Zero-Day-Schwachstelle

Der Begriff Zero-Day beschreibt den Zeitpunkt, zu dem eine Sicherheitslücke ausgenutzt wird: Der Hersteller hatte sprichwörtlich null Tage Zeit, um sie zu schließen. Zu unterscheiden sind die Schwachstelle selbst, der Zero-Day-Exploit als Angriffscode, der sie ausnutzt, und der Zero-Day-Angriff, bei dem dieser Code tatsächlich eingesetzt wird.

Für Unternehmen sind solche Lücken heikel, weil die üblichen Schutzmechanismen zunächst nicht greifen. Es gibt noch kein Update, und signaturbasierte Virenscanner kennen den Angriff nicht.

Wie funktioniert ein Zero-Day-Angriff?

Sicherheitsforschende, kriminelle Gruppen oder staatliche Akteure finden einen Fehler in Software, Firmware oder Hardware. Entdecken Angreifer die Lücke zuerst, entwickeln sie einen Exploit und setzen ihn ein, solange der Hersteller nichts davon weiß. Solche Lücken werden teilweise auch gehandelt.

Sobald der Hersteller informiert ist, entwickelt er ein Update oder veröffentlicht vorläufige Schutzmaßnahmen. Streng genommen ist die Lücke ab der Veröffentlichung kein Zero-Day mehr. Gefährlich bleibt sie trotzdem: Angreifer analysieren veröffentlichte Updates, um rasch eigene Exploits zu bauen, während viele Systeme noch ungepatcht sind.

Typische Beispiele

• Ein präpariertes Dokument im E-Mail-Anhang nutzt eine unbekannte Lücke in einer Büroanwendung und führt beim Öffnen Schadcode aus.
• Systeme am Netzwerkrand wie Firewalls, VPN-Gateways oder Dateiaustauschplattformen sind direkt aus dem Internet erreichbar und deshalb ein bevorzugtes Ziel.
• Eine Lücke in einer weit verbreiteten Programmbibliothek betrifft viele Produkte gleichzeitig. Unternehmen müssen dann erst herausfinden, wo die Komponente überhaupt im Einsatz ist.

Worauf Unternehmen achten sollten

• Schnell reagieren können: Ein geübter Ablauf für Notfall-Updates verkürzt die Zeit zwischen Veröffentlichung und Installation. Grundlage ist ein funktionierendes Patch-Management.
• Angriffsfläche verkleinern: Nur notwendige Dienste aus dem Internet erreichbar machen und Systeme konsequent härten, siehe Systemhärtung.
• Verhalten erkennen: Lösungen für Endpoint Detection and Response erkennen auffälliges Verhalten auch ohne bekannte Signatur.
• Überblick behalten: Ein aktuelles Verzeichnis von Systemen und Softwareversionen zeigt bei einer Warnung sofort, ob das Unternehmen betroffen ist.
• Warnungen verfolgen: Sicherheitsmeldungen von Herstellern und nationalen CERTs wie CERT.at enthalten oft Übergangsmaßnahmen, bis ein Update verfügbar ist.

Abgrenzung

Eine Zero-Day-Schwachstelle ist unbekannt oder noch ungepatcht. Bei einer bekannten Schwachstelle gibt es bereits ein Update, es wurde nur noch nicht eingespielt. In der Praxis gelingen viele Angriffe über solche bekannten Lücken. Schnelles Patchen bleibt daher die wichtigste Grundlage, auch wenn es gegen echte Zero-Days allein nicht hilft.

Bezug zu TOMORIS

Mit GRID.scout macht TOMORIS bekannte Schwachstellen sichtbar, GRID.patch unterstützt das zeitnahe Einspielen von Updates.