Atmet tief durch. Die letzten rund eine Woche waren für Sicherheits- und Entwicklerteams überall ziemlich anstrengend. Ihr seid nicht allein.
Die Enthüllungen trafen uns hart, kamen aber nicht aus heiterem Himmel. Im August hatte Jason Clinton, stellvertretender CISO bei Anthropic, angekündigt , dass innerhalb weniger Monate eine Flut von Sicherheitslücken bevorstehe . Und siehe da: Im Oktober gab es dann PHP2Shell, zwei kritische Schwachstellen in PHP, die die Ausführung von Remote-Code ermöglichten, sowie HTTP2Shell, eine Schwachstelle in der Brotli-Komprimierungsbibliothek (Broccoli2Shell?!). Die Vorhersage hat sich als richtig erwiesen.
Man spricht bereits vom „Schwarzen Oktober“ – ein Name, der den bisherigen Schaden wohl etwas übertreibt, da bislang noch keine massiven Sicherheitsverletzungen gemeldet wurden. Doch Clinton sagt nun, dass es erst noch viel schlimmer werden wird, bevor es besser wird, und dass wir uns auf etwa 18 Monate einstellen müssen (was auch immer das bedeuten mag).
Schnall dich an.
CloudflareMatthew Prince, CEO von [Unternehmen], teilt diese Prognose. Er meint: „Wir werden ein paar Jahre erleben, in denen es sich jede Woche so anfühlen wird, als würde der Himmel einstürzen.“ Das ist zwar nicht gerade Musik in den Ohren von Sicherheitsexperten, aber wir sind der Meinung, dass mehr Optimismus angebracht ist und dass die Verteidiger langfristig die Oberhand behalten werden – darauf werden wir noch näher eingehen.
Warum es erst schlechter wird, bevor es besser wird
Clinton hatte gewarnt, dass nicht genügend Zeit bleiben werde, um kritische Infrastruktur zu reparieren. Sein Rat lautete, sich an den Vorstand zu wenden und um Hilfe bei den Grundlagen zu bitten – wobei es seiner Aussage nach nicht um KI gehe. Diese Grundlagen bestehen, wie wir in unserer Berichterstattung über den ähnlich übertriebenen „Mythos“-Pessimismus beschrieben haben , im Wesentlichen darin, zu wissen, was man betreibt, und in der Lage zu sein, schnell eine Lösung bereitzustellen.
Um zu verstehen, warum sich die Lage in der Zwischenzeit verschlimmert hat, schauen Sie sich an, wie es zu PHP2Shell kam. Der dahinterstehende Out-of-Memory-Fehler war bereits bei einem Audit im Jahr 2024 aufgetaucht und blieb unbehoben, da niemand nachgewiesen hatte, dass er ausgenutzt werden konnte. Im vergangenen Jahr gelang dies dann Forschern.
„Es ist ein riesiger Sprung von ‚Ich habe ein seltsames, unerwartetes Verhalten festgestellt, vielleicht stürzt ein Worker kurzzeitig ab‘ zu dem, was letztendlich passiert ist, nämlich die nicht authentifizierte Remote-Codeausführung“, sagt Mackenzie Jackson, Field CTO bei Aikido.
„Die Rolle der KI bestand darin, aus diesem ersten Ansatz einen vollwertigen Proof-of-Concept für die Remote-Code-Ausführung zu entwickeln.“
Solche unerklärlichen Verhaltensweisen sind in den Sprachen, Laufzeitumgebungen und Bibliotheken verankert, auf denen die meisten Softwareprogramme basieren – darunter PHP und Brotli. Bislang hatte noch niemand Zeit, diese zu untersuchen. KI kann nun den dafür erforderlichen Aufwand reduzieren und herausfinden, welche dieser Verhaltensweisen zu einem echten Exploit führen. Es ist eine Kombination aus Geschwindigkeit, Ausdauer und der Fähigkeit, Schwachstellen miteinander zu verknüpfen, die KI für Angreifer so nützlich macht.
Warum Verteidiger die Oberhand behalten
Seit Mythos auf die Sicherheitsagenda gerückt ist, werden Sicherheitsteams dazu angehalten, die Geschwindigkeit und den Automatisierungsgrad bei der Behebung von Problemen und der Reaktion darauf kontinuierlich zu steigern. Eine schnelle Behebung ist eine der besten Möglichkeiten, sich zu schützen. Doch das ist nur ein Teil des Ganzen.
Diese Woche argumentierte Anton Chuvakin, ehemaliger Sicherheitsberater bei Google, dass Verteidiger sich dem Wettlauf um Geschwindigkeit verweigern und sich stattdessen auf Invarianten konzentrieren sollten: Regeln, die das System unter allen Umständen durchsetzt. Der Cybersicherheitsexperte Phil Venables antwortete darauf:
„+1000 dafür, dass man aufgeschmissen ist, wenn die einzige Antwort auf schnelle Angreifer eine schnelle reaktive Verteidigung ist. Invarianten (also eine konsequent angewandte, starke defensive Sicherheitsarchitektur) sind unverzichtbar. Aber auch schnelle Reaktionen haben ihren Platz.“
Beide haben recht. Eine gute Architektur begrenzt den Schaden, wenn eine Schwachstelle ausgenutzt wird, kann diese Schwachstelle jedoch nicht beseitigen. Die Schwachstellen der letzten Woche betrafen PHP und Brotli, sodass selbst ein Team mit einer ansonsten einwandfreien Architektur diese Schwachstellen in seinem Stack hatte. Genau hier ist eine schnellere Reaktion bei der Behebung umso wichtiger.
Doch erst die Verbindung von Architektur und schneller Reaktionsfähigkeit verschafft Sicherheitsteams einen Vorsprung. Alle sprechen davon, dass „Verteidiger dieselben Modelle wie Angreifer nutzen“ müssen, um dies zu erreichen, und das ist auch ein Teil der Lösung. Entscheidend ist jedoch, wie man KI in den Softwareentwicklungszyklus integriert.
In der Praxis beginnt die Arbeit mit der Transparenz. Man kann nur beheben, was man sieht, und PHP tauchte an Stellen auf, mit denen die Teams nicht gerechnet hatten, wie beispielsweise in „ container “-Basis-Images, CI-Images, Hosting-Panels und Anbietersoftware. Nur wenn man weiß, was man einsetzt – einschließlich der Dinge, die man nicht selbst installiert hat –, lässt sich schnell feststellen, ob eine Sicherheitslücke einen betrifft.
Von da an geht es darum, Sicherheit bereits in einer früheren Phase zu integrieren und Korrekturen zügig durchzuführen. Das bedeutet, den Code bereits während der Entwicklung zu überprüfen, Ihre Anwendung und Ihr externes Netzwerk vor der Veröffentlichung sowie bei jeder Änderung mithilfe von KI einem Penetrationstest zu unterziehen und jeden Befund in eine Korrektur umzusetzen, die von einem Mitarbeiter überprüft werden kann. Wenn noch kein Upgrade verfügbar ist oder ein Upgrade zu Fehlfunktionen führen würde, bleiben Sie bei der aktuell verwendeten Version und lassen Sie die Korrektur dort einbauen. Teams, die so vorgehen, müssen bei der nächsten Sicherheitslücke weniger beheben, und die erforderlichen Korrekturen werden schneller bereitgestellt.
Die Verteidiger verfügen zudem über etwas, das den Angreifern fehlt, nämlich das Wissen um die von ihnen eingesetzten Sicherheitsmaßnahmen.
„Man sagt immer, der Verteidiger müsse stets Recht haben, während der Angreifer nur einmal Recht haben muss. Und das macht es sehr schwer, Verteidiger zu sein. Das stimmt aber nicht ganz. Die Angreifer wissen im Grunde genommen nicht immer Bescheid über Ihre vielschichtigen Abwehrmechanismen und die Art und Weise, wie Sie eine tief gestaffelte Verteidigung betreiben“, sagte Willem Delbare, CEO von Aikido, letzte Woche zu den Schwachstellen.
„Ich glaube, die Verteidiger sind im Moment noch im Vorteil. Man muss natürlich schon etwas dafür tun“, fuhr er fort.
Übermorgen
„Wir sind sicherlich in der Lage, das hier zu überstehen. Es hängt alles davon ab, ob wir aus unseren Fehlern lernen können oder nicht.“ – Jack Hall, „The Day After Tomorrow“.
Kurzfristig mag es zwar holprig werden, aber wir glauben, dass die „Defender“ am Ende trotzdem die Nase vorn haben werden. Für die unterstützten PHP-Versionen wurden bereits Patches veröffentlicht, viele der Websites, die offline gehen mussten, haben dies auch getan, und es wurde (bislang) kein massiver Sicherheitsverstoß bestätigt. Jedes Team sollte wissen, wo es Schwachstellen und Lücken gibt, und diejenigen, die diese beheben, werden am Ende die Nase vorn haben.
