VERANSTALTUNGEN

Developer Week 2018
25.06.18 - 28.06.18
In Nürnberg

XaaS Evolution 2018
01.07.18 - 03.07.18
In H4 Hotel Berlin Alexanderplatz

IT kessel.18
11.07.18 - 11.07.18
In Reithaus Ludwigsburg

2. Jahrestagung Cyber Security Berlin
11.09.18 - 12.09.18
In Berlin

DILK 2018
17.09.18 - 19.09.18
In Düsseldorf

AlertDas schnelle Aufspüren von IT-Angriffen ist eine Grundvoraussetzung für unmittelbare Reaktionen und die Beschleunigung von Incident-Response-Prozessen. CyberArk hat zehn IT-Kommandos identifiziert, die auf eine mögliche Insider- oder Cyberattacke hinweisen können.

Vor Kurzem hat CyberArk seine Sicherheitssuite Privileged Account Security um eine neue Funktion zur automatischen Erkennung hochriskanter privilegierter Aktivitäten mit Echtzeit-Alarmierung erweitert. Das Unternehmen hat bei der Lösungskonzeption intensiv mit seinen Anwendern zusammengearbeitet und ihr Feedback ist unmittelbar in die neue Lösung eingeflossen. "Bei dieser engen Kooperation ist von unseren Kunden wiederholt eine für sie sehr wichtige Frage aufgeworfen worden, und zwar nach der Möglichkeit, Indizien für hochriskante Aktivitäten möglichst schnell zu erkennen. Wir haben diese Frage aufgegriffen und zehn IT-Kommandos ermittelt, die häufig mit bösartigen oder unbeabsichtigt schädlichen Aktionen in Verbindung stehen", erklärt Michael Kleist, Regional Director DACH bei CyberArk in Düsseldorf.

Die zehn häufigsten "brisanten" Kommandos, die oft ein Indiz für einen Insider- oder Cyberangriff sind, im Überblick:

1. mmc.exe, Active-Directory-Anwender und -Computer

Über dieses Kommando kann ein Windows-Nutzer neue User-Accounts zu einer Domain hinzufügen. Die Aktion kann darauf hinweisen, dass ein Angreifer eine persistente "Hintertür" für die gesamte Windows-Domain einrichtet.

2. explorer.exe, User-Accounts

Mit diesem Kommando wird ein Fenster geöffnet, über das ein Windows-Anwender einem System neue Accounts hinzufügen kann. Auch diese Aktivität kann ein Hinweis auf die Schaffung einer persistenten "Hintertür" sein.

3. regedit.exe, Registry Editor

Das Kommando bietet Zugriff auf die Windows-Registry. Über die Registry können kritische Systemkonfigurationen und Sicherheitseinstellungen geändert und vertrauliche Zugangsdaten auf dem System ermittelt werden.

4. mmc.exe, Windows-Firewall mit erweiterten Sicherheitseinstellungen

Der Zugriff auf die Windows-Firewall ermöglicht die Modifikation von Sicherheitskonfigurationen auf einem System und kann ein Indiz sein, dass ein Angreifer Sicherheitskontrollen auf der Maschine deaktiviert, um die nächsten Schritte seiner Attacke zu vereinfachen.

5. mmc.exe, Network Policy Server

Über den Windows Network Policy Server können Anwender Netzwerkkonfigurationen modifizieren. Die Nutzung kann darauf hinweisen, dass ein Angreifer einen unautorisierten Zugriff auf oder von einer Maschine ermöglicht.

6. authorized_keys

Kommandos, die "authorized_keys" enthalten, können Zugriff auf "authorized_keys"-Dateien von Unix oder unixoiden Systemen bieten. Dadurch ist es möglich, einer Maschine unautorisierte SSH-Keys hinzuzufügen, die auch als persistente "Hintertür" dienen können.

7. sudoers

Kommandozeilen mit "sudoers" ermöglichen einen Zugang zum sudoers-File von Unix-Systemen. Über dieses File können Anwender User-Privilegien auf einem System manipulieren. Eine solche Aktion könnte darauf hindeuten, dass ein Angreifer einem Account unautorisierte Berechtigungen einräumt, die zu einem späteren Zeitpunkt für bösartige Aktionen genutzt werden können.

8. :(){ :|: & };:

Diese Zeichenfolge fungiert im Unix-Umfeld als Forkbomb, die alle Maschinenressourcen verbraucht und den Server nicht mehr nutzbar macht. Die Zeichenfolge wird kaum versehentlich eingegeben und bedeutet deshalb einen absichtlichen Versuch, ein Unternehmen zu schädigen.

9. tcpdump

Dieses Kommando ermöglicht bei Unix-Systemen und -Derivaten einen Zugriff auf Netzwerkverkehr und -pakete. Die Verwendung kann ein Indiz sein, dass ein Angreifer versucht, die Kommunikationskanäle einer Maschine kennenzulernen, um mit diesen Informationen die nächsten Schritte seiner Attacke zu planen.

10. rm

Mit der Eingabe dieses Kommandos im Unix-Bereich können Files und Directories gelöscht werden. Auch eine solche Aktion kann als möglicher Angriff auf das Unternehmensnetz gewertet werden.

Auch wenn nach CyberArk diese Liste als erster Ansatzpunkt dienen kann, muss immer beachtet werden, dass jede Umgebung unterschiedlich ist. Wenn ein Unternehmen also die primär zu überwachenden IT-Kommandos ermittelt, muss berücksichtigt werden, welche Systeme im Einsatz sind, welche Systeme die unternehmenskritischsten Daten enthalten und welche Aktivitäten im Regelbetrieb üblich sind.

Hat ein Unternehmen diese Basisarbeit geleistet, steht mit der Sicherheitssuite Privileged Account Security von CyberArk eine Lösung zur Verfügung, die eine automatische Echtzeit-Erkennung gefährlicher Aktivitäten bietet und Unternehmen damit eine schnelle Reaktion auf laufende Attacken ermöglicht.

Konkret unterstützt die Lösung etwa die Definition hochriskanter Aktivitäten in Abhängigkeit von den Unternehmensanforderungen, die Identifizierung von gefährlichen Aktivitäten mit sofortiger Alarmierung und die Priorisierung von Incident-Response-Maßnahmen auf Basis der konkreten Gefahrensituation.

www.cyberark.de
 

GRID LIST
Fußball WM Pokal

Cyberbedrohung zur Fussball WM

Alle vier Jahre steht sie wieder an, die Fußball-Weltmeisterschaft und viele sind bereits…
Malware Hacker

Malware und kriminelles Netzwerk für Online-Werbebetrug identifiziert

Bitdefender hat einen für Werbebetrug entwickelte Malware entdeckt, die seit 2012 aktiv…
Karsten Glied

Botnetze: Gefährliche Sicherheitslücken in Routern offengelegt

Fälschlicherweise gehen viele davon aus, dass das Schließen von Sicherheitslücken Aufgabe…
Tb W190 H80 Crop Int C643b2c4d7af3e5bf9a53fb7d888e4a0

Jedes Unternehmen kann betroffen sein

Wie bekannt wurde, warnt das Bundesamt für Sicherheit in der Informationstechnologie…
Tb W190 H80 Crop Int 97be3dc65976ed6114c76ebb824e349e

Zip Slip bedroht tausende Programmbibliotheken

Eine neue Sicherheitslücke ermöglicht es Hackern, Dateien in Archiven zu kompromittieren…
Hacker E-Mail Login

Identitätsdiebstahl über ehemalige E-Mail-Adressen

Haben Sie einen genauen Überblick darüber, wie viele E-Mail-Adressen auf Ihren Namen…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security