Top 18 CIS Critical Security Controls für Cyber Defense

Angesichts der Kosten eines data breach, die mit all-time high of $4.35 million einen Höchststand erreicht haben, und der weltweit strengeren Strafen für Nichteinhaltung von Vorschriften müssen Organisationen sicherstellen, dass sie alle notwendigen Sicherheitskontrollen implementiert haben, um ihre Daten zu schützen. Die Implementierung der CIS Controls bietet eine solide Grundlage für eine effektive Verteidigung gegen Cyberbedrohungen

Erstmals 2008 entwickelt, werden die CIS Controls regelmäßig aktualisiert, um auf die Entwicklung sowohl der Technologien als auch der Bedrohungslandschaft zu reagieren. Die Kontrollen basieren auf den neuesten Informationen über häufige Angriffe und spiegeln das kombinierte Wissen von kommerziellen Forensik-Experten, einzelnen Penetrationstestern und Beitragenden von US-amerikanischen Regierungsbehörden wider.

Dieser Artikel beschreibt die 18 Kontrollen in der CIS-Version 8. Diese Richtlinien berücksichtigen den Anstieg der Heimarbeit und den daraus resultierenden Anstieg der Zugangspunkte sowie den Bedarf an grenzenloser Sicherheit.

Kontrolle 01. Inventarisierung und Kontrolle von Unternehmensvermögen

Der erste Schritt bei der Entwicklung und Implementierung einer umfassenden Cybersicherheitsstrategie besteht darin, die Vermögenswerte Ihres Unternehmens zu verstehen, wer sie kontrolliert und welche Rolle sie spielen. Dies beinhaltet die Erstellung und Aufrechterhaltung einer genauen, aktualisierten und detaillierten Liste aller mit Ihrer Infrastruktur verbundenen Hardware, einschließlich Vermögenswerte, die nicht unter Ihrer Kontrolle stehen, wie die persönlichen Mobiltelefone der Mitarbeiter. Tragbare Benutzergeräte werden periodisch einem Netzwerk beitreten und dann verschwinden, was die Bestandsaufnahme der derzeit verfügbaren Vermögenswerte sehr dynamisch macht.

Warum ist das kritisch?Ohne diese Informationen können Sie nicht sicher sein, dass Sie alle möglichen Angriffsflächen gesichert haben. Eine Inventarliste aller Geräte, die sich mit Ihrem Netzwerk verbinden, zu führen und nicht autorisierte Geräte zu entfernen, kann Ihr Risiko drastisch reduzieren.

Kontrolle 02. Inventarisierung und Verwaltung von Softwarevermögen

Kontrollmechanismus 2 befasst sich mit Bedrohungen durch die schwindelerregende Vielfalt an Software, die moderne Unternehmen für Geschäftsprozesse nutzen. Er umfasst die folgenden Schlüsselpraktiken:

• Identifizieren und dokumentieren Sie alle Software-Assets und entfernen Sie alle, die veraltet oder anfällig sind.
• Verhindern Sie die Installation und Nutzung nicht autorisierter Software, indem Sie eine erlaubte Softwareliste erstellen.
• Verwenden Sie automatisierte Software-Tracking-Tools, um Softwareanwendungen zu überwachen und zu verwalten

Warum ist das kritisch? Nicht aktualisierte Software bleibt ein primärer Vektor für Ransomware-Angriffe. Eine umfassende Softwareinventur hilft Ihnen sicherzustellen, dass all Ihre Software aktualisiert ist und alle bekannten Schwachstellen gepatcht oder gemildert wurden. Dies ist besonders kritisch für Software, die Open-Source-Komponenten enthält, da deren Schwachstellen öffentlich bekannt sind.

Kontrolle 03. Data Protection

In Version 7 der CIS Controls war der Datenschutz Control 13.

Ihre Daten sind eines der wertvollsten Vermögenswerte Ihres Unternehmens. CIS Control 3 skizziert eine Methode zum Schutz Ihrer Daten, indem es Prozesse und technische Kontrollen zum Identifizieren, Klassifizieren, sicheren Umgang, Aufbewahren und Entsorgen von Daten detailliert beschreibt. Stellen Sie sicher, dass Sie Vorkehrungen für Folgendes treffen:

• Dateninventur
• Datenzugriffskontrollen
• Datenaufbewahrung
• Datenentsorgung
• Datenverschlüsselung in allen Phasen und auf Wechseldatenträgern
• Data Classification
• Datenflussdiagramme
• Segmentierung der Datenverarbeitung und -speicherung basierend auf der Sensitivität
• Verhinderung von Datenverlust
• Protokollierung von Zugriffen und Aktivitäten rund um sensible Daten

Warum ist das kritisch? Obwohl viele Datenlecks auf vorsätzlichem Diebstahl beruhen, können Datenverlust und -schäden auch durch menschliche Fehler oder schlechte Sicherheitspraktiken entstehen. Lösungen, die Datenexfiltration erkennen, können diese Risiken minimieren und die Auswirkungen eines Datenkompromisses mildern.

Kontrolle 04. Sichere Konfiguration von Unternehmensressourcen und Software

Diese Schutzmaßnahme vereint Kontrollen 5 und 11 der Version 7. Sie beschreibt die besten Praktiken, um sichere Konfigurationen auf Hardware- und Softwarevermögen zu etablieren und zu pflegen.

Warum ist das kritisch? Selbst ein einziger Konfigurationsfehler kann Sicherheitsrisiken eröffnen und Geschäftsabläufe stören. Die Verwendung von automatisierter Software vereinfacht den Prozess der Absicherung und Überwachung Ihrer IT-Ressourcen; zum Beispiel bietet Netwrix Change Tracker CIS-zertifizierte Build-Vorlagen, die Ihnen helfen, schnell starke Basis-Konfigurationen zu etablieren und benachrichtigt Sie in Echtzeit über unerwartete Änderungen, sodass Sie schnell handeln können, um das Risiko zu minimieren.

Kontrolle 05. Account Management

Das Management von Konten war Kontrolle 16 in der Version 7 der CIS Controls.

Die sichere Verwaltung von Benutzer-, Administrator- und Dienstkonten ist entscheidend, um deren Ausnutzung durch Angreifer zu verhindern. Kontrolle 5 umfasst sechs Schritte zur Vermeidung von Sicherheitsproblemen, die durch verwundbare Konten verursacht werden:

• Erstellen und pflegen Sie ein Inventar aller Konten.
• Verwenden Sie einzigartige Passwörter.
• Deaktivieren Sie Konten, die seit 45 Tagen nicht verwendet wurden.
• Beschränken Sie die Nutzung von Privileged Accounts.
• Erstellen und pflegen Sie ein Inventar von Dienstkonten.
• Zentralisieren Sie das gesamte Account-Management.

Warum ist das kritisch?Privilegierte und ungenutzte Konten bieten Angreifern einen Weg, um Ihr Netzwerk anzugreifen. Das Minimieren und Kontrollieren dieser Konten wird dabei helfen, Ihre Daten und Ihr Netzwerk vor unbefugtem Zugriff zu schützen.

Kontrolle 06. Access Control Management

Diese Schutzmaßnahme vereint die Kontrollen 4 und 14 der Version 7 der CIS Controls.

Kontrollpunkt 6 betrifft die Steuerung von Benutzerprivilegien. Zu den besten Praktiken gehören die Etablierung eines Prozesses für die Gewährung und Entziehung von Zugriff, die Verwendung von Multifaktor-Authentifizierung und die Pflege eines Inventars von Systemen für die Zugangskontrolle.

Warum ist das kritisch?Die Gewährung von zu weitreichenden Privilegien aus Gründen der Schnelligkeit eröffnet einen Angriffsweg. Indem Sie die Zugriffsrechte jedes Benutzers auf das beschränken, was für seine Arbeit erforderlich ist, verringern Sie Ihre Angriffsfläche.

Kontrolle 07. Kontinuierliches Schwachstellenmanagement

In Version 7 der CIS Controls wurde continuous vulnerability management durch Kontrolle 3 abgedeckt.

Diese Kontrolle umfasst das Identifizieren, Priorisieren, Dokumentieren und Beheben jeder Sicherheitsanfälligkeit in Ihrem Netzwerk. Beispiele hierfür sind offene Dienste und Netzwerkports sowie Standardkonten und -passwörter.

Warum ist das kritisch? Organisationen, die Infrastrukturschwachstellen nicht proaktiv identifizieren und Gegenmaßnahmen ergreifen, laufen Gefahr, dass ihre Vermögenswerte kompromittiert werden oder Geschäftsunterbrechungen erleiden.

Kontrolle 08. Audit Log Management

Dieses Thema wurde unter Kontrolle 6 in der CIS Controls Version 7 behandelt.

Das Management von Audit-Logs umfasst Kontrollen im Zusammenhang mit dem Sammeln, Speichern, Aufbewahren, Zeit-Synchronisieren und Überprüfen von Audit-Logs.

Warum ist das kritisch? Sicherheitsprotokollierung und -analyse helfen dabei, Angreifern das Verbergen ihres Standorts und ihrer Aktivitäten zu erschweren. Selbst wenn Sie wissen, welche Systeme bei einem Sicherheitsvorfall kompromittiert wurden, wird es ohne vollständige Protokolle schwierig sein zu verstehen, was ein Angreifer bisher getan hat und wie man effektiv reagieren kann. Protokolle werden auch für nachfolgende Untersuchungen und zur Bestimmung des Ursprungs von Angriffen benötigt, die lange Zeit unentdeckt blieben.

Kontrolle 09. Schutzmaßnahmen für E-Mail und Webbrowser

Diese Sicherheitsmaßnahme war Kontrolle 7 in der CIS Controls Version 7.

E-Mail und Webbrowser sind häufige Angriffsvektoren. Die primären technischen Kontrollen zum Schutz von E-Mail-Servern und Webbrowsern umfassen das Blockieren von bösartigen URLs und Dateitypen. Für einen umfassenderen Schutz gegen solche Angriffe müssen Sie auch organisationsweite Schulungen zu den besten Sicherheitspraktiken anbieten.

Warum ist das kritisch? Durch Techniken wie Spoofing und Social Engineering können Angreifer Benutzer dazu verleiten, Handlungen durchzuführen, die Malware verbreiten oder Zugang zu vertraulichen Daten gewähren können.

Kontrolle 10. Malware-Abwehr

Dieses Thema wurde unter Kontrolle 8 in der CIS Controls Version 7 behandelt.

Organisationen, die Ransomware und andere Malware einsetzen, sind mittlerweile so professionell wie herkömmliche Unternehmen. Diese Kontrolle beschreibt Schutzmaßnahmen, um die Installation, Ausführung und Verbreitung von Schadsoftware zu verhindern oder zu kontrollieren. Das zentrale Verwalten von verhaltensbasierten Anti-Malware- und signaturbasierten Tools mit automatischen Updates bietet den robustesten Schutz gegen Malware.

Warum ist das kritisch? Malware kann in Form von Trojanern, Viren und Würmern auftreten, die Ihre Daten stehlen, verschlüsseln oder zerstören. Ransomware ist ein großes Geschäft, und es wird erwartet, dass die weltweiten Kosten bis 265 Milliarden US-Dollar bis 2031 erreichen. Die in Kontrolle 9 dargelegten Praktiken zu befolgen, wird Ihrem Unternehmen helfen, sich gegen eine kostspielige und schädliche Malware-Infektion zu schützen.

Kontrolle 11. Datenwiederherstellung

Die Datenwiederherstellung war Kontrolle 10 in der CIS Controls Version 7.

Kontrolle 11 beschreibt fünf Sicherheitsmaßnahmen, um sicherzustellen, dass Ihre Daten gesichert werden. Dazu gehören die folgenden Elemente:

• Datenwiederherstellungsprozess
• Automatisierte Backups
• Schutz von Backup-Daten
• Isolierung von Backup-Daten
• Testen von Datenwiederherstellungsprotokollen

Warum ist das kritisch? Wenn Sie sicherstellen, dass Sie eine aktuelle Sicherung Ihrer Daten an einem geschützten und isolierten Ort haben, kann dies verhindern, dass Sie sich teurer Erpressung hingeben müssen, um nach einem Ransomware-Angriff wieder Zugang zu Ihren Daten zu erhalten. Darüber hinaus ist eine effektive Datensicherung und -wiederherstellung auch notwendig, um Ihre Organisation vor Bedrohungen wie versehentlichem Löschen und Dateikorruption zu schützen.

Kontrolle 12. Network Infrastructure Management

Das Management der Netzwerkinfrastruktur ist eine neue Kontrolle für Version 8. Es erfordert, dass Sie alle Ihre network devices aktiv verwalten, um die Risiken von Angriffen zu mindern, die auf kompromittierte Netzwerkdienste und Zugangspunkte abzielen.

Warum ist das kritisch? Netzwerksicherheit ist ein grundlegendes Element, um sich gegen Angriffe zu verteidigen. Unternehmen müssen ständig Konfigurationen, Zugriffskontrollen und Datenflüsse bewerten und aktualisieren, um ihre Netzwerkinfrastruktur zu stärken. Eine vollständige Dokumentation aller Aspekte Ihrer Netzwerkinfrastruktur und die Überwachung auf unbefugte Änderungen kann Sie auf Sicherheitsrisiken aufmerksam machen.

Kontrolle 13. Netzwerküberwachung und -verteidigung

Kontrolle 13 ist ebenfalls eine neue Ergänzung zu den CIS Controls. Sie konzentriert sich auf die Verwendung von Prozessen und Werkzeugen, um Sicherheitsbedrohungen in Ihrer Netzwerkinfrastruktur und Benutzerbasis zu überwachen und abzuwehren. Die 11 Sicherheitsmaßnahmen in dieser Kontrolle behandeln, wie man die zur Erkennung von Eindringlingen erforderlichen Daten sammelt und analysiert, den Verkehr filtert, Zugangskontrollen verwaltet, Verkehrsflussprotokolle sammelt und Warnmeldungen über Sicherheitsereignisse ausgibt.

Warum ist das kritisch? Die Kombination aus automatisierter Technologie und einem geschulten Team, das Prozesse zur Erkennung, Analyse und Abwehr von Netzwerkbedrohungen implementiert, kann dabei helfen, sich gegen Cybersecurity-Angriffe zu schützen.

Kontrolle 14. Sicherheitsbewusstsein und Kompetenzschulung

Dieses Thema wurde unter Kontrolle 17 in der CIS Controls Version 7 behandelt.

Kontrolle 14 betrifft die Implementierung eines Bildungsprogramms zur Verbesserung des Bewusstseins und der Fähigkeiten in Bezug auf Cybersicherheit bei allen Ihren Benutzern. Dieses Schulungsprogramm sollte:

• Schulen Sie Personen darin, Social-Engineering-Angriffe zu erkennen.
• Beachten Sie die Best Practices für die Authentifizierung.
• Behandeln Sie die besten Praktiken für den Umgang mit Daten, einschließlich der Gefahren der Datenübertragung über unsichere Netzwerke.
• Erläutern Sie die Ursachen unbeabsichtigter Datenfreigabe.
• Schulen Sie Benutzer darin, Sicherheitsvorfälle zu erkennen und zu melden sowie .
• Erläutern Sie, wie man fehlende Sicherheitsupdates identifiziert und meldet.
• Bieten Sie rollenspezifisches Sicherheitsbewusstsein und Fähigkeitstraining an.

Warum ist das kritisch? Viele Datenpannen werden durch menschliche Fehler, Phishing-Angriffe und schlechte password policies. Die Schulung Ihrer Mitarbeiter in Sicherheitsbewusstsein kann kostspielige Datenpannen, Identitätsdiebstahl, Compliance-Strafen und andere Schäden verhindern.

Kontrolle 15. Service Provider Management

Kontrolle 15 ist die letzte neue Kontrolle in Version 8. Sie befasst sich mit Daten, Prozessen und Systemen, die von Drittanbietern gehandhabt werden. Sie umfasst Richtlinien für die Erstellung eines Inventars von Dienstleistern, das Verwalten und Klassifizieren von Dienstleistern, das Einbeziehen von Sicherheitsanforderungen in Ihre Verträge sowie das Bewerten, Überwachen und sichere Entlassen von Dienstleistern.

Warum ist das kritisch? Auch wenn Sie einen Dienst auslagern, sind Sie letztendlich für die Sicherheit Ihrer Daten verantwortlich und könnten für etwaige Verstöße haftbar gemacht werden. Obwohl die Verwendung von Dienstleistern Ihre Geschäftsabläufe vereinfachen kann, können schnell Komplikationen auftreten, wenn Sie keinen detaillierten Prozess haben, um sicherzustellen, dass von Drittanbietern verwaltete Daten sicher sind.

Kontrolle 16. Sicherheit von Anwendungssoftware

Diese Sicherheitsmaßnahme war Kontrolle 18 in der 7ten Version der CIS Controls.

Das Verwalten des Sicherheitslebenszyklus Ihrer Software ist entscheidend, um Sicherheitsschwächen zu erkennen und zu beheben. Sie sollten regelmäßig überprüfen, dass Sie nur die aktuellsten Versionen jeder Anwendung verwenden und dass alle relevanten Patches umgehend installiert werden.

Warum ist das kritisch? Angreifer nutzen oft Schwachstellen in webbasierten Anwendungen und anderer Software aus. Ausnutzungsmethoden wie Pufferüberläufe, SQL-Injection-Angriffe, Cross-Site-Scripting und Clickjacking von Code können es ihnen ermöglichen, Ihre Daten zu kompromittieren, ohne Netzwerksicherheitskontrollen und Sensoren umgehen zu müssen.

Kontrolle 17. Incident Response Management

Incident-Response-Management war Kontrolle 19 in der 7ten Version der CIS Controls.

Eine angemessene Vorfallreaktion kann der Unterschied zwischen einer Belästigung und einer Katastrophe sein. Sie umfasst Planung, Rollendefinition, Schulung, Managementaufsicht und andere Maßnahmen, die erforderlich sind, um Angriffe zu entdecken und Schäden effektiver zu begrenzen.

Warum ist das kritisch? Leider ist in den meisten Fällen die Wahrscheinlichkeit eines erfolgreichen Cyberangriffs nicht „ob“, sondern „wann“. Ohne einen Vorfallreaktionsplan entdecken Sie möglicherweise einen Angriff erst, wenn er bereits ernsthaften Schaden verursacht hat. Mit einem robusten Vorfallreaktionsplan könnten Sie die Präsenz des Angreifers beseitigen und die Integrität des Netzwerks und der Systeme mit wenig Ausfallzeit wiederherstellen.

Kontrolle 18. Penetrationstests

Dieses Thema wurde von Kontrolle 20 in der 7. Version der CIS Controls behandelt.

Diese Kontrolle erfordert von Ihnen, die Stärke Ihrer Verteidigung zu bewerten, indem Sie regelmäßige externe und interne Penetrationstests durchführen. Die Implementierung dieser Kontrolle wird es Ihnen ermöglichen, Schwachstellen in Ihrer Technologie, Prozessen und bei Ihren Mitarbeitern zu identifizieren, die Angreifer nutzen könnten, um in Ihr Netzwerk einzudringen und Schaden anzurichten.

Warum ist das kritisch? Angreifer sind darauf aus, Lücken in Ihren Prozessen auszunutzen, wie Verzögerungen bei der Installation von Patches. In einer komplexen Umgebung, in der die Technologie ständig weiterentwickelt wird, ist es besonders wichtig, Ihre Verteidigungen regelmäßig zu testen, um Lücken zu identifizieren und zu schließen, bevor ein Angreifer sie ausnutzt.

Implementierung der Kontrollen: Ein pragmatischer Ansatz

Einen Nutzen aus den CIS Critical Security Controls zu ziehen bedeutet nicht zwangsläufig, alle 18 Kontrollen gleichzeitig zu implementieren. Wenige Organisationen verfügen über das Budget, die personellen Ressourcen und die Zeit, um die gesamte Gruppe von Kontrollen gleichzeitig umzusetzen.

Die folgenden Schritte bieten eine praktische Anleitung für den Einstieg:

1. Entdecken Sie Ihre Informationsressourcen und schätzen Sie deren Wert. Führen Sie eine risk assessment durch und denken Sie über potenzielle Angriffe auf Ihre Systeme und Daten nach, einschließlich der Eintrittspunkte, Ausbreitung und Schäden. Entwickeln Sie ein Risikomanagementprogramm, um die Implementierung von Kontrollen zu leiten.
2. Vergleichen Sie Ihre aktuellen Sicherheitskontrollen mit den CIS Controls. Notieren Sie sich jeden Bereich, in dem keine Sicherheitsfunktionen vorhanden sind oder zusätzliche Arbeit erforderlich ist.
3. Entwickeln Sie einen Plan zur Übernahme der wertvollsten neuen Sicherheitskontrollen und zur Verbesserung der betrieblichen Wirksamkeit Ihrer bestehenden Kontrollen.
4. Sichern Sie sich die Unterstützung des Managements für den Plan und holen Sie die notwendigen finanziellen und personellen Zusagen der Geschäftsbereiche ein.
5. Setzen Sie die Kontrollen um. Achten Sie auf Trends, die neue Risiken für Ihre Organisation einführen könnten. Messen Sie den Fortschritt bei der Risikoreduzierung und kommunizieren Sie Ihre Ergebnisse.

Möchten Sie mehr über die 18 kritischen Sicherheitskontrollen erfahren? Besuchen Sie die offizielle Website des CIS Center for Internet Security: https://www.cisecurity.org/controls/

FAQ

Was sind CIS Controls?

CIS Controls sind Richtlinien, die Organisationen eine Liste von effektiven, hochprioritären Aufgaben zur Verteidigung gegen die häufigsten und verheerendsten Cyberangriffe bieten. Sie stellen einen Ausgangspunkt für jede Organisation dar, um ihre Cybersicherheit zu verbessern.

Wie viele CIS Controls gibt es?

In der neuesten Version (Version 8) gibt es 18 CIS-Kontrollen.

Wer hat die CIS Controls erstellt?

Die CIS Controls wurden von einer Gruppe internationaler Freiwilliger erstellt, zu denen Cybersicherheitsexperten und politische Entscheidungsträger sowohl aus staatlichen Behörden als auch aus dem privaten Sektor gehören.

Warum sollte eine Organisation die CIS Controls implementieren?

Einer der größten Vorteile der CIS Controls ist die inhärente Priorisierung in den 18 Aktionschritten. Cybersicherheit ist ein breites Feld, das für Organisationen, die beginnen, eine Strategie zu entwickeln, überwältigend sein kann. Die CIS Controls listen die wertvollsten Maßnahmen auf, die Sie ergreifen können, um Ihre Systeme und Daten zu schützen.