Software-Anbieter Ivanti hat heute die Ergebnisse einer Studie zum Thema Patching veröffentlicht. Demnach empfindet eine Mehrheit (71 %) der IT- und Sicherheitsexperten Patchen als zu komplex, umständlich und zeitaufwändig.
Auch die Corona-Pandemie zeigt Auswirkungen auf das Thema: So gaben 57 % der Befragten an, dass Remote-Arbeit die Komplexität und den Umfang des Patch-Managements gesteigert hat. Nicht zuletzt deshalb rückt Patching häufig vor anderen Aufgaben in den Hintergrund, wie 62 % der Befragten angaben. Doch wofür wenden Sicherheitsteams im Detail beim Patching ihre Zeit auf? 53 % der Umfrageteilnehmer gaben an, dass das Management und die Priorisierung kritischer Schwachstellen den grössten Teil ihrer Zeit in Anspruch nimmt. Auf Platz zwei folgt die Bereitstellung von Lösungen für fehlgeschlagene Patches (19 %), dann das Testen von Patches (15 %) und schliesslich die Koordination mit anderen Abteilungen (10 %). Die Herausforderungen, mit denen IT- und Sicherheitsteams beim Patching konfrontiert sind, könnten der Grund dafür sein, dass 49 % der Befragten die derzeitigen Patch-Management-Protokolle ihres Unternehmens nicht ausreichend finden, um Risiken wirksam zu minimieren.
Angreifer machen Tempo
Gleichzeitig nimmt die Geschwindigkeit weiter zu, mit der Schwachstellen als Waffe eingesetzt werden. Deshalb ist Tempo auch ein wesentlicher Faktor bei der Abwehr von Angriffen. Zur Verdeutlichung: Es dauert im Schnitt zwischen 100 und 120 Tage, bis Unternehmen einen verfügbaren Patch ausrollen. Bedrohungsakteure benötigen jedoch durchschnittlich nur 22 Tage nach Veröffentlichung einer Schwachstelle, um einen funktionsfähigen Exploit zu entwickeln, so eine Analyse der Rand Corporation. Der WannaCry-Ransomware-Angriff, bei dem schätzungsweise 200.000 Computer in 150 Ländern verschlüsselt wurden, ist ein Paradebeispiel für die schwerwiegenden Folgen, die auftreten können, wenn Patches nicht rechtzeitig angewendet werden. Ein Patch für die Sicherheitslücke, die von der Ransomware ausgenutzt wurde, existierte bereits mehrere Monate vor dem ersten Angriff, doch viele Organisationen haben ihn nicht implementiert. Und selbst jetzt, vier Jahre später, haben zwei Drittel der Unternehmen ihre Systeme immer noch nicht gepatcht. Dennoch werden Organisationen auf der ganzen Welt immer noch von WannaCry-Ransomware-Angriffen heimgesucht; von Januar bis März 2021 stieg die Zahl der von WannaCry-Ransomware betroffenen Organisationen um 53 %. Ivanti befragte für die Studie über 500 IT- und Sicherheitsexperten in Unternehmen in Nordamerika und EMEA.