Im September 2023 berichtete Cisco von Zero-Day-Schwachstellen in der IOS XE Software. Ist ein Gerät via Netzwerk oder Internet erreichbar, können die Schwachstellen ausgenutzt werden. Hat ein Angreifer Zugang erlangt, kann er Konten mit den höchsten Berechtigungen erstellen und die volle Kontrolle über das infizierte Gerät erlangen.  

Die gute Nachricht: Die SASE-Lösungen von Open Systems basieren nicht auf IOS XE. Dennoch könnten unsere Kunden betroffen sein. Um die Schwachstellen zu beseitigen, hat Cisco am 22. Oktober entsprechende Patches veröffentlicht, die Sie auf die betroffenen Systeme anwenden müssen. Dabei kann es in einzelnen Fällen zu Ausfallzeiten kommen. Wenn dies kurzfristig nicht möglich ist, sollten Sie eine der folgenden Massnahmen ergreifen. 

  1. Deaktivieren Sie die HTTP-Server-Funktion: Und zwar auf allen Systemen mit Internetzugriff. So minimieren Sie die Angriffsfläche und verhindern unbefugten Zugriff. 
  2. Nutzen Sie Ciscos Indicators of Compromise (IoCs): Diese IoCs helfen Ihnen bei der Identifizierung infizierter Geräte in Ihren Systemen. Die Nutzung dieser IoCs ist für die Früherkennung und Isolierung kompromittierter Geräte von entscheidender Bedeutung. 

Die Schwachstellen bei Cisco verdeutlichen einmal mehr, wie wichtig die Implementierung von Zero Trust Network Access (ZTNA) ist. ZTNA ist ein Security-Framework, das nach dem Zero-Trust-Prinzip arbeitet. Das bedeutet: Keine interne oder externe Instanz ist per se vertrauenswürdig. Für den Zugriff auf Netzwerkressourcen erzwingt ZTNA eine strenge Authentifizierung und Autorisierung für alle Benutzer, Geräte und Anwendungen. 

In Bezug auf die Cisco-Schwachstellen wären Unternehmen deutlich sicherer, wenn sie den Zugriff auf ihre HTTP-Server mit ZTNA einschränken würden. Nicht ohne Grund: 

  1. Schutz vor externen Bedrohungen: Das Hauptproblem mit den Schwachstellen beim IOS XE System ist, dass sie direkt über das Internet erreichbar sind, was sie anfällig für Angriffe von externen Akteuren macht. ZTNA fügt hier eine wichtige Sicherheitsebene ein, sodass der Zugriff auf kritische Ressourcen nicht für das gesamte Internet verfügbar ist. 
  2. Erzwungene Authentifizierung: ZTNA stellt sicher, dass nur autorisierte Benutzer Zugriff erhalten. Dadurch reduziert sich das Risiko einer unbefugten Ausnutzung signifikant.
  3. Multi-Faktor-Authentifizierung (MFA): Dank ZTNA können Unternehmen MFA erzwingen und damit eine zusätzliche Sicherheitsebene hinzufügen. Auch wenn Zugangsdaten in die falschen Hände geraten, werden sie durch MFA blockiert. Das erschwert eine Kompromittierung erheblich.  

Die hier beschriebenen Cisco-Schwachstellen sind ein weiteres Beispiel für eine sich rasant entwickelnde Bedrohungslandschaft. Proaktive Sicherheitsmassnahmen wie ZTNA werden daher eine immer grössere Rolle beim Schutz digitaler Assets spielen.