Thought Leadership
Skyhigh Networks hat eine der ersten Cloud-to-Cloud-Bedrohungen auf Unternehmensebene identifiziert und erfolgreich Gegenmaßnahmen ergriffen. Angreifer haben über populäre Cloud-Plattformen versucht, sich in Office-365-Konten von Unternehmen einzuloggen.
Diesem so genannten Brute-Force-Angriff, der unter anderem auf hochrangige Angestellte in mehreren Fortune-2000-Unternehmen abzielte, war der Cloud-Security-Anbieter seit Anfang 2017 auf der Spur. Die neuartige Cloud-to-Cloud-Attacke deckt einen “toten Winkel” der IT-Sicherheit auf und nimmt vorweg, wie künftig der “Standard” bei Cloud-basierten Angriffen aussehen könnte.
Anfang 2017 spürte Skyhigh Networks ein “Slow-and-Low”-Muster von koordinierten Attacken auf wichtige Ziele auf. Dazu gehörten mehr als 100.000 fehlgeschlagene Log-ins in Office 365 von 67 IP-Adressen und 12 Netzwerken aus. Die Angriffsversuche, die gegen 48 verschiedene Unternehmen gerichtet waren, gingen alle von Instanzen aus, die auf Cloud-Plattformen gehostet waren. Die Länge und der hohe Takt der Angriffe ließen auf zielgerichtetes Handeln und den Wunsch schließen, bei diesem Unterfangen unentdeckt zu bleiben. Die Angreifer hatten vor allem Führungskräfte in verschiedenen Abteilungen im Visier.
Bei einem Brute-Force-Angriff werden üblicherweise systematisch alle möglichen Passwörter für einen Account ausprobiert. In diesem Fall versuchten die Angreifer, sich mit unterschiedlichen Ausprägungen eines Office-365-Benutzernamens einzuloggen. Eine mögliche Erklärung: Sie besaßen bereits eine Kombination von Namen und Passwort und haben gültige Benutzernamen für Office 365 gesucht, um sich Zugang zu Daten zu verschaffen oder Phising-Kampagnen durchzuführen. Die Password-Informationen könnten sich die Cyber-Kriminellen über einen Datenbank-Angriff bei einem Service wie Yahoo oder einer Phishing-Attacke verschafft haben. Laut Studien verwendet nahezu die Hälfte aller Online-User das gleiche Passwort für verschiedene Konten. Mit einem richtigen Benutzernamen für Office 365 und dem korrekten Password können sich Angreifer also in Office 365 und möglicherweise in weitere Cloud-Services einloggen.
Aufspüren und Auswirkung des Angriffs
Skyhigh Networks spürte die Attacke durch eine Korrelation von Office 365 API Log-in-Daten von Angestellten und Kunden auf. Mittels einer Threat-Protection-Funktion analysiert die CASB-Plattform mithilfe von Algorithmen für maschinelles Lernen über verschiedene Instanzen hinweg die Aktivitäten der Anwender von Cloud-Diensten und identifiziert so anomales Verhalten. Diese Auffälligkeiten haben Unternehmen häufig nicht auf dem Überwachungsradar.
Skyhigh Networks hat die betroffenen Kunden über die Angriffe informiert und sie dabei unterstützt, sichere Log-in-Richtlinien zu etablieren und eine umfassende Übersicht über alle Cloud-Bedrohungen zur Verfügung zu stellen.
“Unternehmen verlagern längst auch sensible Daten in die Cloud”, sagt Daniel Wolf, Regional Director DACH bei Skyhigh Networks. “Aber ohne dedizierte Lösungen für Cloud-Sicherheit werden sie einer wachsenden Kategorie von Angriffen nicht Herr werden – sie können sie nicht einmal erkennen. Die Anbieter von Cloud-Lösungen sichern ihre eigene Infrastruktur ab. Die Verantwortung für den Schutz der sensiblen Daten liegt jedoch beim Anwender.”
