VERANSTALTUNGEN

IT-Sourcing 2018
03.09.18 - 04.09.18
In Hamburg

DILK 2018
17.09.18 - 19.09.18
In Düsseldorf

abas Global Conference
20.09.18 - 21.09.18
In Karlsruhe

it-sa 2018
09.10.18 - 11.10.18
In Nürnberg

Digital Marketing 4Heroes Conference
16.10.18 - 16.10.18
In Wien und München

AlertDas schnelle Aufspüren von IT-Angriffen ist eine Grundvoraussetzung für unmittelbare Reaktionen und die Beschleunigung von Incident-Response-Prozessen. CyberArk hat zehn IT-Kommandos identifiziert, die auf eine mögliche Insider- oder Cyberattacke hinweisen können.

Vor Kurzem hat CyberArk seine Sicherheitssuite Privileged Account Security um eine neue Funktion zur automatischen Erkennung hochriskanter privilegierter Aktivitäten mit Echtzeit-Alarmierung erweitert. Das Unternehmen hat bei der Lösungskonzeption intensiv mit seinen Anwendern zusammengearbeitet und ihr Feedback ist unmittelbar in die neue Lösung eingeflossen. "Bei dieser engen Kooperation ist von unseren Kunden wiederholt eine für sie sehr wichtige Frage aufgeworfen worden, und zwar nach der Möglichkeit, Indizien für hochriskante Aktivitäten möglichst schnell zu erkennen. Wir haben diese Frage aufgegriffen und zehn IT-Kommandos ermittelt, die häufig mit bösartigen oder unbeabsichtigt schädlichen Aktionen in Verbindung stehen", erklärt Michael Kleist, Regional Director DACH bei CyberArk in Düsseldorf.

Die zehn häufigsten "brisanten" Kommandos, die oft ein Indiz für einen Insider- oder Cyberangriff sind, im Überblick:

1. mmc.exe, Active-Directory-Anwender und -Computer

Über dieses Kommando kann ein Windows-Nutzer neue User-Accounts zu einer Domain hinzufügen. Die Aktion kann darauf hinweisen, dass ein Angreifer eine persistente "Hintertür" für die gesamte Windows-Domain einrichtet.

2. explorer.exe, User-Accounts

Mit diesem Kommando wird ein Fenster geöffnet, über das ein Windows-Anwender einem System neue Accounts hinzufügen kann. Auch diese Aktivität kann ein Hinweis auf die Schaffung einer persistenten "Hintertür" sein.

3. regedit.exe, Registry Editor

Das Kommando bietet Zugriff auf die Windows-Registry. Über die Registry können kritische Systemkonfigurationen und Sicherheitseinstellungen geändert und vertrauliche Zugangsdaten auf dem System ermittelt werden.

4. mmc.exe, Windows-Firewall mit erweiterten Sicherheitseinstellungen

Der Zugriff auf die Windows-Firewall ermöglicht die Modifikation von Sicherheitskonfigurationen auf einem System und kann ein Indiz sein, dass ein Angreifer Sicherheitskontrollen auf der Maschine deaktiviert, um die nächsten Schritte seiner Attacke zu vereinfachen.

5. mmc.exe, Network Policy Server

Über den Windows Network Policy Server können Anwender Netzwerkkonfigurationen modifizieren. Die Nutzung kann darauf hinweisen, dass ein Angreifer einen unautorisierten Zugriff auf oder von einer Maschine ermöglicht.

6. authorized_keys

Kommandos, die "authorized_keys" enthalten, können Zugriff auf "authorized_keys"-Dateien von Unix oder unixoiden Systemen bieten. Dadurch ist es möglich, einer Maschine unautorisierte SSH-Keys hinzuzufügen, die auch als persistente "Hintertür" dienen können.

7. sudoers

Kommandozeilen mit "sudoers" ermöglichen einen Zugang zum sudoers-File von Unix-Systemen. Über dieses File können Anwender User-Privilegien auf einem System manipulieren. Eine solche Aktion könnte darauf hindeuten, dass ein Angreifer einem Account unautorisierte Berechtigungen einräumt, die zu einem späteren Zeitpunkt für bösartige Aktionen genutzt werden können.

8. :(){ :|: & };:

Diese Zeichenfolge fungiert im Unix-Umfeld als Forkbomb, die alle Maschinenressourcen verbraucht und den Server nicht mehr nutzbar macht. Die Zeichenfolge wird kaum versehentlich eingegeben und bedeutet deshalb einen absichtlichen Versuch, ein Unternehmen zu schädigen.

9. tcpdump

Dieses Kommando ermöglicht bei Unix-Systemen und -Derivaten einen Zugriff auf Netzwerkverkehr und -pakete. Die Verwendung kann ein Indiz sein, dass ein Angreifer versucht, die Kommunikationskanäle einer Maschine kennenzulernen, um mit diesen Informationen die nächsten Schritte seiner Attacke zu planen.

10. rm

Mit der Eingabe dieses Kommandos im Unix-Bereich können Files und Directories gelöscht werden. Auch eine solche Aktion kann als möglicher Angriff auf das Unternehmensnetz gewertet werden.

Auch wenn nach CyberArk diese Liste als erster Ansatzpunkt dienen kann, muss immer beachtet werden, dass jede Umgebung unterschiedlich ist. Wenn ein Unternehmen also die primär zu überwachenden IT-Kommandos ermittelt, muss berücksichtigt werden, welche Systeme im Einsatz sind, welche Systeme die unternehmenskritischsten Daten enthalten und welche Aktivitäten im Regelbetrieb üblich sind.

Hat ein Unternehmen diese Basisarbeit geleistet, steht mit der Sicherheitssuite Privileged Account Security von CyberArk eine Lösung zur Verfügung, die eine automatische Echtzeit-Erkennung gefährlicher Aktivitäten bietet und Unternehmen damit eine schnelle Reaktion auf laufende Attacken ermöglicht.

Konkret unterstützt die Lösung etwa die Definition hochriskanter Aktivitäten in Abhängigkeit von den Unternehmensanforderungen, die Identifizierung von gefährlichen Aktivitäten mit sofortiger Alarmierung und die Priorisierung von Incident-Response-Maßnahmen auf Basis der konkreten Gefahrensituation.

www.cyberark.de
 

GRID LIST
Faxgerät

Faxploit-Sicherheitslücke: Wie sicher ist die Fax-Technologie?

Richtigstellung: Nicht die Fax-Technologie ist per se unsicher. Die zu diesem Thema…
Geschenkarten

Cyberkriminelle verschenken „50-Euro-Geschenkkarte für lau!“

Ob Geschenkgutschein für Amazon oder Google Play, Freikarten für den Freizeitpark oder…
Firewall

Schutz vor Angriffen auf private und geschäftliche E-Mail-, Social Media- und Cloud-Anwendungen

Proofpoint, Inc., kündigte drei Neuerungen bei der anwenderbezogenen IT-Sicherheit an:…
DDoS Attack

9.325 DDoS-Attacken im 2. Quartal 2018

Laut Link11 hat es von April bis Juni über 9.000 DDoS-Attacken in Deutschland, Österreich…
Leopard jagt Springbock

IT trifft OT – eine folgenreiche Begegnung

Sitzt man in einer Vorlesung für Elektroingenieure gehört dieser Satz vielleicht zu den…
Mann mit Lupe

Auf den Spuren der Hacker - wie werden gestohlene Passwörter genutzt?

Phishing-Angriffe, die darauf abzielen, mittels Social Engineering von Mitarbeitern…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security