Eine Information Assurance Vulnerability Alert (IAVA) ist eine Benachrichtigung über eine Schwachstelle in Computeranwendungssoftware oder Betriebssystemen. Sie wird in Form von Warnmeldungen, Bulletins und technischen Hinweisen veröffentlicht und vom US-CERThttps://www.us-cert.gov/ identifiziert. Das US-CERT wird vom National Cybersecurity and Communications Integration Center (NCCIC) verwaltet, das wiederum Teil der Cybersecurity and Infrastructure Security Agency (CISA) innerhalb des US-Heimatschutzministeriums (DHS) ist. Die CISA, zu der auch das NCCIC gehört, hat ihre Organisationsstruktur 2017 neu ausgerichtet und ähnliche Funktionen integriert, die zuvor unabhängig vom US-Computer Emergency Readiness Team (US-CERT) und dem Industrial Control Systems Cyber Emergency Response Team (ICS-CERT) wahrgenommen wurden. Die identifizierten Schwachstellen stellen die vorgeschriebene Basiskonfiguration für alle Hosts im Global Infrastructure Grid (GIG) dar. Das US-CERT analysiert jede Schwachstelle und entscheidet, ob eine Verteidigungsministerium als IAVA für das Verteidigungsministerium notwendig oder vorteilhaft ist. Die Umsetzung der IAVA-Richtlinie wird dazu beitragen, dass die Komponenten des Verteidigungsministeriums geeignete Maßnahmen zur Abschwächung von Schwachstellen ergreifen, um schwerwiegende Beeinträchtigungen der Computersysteme des Verteidigungsministeriums zu vermeiden, die potenziell die Leistungsfähigkeit der Missionen mindern würden.
Programm zum Management von Schwachstellen in der Informationssicherheit (IAVM) Das Unified Combatant Command, Dienste, Behörden und Feldoperationen sind verpflichtet, Sicherheitslückenbenachrichtigungen in Form von Warnmeldungen, Bulletins und technischen Hinweisen umzusetzen. USCYBERCOM ist befugt, Korrekturmaßnahmen anzuordnen, die letztlich die Trennung von Enklaven oder betroffenen Systemen innerhalb dieser Enklaven umfassen können, sofern diese nicht den Richtlinien des IAVA-Programms und den Maßnahmen zur Behebung von Sicherheitslücken (z. B. Kommunikationsaufträgen oder -meldungen) entsprechen. USCYBERCOM wird sich vor der Trennung mit allen betroffenen Organisationen abstimmen, um die Auswirkungen auf den Betrieb des Verteidigungsministeriums zu ermitteln.
Hintergrund Am 16. November 2018 unterzeichnete Präsident Trump den Cybersecurity and Infrastructure Security Agency Act von 2018. Dieses wegweisende Gesetz erweiterte die Aufgaben des ehemaligen National Protection and Programs Directorate (NPPD) innerhalb des Department of Homeland Security (DHS) und etablierte die CISA, zu der auch das National Cybersecurity and Communications Integration Center (NCCIC) gehört. Das NCCIC restrukturierte seine Organisationsstruktur im Jahr 2017 und integrierte ähnliche Funktionen, die zuvor unabhängig vom U.S. Computer Emergency Readiness Team (US-CERT) und dem Industrial Control Systems Cyber Emergency Response Team (ICS-CERT) wahrgenommen wurden. Laut dem Memorandum soll das Warnsystem Folgendes gewährleisten: Benennung eines Systemadministrators als Ansprechpartner für jedes relevante Netzwerksystem, Versand von Warnmeldungen an jeden Ansprechpartner, Bestätigung des Empfangs jeder Warnmeldung durch jeden Ansprechpartner, Festlegung eines Datums für die Umsetzung der Korrekturmaßnahmen und Ermöglichung der Überprüfung der Umsetzung durch die DISA.
Der United States Deputy Secretary of Defense erließ am 30. Dezember 1999 ein Richtlinienmemorandum zur Informationssicherheitswarnung (IAVA). Die damaligen Ereignisse zeigten, dass in den Netzwerken des Verteidigungsministeriums weit verbreitete Sicherheitslücken bestanden, die die Leistungsfähigkeit der Missionen erheblich beeinträchtigen konnten. Das Richtlinienmemorandum wies die DISA an, ein IAVA-Datenbanksystem zu entwickeln und zu pflegen, das einen wirksamen Kontrollmechanismus für Systemadministratoren gewährleisten sollte, um Benachrichtigungen über Systemsicherheitslücken zu erhalten, zu bestätigen und zu befolgen. Die IAVA-Richtlinie verpflichtete die Teilstreitkräfte, Vereinigtes Kampfkommando und Behörden, ihre Bestätigung und Einhaltung der IAVA-Richtlinie in der Datenbank zu registrieren und zu melden. Laut Richtlinienmemorandum sollten die zu meldenden Daten die Anzahl der betroffenen Systeme, die Anzahl der Systeme, die die Richtlinien erfüllen, und die Anzahl der Systeme mit Ausnahmegenehmigungen umfassen.
Siehe auch Cyberattacke Computersicherheit Informationssicherheit Sicherheitslücke Security Content Automation Protocol
Einzelnachweise
Weblinks Office of the Inspector General, DoD Compliance with the Information Assurance Vulnerability Alert Policy, Dec 2001. Chairman of the Joint Chiefs of Staff Instruction, 6510.01E, August 2007. DoD IA Policy Chart DoD IA Policy Chart IAVA Site
Kategorie:IT-Sicherheit