Die Angriffsfläche – die Summe aller Angriffsvektoren für IT-Ressourcen in einem Unternehmen – nimmt weiter zu, da sich Endgeräte im Tempo der Innovation weiterentwickeln. Jedes Mal, wenn CIOs einen neuen Cloud-Dienst einführen oder weitere Endgeräte bereitstellen, um das Unternehmenswachstum und die digitale Transformation zu unterstützen, vergrößern sie damit die Angriffsfläche. Sie stehen nun vor der Herausforderung, diese Angriffsfläche auch im Zuge ihres Wachstums zu schützen.
In einem früheren Blogbeitrag habe ich über die „ “-Herausforderungen geschrieben, denen sich CIOs gegenübersehen, wenn sie gleichzeitig Innovationen und IT-Sicherheits en fördern müssen. Nun möchte ich näher auf die Verteidigungsstrategien eingehen, die CIOs anwenden können, um die Angriffsfläche ihrer modernen, Cloud-orientierten IT-Umgebungen zu schützen.
Kill chain 101
Insbesondere möchte ich auf ein wichtiges Angriffsmodell zurückgreifen, das als „Kill Chain“ bezeichnet wird. Das US-Militär hat dieses Modell ursprünglich vor Jahrzehnten entwickelt, um anhand von Einsatzdaten Lücken in den Fähigkeiten zu analysieren. Eine „Kill Chain“ ist eine Abfolge von aufeinanderfolgenden Missionsaufgaben oder Funktionen, die erforderlich sind, um eine Waffe erfolgreich gegen ein bestimmtes Ziel einzusetzen. Kill-Chains konzentrieren sich auf Ergebnisse, indem sie einzelne Fähigkeiten kombinieren, um Synergieeffekte zu erzielen. Eine von der US-Marine zur Bewertung der Fähigkeiten im Luftkampf verwendete „Kill Chain“ umfasst die folgenden Missionsaufgaben bzw. Funktionen: Aufspüren, Ortung, Identifizierung, Verfolgung, Bekämpfung und Auswertung. Das angestrebte Ziel besteht darin, eine Bedrohung innerhalb eines festgelegten Luftraums zu beseitigen.
Im Jahr 2009 wandten mehrere Cybersicherheitsexperten in einem Fachartikel der Lockheed Martin Corporation das „Kill-Chain“-Modell auf das Problem der Abwehr einer damals noch neuen Angriffsform an: der „Advanced Persistent Threat“ (APT). Seit der Veröffentlichung dieses Artikels hat sich vieles geändert, doch das Konzept der „Kill Chains“ ist nach wie vor von Nutzen. Und zwar aus folgendem Grund.
Bevor APTs aufkamen, waren viele IT-Fachleute der Ansicht, dass sich die Cyberabwehr auf eine einfache Checkliste mit Maßnahmen reduzieren ließe. Wenn Sie Viren abwehren wollten, haben Sie eine Antivirensoftware installiert. Wenn Sie jedoch verhindern wollten, dass Eindringlinge über unbeaufsichtigte Ports in das Netzwerk eindringen, haben Sie eine Firewall und ein Intrusion-Detection-System (IDS) eingesetzt. Und so weiter. Jede dieser Lösungen arbeitete eigenständig in isolierten Systemen, um einen bestimmten Bereich des Informationsnetzwerks zu schützen.
Diese einfachen Sicherheitsmaßnahmen sind nicht falsch. Für sich genommen sind sie einfach unvollständig. Der Aufstieg der APTs hat dies deutlich gemacht.
Bei einem APT-Angriff nehmen sich die Angreifer viel Zeit. Sie werden ein Netzwerk durchforsten, eine Schwachstelle finden und Malware einschleusen. Anschließend richten sie eine Command-and-Control-Verbindung ein, über die Angreifer am anderen Ende der Welt direkte Kontrolle über die installierte Malware erlangen. Dann werden sie das Netzwerk in aller Ruhe erkunden. Je nach ihrem Ziel kann es Tage, Wochen oder sogar Monate dauern, bis sie die wertvollen Vermögenswerte ausfindig machen, die sie stehlen oder stören wollen.
Solche Angriffe mit einer einfachen Checkliste von Sicherheitsmaßnahmen zu verhindern, ist bestenfalls schwierig und lässt sich nur schwer skalieren, da Bedrohungen die begrenzten IT-Ressourcen schnell aufbrauchen. Sie müssen das Gesamtbild betrachten, um zu verstehen, wie die verschiedenen Komponenten des Angriffs auf subtile Weise zusammenwirken. Erst dann können Sie den Angriff erkennen und Maßnahmen ergreifen, um ihn zu stoppen.
Kill-Chains und die moderne Angriffsfläche bei Cyberangriffen
Angesichts der Bedrohungen, denen Organisationen heute ausgesetzt sind, ist diese Notwendigkeit einer umfassenderen Sicherheitsvision umso wichtiger.
Im Vergleich dazu mussten CIOs und CISOs im Jahr 2009 eine relativ begrenzte und homogene IT-Umgebung absichern. Nahezu alle Mitarbeiter arbeiteten vor Ort. Nahezu alle ihre Desktop-Computer und Laptops waren von der IT-Abteilung bereitgestellt worden und nicht von den Mitarbeitern für den privaten Gebrauch angeschafft worden.
Die Einführung von Cloud-Lösungen steckte noch in den Kinderschuhen. In den Rechenzentren wurden die meisten Anwendungen unter der Aufsicht der lokalen Administratoren betrieben. Netzwerk-Firewalls könnten tatsächlich den Großteil der zu schützenden IT-Ressourcen abdecken. Das Reich eines CIO glich tatsächlich einer Burg: Alles Wertvolle befand sich an einem zentralen Ort, umgeben von einer sicheren Mauer, an der Wachen nach Gefahren Ausschau hielten.
Wenn wir nun einen Blick auf die heutige Situation werfen, ist die Angriffsfläche wesentlich größer, vielfältiger und durchlässiger. Die typische IT-Infrastruktur erstreckt sich über mehrere Cloud-Anbieter sowie unzählige Heimarbeitsplätze mit einer Mischung aus Laptops, Tablets und Smartphones.
Zu den weiteren Endpunkten zählen IoT-Geräte und Geräte der Betriebstechnik (OT). Früher verfügten Unternehmen in ihren Fertigungsbereichen über OT-Geräte wie Steuerungen, doch mittlerweile sind diese mit dem Internet verbunden, um die Vorteile der Digitalisierung nahezu aller Bereiche zu nutzen.
Ein weiterer Unterschied: Die alarmierende Sicherheitslücke „ Log4j “ aus dem vergangenen Jahr macht den CIOs deutlich, dass Risiken von den Software-Bausteinen ausgehen können, die in gekauften kommerziellen Anwendungen zum Einsatz kommen. Und genau diese Software-Risiken bestehen auch in den Anwendungen und digitalen Diensten, die das Unternehmen selbst entwickelt.
Kurz gesagt: Die heutige IT-Landschaft ist komplex, vielfältig und unterliegt einem ständigen Wandel. Waren einfache Sicherheitsmaßnahmen in Form von Kontrollkästchen in Version 2009 bereits etwas unzureichend, so sind sie nun gänzlich unzureichend.
Aus diesem Grund halte ich es für äußerst sinnvoll, wieder auf die „Kill-Chain“-Analyse zurückzukommen. Es erinnert CIOs daran, dass die heutigen Bedrohungen ausgeklügelt und komplex sind, und weist darauf hin, wie wichtig es ist, sich in jeder Phase des Lebenszyklus eines Cyberangriffs zu schützen.
Die „Kill Chain“ in der Cybersicherheit verstehen
Was versteht man also unter einer „Kill Chain“? Es handelt sich um eine Abfolge oder „Kette“ von Ereignissen, die zusammen einen Angriff durch einen Cyberkriminellen oder einen Nationalstaat effektiver machen. Wie in dem Dokument von Lockheed Martin beschrieben, umfasst die „Kill Chain“ eines Cyberangriffs die folgenden sieben Schritte:
- Aufklärung
Der Angreifer überwacht und erkundet das Ziel, sucht nach Schwachstellen und sammelt Informationen wie Hardware, Software, Identitäten, E-Mail-Adressen oder sonstige Angaben zum Informationsnetzwerk, die als Grundlage für Ansätze oder Methoden dienen könnten, um eine bekannte oder unbekannte Schwachstelle zu untersuchen, zu durchbrechen oder auszunutzen. - Waffenisierung
Der Angreifer verpackt Malware oder RCE-Code auf eine Weise, die eine Übertragung ermöglicht, um den Angriff auszulösen. Beispielsweise könnte der Angreifer einen Fernzugriffstrojaner in eine Microsoft-Office-Datei oder eine Adobe-PDF-Datei einbetten. - Übermittlungs
Der Angreifer übermittelt das mit Schadcode versehene Artefakt in das Netzwerk des Ziels. Möglicherweise versenden sie die Datei als E-Mail-Anhang im Rahmen einer Phishing-Kampagne vom Typ „ “ (). Oder ein ahnungsloser Mitarbeiter könnte die Datei von einer Website herunterladen oder sie versehentlich von einem beschädigten USB-Stick kopieren. - Ausnutzung
Eine Benutzeraktion oder ein anderes Ereignis löst die Ausführung der Malware aus. Die Malware nutzt Schwachstellen im Betriebssystem oder in einer Anwendung aus. Auf die eine oder andere Weise schlüpft es durch Lücken in den Abwehrmechanismen eines Endgeräts. - Installations
Die aktive Malware installiert sich auf dem Endgerät des Benutzers oder auf einem Anwendungsendpunkt. Nun haben die Angreifer Zugang zum internen Netzwerk. Tatsächlich befinden sich die Einbrecher im Haus. - Befehls- und Kontrollstruktur (C2)
Bei den meisten APT-Angriffen baut die auf einem kompromittierten Endgerät befindliche Malware eine Verbindung zu einem Remote-System auf, das als Steuerzentrale für den Angriff dient. Über diese Command-and-Control-Verbindung (C2) können Kriminelle aus der Ferne – die sich möglicherweise Tausende von Meilen entfernt befinden – die Aktivitäten der Schadsoftware im Netzwerk des Opfers steuern. - Aktionen in Bezug auf Ziele
Nun können die Angreifer mit dem von ihnen geplanten Angriff fortfahren. Sie könnten Daten aus dem System des Benutzers abziehen oder sich seitlich im Netzwerk ausbreiten, um Ransomware zu installieren oder andere Systeme nach wertvollen Zielen zu durchsuchen, die sie ausnutzen können. Sobald die C2 -Verbindung hergestellt ist, können die Angreifer im Grunde alles tun, was sie wollen: Daten stehlen oder verschlüsseln, PowerShell-Skripte ausführen und so weiter.
Dieser Ablauf mag kompliziert oder sogar mühsam klingen, doch die Schritte 3 bis 7 lassen sich in nur wenigen Minuten erledigen. Viele APT-Angriffe verlaufen jedoch keineswegs schnell. Die Angreifer könnten beschließen, sich zurückzuhalten und im Netzwerk zu lauern, Systeme zu erkunden, weitere Schadsoftware zu installieren oder über Monate oder sogar Jahre hinweg nach und nach Daten zu entwenden.
In meinem nächsten Beitrag werde ich erläutern, wie Sie die Aktionen der Angreifer im Rahmen der „Kill Chain“ mithilfe moderner Sicherheitstools erkennen und abwehren können.
In der Zwischenzeit können Sie unter unsere Website besuchen oder unter eine Demo unter vereinbaren, um mehr über die Tanium-Lösungen zum Schutz der Angriffsfläche Ihres Unternehmens zu erfahren.
