Schutz des Hauptrechners im Zeitalter des Mythos und anderer Varianten

Der Mainframe bleibt das transaktionale Rückgrat vieler der weltweit größten Organisationen und das primäre Repository für "System of Record"-Daten. Obwohl die Zuverlässigkeit des Mainframes einen enormen geschäftlichen Vorteil bietet, kann sie auch Selbstzufriedenheit schaffen. Da künstliche Intelligenz (KI) das Fachwissen und die Zeit, die zur Identifizierung von Schwachstellen und zur Entwicklung von Angriffen benötigt werden, dramatisch reduziert, müssen Organisationen ihre Annahmen darüber überdenken, was den Mainframe historisch sicher gehalten hat.  KI-basierte Angriffe haben die Sorge um die Sicherheit und Vorbereitung des Mainframes erhöht und sollten ein Weckruf für Organisationen sein, die Investitionen in die Härtung der Sicherheit und Widerstandsfähigkeit der kritischen Mainframe-Plattform übersehen haben.

Mythos und Varianten: Ein kurzer Überblick

Da die KI tiefgreifende Schwachstellenanalysen durchführt und Angriffsvektoren auf Basis dieser Schwachstellen erstellt, wie können wir unsere kritische Großrechner-Infrastruktur schützen?  Mythos ist ein fortschrittliches KI-Modell, das von Anthropic entwickelt wurde und Softwarefehler besser und schneller als die meisten Menschen finden und ausnutzen kann.  Im Rahmen von Project Glasswing wurde 12 Unternehmen Zugang gewährt, wo das Modell laut Anthropic erfolgreich Tausende von schwerwiegenden Schwachstellen identifizierte.  Kürzlich ist Mythos erfolgreich aus einer gesicherten Sandboxumgebung  "ausgebrochen". Außerdem gab OpenAI zu, dass sein Modell "ausgebrochen" war und das KI-Unternehmen Hugging Face erfolgreich angegriffen hat. Autonome, KI-gestützte Angriffsmodelle sind da.  Da Mythos und seine Varianten immer leistungsfähiger, leistungsfähiger und anpassungsfähiger werden, wird keine Computerplattform außer Reichweite stehen.

KI bricht mit drei lang gehegten Annahmen über Mainframe-Sicherheit

Mythos und Varianten zerstören drei zentrale Annahmen, die ich in einigen Organisationen sehe, die auf Mainframes angewiesen sind:

• Sicherheit durch Obskurität. Dies ist der Glaube, dass eine kleine Gruppe von Mainframe-Profis die Komplexität von Mainframe-Betriebssystemen (z/OS, USS, VM usw.) versteht, weshalb die Wahrscheinlichkeit eines erfolgreichen Angriffs auf den Großrechner ihrer Organisation sehr gering ist.  KI-Modelle können oder werden in der Lage sein, die vollständige Dokumentation für Großrechner-Betriebssysteme und deren Subsysteme zu konsumieren, Schwachstellen in Versionen und Konfigurationen zu bewerten und dann Angriffsvektoren zu identifizieren, die diese Schwachstellen nutzen, wodurch diese KI-Modelle leistungsfähiger sind als die meisten Großrechner-Profis.
• Abhängigkeit von ESM-Protokollen (RACF, ACF2, Top Secret). Viele Organisationen überprüfen Aktualisierungen von ESM-Profilen auf Benutzer, Ressourcen und Privilegien in der Erwartung, dass ESM-Kontrollen ausreichen, um Sicherheitsbedrohungen auf dem Großrechner zu erkennen.  Da praktisch jeder Großrechner Schwachstellen hat, die über den Anwendungsbereich der ESM-Kontrollen hinausgehen, können diese Kontrollen ausgenutzt werden, um Großrechner erfolgreich anzugreifen.
• Vorausgesetzt, Netzwerk-/Perimeterverteidigung schützt die Angriffsfläche des Großrechners. Die begrenzte Anzahl der Organisationen, die Mythos erhalten, umfasst Palo Alto Networks und Cisco – die Netzwerkgeräte, die am häufigsten zur Sicherung der Netzwerkperimeter verwendet werden –, wo Mythos berichtete, über 23.000 Schwachstellen bei der begrenzten Anzahl von Unternehmen gefunden zu haben.  Wenn die ersten Veröffentlichungen der KI-gestützten Schwachstellenbewertung und Angriffsplanung so effektiv sind, können wir erwarten, dass zukünftige Veröffentlichungen noch bedrohlicher sein werden.

Was können wir tun, um Mainframes zu schützen?

Das Erste, was sich in der Mainframe-Community ändern muss, ist die Sicherheitsmentalität. Die folgenden Schritte helfen Ihrer Organisation, ihre Sicherheit gegen KI-basierte Angriffe zu verstärken:

• Setzen Sie Zero Trust auf dem Großrechner ein. Gehen Sie davon aus, dass sich Bedrohungsakteure auf Ihrem Großrechner befinden, die wissen, wo die Schwachstellen liegen, und diese ausnutzen werden.
• Kennen Sie Ihre Schwachstellen, bevor Ihre Gegner Ihre Schwachstellen kennen. Führen Sie einen unabhängigen, umfassenden Penetrationstest durch mainframe-versierte Fachleute durch und entwickeln Sie einen Sanierungsplan, um die Schwachstellenlücken zu schließen.
• Erkennen Sie Bedrohungen, indem Sie eine umfassende Sicherheitsüberwachungslösung einsetzen, die verdächtige oder bösartige Aktivitäten in Echtzeit identifiziert. Dazu sollten Verhaltensanalysen gehören, um Aktivitäten zu identifizieren, die vom Normalwert abweichen – eine wichtige Verteidigungsfähigkeit zur Erkennung KI-basierter Aktivitäten. Alle bedeutenden Sicherheitsereignisse sollten an das organisatorische SIEM weitergeleitet werden, um Unternehmenstransparenz und angemessene Reaktionen zu gewährleisten.
• Schützen Sie Ihre Daten, indem Sie 1) periodische unveränderliche Backups implementieren, die von Bedrohungsakteuren nicht verändert, gelöscht oder abgerufen werden können, und 2) kontinuierlichen unveränderlichen Streaming von Transaktionswiederherstellungsressourcen.
• Führen Sie regelmäßig Wiederherstellungsprozesse durch, indem Sie die unveränderlichen Backups und Transaktionswiederherstellungsschritte nutzen, um sich im Falle eines erfolgreichen Angriffs richtig vorzubereiten.

Die Realität des Großrechnerschutzes

Nun mit blitzschneller Geschwindigkeit ahmt ein KI-basierter Angriff die Schritte nach, die ein gut ausgebildeter Mainframe-Hacker ausführen würde:  Schwachstellen aufdecken, bestehende Zugangsdaten identifizieren, Fähigkeiten durch erhöhte Rechte oder erweiterten Zugriff erweitern und Programme bereitstellen, die Daten exfiltrieren und/oder verschlüsseln oder die Plattform außer Gefecht setzen.  All diese Aktivitäten sind für die meisten Nutzer auf einem Großrechner untypisch, und es ist von größter Bedeutung, dieses untypische Verhalten zu erkennen.  Zahlreiche Indikatoren für Kompromittierung, "Honigtopf"-Datensätze zur Anlockung und Erkennung von Bedrohungsakteuren sowie Verhaltensanalysen mit Echtzeitbenachrichtigung an das SOC bei hochprioritären Sicherheitsereignissen sind der beste Schutz.

Mit zunehmender Veränderung wird die Agilität immer wichtiger

Sicherheitsüberwachungstools, die umfangreiche Programmierung, umfangreiche Beratung oder eine riesige Infrastruktur zum Verschieben von Millionen von Logs erfordern, beeinträchtigen die Anpassung an neue Sicherheitsanforderungen von Mainframes.  Moderne Mainframe-Sicherheitstools ermöglichen eine schnelle Einführung neuer Kompromittierungsindikatoren mit Verhaltensanalysen, SIEM-Integration und forensischer Analyse, die in die Grundlage des Werkzeugsatzes integriert sind.  Forensische Analyse ermöglicht es Mainframe-Experten mit umfangreicher Plattformerfahrung, tief in verdächtige Verhaltensweisen einzutauchen.  Unterschätzen Sie Ihre lokalen Experten nicht, sondern stärken Sie sie.

Mythos und Varianten erhöhen die Wahrscheinlichkeit eines katastrophalen Angriffs

Ein Ransomware-Angriff könnte Ihre Daten verschlüsseln, aber den Großrechner funktionsfähig lassen.  Ein katastrophaler Angriff würde den Großrechner außer Gefecht setzen, wahrscheinlich durch die Zerstörung kritischer Betriebssystemdatensätze. In jedem Fall sind ausgearbeitete und getestete Wiederherstellungspläne entscheidend, um die Rückkehr der Organisation zu normalen Geschäftsabläufen zu unterstützen.

Zusammenfassung

KI verändert die Ökonomie von Cyberangriffen, indem sie es Angreifern ermöglicht, Schwachstellen zu identifizieren, Angriffspfade zu entwickeln und mit einer Geschwindigkeit und Skala zu agieren, die zuvor unmöglich waren. Für Organisationen, die auf den Mainframe angewiesen sind, machen das traditionelle Annahmen über Sicherheit zunehmend riskant. Die Antwort ist nicht die Angst vor KI, sondern die Beseitigung der blinden Flecken, die KI ausnutzen kann. Das bedeutet, Schwachstellen zu verstehen, bevor Angreifer es tun, abnormale Aktivitäten zu erkennen, sobald sie auftreten, die Mainframe-Sicherheit in das Unternehmens-SOC zu integrieren und einen getesteten Weg zur Wiederherstellung kritischer Systeme und Daten im Falle eines erfolgreichen Angriffs einzuhalten. Der Mainframe kann keine Sicherheitsinsel bleiben. Wenn die Plattform die Transaktionen und Daten unterstützt, die das Unternehmen am Laufen halten, ist Mainframe-Sicherheit Unternehmenssicherheit.

Diese Beiträge sind meine eigenen und spiegeln nicht unbedingt die Position, Strategien oder Meinung von BMC wider.