Anzeige

Anzeige

VERANSTALTUNGEN

ACMP Competence Days Wien
15.05.19 - 15.05.19
In WAGGON-31, Wien

e-Commerce Day
17.05.19 - 17.05.19
In Köln, RheinEnergieSTADION

ACMP Competence Days Dortmund
04.06.19 - 04.06.19
In SIGNAL IDUNA PARK, 44139 Dortmund

Aachener ERP-Tage 2019
04.06.19 - 06.06.19
In Aachen

ACMP Competence Days Zürich
11.06.19 - 11.06.19
In Stadion Letzigrund, Zürich

Anzeige

Anzeige

AlertDas schnelle Aufspüren von IT-Angriffen ist eine Grundvoraussetzung für unmittelbare Reaktionen und die Beschleunigung von Incident-Response-Prozessen. CyberArk hat zehn IT-Kommandos identifiziert, die auf eine mögliche Insider- oder Cyberattacke hinweisen können.

Vor Kurzem hat CyberArk seine Sicherheitssuite Privileged Account Security um eine neue Funktion zur automatischen Erkennung hochriskanter privilegierter Aktivitäten mit Echtzeit-Alarmierung erweitert. Das Unternehmen hat bei der Lösungskonzeption intensiv mit seinen Anwendern zusammengearbeitet und ihr Feedback ist unmittelbar in die neue Lösung eingeflossen. "Bei dieser engen Kooperation ist von unseren Kunden wiederholt eine für sie sehr wichtige Frage aufgeworfen worden, und zwar nach der Möglichkeit, Indizien für hochriskante Aktivitäten möglichst schnell zu erkennen. Wir haben diese Frage aufgegriffen und zehn IT-Kommandos ermittelt, die häufig mit bösartigen oder unbeabsichtigt schädlichen Aktionen in Verbindung stehen", erklärt Michael Kleist, Regional Director DACH bei CyberArk in Düsseldorf.

Die zehn häufigsten "brisanten" Kommandos, die oft ein Indiz für einen Insider- oder Cyberangriff sind, im Überblick:

1. mmc.exe, Active-Directory-Anwender und -Computer

Über dieses Kommando kann ein Windows-Nutzer neue User-Accounts zu einer Domain hinzufügen. Die Aktion kann darauf hinweisen, dass ein Angreifer eine persistente "Hintertür" für die gesamte Windows-Domain einrichtet.

2. explorer.exe, User-Accounts

Mit diesem Kommando wird ein Fenster geöffnet, über das ein Windows-Anwender einem System neue Accounts hinzufügen kann. Auch diese Aktivität kann ein Hinweis auf die Schaffung einer persistenten "Hintertür" sein.

3. regedit.exe, Registry Editor

Das Kommando bietet Zugriff auf die Windows-Registry. Über die Registry können kritische Systemkonfigurationen und Sicherheitseinstellungen geändert und vertrauliche Zugangsdaten auf dem System ermittelt werden.

4. mmc.exe, Windows-Firewall mit erweiterten Sicherheitseinstellungen

Der Zugriff auf die Windows-Firewall ermöglicht die Modifikation von Sicherheitskonfigurationen auf einem System und kann ein Indiz sein, dass ein Angreifer Sicherheitskontrollen auf der Maschine deaktiviert, um die nächsten Schritte seiner Attacke zu vereinfachen.

5. mmc.exe, Network Policy Server

Über den Windows Network Policy Server können Anwender Netzwerkkonfigurationen modifizieren. Die Nutzung kann darauf hinweisen, dass ein Angreifer einen unautorisierten Zugriff auf oder von einer Maschine ermöglicht.

6. authorized_keys

Kommandos, die "authorized_keys" enthalten, können Zugriff auf "authorized_keys"-Dateien von Unix oder unixoiden Systemen bieten. Dadurch ist es möglich, einer Maschine unautorisierte SSH-Keys hinzuzufügen, die auch als persistente "Hintertür" dienen können.

7. sudoers

Kommandozeilen mit "sudoers" ermöglichen einen Zugang zum sudoers-File von Unix-Systemen. Über dieses File können Anwender User-Privilegien auf einem System manipulieren. Eine solche Aktion könnte darauf hindeuten, dass ein Angreifer einem Account unautorisierte Berechtigungen einräumt, die zu einem späteren Zeitpunkt für bösartige Aktionen genutzt werden können.

8. :(){ :|: & };:

Diese Zeichenfolge fungiert im Unix-Umfeld als Forkbomb, die alle Maschinenressourcen verbraucht und den Server nicht mehr nutzbar macht. Die Zeichenfolge wird kaum versehentlich eingegeben und bedeutet deshalb einen absichtlichen Versuch, ein Unternehmen zu schädigen.

9. tcpdump

Dieses Kommando ermöglicht bei Unix-Systemen und -Derivaten einen Zugriff auf Netzwerkverkehr und -pakete. Die Verwendung kann ein Indiz sein, dass ein Angreifer versucht, die Kommunikationskanäle einer Maschine kennenzulernen, um mit diesen Informationen die nächsten Schritte seiner Attacke zu planen.

10. rm

Mit der Eingabe dieses Kommandos im Unix-Bereich können Files und Directories gelöscht werden. Auch eine solche Aktion kann als möglicher Angriff auf das Unternehmensnetz gewertet werden.

Auch wenn nach CyberArk diese Liste als erster Ansatzpunkt dienen kann, muss immer beachtet werden, dass jede Umgebung unterschiedlich ist. Wenn ein Unternehmen also die primär zu überwachenden IT-Kommandos ermittelt, muss berücksichtigt werden, welche Systeme im Einsatz sind, welche Systeme die unternehmenskritischsten Daten enthalten und welche Aktivitäten im Regelbetrieb üblich sind.

Hat ein Unternehmen diese Basisarbeit geleistet, steht mit der Sicherheitssuite Privileged Account Security von CyberArk eine Lösung zur Verfügung, die eine automatische Echtzeit-Erkennung gefährlicher Aktivitäten bietet und Unternehmen damit eine schnelle Reaktion auf laufende Attacken ermöglicht.

Konkret unterstützt die Lösung etwa die Definition hochriskanter Aktivitäten in Abhängigkeit von den Unternehmensanforderungen, die Identifizierung von gefährlichen Aktivitäten mit sofortiger Alarmierung und die Priorisierung von Incident-Response-Maßnahmen auf Basis der konkreten Gefahrensituation.

www.cyberark.de
 

GRID LIST
Ransomware

Perfider Angriff: Verschlüsselung durch Remote Ransomware

Gekidnappte Daten – per se bereits ein Alptraum-Szenario, aber es ist besonders perfide,…
Tb W190 H80 Crop Int 17d667cbcc4ee720f1295b76e5fc28bd

Warnung vor gezielten Ransomware-Angriffen auf Unternehmen

Derzeit registriert das Bundesamt für Sicherheit in der Informationstechnik (BSI)…
Tb W190 H80 Crop Int C86f856faea721589e443742410ebac4

Gefahr für Game of Thrones Fans durch infizierte Videos

Das ThreatLabZ der Zscaler warnt rund um den Start der achten Staffel von Game of Thrones…
Tb W190 H80 Crop Int C643b2c4d7af3e5bf9a53fb7d888e4a0

Phishing kann auch kleine Unternehmen treffen

Kürzlich wurde bekannt, dass sich diverse Restaurants sogenanntem „Dynamit-Phishing“…
Tb W190 H80 Crop Int 02a732366428f0b008fcb6021edc948f

Warum sich die Welt bereits im Cyberwar befindet

Obwohl einige Experten wie der Politikwissenschaftler Thomas Rid glauben, dass ein…
Trojaner

Der Trojaner Emotet ist weiterhin nicht zu stoppen

Der gefährliche Trojaner „Emotet“ hält Unternehmen, Behörden und Privatpersonen auf Trab.…