Dies ist der dritte Artikel in der Sicherheit Chaos Engineering 101-Serie. Das erster Artikel legte den Grundstein dafür, Security Chaos Engineering (SCE) als praktikable Disziplin der Sicherheitstechnik zu betrachten. Das zweiter Artikel stellte technische Details für die Implementierung von SCE-Experimenten auf der Grundlage eines AWS S3-Anwendungsfalls für öffentliche Buckets zur Verfügung. In diesem dritten Teil werden zwei wichtige SCE-Konzepte erörtert: die SCE-Mindmap und die SCE-Feedback-Schleife. Die SCE-Mindmap präsentiert kurz und bündig die wichtigsten grundlegenden SCE-Informationen, die umgangssprachlich als was, warum, wer, wie und wo von SCE. Umgekehrt nutzt die SCE-Feedback-Schleife die Macht des Systemdenkens, um einen objektiven Ansatz für das Verständnis und die Bewältigung von Herausforderungen im Bereich Cybersicherheit und Resilienz zu ermöglichen.

Die SCE Mind Map

Die Mindmap von Security Chaos Engineering (SCE) ist aus Diskussionen mit mehreren Personen über SCE hervorgegangen. Da SCE relativ neu ist und sich immer noch weiterentwickelt, gibt es sehr unterschiedliche Auffassungen und verschiedene Missverständnisse. Einige dieser Missverständnisse wurden im letzten Artikel erörtert. Die SCE Mindmap stellt kurz und bündig einige grundlegende Erkenntnisse vor, die in den nächsten Abschnitten erläutert werden. Sie können auf das Miro-Board zugreifen, mit dem seine Mindmap erstellt wurde auf diesem Link.

Was ist Security Chaos Engineering

Security Chaos Engineering (SCE) wendet die Prinzipien des Chaos Engineering auf die Cybersicherheit an. Es handelt sich um einen neuartigen Cybersicherheitsansatz, der eine kontinuierliche, greifbare und empirische Bewertung des Sicherheitszustands eines Systems ermöglicht. Das zentrale Wertversprechen von SCE besteht darin, die Entdeckung von Sicherheitslücken zu fördern, was dazu beiträgt, der Illusion zu entgehen, ein „falsches Sicherheitsgefühl“ anzunehmen. Die Nutzung von SCE ermöglicht die Erfassung konkreter Beweise über Sicherheitsexperimente über verschiedene cloudnative Abstraktionsebenen hinweg.

Warum sollte Security Chaos Engineering praktiziert werden

Die Absicht, ein SCE-Experiment durchzuführen, besteht darin, aus Fehlern zu lernen und proaktiv zu sein. Sie möchten Beweise für bestimmte Annahmen erhalten, bevor Sie Schlussfolgerungen ziehen. Sicherheitsentscheidungen sollten nicht von Bauchgefühlen oder Herstellerversprechen abhängen, sondern von experimentellen Beweisen. Erfahrungswissen ist durchaus möglich; dies muss jedoch mit empirischen Analysen abgewogen werden. Dieser Ansatz ermöglicht es, Vertrauen aufzubauen, da ein tiefes, praktisches Verständnis des Verhaltens eines Systems unter ungünstigen Bedingungen gewonnen wird. Letztlich wird es den Verteidigern ermöglicht, von der Cybersicherheit zur Cyberresistenz überzugehen, was eine enorme Leistung ist und das Ziel der meisten Cloud-Sicherheitsziele ist.

Wo sollte Security Chaos Engineering praktiziert werden

Flexibilität ist bei der Entscheidung, wo SCE-Experimente durchgeführt werden sollen, von größter Bedeutung. Es ist wichtig, dass Sie Ihren Reifegrad in Bezug auf SCE kennen und so üben, dass keine unerwünschten Ergebnisse erzielt werden. Es ist sicher, mit der Durchführung von Experimenten in Umgebungen außerhalb der Produktion zu beginnen und schließlich zur Produktion überzugehen, sofern die Umgebungen nicht eins zu eins abgebildet werden. Es ist jedoch schwierig, Umgebungen außerhalb der Produktion zu haben, die mit Produktionsumgebungen identisch sind. Dies könnte die Vorteile der Ausführung von SCE verringern, da es sich hervorragend eignet, die bei den Experimenten gewonnenen Erkenntnisse auf Produktionsumgebungen anzuwenden.

Wer sollte Security Chaos Engineering praktizieren

SCE ist in mehreren technischen und nichttechnischen Bereichen von Vorteil. Aufgrund der Überschneidung moderner Organisationsstrukturen und der Notwendigkeit, unnötige Silos zu beseitigen, sollten Unternehmen, die SCE einführen, darauf abzielen, mehrere Sicherheitsteams in die SCE-Prozesse einzubeziehen. Diese Prozesse basieren auf der SCE-Feedback-Schleife, auf die in den folgenden Abschnitten eingegangen wird. Incident-Response-Teams, Detection-Engineers, (Cloud-) Sicherheitstechniker usw. können SCE für verschiedene Aufgaben nutzen, darunter die Validierung von Compliance-/Sicherheitskontrollen, die Runbook-Verifizierung und die Implementierung/Verbesserung von Erkennungsalgorithmen. Vor allem ist es wichtig, die richtige Denkweise und Absicht an den Tag zu legen. Weitere Informationen dazu finden Sie in der vorheriger Blogbeitrag.

Wie sollte Security Chaos Engineering praktiziert werden?

Das wie Diese Frage befasst sich mit dem Missverständnis, dass SCE-Experimente unbedingt darauf ausgelegt sind, die Sicherheit eines Systems zum Erliegen zu bringen. Diese Vorstellung ist nicht nur falsch, sondern macht auch das Ziel von SCE völlig zunichte. Um das Beste aus SCE herauszuholen, ist es unerlässlich, aus der Denkweise des Scheiterns zu lernen. Daher sollte das Ziel darin bestehen, kleine Experimente durchzuführen, die ein klar definiertes Ziel und eine klar definierte Zielsetzung haben. Die Vorteile liegen in den Beobachtungen, die von Verteidigern oft übersehen, von Angreifern aber bewusst angestrebt werden. Die Teamreife sollte der Maßstab für die Durchführung komplexerer Experimente sein, und diese sollten in Spieltage übergehen. Wir haben vor Kurzem ein Webinar rund um die Planung von Sicherheitsspieltagen organisiert. Schauen Sie sich die Aufzeichnung auf YouTube an.

Feedback-Schleife für Security Chaos Engineering

Rückkopplungsschleifen sind ein Kernaspekt des Systemdenkens. Sie bieten leistungsstarke Möglichkeiten, ein System zu verstehen, die Grenzen und Vorteile schnell zu erkennen und auf dieser Grundlage objektive Verbesserungen vorzunehmen. Feedback-Schleifen sind sehr wichtig, um die Sicherheit unserer Systeme zu verbessern. Den meisten Systemen fehlt jedoch entweder eine Rückkopplungsschleife oder es gibt sehr lange Zeiträume, bis die Schleifen abgeschlossen sind. Lange Rückkopplungsschleifen bieten keine effektiven Strategien im Bereich der Cybersicherheit, da das Feedback eintreffen kann, wenn ein System bereits kompromittiert ist, wodurch es weniger nützlich ist. SCE mildert dies ab, indem es es den Verteidigern ermöglicht, schnell zwischen den Sicherheitsmechanismen zu wechseln, um faktenbasierte Entscheidungen zu treffen. Dies ist äußerst optimal, da es Angriffe verhindert und es den Verteidigern ermöglicht, praktisch von der Sicherheit zur Cyberresistenz überzugehen. Die SCE-Feedback-Schleife besteht aus fünf Stufen, die im Folgenden erläutert werden:

Planen

SCE ist ein iterativer Prozess, daher ist die Planung der ersten oder nachfolgenden Experimente wichtig. Die Pläne sollten idealerweise auf den Ergebnissen früherer Experimente basieren und könnten das Ziel, die Hypothesen und den Umfang des Experiments beinhalten. Diese könnten aus Rückständen mehrerer Sicherheitsteams abgeleitet werden, darunter Schwachstellenmanagement, SecOps, SOC und DevSecOps usw. Risiken, die im Rahmen anderer Sicherheitsaktivitäten, z. B. Bedrohungsmodellierung und praktischer Übungen, identifiziert wurden. Im Allgemeinen basieren mehrere Faktoren auf Prinzipien des Chaos Engineering müssen in Betracht gezogen werden, beispielsweise wie der Explosionsradius begrenzt werden kann.

Ausführen

Die Pläne müssen so nah wie möglich an dem im vorherigen Abschnitt beschriebenen Zeitplan ausgeführt werden. Zu den auszuführenden Punkten gehören Versuchsziel, Hypothese und Umfang. Ein wichtiger Faktor, den es zu berücksichtigen gilt, sind die Sicherheitsmaßnahmen, einschließlich des vorzeitigen Abbruchs während der Experimente. Das ist normal und sollte Teil des Plans sein. Aufgrund dieser Bedeutung ist ein Plan erforderlich, um die Testsysteme wieder in ihren stabilen Zustand zu versetzen. Angesichts der obigen Ausführungen sollte klar sein, wie wichtig effektive Kommunikationsstrategien sind. Alle beteiligten Teams müssen mithilfe vorab vereinbarter Kommunikationsmethoden, einschließlich Slack und anderer Kommunikations-/Kollaborationssysteme, auf dem Laufenden gehalten werden.

Überwachen

Hochwertige Überwachungsansätze können genutzt werden, um Versuchsergebnisse und den Fortschritt des Experiments zu ermitteln und zu erkennen. Die meisten Teams hätten bereits verschiedene Ansätze, um dies zu erreichen, einschließlich der Verwendung von Protokollen, Beobachtungstools und Rückverfolgungssystemen. Diese Ansätze sollten nicht auf typische Sicherheitstools beschränkt sein, da mehrere Optionen genutzt werden könnten, um tiefere Einblicke zu erhalten. Um Objektivität zu gewährleisten, könnten Erfolgs- und Erfolgskennzahlen im Voraus festgelegt werden. Ebenso sollten Signale, die frühzeitig vor Anomalien warnen, die einen Abbruch der Experimente erforderlich machen, sorgfältig überwacht werden.

Analysieren

Experimentelle Ergebnisse müssen analysiert werden, um Erfolg/Misserfolg festzustellen. Dazu gehört jedoch noch mehr, die Ergebnisse sind nicht binär, es kann viel mehr daraus abgeleitet werden, z. B. ein tieferes Verständnis dafür, wie Sicherheitskontrollen angesichts von Widrigkeiten funktionieren, wie Teams erfolgreich koordinieren können, Kommunikationslücken, Einschränkungen von Prozessen usw. Die folgenden Fragen sind während der Analyse ebenfalls interessant: Wurde Ihre Hypothese bewiesen? Haben Sie unerwartetes Verhalten oder Sicherheitsereignisse bemerkt? Hat das Experiment irgendwelche betrieblichen oder geschäftlichen Aktivitäten gestört? Haben Sie neue Erkenntnisse gewonnen, z. B. bessere Nachweismethoden? Ist das Experiment gescheitert oder erfolgreich? Wenn es gescheitert ist, was war die Ursache? Wie kann der Ausfall in Zukunft verhindert werden?

Ein wichtiger Aspekt bei der Analyse ist die Bestimmung der Auswirkung der experimentellen Ergebnisse auf das organisatorische Risiko und die Cyberresistenz. Um dies zu analysieren, sind möglicherweise mehrere vorhandene Tools erforderlich, wie z. B. OWASP-Risikobewertungsmethode  dabei werden mehrere Faktoren berücksichtigt, darunter Bedrohungsagenten, Angriffsvektoren, Sicherheitslücken, Sicherheitskontrollen sowie technische und geschäftliche Auswirkungen.

Einblicke gewinnen

Sicherheitsexperimente liefern hochwertige Einblicke in den wahren Zustand Ihrer Cybersicherheitslage. Diese Erkenntnisse könnten auf verschiedene Weise genutzt werden, z. B. durch qualitativ hochwertige Entscheidungen. Daher ist es sinnvoll, das gewonnene Wissen in einer Wissensdatenbank zu speichern. Zu den möglichen Anwendungsfällen für die gewonnenen Erkenntnisse gehört die Sicherheitsautomatisierung — z. B. die Lambda-gestützte Sicherheitsautomatisierung von AWS. Weitere Themen sollen im Rahmen anderer Sicherheitsaktivitäten erörtert werden, darunter Übungen am Tisch und zur Bedrohungsmodellierung. Die Erkenntnisse könnten genutzt werden, um Modelle für maschinelles Lernen zur Verbesserung der Bedrohungserkennungssysteme zu trainieren.

Cloud-Cyber-Resilienz mit der Mitigant SCE-Plattform

Die Plattform von Mitigant SCE zielt darauf ab, als erstklassiger Bürger in einer Cloud-nativen Infrastruktur die Cyber-Resilienz zu fördern. Die Plattform besteht aus mehreren Angriffsaktionen und Szenarien, die dem zugeordnet sind MITRA BEI T&CK Framework, das Angriffe aus der realen Welt widerspiegelt. Mitigant SCE eignet sich für Unternehmen aller Größen und ermöglicht eine schnelle und sichere Einführung von SCE, ohne dass Kosten und Ressourcenaufwand auf sich genommen werden müssen. Die Kosten der Implementierung einer SCE-Strategie könnten für die meisten Unternehmen entmutigend sein. Mitigant löst diese Herausforderungen durch die Bereitstellung einer SaaS-Plattform.

Die Angriffe sind steckbar und können als Bausteine für die Konstruktion komplexer Angriffsszenarien gegen die AWS-Infrastruktur genutzt werden. Die Plattform ermöglicht sichere und kontrollierte SCE-Experimente, Angriffe können mit Tastenklicks gestartet und gestoppt werden, und alle an der Cloud-Infrastruktur vorgenommenen Änderungen werden nahtlos rückgängig gemacht und wiederhergestellt. Darüber hinaus werden alle Angriffe dokumentiert, einschließlich konstruierter Hypothesen und Beobachtungen.

Melden Sie sich noch heute für eine kostenlose Testversion der Mitigant SCE-Plattform an, um die Cyber-Resilienz für Cloud-Infrastrukturen unter https://mitigant.io/sign-up aufzubauen.

‍