Zum Hauptinhalt springen
Kunden-Spotlight

Wie Tanium-Kunden die Risiken aktueller Ransomware-Angriffe gemindert haben

Tanium wurde in einigen der größten Netzwerke der Welt eingesetzt, um die Risiken mehrerer kürzlich aufgetretener Sicherheitslücken zu mindern, darunter WannaCry, Intel AMT und der HP-Audio-Treiber-Keylogger. Für jede Sicherheitslücke haben wir unseren Kunden die Wahlfreiheit eingeräumt, die für ihr Unternehmen am besten geeignete Strategie zur Risikominderung zu bestimmen. Das Aufbringen von Flicken war eine Möglichkeit, jedoch nicht die einzige verfügbare Option. Hier finden Sie einen detaillierten Überblick über unsere bedeutendsten Erfolge sowie fünf Maßnahmen, die Ihr Unternehmen bereits jetzt ergreifen kann, um nicht Opfer des nächsten Angriffs zu werden.

Fotomontage mit einer leuchtenden Tastatur im Vordergrund und Explosionen, überlagert mit Binärcode

(Bild: Peter Linforth / Pixabay)

Patching.

Das Ausmaß der Angst, die Sie verspüren, wenn Sie dieses Wort hören, steht in direktem Verhältnis zur Anzahl der Endpunkte, die Sie verwalten. Das Installieren von Patches steht auf der Skala der undankbaren Aufgaben in der IT ganz oben, da es ein hohes Ausfallrisiko mit einer geringen Chance verbindet, für die korrekte Ausführung Anerkennung zu erhalten. Niemand in Ihrem Unternehmen bemerkt, ob Sie die Patches auf dem neuesten Stand gehalten haben oder nicht, bis ein Versuch, dies zu tun, eine geschäftskritische Anwendung zum Absturz bringt. Und wer möchte schon, dass sein Name mit so etwas in Verbindung gebracht wird?

So kam es, kurz gesagt, zu WannaCry. Das Beunruhigende an WannaCry ist der zeitliche Ablauf der Ereignisse, die zu dieser Ransomware führten. Ende 2016 trat eine Hackergruppe namens „Shadow Brokers“ in Erscheinung und kündigte eine Versteigerung von durchgesickerten NSA-Hacking-Tools an. Nachdem Microsoft von der Sicherheitslücke erfahren hatte, begann das Unternehmen mit der Arbeit an einem Sicherheitsupdate. Microsoft ging sogar so weit, den „Patch Tuesday“ (öffnet in einem neuen Tab) im Februar zum ersten Mal überhaupt auszusetzen. Leider tauchten während des einmonatigen Ausfalls erste WannaCry-Exemplare in freier Wildbahn auf. Microsoft hat die SMB-Updates für WannaCry unter März 2017 veröffentlicht. WannaCry trat (ohne großes Aufsehen) unter 12. Mai in Erscheinung und betraf letztendlich rund 230 000 Endgeräte in 150 Ländern.

WannaCry wird sicherlich nicht das letzte Beispiel sein, das wir von den durchgesickerten NSA-Tools und -Exploits sehen werden. Tatsächlich tauchen Berichte über einen neuen SMB-Wurm namens EternalRocks (wird in einem neuen Tab geöffnet) sowie einen neuen Kryptowährungs-Miner namens Adylkuzz (wird in einem neuen Tab geöffnet) auf. Und sie können Ihr Unternehmen aus einem ganz einfachen Grund zum Erliegen bringen: Sie haben Ihre Systeme und Ihre Software nicht auf dem neuesten Stand gehalten.

Laut dem „Verizon Data Breach Investigations Report 2015 “ basierten 99,9 % der Angriffe auf Sicherheitslücken, die bereits seit mehr als einem Jahr bekannt waren; einige davon sogar schon seit 1999. (Verizon hat diese Kennzahl im „ 2016 “-Bericht nicht berechnet, wies jedoch darauf hin, dass sich der Wert im Vergleich zum Vorjahr nicht verändert habe.)

Risikominderung: Wie Tanium dabei helfen kann

Tanium wurde in einigen der größten Netzwerke der Welt eingesetzt, um die Risiken mehrerer kürzlich aufgetretener Sicherheitslücken zu mindern, darunter , , WannaCry, , , Intel AMT,  sowie der HP-Audio-Treiber-Keylogger. Für jede Sicherheitslücke haben wir unseren Kunden die freie Wahl gelassen, die für ihr Unternehmen am besten geeignete Strategie zur Risikominderung zu bestimmen. Das Aufbringen von Flicken war eine Möglichkeit, jedoch nicht die einzige verfügbare Option. Zu den bemerkenswerten Errungenschaften zählen:

  • Echtzeit-Erkennung von SMBv1-enabled Rechnern bei mehreren Kunden mit Umgebungen, die mehrere Hunderttausend Endgeräte umfassen.
  • Die Deaktivierung von SMBv1 durch Änderungen an der Registrierungsdatenbank wurde in weniger als vier Minuten durchgeführt.
  • Echtzeit-Erkennung von Systemen, für die Patches erforderlich sind, die im Bulletin „ “ MS17-010 (wird in einem neuen Tab geöffnet) enthalten sind, auch wenn diese nicht in eine Domäne eingebunden oder mit dieser verbunden sind.
  • Bereitstellung von Patches im Umfang von mehreren Terabyte innerhalb weniger Stunden, ohne Auswirkungen auf die Netzwerke (einschließlich Rechner, die keiner Domäne angehören bzw. nicht mit dieser verbunden sind).
  • Ein Neustart wurde an alle Rechner gesendet, die einen Neustart erfordern (nach einer Änderung der Registrierung oder der Installation eines Patches).
  • Es wurden gespeicherte Aktionen eingerichtet, um alle neuen Rechner zu erfassen, die online gehen und bei denen eine Deaktivierung von SMBv1 , ein Patch oder ein Neustart erforderlich ist.
  • Echtzeit-Berichterstattung über behobene und anfällige Systeme mit zeitlicher Entwicklung (über „Trends“).
  • Die Intel-AMT-Sicherheitslücke betrifft mehr als 50 % unseres Kundenstamms.
  • Die Abhilfe für Intel AMT (Deaktivierung des Dienstes, der die Ausnutzung der Sicherheitslücke ermöglicht) wurde unternehmensweit durch Tanium in weniger als zwei Minuten umgesetzt.
  • Bei mehreren Kunden wurden Tausende von Endgeräten mit dem HP-Keylogger entdeckt und innerhalb weniger Minuten bereinigt.

Wir hatten zwei Großkunden, die zunächst versuchten, die von Microsoft als Reaktion auf WannaCry veröffentlichten Patches mithilfe von SCCM zu installieren – und dies jedoch aufgrund massiver Netzwerküberlastungen, die durch SCCM verursacht wurden, einstellen mussten. Diese Kunden sind für die Bereitstellung von Patches über „ “ auf Tanium umgestiegen und konnten die gesamte Bereitstellung im Unternehmen in kürzerer Zeit abschließen, als die Erstellung der SCCM-Pakete gedauert hatte.

Mehrere Kunden haben anfällige Systeme entdeckt, die überhaupt nicht in die Domäne eingebunden waren und daher ohne Tanium niemals ordnungsgemäß gepatcht worden wären.

Nearly every customer was confident they had SMBv1 disabled enterprise wide. Dennoch hatten wir keine Kunden mit einem Wert von 0 bei SMBv1, und der Durchschnitt aller Kunden lag bei 7 %, wobei bei Endpunkten, bei denen SMBv1 aktiviert war, Spitzenwerte von über 50 % erreicht wurden.

In vielen Fällen behinderten veraltete Prozesse die Weiterentwicklung der Funktionen. Im Rahmen unserer Maßnahmen zur Bekämpfung von WannaCry haben wir zahlreiche Fälle beobachtet, in denen der Prozess vom Zeitpunkt der Genehmigung der Maßnahmen zur Eindämmung von WannaCry bis zur Bereitstellung der Korrekturmaßnahmen durch Tanium acht Stunden dauerte. Vom Abdrücken bis zum Abschluss vergingen weniger als zwei Minuten.

Fünf Maßnahmen, die Ihre Organisation jetzt ergreifen kann

Vor dem Hintergrund der Erkenntnisse aus diesen jüngsten Beispielen finden Sie hier fünf Maßnahmen, die Ihr Unternehmen jetzt ergreifen kann, um besser darauf vorbereitet zu sein und nicht in den nächsten Angriff verwickelt zu werden:

  1. Bewerten Sie Ihre organisatorischen Hindernisse. Arbeiten Ihre Sicherheits- und IT-Betriebsteams Hand in Hand? Falls nicht, wo liegen die Reibungspunkte und wie lassen sich diese beheben?
  2. Machen Sie sich mit Ihrer Umgebung vertraut. Wenn Ihr CIO bei Ihnen vorbeikommt und Sie bittet, ihm mitzuteilen, wie viele Geräte in Ihrem Netzwerk noch nicht gepatcht sind, können Sie diese Frage dann genau beantworten? Wird sich Ihre Antwort auf den aktuellen Stand beziehen oder auf Informationen, die Sie vor einer Woche gesammelt haben?
  3. Überlegen Sie, wie oft veraltete Prozesse die verbesserten Funktionen der von Ihnen genutzten Technologie behindern.
  4. Schaffen Sie Ordnung in Ihrer Infrastruktur. Eines der häufig genannten Probleme im Zusammenhang mit dem WannaCry-Vorfall war die Herausforderung, Betriebssysteme in einer Umgebung zu aktualisieren, in der zahlreiche ältere Anwendungen im Einsatz sind. Falls Sie eine geschäftskritische Anwendung betreiben, für die Sie ein veraltetes Betriebssystem künstlich am Leben erhalten müssen, ist es an der Zeit, Ihre Beziehungen zu Ihren Lieferanten zu überdenken.
  5. Verschiedenen Schätzungen zufolge gehen bis zu 83 % der Ransomware-Angriffe darauf zurück, dass ein Mitarbeiter auf einen bösartigen Link klickt, einen infizierten Anhang öffnet oder eine kompromittierte Website besucht. Investitionen in die kontinuierliche Schulung Ihrer Mitarbeiter zum Schutz vor Phishing-Angriffen vom Typ „ “ ( ) sollten Ihre erste Verteidigungslinie sein.

Sind Ihre Sicherheitsmaßnahmen so umfassend wie möglich? Ist Ihr Unternehmen bereit, dem nächsten Angriff standzuhalten? Erfahren Sie mehr darüber, wie wir Ihnen helfen können. Vereinbaren Sie noch heute einen Termin für Ihre Sicherheitsüberprüfung.

Erfahren Sie mehr:

Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.

Über den Autor: In seiner Funktion als Chief Customer Officer leitet Charles Ross das Team, das dafür verantwortlich ist, die Vision von Tanium für unsere Kunden umzusetzen: skalierbares Endpunktmanagement, um deren Geschäft zuverlässig und schnell zu betreiben und zu sichern. Vor seiner Tätigkeit bei Tanium war Charles bei McAfee beschäftigt, wo er verschiedene Führungspositionen in den Bereichen Pre-Sales-Engineering, Lösungsarchitektur und IT-Sicherheit innehatte. Vor seiner Tätigkeit bei McAfee war Charles als Berater für Unternehmensrisiken bei Deloitte & Touché tätig. Charles hat einen Bachelor of Science der University of Florida.