Wenn Angreifer die Kontrolle über einen Endpunkt erlangen, währt die Freude nicht lange. Wie in einer Schachpartie positionieren sich Hacker für ihren nächsten Zug – indem sie andere Endgeräte kompromittieren, über die sie tiefer in die Systeme eines Unternehmens vordringen und Zugang zu den Personen und Daten erhalten können, die sie letztendlich anstreben.
Nachdem der internationale Schifffahrts- und Logistikdienstleister Maersk einen einzigen kompromittierten Endpunkt unter 2017 zu verzeichnen hatte, gelang es den Angreifern schließlich, jeden Endpunkt im Unternehmen zu kompromittieren. Anschließend setzten die Cyberkriminellen einen Ransomware-Angriff ein, um den Großteil der Endgeräte bei Maersk unzugänglich zu machen. Dies kostete Maersk rund 300 Millionen US-Dollar, führte zu zwei Wochen Betriebsunterbrechung und zwang das Unternehmen dazu, 4 000 Server neu zu installieren.
Das erscheint im Vergleich zum jüngsten „ “-Hack bei SolarWinds, der weiterhin verheerende Auswirkungen auf amerikanische Unternehmen und Behörden hat, eher unbedeutend. Der sogenannte Angriff auf die Software-„Lieferkette“ nutzte die Tatsache aus, dass Zehntausende von Organisationen dieselbe Software eines Drittanbieters aktualisierten, um ihr IT-Management zu betreiben.
Hacker, bei denen es sich vermutlich um russische Geheimdienstmitarbeiter handelt, nahmen SolarWinds ins Visier und nutzten Malware, um digitale Zugangsdaten zu stehlen und zu fälschen. Dies ermöglichte es ihnen und anderen Cyberkriminellen, sich von Endgerät zu Endgerät vorzuarbeiten und Zugang zu schätzungsweise 18 000 Organisationen zu erlangen, die die infizierte Software heruntergeladen hatten.
„Mit den richtigen Zugangsdaten können sich Angreifer überallhin Zugang verschaffen, wo sie hinwollen.“Ben Rothke, leitender Manager für Informationssicherheit beim Werbe- und Content-Delivery-Anbieter Tapad
Zu den Opfern zählen die größten Akteure der Technologiebranche, des Gesundheitswesens sowie der Bundesregierung. Die geschätzten Kosten für amerikanische Unternehmen und die Regierung: 100 Milliarden Dollar. Angesichts dieser hohen Risiken ist es für die Verteidigung jedes Unternehmens nach wie vor von entscheidender Bedeutung, diese Art der „lateralen Bewegung“ in einem kompromittierten Netzwerk zu erkennen und zu blockieren.
„Angreifer werden stets nach Zugangsdaten suchen, denn mit den richtigen Zugangsdaten können sie sich überall Zugang verschaffen, wo sie hinwollen“, sagt Ben Rothke, Senior Information Security Manager beim Werbe- und Content-Delivery-Anbieter Tapad.
Zu diesem Zweck erlangen Hacker in der Regel die Zugangsdaten der Benutzer durch Keylogging oder andere spezielle Tools. „Stellen Sie sich vor, Sie könnten ein Flugticket fälschen, mit dem Sie überall hinreisen könnten, wohin Sie möchten“, sagt Rothke. „Genau das tun Angreifer mit Zugangsdaten – nur dass sie sich damit Zugang zu Netzwerken, Anwendungen oder möglicherweise zur Cloud-Konsole verschaffen, die von einem Administrator genutzt wird.“
[Lesen Sie auch: Wie Tanium dabei hilft, sich vor lateraler Bewegung bei Cyberangriffen zu schützen]
Angreifer sind nicht nur auf Zugangsdaten aus. Sie nutzen Tools, um zu anderen Servern im selben Netzwerk und zu Endpunkten zu gelangen. Jeder Endpunkt, auf dem veraltete Software ausgeführt wird, ist ebenfalls ein bevorzugtes Angriffsziel. Glücklicherweise gibt es mehrere Maßnahmen, die Sie ergreifen können, um seitliche Bewegungen zu verhindern oder diese zu erkennen und zu unterbinden, sobald sie auftreten.
Erhöhen Sie die Kosten des Erfolgs
Der Schlüssel zum Schutz Ihrer IT-Umgebung liegt darin, es einem Angreifer so schwer wie möglich zu machen, sich lateral zu bewegen, sagt Chris Blow, Leiter des Bereichs Offensive Security bei Liberty Mutual, einem Fortune- 100 -Unternehmen. Sein Team führt regelmäßig Simulationen auf Endgeräten durch, um zu prüfen, ob eine laterale Bewegung möglich ist. „Wir legen stets großen Wert darauf, dass unsere Endgeräte geschützt sind“, sagt Blow.
Die beste Verteidigung besteht darin, die wirtschaftlichen Rahmenbedingungen eines Angriffs zu verändern, sagt Fernando Montenegro, leitender Analyst im Team für Unternehmenssicherheit bei 451 Research, einem Unternehmen von S&P Global Market Intelligence. „Es geht darum, die Kosten für einen erfolgreichen Angriff für den Angreifer zu erhöhen“, sagt er. „Man möchte Abwehrmaßnahmen entwickeln, die einem Angreifer das Leben erheblich erschweren.“
Zu diesem Zweck empfehlen Sicherheitsexperten Folgendes:
Achten Sie auf eine gute Endgerätehygiene. Erfolgreiche Vorgehensweisen beginnen mit den Grundlagen, darunter eine solide Verwaltung von Assets, Konfigurationen sowie Patches. „Gute Hygiene allein wird entschlossene Gegner nicht aufhalten, aber sie wird ihnen die Arbeit erheblich erschweren“, sagt Montenegro.
Identitäten verwalten. Es ist unerlässlich zu wissen, wer über die Zugangsdaten für bestimmte Anwendungen und vernetzte Ressourcen verfügt. Das Prinzip der „geringstmöglichen Berechtigungen“ verringert die Angriffsfläche, indem es den Benutzern nur Zugriff auf die Ressourcen gewährt, die sie zur Ausübung ihrer Tätigkeit unbedingt benötigen. Ebenso entscheidend ist es, die Anzahl der Administratorkonten zu begrenzen. „Ihre Identität ist die neue Firewall, und Sie müssen Identitäten effektiv verwalten, insbesondere privilegierte Konten“, sagt Blow.
„: Ihre Identität ist die neue Firewall.“Chris Blow, Leiter des Bereichs Offensive Security bei Liberty Mutual
Führen Sie eine starke Authentifizierung ein. Die Authentifizierung stellt sicher, dass nur die richtigen Personen auf die richtigen Anwendungen zugreifen können. „Auch wenn dies keine hundertprozentige Sicherheit bietet, kann die Forderung nach einer Multi-Faktor-Authentifizierung dazu beitragen, die laterale Bewegung wirksam zu verlangsamen“, sagt Rothke. Sollte ein Hacker Zugangsdaten durch einen Phishing-Angriff vom Typ „ “, eine Benutzersitzung oder einen Speicherauszug (wenn der Speicher bei einem Anwendungsabsturz gesichert wird) erlangen, können starke Authentifizierungsverfahren es Cyberkriminellen erschweren, diese Zugangsdaten zu nutzen, um sich lateral auf andere Ressourcen im Netzwerk auszubreiten.
Den Netzwerkverkehr segmentieren. Um die Sicherheit weiter zu erhöhen, sollten Sie die Netzwerke in separate Zonen unterteilen. So können beispielsweise alle Bürogeräte und zugehörigen Geräte in einem Netzwerk zusammengefasst werden, und bestimmte Benutzergruppen können in eigene Netzwerksegmente unterteilt werden. Durch die Anwendung geeigneter Sicherheitsmaßnahmen in jeder Zone lässt sich die Fähigkeit eines Angreifers, sich lateral zu bewegen, erheblich einschränken, so Rothke.
Entwickeln Sie eine Zero-Trust-Architektur. Mit strengen Identitätskontrollen, Authentifizierungsverfahren und Netzwerksegmentierung ist ein Unternehmen bereits auf dem besten Weg zum Aufbau einer Zero-Trust-Architektur. „Eine gute Zero-Trust-Architektur wird wesentlich dazu beitragen, Angreifer daran zu hindern, sich im System zu bewegen“, sagt Blow. „Das Problem ist, dass die meisten Unternehmen das Zero-Trust-Konzept nicht so gut umgesetzt haben, wie sie es eigentlich sollten.“
Anomalien erkennen. Angreifer werden alles in ihrer Macht Stehende tun, um nicht entdeckt zu werden. Mit gefälschten Zugangsdaten können sie den Anschein erwecken, legitime Nutzer zu sein. Sicherheitsverantwortliche können lernen, ungewöhnliche Aktivitäten in Netzwerken und Anwendungen zu erkennen, doch dies ist weitaus schwieriger, als es klingt. „Es ist so schwierig, weil Angreifer alles in ihrer Macht Stehende tun, um sich erfolgreich unter die anderen zu mischen“, sagt Rothke.
Führen Sie die Endpunkt-Erkennungs- und Reaktions „“ ein. Wenn Unternehmen Anzeichen für kompromittierte Endgeräte feststellen, sollten alle relevanten Daten erfasst und zur Analyse und Reaktion an die Sicherheitsteams weitergeleitet werden. Das sofortige Unterbinden von Angriffen während ihrer Durchführung kann Datenlecks und Systemschäden begrenzen und die laterale Bewegung im Keim ersticken. „In den letzten zwei Jahren ist die Erkennung und Reaktion auf Endpunktbedrohungen wesentlich effektiver geworden als früher“, sagt Blow. „Unternehmen, die über wirksame Systeme verfügen, erschweren Angreifern die Arbeit erheblich, und genau darum geht es letztendlich bei diesen Verteidigungsebenen.“
Durch die Umsetzung dieser Maßnahmen kann ein Unternehmen sicherstellen, dass es für Hacker, die nach Schwachstellen suchen, die sie ausnutzen können, um sich in die Unternehmenssysteme einzuschleusen, weiterhin ein unwirtlicher Ort bleibt.
