Endpoint-Härtung und Vorbereitung in einer sich wandelnden Bedrohungslandschaft

Die heutige Landschaft der Cyberbedrohungen ist von großer Unbeständigkeit geprägt. Für viele ist der Konflikt zwischen Russland und der Ukraine sowie die damit einhergehenden Cyberaktivitäten der wichtigste Faktor für die derzeitige Lage. Unsere Partner bei Deep Instinct haben unter ausführlich über die Ereignisse und deren Auswirkungen auf die Bedrohungslage berichtet.
Es ist unmöglich, über die Cyber-Bedrohungslage zu sprechen, ohne dabei geopolitische Zusammenhänge zu berücksichtigen – was zu erwarten ist, sofern man dabei die mit den aktuellen Ereignissen einhergehende Unsicherheit im Blick behält. Es ist unklar, wie lange diese Umstände andauern werden oder welche langfristigen Auswirkungen eine komplexe geopolitische Lage haben könnte.

Wie sich die Bedrohungslage verändert

Das Ziel von Tanium ist es, stets über die wichtigsten Trends auf dem Laufenden zu bleiben und daraus umsetzbare Erkenntnisse zu gewinnen, um Ihnen helfen zu können. Im Folgenden finden Sie einen Überblick über die wichtigsten Trends im Bereich der Cyberbedrohungen:

• Möglicher Anstieg von Ransomware-Angriffen angesichts wirtschaftlicher Instabilität: Da die USA als primäre Reaktion auf den Einmarsch Russlands strenge Sanktionen gegen russische Interessen verhängt haben, könnte die daraus resultierende wirtschaftliche Instabilität zu einer Zunahme von Ransomware-Angriffen führen, die sich gegen US-Interessen richten. Russland wurde vom FBI als „günstiges Umfeld für Cyberkriminelle“ bezeichnet, und es wurde davor gewarnt, dass die USA mit einer „möglichen Zunahme von Cyberbedrohungen“ durch Hacker rechnen müssten, die mit russischer Unterstützung agieren.
• Aufkommen einer neuen zerstörerischen Malware namens „“: Wie in dargelegt, umfassten die russischen Cyberaktivitäten – die, wie in einem aktuellen Artikel von Deep Instinct unter beschrieben, in den Wochen vor der Invasion darauf abzielten, „Chaos zu stiften und die Kommunikation innerhalb der Regierungs- und Militärinstitutionen der Ukraine zu stören“ – den Einsatz einer neuen, Festplatten löschenden Malware namens „HermeticWiper“ (neben groß angelegten DDoS-Angriffen und Website-Verfälschungen). In den vergangenen Wochen sind im Zuge des Konflikts mindestens zwei neue Varianten zerstörerischer Malware aufgetaucht, begleitet von neuartigen Infektionswegen und unterstützender Malware, die darauf ausgelegt ist, die erfolgreiche Auslieferung zerstörerischer Nutzlasten sicherzustellen.
• Phishing und andere Betrugsmaschen, die den Konflikt „“ ausnutzen: Wie bei allen weltweit viel beachteten Ereignissen (einschließlich Cyberangriffen) nutzen Angreifer die verfügbaren Informationen und die Verunsicherung der Öffentlichkeit schnell aus, um überzeugende Phishing-Köder und Social-Engineering-Kampagnen zu entwickeln. Die Motive hinter solchen Kampagnen reichen von Spionage über den Diebstahl von Zugangsdaten bis hin zu Finanzbetrug.
• Mögliche „Auswirkungen“ von Cyberaktivitäten auf Ziele in den USA: Die Cybersecurity and Infrastructure Security Agency (CISA) hat gemeinsam mit anderen multinationalen Cyberbehörden wiederholt Bedenken geäußert, dass die im Zusammenhang mit der Lage in Russland und der Ukraine beobachteten Cyberaktivitäten über die Konfliktzone hinausgreifen und Auswirkungen auf Organisationen in den USA, der EU oder westlichen Gebieten haben könnten.
• Die Beteiligung von Hacktivisten erhöht den Einsatz: Hacktivistische Aktionen inmitten geopolitischer Konflikte bergen das Risiko, von beiden Seiten falsch zugeordnet, als staatlich geförderte feindliche Aktivitäten interpretiert und unbeabsichtigt zu einer Eskalation der Spannungen beizutragen. Hacktivismus (ganz gleich, wie gut er auch gemeint sein mag) kann zu einer Eskalation der militärischen Aktivitäten auf dem Schlachtfeld führen und die Risiken im Cyberspace verschärfen – eine Realität, die Menschenleben fordern, kritische Infrastruktur zerstören oder zu Vergeltungsmaßnahmen gegen die USA und die Staaten führen könnte, mit denen die USA Bündnisse unterhalten. Ein aktuelles Beispiel, das dieses Paradigma verdeutlicht, ist die Veröffentlichung von Conti-Daten (einschließlich des Quellcodes), nachdem diese von einem ukrainischen Hacktivisten von der Ransomware-Gruppe gestohlen worden waren – als Reaktion auf das öffentliche Bekenntnis von Conti, Russland in diesem Konflikt zu unterstützen. Ransomware-Code ist bereits zuvor durchgesickert, wie im Fall der „ “-Babuk-Ransomware, was dazu führte, dass die Ransomware von neuen Angreifern wiederverwendet und modifiziert wurde. Auch hier besteht ein echtes Risiko.

Zwar bezieht sich ein Großteil der oben beschriebenen Sachverhalte auf die Auswirkungen eines bestimmten geopolitischen Konflikts auf den Cyberspace, doch prognostizieren Experten mehrere Bedrohungen, die sich voraussichtlich bald auf die Cyberbedrohungslandschaft auswirken werden – von denen sich viele bereits bemerkbar machen. Unternehmen werden gebeten, auf Folgendes zu achten:

• Anhaltende Einflusskampagnen und Versuche staatlich geförderter Akteure, die Kommunikationskanäle von und ( ) lahmzulegen, auf die sich die Öffentlichkeit für eine zuverlässige Berichterstattung verlässt
• en zur kritischen Infrastruktur im Visier von Angriffen
• : CISA warnt erneut vor drohenden Angriffen durch ausländische Akteure , die auf US-amerikanische Organisationen und kritische Infrastruktur abzielen
• Preissprünge bei Kraftstoffen und Energie, wirtschaftliche Instabilität sowie – Cyber-Versicherer, die weniger Deckung bieten und höhere Prämien verlangen
• Zunehmende Sicherheitsverletzungen bei Open-Source-Bibliotheken und -Paketen von sowie bei anderen Technologien, die Teil der Lieferketten sind
• Ransomware:
  
  • Insgesamt zunehmende Aktivitäten von Ransomware- n, wobei der Schwerpunkt auf einer erneuten Ausrichtung auf Verbraucher, KMU und mittelständische Unternehmen liegt
  • Verstärkte Konzentration von Cyberkriminellen (allen voran die Ransomware „ “ sowie die BEC-Betrugsmasche ) auf SaaS- und Cloud-Technologien
  • Die Veröffentlichung des Conti-Quellcodes könnte dazu führen, dass neue Akteure neue Varianten entwickeln, wie es bereits der Fall war, als der Code der Ransomware „Babuk“ durchgesickert war.
  • Entstehung von „ “ – neuen, lose miteinander verbundenen Hackergruppen, wie sie im Krieg zwischen Russland und der Ukraine zu beobachten waren
• Die wahrscheinliche „Weiterverbreitung“ von Malware, die in Konflikten eingesetzt wird, in die Hände von Cyberkriminellen, denen es freisteht, diese nach eigenem Ermessen zu modifizieren und für andere Zwecke zu nutzen – und umgekehrt
• Zunahme von Cyberangriffen nach dem „ “-Prinzip (multi- ), wie beispielsweise Ransomware-Angriffe in Kombination mit Einflusskampagnen, DDoS-Angriffen, zerstörerischer Malware, „False-Flag“-Operationen usw.

In diesem sich rasch wandelnden Umfeld ist das, was Sie heute tun, entscheidend für Ihre Vorsorge und Ihre Reaktionsfähigkeit im Falle eines Angriffs. Unabhängig von Ihrer Branche sollten alle Organisationen ihre Umgebung unter Berücksichtigung der Risikominderung und der Verringerung der Angriffsfläche ausrüsten.

Warum die Absicherung und Vorbereitung von Endgeräten von entscheidender Bedeutung ist

Der beste Zeitpunkt, um Ihre Tools zur Verwaltung von „ “-Ressourcen sowie Ihre Patching-Workflows optimal einzurichten, war bereits gestern. Der zweitbeste Zeitpunkt ist heute. Während sich viele Angreifer derzeit auf Systeme von Interesse in Ländern konzentrieren, die in aktive militärische Konflikte verwickelt sind, weisen Forscher und Spezialisten für Bedrohungsanalysen auf einen wahrscheinlichen Anstieg der Cyberkriminalität hin, da die Auswirkungen der mit diesen Konflikten verbundenen Sanktionen in verschiedenen Teilen der Welt zu wirtschaftlicher Unsicherheit führen. Es ist unerlässlich, dass Sie die heutige Zeit nutzen, um etwaige Lücken im Patch-Management unter für Betriebssysteme sowie bei Tools von Drittanbietern zu schließen und die Richtlinien so anzupassen, dass Ihre Angriffsfläche verringert wird.

Legen Sie größten Wert darauf, Lücken in der Abdeckung und Sichtbarkeit zu schließen, Fehler bei der Patch-Installation zu beheben und Software von Drittanbietern zu aktualisieren. Angesichts der aktuellen Bedrohungslage ist es nicht zulässig, dass Endgeräte 30, 60 oder 90 Tage lang nicht den Vorschriften entsprechen. Sie sollten diese Gelegenheit nutzen, um alle Systeme – einschließlich Server und Arbeitsstationen – hinsichtlich der Betriebssystem-Patches und der Software von Drittanbietern auf den neuesten Stand zu bringen.

In nächster Zeit sollten Sie den folgenden Maßnahmen Priorität einräumen:

• Beantragen Sie eine Notfall-Änderungsgenehmigung, um versäumte und veraltete Patches dringend zu installieren
• Eine Patch-Management-Lösung implementieren oder Fehler bei der Patch-Installation beheben
• Behandlung von Betriebssystem-Patches
• Software von Drittanbietern aktualisieren
• Entfernen Sie nicht autorisierte, ungenutzte oder nicht unterstützte Software
• Richten Sie Richtlinien ein, um die Angriffsfläche zu verringern
• Stellen Sie sicher, dass die Pläne zur Reaktion auf Vorfälle durch entsprechende Tools in der Umgebung unterstützt werden
• Beachten Sie die Empfehlungen der CISA im Rahmen ihrer Initiative „Shields Up“ (), um Ihr Risiko eines Cyberangriffs zu verringern; die CISA fordert Organisationen zudem auf, jegliche Anzeichen eines Angriffs an ihre Behörde zu melden.
• Sehen Sie sich den Katalog „ “ der CISA an, in dem bekannte, ausgenutzte Sicherheitslücken aufgeführt sind:. Dieser enthält 95 neue Sicherheitslücken, die nach der Analyse von Schwachstellen hinzugefügt wurden, die von russischen Cyberangreifern ausgenutzt wurden.

Wie Tanium Ihnen helfen kann

Tanium kann Unternehmen dabei unterstützen, diese dringenden Empfehlungen wie folgt umzusetzen:

Tanium-Patch-

Tanium Patch bietet die Lösung für die Bereitstellung von Patches, die Koordination von Wartungsfenstern sowie die präzise Berichterstattung in Echtzeit über den Status Ihrer Patch-Maßnahmen. Sowohl Neukunden als auch Bestandskunden können Tanium Patch innerhalb weniger Stunden – und nicht erst nach Tagen oder Wochen – in Betrieb nehmen und erhalten ab sofort aussagekräftige Daten zu ihrem Patch-Status.

Tanium Deploy-

Der erste Zugriff und die seitliche Bewegung eines Angreifers erfolgen häufig durch die Ausnutzung von Sicherheitslücken in veralteter Software. Unternehmen sollten die Aktualisierung von Anwendungen von Drittanbietern nicht ausschließlich auf Systeme beschränken, die mit dem Internet verbunden sind. Sobald sie sich in Ihrer Umgebung befinden, können Angreifer mithilfe dieser anfälligen Anwendungen von Drittanbietern interne Systeme kompromittieren. Darüber hinaus kann „Schatten-IT“ (Software, die ohne Wissen oder Unterstützung der IT-Abteilung eingesetzt wird) unerwartete Sicherheitslücken in die Umgebung einbringen. Mit Tanium Deploy können Sie nicht genehmigte Software automatisch deinstallieren und so Ihre Umgebung frei von unzulässigen Anwendungen halten.

Tanium Enforce

Während eines Angriffs versuchen die Angreifer ständig, ihren Wirkungsbereich, ihre Berechtigungen und ihren Zugriff in der gesamten Umgebung auszuweiten. Neben der Installation von Sicherheitsupdates für Software und Betriebssysteme können Sie Endgeräte proaktiv absichern, um die Handlungsmöglichkeiten eines böswilligen Akteurs in Ihrem Netzwerk einzuschränken.

Tanium Enforce ist Ihre Lösung zur Verwaltung von Windows-Richtlinieneinstellungen, einschließlich solcher, die Ihre Angriffsfläche verringern können. Die Überwachung von Skripten, ausführbaren Dateien und Windows-Installationsprogrammen mithilfe der AppLocker-Überwachung sowie die Verwaltung der PowerShell-Ausführungsrichtlinie sind nur einige Beispiele für die mehr als 5 000 Einstellungen zur Gerätesicherheit und -konfiguration, die in Tanium Enforce verfügbar sind. Wie von Deep Instinct erwähnt, besteht für die meisten Benutzer in Ihrem Unternehmen keine Notwendigkeit, Skripte auszuführen. Weitere Maßnahmen zur Absicherung können unter anderem Folgendes umfassen:

• Erstellen Sie eine Richtlinie zur Einschränkung der Skriptausführung
  
  • Weitere Informationen zu den PowerShell-Ausführungsrichtlinien von „ “ finden Sie in der Microsoft-Dokumentation unter.
• Reduzierung des Datenverkehrs zwischen Arbeitsplätzen (RDP, PowerShell-Remoting, SMB)
• Administrative Freigaben deaktivieren
• Unsichere Protokolle deaktivieren (SMBv1)
• Verhindern Sie, dass Dienstkonten und lokale Konten sich aus der Ferne anmelden
• Implementieren Sie Regeln zum Schutz vor Malware und zur Verringerung der Angriffsfläche auf Windows-Systemen

Nächste Schritte

Weitere Informationen darüber, wie Sie sich auf Cyberkriege vorbereiten können ( ), finden Sie in diesem aktuellen Artikel von Endpoint unter.

Sollten Sie praktische Unterstützung benötigen, sind wir gerne für Sie da. Bestehende Kunden können sich an ihre Kundenbetreuer wenden. Falls Sie derzeit noch kein Kunde sind, kontaktieren Sie uns bitte hier, um loszulegen:.