Anzeige

Star Wars Lego

Quelle: Bubbers BB / Shutterstock.com

IT-Sicherheitsexperten in Unternehmen befinden sich im ewigen Wettlauf mit der dunklen Seite der Macht, wenn es um die Sicherheit ihrer Daten und Assets geht. Die Diversifizierung und Komplexität von Cyberbedrohungen haben ihr Aufgabenfeld unabhängig von Größe und Branche dramatisch erweitert. Aufgeben gilt nicht.

Was hilft, ist ein genauer Blick auf die aktuelle Bedrohungslandschaft und auf Technologien, die helfen, das Tempo der Cyberkriminellen mitzugehen und langfristig die Nase vorne zu behalten.

Zu den größten Bedrohungen für Unternehmen gehören Brute-Force Angriffe, Passwortdiebstahl, nicht gepatchte Schwachstellen und andere netzwerkbasierte Angriffe auf Endgeräte. Auch Angriffe per E-Mail bleiben ein großes Problem: Die Finanzabteilung und die oberen Managementebenen in Marketing und HR sind die Hauptziele von Spear-Phishing-E-Mails, wobei die Sicherheitsregeln laut einer aktuellen Studie am häufigsten von der Geschäftsleitung verletzt werden (57 Prozent) (1). Das demotiviert IT- und Sicherheitsteams, die ohnehin bereits überlastet und unterbesetzt sind. Hinzu kommt: Der Mangel an Cybersicherheitskenntnissen ist bedrohlich wie nie - laut der Studie sind 53 Prozent der Befragten IT-Sicherheitsexperten der Meinung, dass die Sicherheit ihrer Organisation darunter leidet. Aufgrund dieses fehlenden Fachwissens glauben 91 Prozent der Sicherheitsexperten, dass die meisten Unternehmen für einen signifikanten Cyberangriff anfällig sind, und 94 Prozent denken, dass Cyberkriminelle in diesem Wettlauf die Oberhand gewonnen haben.

Bedrohungen für Unternehmen

Einige der größten Bedrohungen und Angriffe, die auf Unternehmen abzielen - unabhängig von Größe und Branchenzugehörigkeit - betreffen internetbasierte Dienste wie RDP, SSH, SMB und HTTP. Brute-Force-Angriffe auf RDP-Dienste machen laut Bitdefender-Telemetrie über 65 Prozent aller netzwerkbasierten Angriffe aus. Cyberkriminelle sondieren oft internetfähige Dienste und Endpunkte für RDP-Verbindungen, bei denen sich jemand außerhalb des Unternehmens remote einwählen kann. Sobald sie sich auf dem Zielcomputer befinden, versuchen sie, die Sicherheitslösung herunterzufahren und manuell Bedrohungen wie Ransomware oder Lateral Movement Tools zu implementieren, um zusätzliche Rechner innerhalb der Infrastruktur zu infiltrieren.

Wenn das RDP nicht ordnungsgemäß konfiguriert und gesichert ist, kann es als Gateway innerhalb des Unternehmens fungieren und den Eindringlingen den Zugriff auf sensible interne Ressourcen ermöglichen. Brute Forcing von Passwörtern ist dabei eine Möglichkeit, um Informationen wie Log-In-Daten zu erhalten oder sogar mehrere verteilte Anfragen an einen Server zu senden, um nach gültigen Zugangsdaten zu suchen. Es wird auch versucht, ungepatchte Schwachstellen in RDP-Diensten auszunutzen, um Code aus der Ferne auszuführen und die Kontrolle über diese Gateways zu erlangen. Einer der jüngsten Angriffsvektoren, die von Bedrohungsakteuren zur Gefährdung von Unternehmen verwendet werden, ist beispielsweise eine kürzlich aufgetretene wurmfähige Sicherheitslücke im Microsoft RDP-Dienst, die es Angreifern ermöglicht, die Fernsteuerung gefährdeter Systeme zu übernehmen (BlueKeep - CVE-2019-0708).

Diese Art von Angriff ist branchenunabhängig - das Unternehmen muss lediglich einen öffentlich zugänglichen Server betreiben. Im Erfolgsfall können sich Angreifer lateral über die Infrastruktur bewegen und andere Server oder Endpunkte kompromittieren. Damit erreichen sie Persistenz, können auf hochvertrauliche Daten zuzugreifen und diese exfiltrieren oder Malware einsetzen, die das Unternehmen lähmt oder Spuren verwischt.

Bedrohungsakteure bevorzugen auch Angriffe, die auf Webserver über SQL- oder Befehlsinjektion abzielen. Sie können Funktionen zur Ausführung von Code auf der Maschine aktivieren und diese als Gateway oder Drehpunkt für Querbewegungen innerhalb des Unternehmens verwenden. Ebenso SMB-Exploits – sie sind für Cyberkriminelle zu einer häufigen Angriffstaktik geworden, da SMB-Server oft auf Windows-Domain-basierten Netzwerk-Architekturen liegen, so dass alle Mitarbeiter Dokumente aus diesen Netzwerkfreigaben kopieren können. Durch die Gefährdung dieser kleinen und mittleren Server durch Exploits wie EternalBlue oder DoublePulsar können Angreifer sie als Einstiegspunkte nutzen.

Die Kompromittierung von Active Directory ist für Cyberkriminelle ebenso interessant: Bitdefender-Untersuchungen haben ergeben, dass Angreifer den AD-Server eines Unternehmens in weniger als zwei Stunden erfolgreich infiltrieren können. Im besagten Fall gelang es ihnen mithilfe eines kompromittierenden E-Mail-Anhangs, der vom Mitarbeiter eines Finanzinstituts geöffnet wurde, ausgewählte Maschinen in der Infrastruktur zu kompromittieren und sich heimlich innerhalb der Infrastruktur zu bewegen.

Wenn sich cyberkriminelle Gruppen darauf konzentrieren, bestimmte Fachbereiche gezielt anzusprechen und zu kompromittieren, haben sie ein tiefes Verständnis dafür, wie deren Infrastrukturen funktionieren, wo sich kritische Daten befinden können und welche Cybersicherheitsmaßnahmen das Unternehmen möglicherweise bereitstellt. Im Folgenden finden sich die bedeutendsten netzwerkbasierten Angriffe, denen Unternehmen laut der Bitdefender-Telemetrie ausgesetzt sind:

Attack.Bruteforce.RDP
PrivacyThreat.PasswordStealer.HTTP.Internal
PrivacyThreat.PasswordStealer.HTTP
Exploit.SMB.ExeCriticalLocation
Exploit.HTTP.ShellShock
Exploit.HTTP.DirectoryTraversal
Exploit.SMB.CVE-2017-0144.EternalBlue
sav_malware
PrivacyThreat.PrivateDataLeakage.HTTP.Alert
Attack.PortScanning
Bot.DGA.filtered
Exploit.CommandInjection.Gen.8
Attack.Bruteforce.FTP
Exploit.HTTP.CVE-2017-5638
Exploit.CommandInjection.29
Attack.LocalFileInclusion.5
Exploit.LoginTooLong.SMB
Suspicious.TorActivity
Attack.LocalFileInclusion.36

Die meisten Angriffe erfolgen mit kostenlosen Open-Source-Tools, was bedeutet, dass es für Cyberkriminelle eine geringe Eintrittsbarriere gibt. Bedrohungsakteure, die sehr gezielte Angriffe durchführen wollen, benötigen jedoch fortgeschrittene Netzwerkkenntnisse und benutzerdefinierte Tools, um einen APT-Angriff (Advanced Persistent Threat) durchzuführen. Wollen Unternehmen dieser dunklen Seite der Macht etwas entgegensetzen, müssen sie sich auf Technologien zur Abwehr von Netzwerkangriffen konzentrieren. Diese identifizieren und kategorisieren die Netzwerkprozesse und weisen auf Seitwärtsbewegungen, Malware-Infektionen, Web-Service-Angriffe, bösartigen Datenverkehr durch Botnets oder TOR/Onion-Verbindungen und Datenschutzverletzungen durch unsichere Passwörter oder sensible Daten hin.

Fortschrittliche Technologien sind ein Muss

Technologien zur Verhaltensanalyse, zur Korrelation mehrerer Ereignisse und zur Analyse von Netzwerken erhöhen die Chancen für Unternehmen, Verletzungen und Datendiebstahl zu vermeiden. Incident Response Narrative, also Use Cases und Anleitungen, wie Bedrohungen zu behandeln sind, sind die Zukunft der IT-Sicherheit. Sie helfen, den akuten Mangel an Sicherheitskenntnissen zu beheben, der die Branche plagt.

Automatisierte Echtzeit-Netzwerkverkehrskontroll- und Präventionstechnologien, die dem Netzwerkverkehr keine Leistungseinbußen hinzufügen, können die Daten im Streaming-Modus scannen und Bedrohungen bereits beim ersten Anzeichen eines fehlerhaften Datenpakets blockieren. Das bedeutet, dass der bösartige Datenverkehr nicht einmal die lokale Anwendung oder Maschine erreicht und den Angriff effektiv stoppt.

Mit einer Event-Korrelations-Engine, die von IoC-Feeds (Indicators of Compromise) gespeist wird, identifiziert und kategorisiert die Abwehrtechnologie verdächtiges Netzwerkverhalten. Auch die Verwendung von Machine-Learning-Algorithmen zur Identifizierung bestimmter Angriffsvektoren - wie Protokolle oder gerätespezifische Anomalieerkennung - kann Unternehmen helfen, sich gegen Bedrohungen auf Netzwerkebene zu schützen. Die Möglichkeit, diese netzwerkbasierte Bedrohungsintelligenz mit EDR-Funktionen (Endpoint Detection and Response) zu kombinieren, unterstützt Unternehmen dabei, ihr Netzwerk als Ganzes zu schützen und Transparenz über den gesamten Technologiestack, vom Netzwerk bis zum Betriebssystem, zu schaffen.

Fazit: Die Angriffskette brechen

Fortschrittlichen Netzwerk-Angriffsabwehrtechnologien sind ein Muss, will man den neuen Formen von Cyberattacken wirkungsvoll entgegentreten. Diese Technologien können neue Arten von Bedrohungen früher in der Angriffskette erkennen und blockieren, indem sie mehrere Angriffsvektoren korrelieren, die sowohl Signaturen als auch verhaltensbasiertes maschinelles Lernen verwenden. Einer der vielleicht wichtigsten Aspekte einer Netzwerk-Verteidigungstechnologie, die sich problemlos in die EDR-Plattform einfügt, ist die Fähigkeit, komplexe nicht-deterministische Ereignisse zu erkennen und gleichzeitig neue Seitenbewegungserkennungen von MITRE zu unterstützen. Auf diese Weise können sich Unternehmen ein vollständiges Bild von ihrem gesamten Cybersicherheitsstatus über die gesamte Infrastruktur machen und der dunklen Seite der Macht dauerhaft die Stirn bieten.

Bogdan Botezatu, Director of Threat Research and Reporting
Bogdan Botezatu
Director of Threat Research and Reporting, Bitdefender

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Weitere Artikel

Sicherheit Steuerung

Hacken per Klimaanlage, Aufzug im freien Fall?

Der Aufzug in freien Fall gehört zweifelsohne in die Welt der Hollywood-Filme, aber ein digitalisierter Aufzug ist so smart wie angreifbar. Und schon vor mehreren Jahren spielte das Magazin Wired.com durch, wie man mittels Klimaanlage ein Stromnetz hackt.
Security

Lösungen für 4 oft übersehene Sicherheitsprobleme

Sämtliche Internetzugriffe des Unternehmens werden über Black- und Whitelists geschleust. Das betriebseigene WLAN nur für die Privatgeräte der Mitarbeiter ist auch physisch vom Firmennetzwerk völlig abgetrennt. Jeder neue Kollege im Haus bekommt durch die IT…
Cyber Attacke

TeamTNT nutzt legitimes Tool gegen Docker und Kubernetes

Bei einem jüngst erfolgten Angriff nutzten die Cyberkriminellen der TeamTNT-Gruppe ein legitimes Werkzeug, um die Verbreitung von bösartigem Code auf einer kompromittierten Cloud-Infrastruktur zu vermeiden und diese dennoch gut im Griff zu haben. Sie…
Cyber Security

Kosten-Explosion durch Cyber-Angriffe

Die Ergebnisse des Hiscox Cyber Readiness Reports 2020 zeigen eine positive Tendenz: Vielen Unternehmen ist mittlerweile bewusst, wie wichtig Cyber-Sicherheit ist. Die Zahl der gut vorbereiteten „Cyber-Experten“ steigt zum ersten Mal deutlich an…
Netzwerk-Sicherheit

Remote-Arbeit verschärft Herausforderungen für die Unternehmenssicherheit

Juniper Networks, ein Anbieter von sicheren, KI-gesteuerten Netzwerken, präsentiert die ersten Ergebnisse eines internationalen Marktforschungsprojektes. Diese zeigen, dass traditionelle Ansätze zum Schutz des Netzwerks die Herausforderungen angesichts von…

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!