2020 war ein Jahr besonderer Bedrohungen – auch in der Welt der IT-Sicherheit. Der HeroLab Jahresbericht lässt dieses Jahr aus Sicht unserer Security Analysten Revue passieren. Matthias Göhring, Co-Head of usd HeroLab und Tobias Neitzel, usd Managing Consultant IT Security, über die Hintergründe dazu.
Welche Inhalte erwarten uns im Jahresbericht?
TN: Wir identifizieren während unserer Pentests verstärkt die gleichen Schwachstellen in unterschiedlichen IT-Systemen. Im Jahresbericht haben wir die auffälligsten Schwachstellen aufbereitet, um zu zeigen wie Hacker vorgehen und wie sich Unternehmen besser schützen können. Für uns ist es ein Alarmsignal, dass seit Jahren bekannte Schwachstellen, wie z.B. Cross-Site-Scripting, noch immer in vielen Systemen und Anwendungen aufgefunden werden.
MG: Diese Schwachstellen finden sich nicht nur in Eigenentwicklungen, sondern häufig auch in zugekauften Software-Produkten. Wenn eine solche Schwachstelle noch nicht öffentlich bekannt ist, handelt es sich dabei um einen sogenannten Zero-Day. Wir gehen hier sehr verantwortungsvoll nach unserer Responsible Disclosure Policy vor und arbeiten mit den Software-Anbietern zusammen, die diese Schwachstelle mit Hilfe von Updates schließen. Anschließend veröffentlichen wir die Details in Form von „Security Advisories“ auf unserer Webseite – 43 alleine im vergangen Jahr. Diese hohe Anzahl zeigt, wie wichtig es ist, gemeinsam mit Herstellern Lösungen zu finden um Unternehmen und Anwendern dadurch besser schützen zu können. In unserem Jahresbericht werden die Top 3 aufgeführt.
Was hat euch dazu bewegt, euren ersten Jahresbericht gerade jetzt zu veröffentlichen?
MG: 2020 war für unsere Kunden und uns ein besonderes Jahr, in dem wir viele Herausforderungen gemeistert haben. Mehr denn je waren wir für unsere Kunden da und brachten uns darüber hinaus für eine kontinuierliche Fortentwicklung in unterschiedlichen Bereichen ein: wir erreichten große Fortschritte bei der Weiterentwicklung unserer Tool-Landschaft, der usd HeroLab Toolchain, die uns dabei hilft, unsere Kunden noch transparenter, effizienter und mit höchster Qualität zu unterstützen. Wir investierten verstärkt in die Optimierung unseres internen Ausbildungsprogramms, das neue Kolleg*innen mit dem „usd HeroLab Certified Professional“, kurz UCP, abschließen. Zugleich vertieften wir unsere universitären Kooperationen an der TU Darmstadt mit dem digitalen Hacker Contest und führten das Online Event „usd Hacking Night“ mit über 100 Teilnehmer*innen durch.
TN: Unsere Mission treibt uns voran – die Toolchain unterstützt uns dabei, die individuelle Bedrohungslage unserer Kunden einzuschätzen und eine aussagekräftige Übersicht aller identifizierten Schwachstellen zu erstellen. Wir sind wirklich sehr stolz auf das, was wir mit unserer Tool-Landschaft bereits erreicht haben. Es ist uns ein Anliegen, dass wir mithilfe des usd HeroLab Jahresberichts Einblicke in die allgemeine Bedrohungslage geben und aufzeigen, welche Konsequenzen wir daraus ziehen.
