Unternehmen benötigen eine umfassendere Sichtweise auf das Thema Sicherheit, um sich gegen die heutigen Bedrohungen zu schützen.
In einem früheren Blogbeitrag habe ich darüber geschrieben, vor welchem Spagat CIOs stehen: die IT-Angriffsfläche zu schützen und gleichzeitig die digitale Transformation voranzutreiben.
Ich habe außerdem über Verteidigungsstrategien geschrieben, mit denen Organisationen im Bereich „ “ ihre Angriffsfläche schützen können.
In diesem abschließenden Blogbeitrag der Reihe gehe ich darauf ein, wie Sicherheitsteams Cyber-Kill-Chains einsetzen können, um die Angriffsfläche ihres Netzwerks zu verringern. Die angestrebten Ergebnisse konzentrieren sich darauf, Schwachstellen im Netzwerk zu identifizieren, zu verringern oder zu beseitigen, indem die Angriffsflächen durch Daten oder die kombinierten Effekte mehrerer Cyberfähigkeiten abgesichert werden.
Dieser Ansatz soll den von Angreifern eingesetzten Cyber-Kill-Chains entgegenwirken. Erinnern Sie sich daran, dass eine „Kill Chain“ eine Abfolge miteinander verbundener Aktivitäten ist, die erforderlich sind, um ein gewünschtes Ergebnis zu erzielen. Die Nutzung der Kill-Chain als Instrument der Verteidigungsplanung erfordert die Betrachtung jedes einzelnen Glieds der Cyber-Kill-Chain, um Schutzkonzepte zu entwickeln, die dieses Glied unterbrechen.
Netzwerkschutzbeauftragte müssen jeden Tag und jede Minute fehlerfrei arbeiten, während böswillige Akteure lediglich einen Angriffsvektor finden müssen, um ein oder mehrere Glieder der Cyber-Kill-Chain erfolgreich auszunutzen und so ein Netzwerk zu kompromittieren. Die defensive Anwendung von Cyber-Kill-Chains ist ein Ansatz zur Identifizierung von Lücken in den Fähigkeiten oder von blinden Flecken in Ihrem Cybersicherheits-Ökosystem.
Ziel dieses Beitrags ist es, Konzepte der „Cyber Kill Chain“ anzuwenden, um CIOs und CISOs dabei zu unterstützen, ihre Cybersicherheitslage zu verbessern und letztendlich ihre Cybersicherheitsbereitschaft zu steigern. Kill-Chains sind nützlich, um komplexe Probleme in kleinere, besser handhabbare Teilprobleme zu zerlegen.
Indem sie sich auf jedes einzelne Glied der Cyber-Kill-Chain konzentrieren, können Netzwerkverteidiger synergetische Effekte erzielen, die die Wirksamkeit von Sicherheitstools sowie die allgemeine Einsatzbereitschaft und das Schutzniveau ihrer Netzwerke verbessern. Umgekehrt wird ein Angriff abgewehrt, wenn ein Glied in der Kill-Chain unterbrochen wird. Im Mittelpunkt dieser Analyse stehen Ansätze zur Unterbindung der einzelnen Glieder in der „Kill Chain“ von Cyberangriffen bei Lockheed Martin.
Abwehr von Aufklärungsmaßnahmen
Bei der Aufklärung geht es darum, sich einen Überblick über eine Zielumgebung zu verschaffen. In physischer Hinsicht bedeutet dies, wichtige Geländemerkmale wie Hügel, die eine gute Sicht ermöglichen, oder Täler, die Bewegungen verbergen, zu identifizieren. Aus Sicht der Endgeräte verfügt das Netzwerk über wichtige Bereiche im Cyberspace, in denen Angreifer sich einen Vorteil verschaffen können. Zwei Kategorien von wichtigen Cyber-Bereichen wären:
- Dienste, die Informationen zu Anwendungen bereitstellen
- Anwendungsprogrammierschnittstellen (API), die einen Fernzugriff ermöglichen
Windows Management Instrumentation (WMI) ist ein Beispiel für ein zentrales Cyber-Terrain. Die Abwehr von Aufklärungsmaßnahmen aus der Perspektive der Cyber-Kill-Chain würde die Erkennung neuer WMI-Abonnements beinhalten. Ein weiteres Beispiel für wichtige Bereiche der Cybersicherheit wären Dienste wie „sendmail“ oder SNMP-MIB-Informationen.
Der Verzicht auf den Zugriff auf Informationen aus diesen Anwendungen gilt seit vielen Jahren als bewährte Vorgehensweise. Zur Abwehr von Aufklärungsmaßnahmen gehört es, wichtige Bereiche des Cyberraums zu identifizieren und anschließend Erkennungs-, Abwehr- oder Verteidigungstechniken einzusetzen, um die Aufklärungsaktivitäten des Gegners zu behindern oder zu unterbinden. Das angestrebte Ergebnis ist eine Kombination aus Informationsverweigerung und Aufdeckung von Aufklärungsaktivitäten.
Abwehr gegen die Instrumentalisierung
Der Schritt der Waffenausrüstung innerhalb der Cyber-Kill-Chain stützt sich auf die Erkenntnisse aus dem Aufklärungsschritt und wird durch den dritten Schritt der Cyber-Kill-Chain (Ausführung) begrenzt.
Unter „Weaponization“ versteht man die Abfolge von Maßnahmen zur Ausnutzung einer Schwachstelle, die Entwicklung von Software-Artefakten zur Manipulation einer Software-Lieferkette oder das Einschleusen von Schadsoftware in das „Blue Network“. Zwar findet der Vorgang der Waffenisierung häufig in roten oder grauen Netzwerken statt, doch ist diese Aktivität speziell auf das als Ziel ausgewählte blaue Netzwerk zugeschnitten.
Im Mittelpunkt der Abwehr gegen die Instrumentalisierung steht das Angriffsflächenmanagement, insbesondere die Verringerung und Absicherung der Angriffsfläche des Unternehmens. Mit anderen Worten: Bei diesem Schritt in der Cyber-Kill-Chain geht es darum, den Gegnern jegliche Möglichkeit zu nehmen.
Durch die Beseitigung der bekannten Sicherheitslücken aus dem Spielfeld werden die Kosten für den Gegner erhöht und gleichzeitig das Risiko für das eigene Netzwerk verringert. Fast 60 % aller erfolgreichen Datenlecks nutzen Schwachstellen in Betriebssystemen und Anwendungen aus, die den IT-Abteilungen bekannt waren, die sie jedoch nicht rechtzeitig behoben haben.
Eine der besten Möglichkeiten, sich gegen die „Weaponization“-Phase in der Cyber-Kill-Chain zu schützen, sind effektive und effiziente Patch-Maßnahmen, die durch Cyber-Hygiene ein hohes Maß an Cyber-Bereitschaft gewährleisten.
Abwehr gegen die Zustellung
Die kürzlich bekannt gewordene Sicherheitslücke „ Log4j “ veranschaulicht, wie über eine Webschnittstelle eine Remote-Code-Ausführung (RCE) ausgelöst werden kann, um eine Sicherheitslücke auszunutzen. Böswillige Akteure verfügen über weitere Mittel, mit denen sie schädlichen Code oder schädliche Aktionen verbreiten können.
Firewalls und Netzwerksegmentierung können dazu beitragen, Angreifer in bestimmte Bereiche zu lenken, sodass sich die Netzwerkverteidiger gezielt darauf konzentrieren können, wo sie Tools einsetzen, um Übertragungsvorgänge für Daten während der Übertragung zu blockieren und zu erkennen. Der Schutz vor der Verbreitung von Schadcode ist eine unverzichtbare Aufgabe, die die aktive Mitwirkung von Endnutzern, IT-Sicherheitsexperten und Fachleuten für physische Sicherheit erfordert.
Von infizierten USB-Sticks über fehlerhafte Browseranfragen bis hin zum versehentlichen Aufrufen einer kompromittierten Website – der Schutz vor der Einschleusung von Schadcode ist eine Teamleistung, die die Aufklärung der Nutzer, auf Bedrohungen abgestimmte Maßnahmen zur physischen Sicherheit sowie das Management von Risiken und Widerstandsfähigkeit umfasst.
Schutz vor Ausbeutung
Im Mittelpunkt der Abwehr von Missbrauch steht die Erkennung von Schadsoftware, die Verhinderung ihrer Ausführung und/oder die Behebung von Sicherheitslücken, um die Auswirkungen, die Schadsoftware auf das System haben kann, zu begrenzen. Diese Konzepte lassen sich im Wesentlichen auf Reputationsdienste, Anwendungskontrollen und Cyberhygiene zurückführen.
Cyberhygiene (Patches installieren, Software auf dem neuesten Stand halten und Software ordnungsgemäß konfigurieren) ist der beste Ansatz, um die „ “ – die bekannten Schwachstellen – im Werkzeugkasten der Angreifer zu verhindern. CIOs und CISOs können die Maßnahmen zur Cyberhygiene in ihrem Unternehmen steuern, indem sie die richtigen Kennzahlen wie die durchschnittliche Zeit bis zur Patching-Durchführung oder die Dauer des Patching-Zyklus überwachen.
Die schnelle und umfassende Transparenz sowie Kontrolle über Endgeräte sind von grundlegender Bedeutung für zeitnahe, genaue und verlässliche Daten, die Aufschluss über die Cyberhygiene geben. Der Einsatz von Reputationsdiensten und Antivirensoftware ergänzt eine wirksame Cyberhygiene. Ebenso wichtig ist die Fähigkeit, Abweichungen vom normalen Verhalten, risikobehaftete Ereignisse und Anzeichen für eine Kompromittierung zu erkennen.
Während es bei Ersterem (Cyberhygiene) um Reife und Leistungsoptimierung geht, sind bei Letzterem (Hash-Suche und Erkennung von IOCs) Agilität und Anpassungsfähigkeit gefragt.
Schutz vor der Installation
Sicherheitsteams benötigen einen Echtzeit-Überblick über Softwareinstallationen und Konfigurationsänderungen auf allen Endgeräten an allen Standorten. Im Mittelpunkt der Abwehrmaßnahmen gegen den Installationsschritt innerhalb der Cyber-Kill-Chain steht die Verhinderung der Ausführung von Remote-Code (RCE).
Die Verhinderung aller RCE-Angriffe lässt sich in vielerlei Hinsicht mit der Bekämpfung aller Straftaten vergleichen. Die Bandbreite der Maßnahmen, mit denen sich RCE-Angriffe verhindern oder deren Erkennung erschweren lassen, erstreckt sich über das gesamte Spektrum an Antiviren- und Malware-Erkennungsprogrammen, die Signaturen schädlicher Software identifizieren und bei Anomalien warnen, die auf ein Kompromittierungsrisiko hindeuten.
Bei der Umsetzung der Installationsphase von Kill-Chain-Angriffen sollte der Schwerpunkt auf den „ “ – den unbekannten Unbekannten – liegen. Dazu gehören unbekannte Malware (möglicherweise polymorphe Malware), Angriffe mit unbekannten Dateien sowie Cyber-Blindspots (Dinge, von denen wir nicht wissen, dass wir sie nicht wissen).
Ein Bereich, den CIOs und CISOs in Betracht ziehen können, ist die Erstellung einer Liste zugelassener Software, die native Betriebssystem-Tools wie Microsofts AppLocker nutzt. Darüber hinaus können Reputationsdienste genutzt werden, um Schadsoftware gezielt zu identifizieren.
Durch die Kombination von Technologie, Fachkompetenz und Methoden können CIOs und CISOs spiralförmige Entwicklungsansätze nutzen, um Cybersicherheitsfunktionen so zu gestalten, dass sie Anomalien erkennen, melden oder bekämpfen, die auf risikobehaftete Ereignisse oder auf eine Kompromittierung hindeuten. Die Nutzung kommerzieller oder Open-Source-Informationsquellen zum Testen, Anpassen und Optimieren von Warnmeldungen wird zudem ein Maß an Anpassungsfähigkeit und Flexibilität in die Bemühungen der Organisation einbringen, sich gegen die Installationsphase der Cyber-Kill-Chain zu verteidigen.
Abwehrmaßnahmen gegen C2 Communications
Sicherheitsteams verfügen über eine Vielzahl von Möglichkeiten, Kommando- und Kontrollkommunikation zu erkennen und zu blockieren. Firewalls und Netzwerküberwachungstools können verdächtige Netzwerkaktivitäten erkennen, wie beispielsweise die Kommunikation mit einem unbekannten DNS-Server oder einem ungewöhnlichen Remote-Host. Sicherheitsteams können viele dieser Kommunikationsvorgänge proaktiv unterbinden, indem sie Zero-Trust-Maßnahmen einsetzen, die standardmäßig jegliche unbefugte Kommunikation blockieren.
Verteidigung gegen Aktionen an Zielen
Die Abwehr von Angriffen auf die Ziele konzentriert sich darauf, den Zugriff einzuschränken und böswilligen Akteuren die Möglichkeit zu verwehren, ihre angestrebten Ziele zu erreichen. Einfach ausgedrückt besteht das Ziel darin, jede Tür zu verschließen und es dem Angreifer schwer zu machen, jeden weiteren Fortschritt zu erzielen.
Es wird davon ausgegangen, dass die Wahrscheinlichkeit, entdeckt zu werden, umso größer ist, je mehr Arbeit ein Akteur leistet. Die Warnung vor ungewöhnlichen Aktivitäten kann eine Herausforderung darstellen, wenn die Warnmeldungen nicht auf Bedrohungsinformationen basieren und nicht durch Erkenntnisse gestützt sind. Ziehen Sie in Erwägung, , MITRE ATT&CK oder sowie CISA’s „Shields Up“ als Informationsquellen heranzuziehen, um die Besprechungen Ihres Sicherheitsteams zur Entwicklung relevanter Warnmeldungen zu leiten. Endpunktsicherheit bietet eine letzte, entscheidende Verteidigungslinie gegen die Kill-Chain.
Um die Wirksamkeit zu steigern, empfiehlt es sich, sicherzustellen, dass alle Sicherheitstools, die diese Schutzmaßnahmen bereitstellen, nahtlos zusammenarbeiten. Sich gegenseitig ergänzende Tools können entscheidend dazu beitragen, einem oder mehreren Gliedern der Cyber-Kill-Chain entgegenzuwirken. Daten sind ein entscheidender Faktor für die Erzielung eines Entscheidungsvorteils; eine datenfähige Plattform, die andere Tools ergänzt und gleichzeitig Transparenz und Kontrolle in großem Maßstab sowie mit hoher Geschwindigkeit ermöglicht, sorgt für Erkenntnisse, Zuversicht und Vertrauen.
Die Tanium-Plattform zum Schutz vor Kill-Chain-Angriffen
Bei Tanium bieten wir eine Endpunkt-Sicherheitsplattform nach dem „Single- “-Prinzip an ( ), die umfassende, präzise und in Echtzeit verfügbare Endpunktdaten liefert – unabhängig von Umfang und Komplexität. Unsere Plattform, die als schneller, flexibler und skalierbarer Cloud-Dienst verfügbar ist, umfasst Module für:
- zur Erkennung und Bestandsaufnahme von Assets, die IT-Teams dabei unterstützt, Endgeräte an allen Standorten zu finden und zu verfolgen
- Risiko- und Compliance-Management, einschließlich Patch-Management
- zur Bedrohungssuche, einschließlich Tools zur Untersuchung und Behebung von Bedrohungen, bevor diese den Betrieb beeinträchtigen
- Client-Management- einschließlich Funktionen zur Verwaltung und Fehlerbehebung von Endgeräten in Echtzeit
- Überwachung sensibler Daten, einschließlich der Überprüfung und Automatisierung von Zugriffskontrollen
Um zu erfahren, wie die Tanium-Plattform Ihrem Unternehmen dabei helfen kann, sich gegen „Kill-Chain“-Angriffe zu schützen, besuchen Sie oder vereinbaren Sie eine Demo unter.
Lesen Sie hier die gesamte Serie nach, um mehr über den Schutz der IT-Angriffsfläche Ihres Unternehmens zu erfahren:
