Stellen Sie sich vor, ein Dieb bricht in ein Bürogebäude ein. Er bricht ein Fenster auf, stürzt hinein und findet sich in einem kleinen Raum mit einem Schreibtisch und Aktenschränken wieder. Das Bürogebäude selbst ist riesig. Der Raum, in dem der Dieb gelandet ist, ist nur einer von Hunderten.
Wird dieser Dieb seine Suche nach Beute auf den einzigen Raum beschränken, in dem er sich gerade befindet? Natürlich nicht. Er wird so viel wie möglich im Gebäude herumstreifen und nach den wertvollsten Gegenständen suchen, die er finden kann, ohne dabei erwischt zu werden.
Cyberkriminelle verfahren genauso. Sie nutzen Informationen auf kompromittierten Computern, um weitere Konten und Computer zu kompromittieren und sich Zugang zu diesen zu verschaffen – eine Technik, die als „ “ (seitliche Bewegung) bekannt ist: (öffnet in einem neuen Tab).
Was versteht man unter „Lateral Movement“ im Netzwerk?
Angreifer verschaffen sich Zugriff auf einen einzelnen Endpunkt und richten dort so viel Schaden an, wie ihnen möglich ist. Anschließend begeben sie sich auf Erkundungstour, um herauszufinden, auf welche weiteren Endpunkte und Systeme dieser erste Endpunkt oder dessen Benutzer Zugriff hat.
Sie durchsuchen den kompromittierten Endpunkt nach Anmeldedaten für Anwendungen und andere Endpunkte. Mithilfe aller Zugangsdaten, die sie finden, bewegen sie sich heimlich von Endpunkt zu Endpunkt, von Gerät zu Gerät.
Sollte es ihr Ziel sein, Schadsoftware wie beispielsweise Ransomware zu implantieren, werden sie dies wahrscheinlich auf jedem Endgerät tun, auf das sie Zugriff erhalten. Wenn ihr Ziel darin besteht, Informationen zu stehlen, werden sie sich wahrscheinlich unauffällig verhalten und nach Endgeräten suchen, auf denen sich Informationen befinden, die sie als wertvoll erachten. Bei diesen Informationen könnte es sich um Kundendaten, Bankkontodaten oder geistiges Eigentum handeln.
Das Ausmaß des Schadens bei einem Angriff hängt davon ab, wie weit sich der Angreifer im Netzwerk bewegen kann. Wenn Sie die seitliche Bewegung einschränken, haben Sie den Schaden, den ein Angreifer anrichten kann, erheblich begrenzt.
Um seitliche Bewegungen einzuschränken, ist es hilfreich zu verstehen, wie dies funktioniert.
Die laterale Bewegung hängt von den Berechtigungen für Benutzer, Gruppen und Endpunkte ab
Nehmen wir an, ein Angreifer hat sich Zugriff auf einen Endpunkt verschafft, bei dem es sich um einen PC, einen Mac oder einen Linux-Server handeln kann. Möglicherweise hat der für diesen Endpunkt zuständige Mitarbeiter auf eine Phishing-Nachricht geklickt und dabei versehentlich Malware heruntergeladen. Oder vielleicht hat der Angreifer gestohlene Kombinationen aus Benutzernamen und Passwörtern verwendet, um sich Zugang zum Endgerät zu verschaffen.
So oder so hat sich der Angreifer angemeldet und ist nun auf diesem ersten Endpunkt aktiv. Inwieweit der Angreifer von dort aus weiter vorgehen kann, hängt weitgehend von den Berechtigungen ab, über die das kompromittierte Konto verfügt.
So funktioniert die laterale Bewegung im Netzwerk
Nehmen wir einmal an, der Angreifer habe sich Zugang zu Jims Laptop verschafft und sei über Jims Standardbenutzerkonto angemeldet. Jim hat zudem Zugriff auf das Administratorkonto seines Laptops, weshalb der Angreifer Jims Benutzerkonto nutzt, um sich als Administrator anzumelden.
Als Administrator hat der Angreifer die volle Kontrolle über Jims Laptop. Es ist sehr wahrscheinlich, dass das Administratorkonto auch Zugriffsrechte auf andere Endpunkte besitzt, da IT-Abteilungen häufig Administratorkonten einrichten, die für mehrere Endpunkte gemeinsam genutzt werden.
Nun kann der Angreifer mithilfe des Administratorkontos von Jims Laptop auf Sarahs Desktop-Computer wechseln. Ist Sarah Mitglied einer Benutzergruppe für andere Endpunkte, kann sich der Angreifer als Sarah anmelden und mithilfe der Berechtigungen dieser Gruppe auf alle Endpunkte zugreifen, auf die diese Gruppe Zugriff hat.
Sollte ein Angreifer feststellen, dass Luis auf einem dieser Endgeräte angemeldet ist, könnte er mithilfe von Malware die Anmeldedaten von Luis aus dem Speicher des Endgeräts auslesen. Dann kann der Angreifer auf jeden Endpunkt zugreifen, auf den Luis oder eine Gruppe, der Luis angehört, Zugriff hat. Wenn Luis Zugriffsrechte auf das Windows-Domänen-Administratorkonto „ “ unter (wird in einem neuen Tab geöffnet) besitzt, kann der Angreifer dieses Konto nutzen, um auf alle Windows-Computer im Unternehmen zuzugreifen.
Konto für Konto, Endpunkt für Endpunkt bewegen sich Angreifer auf diese heimliche Weise durch das Netzwerk. Möglicherweise gehen sie über viele Stunden oder Tage hinweg langsam vor, um keine Aufmerksamkeit auf ihre Arbeit zu lenken. Oder sie könnten sich schneller bewegen, in der Hoffnung, das Netzwerk so weit wie möglich zu durchqueren, bevor die IT-Abteilung ihre Aktivitäten bemerkt und Maßnahmen ergreift, um sie zu stoppen.
Bewährte Verfahren zur Verhinderung von seitlichen Bewegungen
Da Angreifer auf Benutzer- und Gruppenberechtigungen angewiesen sind, um sich in Netzwerken zu bewegen, gehört die Einschränkung dieser Berechtigungen zu den bewährten Vorgehensweisen.
Es ist wichtig zu verstehen, welche Benutzer- und Gruppenberechtigungen bereits festgelegt wurden. Viele IT-Abteilungen glauben zu wissen, wie Benutzer- und Gruppenberechtigungen eingerichtet wurden, doch bei der Überprüfung der tatsächlichen Berechtigungen kommen oft Überraschungen zum Vorschein.
In einem Unternehmen beispielsweise gewährte die Standardkonfiguration der Berechtigungen versehentlich jedem Benutzer Zugriff auf ein Administratorkonto. Daher hatte jeder Benutzer die Kontrolle über alle Endgeräte des Unternehmens.
Bitte überprüfen Sie dies daher noch einmal. Überprüfen Sie Ihre Benutzer- und Gruppenberechtigungen, damit Sie genau verstehen, welche Risiken in den Berechtigungseinstellungen Ihres Unternehmens bestehen.
Einschränkung von Benutzer- und Gruppenberechtigungen
Schränken Sie als Nächstes die Berechtigungen für Benutzer und Gruppen so weit wie möglich ein. Gewähren Sie den Benutzern genau die Berechtigungen, die sie zur Erfüllung ihrer Aufgaben benötigen. Durch die Einschränkung des Zugriffs auf andere Benutzer, Gruppen und Endgeräte wird es für Angreifer erheblich schwieriger, sich von Konto zu Konto zu bewegen – selbst wenn es ihnen gelingt, ein Endgerät zu kompromittieren.
Denken Sie noch einmal an unser Beispiel eines Einbrechers zurück, der in ein Gebäude eindringt. Sollte der Einbrecher feststellen, dass die meisten Innentüren verschlossen sind und dass für Aufzüge und Treppenhäuser Zugangscodes erforderlich sind, würden sich die durch den Einbruch entstandenen Schäden auf ein Minimum beschränken.
Die Einschränkung von Benutzer- und Gruppenberechtigungen funktioniert auf dieselbe Weise. Nachdem ein Angreifer einen Endpunkt übernommen hat, könnte er glauben, den Jackpot geknackt zu haben; sobald er jedoch auf eingeschränkte Berechtigungen stößt, wird ihm schnell klar, dass er an seine Grenzen stößt.
Die laterale Bewegung ist eine wesentliche Technik für Cyberkriminelle. Indem Sie die Berechtigungen für Benutzer, Gruppen und Endpunkte überwachen und einschränken, können Sie die Wirksamkeit dieser Technik erheblich verringern.
Erfahren Sie in unserem vorherigen Beitrag mehr darüber, wie Tanium Ihrem Unternehmen dabei helfen kann, sich gegen laterale Bewegungen zu schützen: 5 Möglichkeiten, wie Tanium Impact Unternehmen dabei unterstützt, sich vor lateralen Bewegungen bei Cyberangriffen zu schützen (wird in einem neuen Tab geöffnet).
