses ist für dessen Gesamterfolg von zentraler Bedeutung, da sie den Rahmen für alles Weitere festlegt.

Die Discovery-Phase von Continuous Threat Exposure Management (CTEM) umfasst die Identifizierung und Katalogisierung aller anfälligen Ressourcen, etwa Hardware, Software, Datenbanken und Netzwerkinfrastruktur. In dieser Phase nutzen Unternehmen eine Vielzahl von IT-Discovery-Tools und -Methoden, um alle ihre IT-Ressourcen zu prüfen und potenzielle Schwachstellen und Gefahren aufzudecken, was häufig Schwachstellenbewertungen, Penetrationstests und andere Sicherheitsaudits umfasst.

Nach dem Scoping und der Discovery vorhandener Schwachstellen in der digitalen Infrastruktur des Unternehmens führt der natürliche Verlauf zur Priorisierung. In der Priorisierungsphase des Continuous Threat Exposure Management (CTEM) wird das mit jedem in der Discovery-Phase entdeckten Asset verbundene Risiko bewertet, und die Assets werden entsprechend ihrer Bedeutung für den Geschäftsbetrieb eingestuft. Unternehmen nutzen in dieser Phase häufig eine Risikobewertungsmethodik, um den Schweregrad und die Wahrscheinlichkeit jeder Bedrohung für ihre Assets zu analysieren.

In dieser CTEM-Phase setzen Sicherheitsteams ihre Pläne zur Behebung der als höchste Priorität eingestuften Schwachstellen und Bedrohungen in die Praxis um und testen sie. Dies kann das Hinzufügen zusätzlicher Schutzmaßnahmen, die Aktualisierung von Software oder die Änderung von Sicherheitseinstellungen umfassen. Es ist ebenfalls erwähnenswert, dass es – ähnlich wie in der Discovery-Phase – entscheidend ist, eine breite Palette von Stakeholdern einzubeziehen, darunter IT-Mitarbeiter, Sicherheitspersonal und andere Beschäftigte, die möglicherweise unterschiedliche Sichtweisen auf potenzielle Schwachstellen haben.

Die Validierungsphase ist entscheidend, um sicherzustellen, dass die Bedrohungsanfälligkeit des Unternehmens wirksam kontrolliert und verringert wurde. Sie ermöglicht es Sicherheitsteams, die Wirksamkeit von Behebungsmaßnahmen zu bewerten und notwendige Verbesserungen vorzunehmen, um die Sicherheitslage des Unternehmens zu stärken.

Die Mobilisierungsphase, die letzte Phase der CTEM-Strategie, umfasst die Festlegung des Umfangs der Initiative, das Setzen von Zielen und Vorgaben, die Identifizierung wichtiger Stakeholder und benötigter Ressourcen zur Unterstützung der Bemühungen und – am wichtigsten – die Durchführung einer Reifegradbewertung, um den aktuellen Stand der Cybersicherheits- und Exposure-Management-Reife des Unternehmens zu bestimmen. Da Gartner davor warnt, sich zu stark auf Automatisierung zu verlassen, kann diese Bewertung helfen, Schwachstellen zu erkennen, bevor CTEM eingesetzt wird.

Angesichts der Zunahme von Cyberangriffen und Datenschutzverletzungen sollten Unternehmen einen proaktiven Ansatz für Cybersicherheit und Risikomanagement verfolgen. Um Cyberkriminellen, die ständig nach Lücken in der Infrastruktur eines Unternehmens suchen, durch die sie sensible Informationen stehlen oder anderen Schaden anrichten können, stets einen Schritt voraus zu sein, ist eine Kombination der Konzepte External Attack Surface Management (EASM) und Continuous Threat Exposure Management (CTEM) erforderlich.

Wir haben bereits festgestellt, dass Threat Exposure das Risiko ist, dem ein Unternehmen durch Cybersicherheitsgefahren wie externe Angriffe, Insider-Bedrohungen und andere Sicherheitsprobleme ausgesetzt ist. Darüber hinaus können Unternehmen CTEM-Strategien einsetzen, um wachsam gegenüber böswilligen Aktivitäten zu bleiben, indem sie ihre Systemanwendungen kontinuierlich überwachen und schnell auf diese Bedrohungen reagieren.

Eine weitere Möglichkeit für Sicherheitsexperten, ihre Bemühungen zu optimieren, ist der Einsatz von External Attack Surface Management (EASM). EASM identifiziert, bewertet und pflegt die externe Angriffsfläche eines Unternehmens, indem es nach außen gerichtete Objekte findet und dokumentiert, die als Einbruchsstellen ins Netzwerk dienen könnten. Dazu zählt auch das Aufdecken veralteter Software oder falsch konfigurierter Server, bevor Angreifer diese ausnutzen.

Auch wenn es den Anschein haben mag, dass der Start eines effektiven und nahtlosen CTEM-Programms in erster Linie von der Technologie abhängt, liegt der eigentliche Schlüssel zum Erfolg in der Plattform, die die Bewertung und Optimierung der Sicherheitslage konsolidiert, den Prozess strafft und die Umsetzung des Programms unterstützt.

Als eine der ersten hochskalierbaren Cloud-Plattformen, die für Unternehmen jeder Größe konzipiert wurde, vereint Red Sift External Attack Surface Management (EASM) und Schwachstellenpriorisierung, um Unternehmen zu helfen, die größten Schwachstellen in ihrer digitalen Infrastruktur zu erkennen, zu beheben und abzusichern.