Die Sicherheitsrisiken von Copiloten und Apps konfrontieren

Mehr und mehr nutzen Unternehmen Copiloten und Low-Code-Plattformen, um es Mitarbeitern – auch denen mit wenig oder keiner technischen Expertise – zu ermöglichen, leistungsstarke Copiloten und Business-Apps zu erstellen sowie große Mengen an Daten zu verarbeiten. Ein neuer Bericht von Zenity, Der Zustand von Enterprise-Copiloten und Low-Code-Entwicklung in 2024, fand heraus, dass Unternehmen im Durchschnitt etwa 80.000 Apps und Copiloten haben, die außerhalb des Standard-Software-Entwicklungslebenszyklus (SDLC) erstellt wurden.

Diese Entwicklung bietet neue Chancen, aber auch neue Risiken. Unter diesen 80.000 Apps und Copiloten gibt es etwa 50.000 Schwachstellen. Der Bericht stellte fest, dass diese Apps und Copiloten mit atemberaubender Geschwindigkeit evolvieren. Folglich erzeugen sie eine enorme Anzahl an Schwachstellen.

Risiken von Enterprise-Copiloten und Apps

Typischerweise bauen Software-Entwickler Apps sorgfältig entlang eines definierten SDLC (sicheren Entwicklungslebenszyklus), wo jede App ständig entworfen, bereitgestellt, gemessen und analysiert wird. Aber heute existieren diese Schutzmechanismen nicht mehr. Menschen ohne Entwicklungserfahrung können jetzt leistungsstarke Copiloten und Business-Apps innerhalb von Power Platform, Microsoft Copilot, OpenAI, ServiceNow, Salesforce, UiPath, Zapier und anderen erstellen und nutzen. Diese Apps unterstützen Geschäftsoperationen, da sie sensible Daten übertragen und speichern. Das Wachstum in diesem Bereich war erheblich; der Bericht fand 39% Jahreswachstum bei der Einführung von Low-Code-Entwicklung und Copiloten.

Als Ergebnis dieses Umgehens des SDLC sind Schwachstellen allgegenwärtig. Viele Unternehmen begrüßen diese Fähigkeiten begeistert, ohne vollständig zu verstehen, dass sie verstehen müssen, wie viele Copiloten und Apps erstellt werden – und ihren Geschäftskontext. Zum Beispiel müssen sie verstehen, für wen die Apps und Copiloten bestimmt sind, mit welchen Daten die App interagiert und welche ihre Geschäftszwecke sind. Sie müssen auch wissen, wer sie entwickelt. Da sie dies oft nicht tun und da die Standard-Entwicklungspraktiken umgangen werden, entsteht eine neue Form von Schatten-IT.

Dies stellt Sicherheitsteams in eine schwierige Position, da viele Copiloten, Apps, Automatisierungen und Berichte von Geschäftsnutzern in verschiedenen Geschäftsbereichen erstellt werden, ohne dass sie davon wissen. Der Bericht fand heraus, dass alle OWASP (Open Web Application Security Project) Top 10 Risikokategorien in Unternehmen allgegenwärtig sind. Im Durchschnitt hat ein Unternehmen 49.438 Schwachstellen. Dies entspricht 62% der mit Low-Code erstellten Copiloten und Apps, die eine Sicherheitsschwachstelle irgendeiner Art enthalten.

Verständnis der verschiedenen Arten von Risiken

Copiloten stellen ein so signifikantes Bedrohungspotenzial dar, weil sie Anmeldeinformationen verwenden, Zugriff auf sensible Daten haben und eine inhärente Neugier besitzen, die es schwierig macht, sie zu kontrollieren. Tatsächlich wurden 63% der mit Low-Code-Plattformen erstellten Copiloten mit anderen geteilt – und viele von ihnen akzeptieren unauthentifizierte Chat-Nachrichten. Dies ermöglicht ein erhebliches Risiko für mögliche Prompt-Injection-Angriffe.

Wegen der Art und Weise, wie Copiloten und allgemein künstliche Intelligenz funktionieren, müssen strenge Sicherheitsmaßnahmen ergriffen werden, um die Weitergabe von Benutzerinteraktionen mit Copiloten, das Teilen von Apps mit zu vielen oder den falschen Personen, die unerwünschte Gewährung von Zugriff auf sensible Daten über künstliche Intelligenz und so weiter zu verhindern. Wenn diese Maßnahmen nicht ergriffen werden, riskieren Unternehmen eine erhöhte Exposition gegenüber Datenlecks und bösartigen Prompt-Injection-Angriffen.

Zwei weitere signifikante Risiken sind:

Remote Copilot Execution (RCEs) – Diese Schwachstellen stellen einen Angriffspfad speziell für künstliche Intelligenz-Anwendungen dar. Diese RCE-Version ermöglicht es einem externen Angreifer, die vollständige Kontrolle über Copilot für M365 zu erlangen und es zu zwingen, seinen Befehlen zu gehorchen, indem er einfach eine E-Mail, eine Kalender-Einladung oder eine Teams-Nachricht sendet.

Gastkonten: Mit nur einem Gastkonto und einer Testlizenz für eine Low-Code-Plattform – typischerweise kostenlos verfügbar über mehrere Tools – muss ein Angreifer nur auf die Low-Code-Plattform oder den Copiloten des Unternehmens zugreifen. Sobald er drin ist, wechselt der Angreifer zum Zielverzeichnis und hat dann Domänen-Admin-Rechte auf der Plattform. Folglich suchen Angreifer nach diesen Gastkonten, die zu Sicherheitsverletzungen geführt haben. Hier ist ein Datenpunkt, der Unternehmensführungen und ihre Sicherheitsteams beunruhigen sollte: Das typische Unternehmen hat mehr als 8.641 Instanzen von nicht vertrauenswürdigen Gastbenutzern, die Zugriff auf Apps haben, die über Low-Code und Copiloten entwickelt werden.

Ein neuer Sicherheitsansatz ist erforderlich

Was können Sicherheitsteams gegen dieses allgegenwärtige, amorphe und kritische Risiko unternehmen? Sie müssen sicherstellen, dass sie Kontrollen eingerichtet haben, um sie auf jede App aufmerksam zu machen, die einen unsicheren Schritt in ihrem Anmeldeinformationsabrufprozess oder einen hartcodierten Geheimnis hat. Sie müssen auch Kontext zu jeder erstellten App hinzufügen, um sicherzustellen, dass es angemessene Authentifizierungssteuerungen für Geschäftskritische Apps gibt, die auch Zugriff auf sensible interne Daten haben.

Wenn diese Taktiken eingesetzt wurden, ist die nächste Priorität, sicherzustellen, dass eine angemessene Authentifizierung für Apps eingerichtet ist, die Zugriff auf sensible Daten benötigen. Danach ist es eine bewährte Methode, Anmeldeinformationen so einzurichten, dass sie sicher von einem Anmeldeinformations- oder Geheimnis-Vault abgerufen werden können, was sicherstellt, dass Passwörter nicht im Klartext oder in Plain-Text vorliegen.

Sichern Sie Ihre Zukunft

 Der Geist der Low-Code- und Copilot-Entwicklung ist aus der Flasche, also ist es nicht realistisch, ihn wieder hineinzuversuchen. Stattdessen müssen Unternehmen sich der Risiken bewusst sein und Kontrollen einrichten, um ihre Daten sicher und ordnungsgemäß zu verwalten. Sicherheitsteams haben in dieser neuen Ära der geschäftlichen Entwicklung viele Herausforderungen zu bewältigen, aber indem sie den oben genannten Empfehlungen folgen, werden sie in der besten möglichen Position sein, die Innovation und Produktivität, die Enterprise-Copiloten und Low-Code-Entwicklungsplattformen bieten, sicher in eine mutige neue Zukunft zu bringen. Security-Teams haben in dieser neuen Ära der geschäftlichen Entwicklung viele Herausforderungen zu bewältigen, aber indem sie den oben genannten Empfehlungen folgen, werden sie in der besten möglichen Position sein, die Innovation und Produktivität, die Enterprise-Copiloten und Low-Code-Entwicklungsplattformen bieten, sicher in eine mutige neue Zukunft zu bringen.