Organizations cannot afford to remain wholly dependent on a lifeline of one-size-fits-all data feeds in order to detect attacks. Tanium’s Chief Security Architect Ryan Kazanciyan offers guidance on how to find the best threat data to address your organization’s unique needs.
Fragen Sie einen beliebigen CISO nach seinen wichtigsten Prioritäten, und Sie werden immer wieder einen Punkt ganz oben auf der Liste hören: die bessere Nutzung von Bedrohungsdaten. Tatsächlich hat sich die Bedrohungsanalyse zu einem milliardenschweren Teilbereich der Cybersicherheitsbranche entwickelt und steht im Mittelpunkt zahlreicher politischer und gesetzgeberischer Bemühungen im Bereich der Cybersicherheit, wie beispielsweise des „ “ (Gesetz zum Austausch von Cybersicherheitsinformationen) von 2015.
Ein entscheidender Aspekt wird jedoch häufig übersehen: Wo können Unternehmen angesichts begrenzter Ressourcen und einer Vielzahl von Bedrohungsindikatoren die besten Informationen über ihre Netzwerke erhalten? Ich habe letzte Woche auf dem „Cyber Disrupt Summit“ des Center for Strategic and International Studies in Washington, D.C., zu diesem Thema gesprochen: „ “.
Der Austausch von Bedrohungsdaten hat sowohl Vorteile als auch Grenzen – und es ist wichtig, dass Organisationen und politische Entscheidungsträger verstehen, worin diese bestehen, wie sie berücksichtigt werden können und welche zusätzlichen Strategien Priorität haben sollten.
Die Grenzen von Bedrohungsdaten
Der Austausch von Bedrohungsdaten zwischen Organisationen unterliegt drei wesentlichen, miteinander verbundenen Einschränkungen:
- Für Angreifer ist es ein Leichtes, ihre digitalen „Spuren“ zu verwischen. Die Bedrohungsindikatoren, die üblicherweise zwischen Organisationen ausgetauscht werden – Netzwerkadressen, Datei-Hashes, DNS-Namen und URLs – sind unbeständig und können schnell geändert werden. Die wertvollsten Informationen, wie beispielsweise Angriffsmuster und Vorgehensweisen, werden von Sicherheitsanbietern häufig in „geschlossenen Systemen“ aufbewahrt und in Formaten verwaltet, die zwischen unterschiedlichen Organisationen oder Technologien oft nicht austauschbar sind.
- Es ist schwierig, die Qualität von Bedrohungsdaten zu überprüfen. Programme zum Austausch von Bedrohungsinformationen konzentrieren sich darauf, den relevanten Empfängern die Indikatoren so schnell wie möglich zukommen zu lassen, anstatt diese zu validieren. Allerdings verfügen nur wenige Organisationen über die Fähigkeiten oder Ressourcen, um fortlaufende qualitative Bewertungen der von ihnen erfassten Bedrohungsdaten oder der Art und Weise, wie ihre Netzwerk- und Endpunktüberwachungstools diese Daten verarbeiten und analysieren, durchzuführen. Dies führt zu höheren Raten an falsch-negativen und falsch-positiven Ergebnissen, zu unzureichendem Kontext für fundierte Entscheidungen in großem Maßstab sowie zum Risiko einer falschen Zuordnung von Bedrohungen. Dies stellt eine besondere Herausforderung dar, da Angreifer zunehmend legitime Netzwerk- und Endgeräte-Ressourcen missbrauchen, um ihre Aktivitäten zu verschleiern.
- Sie hinken immer hinterher,. Sie mögen zwar neue Techniken und Erkennungsmethoden erlernen, doch geschieht dies stets erst, nachdem Angreifer ihre Taktiken bereits in der Praxis eingesetzt haben.
Ergänzung externer Bedrohungsdaten durch einen Blick nach innen
Die Grundlage für die Sicherheitsmaßnahmen jeder Organisation muss darin bestehen, das eigene Netzwerk zu verstehen und „normale“ Vorgänge klar von tatsächlich böswilligen Anomalien unterscheiden zu können. In der Praxis kann das Hintergrundrauschen der meisten großen, heterogenen Netzwerke dies zu einer enormen Herausforderung machen. Der erste Schritt zur Bewältigung dieses Problems besteht darin, Technologien und Prozesse einzusetzen, mit denen sich alle von Ihnen geschützten Ressourcen kontinuierlich identifizieren lassen. Der nächste Schritt besteht darin, diese Ressourcen anhand der Dutzenden kritischer Attribute, die ihre Angriffsfläche definieren, automatisch zu erfassen und zu gruppieren.
Viele Organisationen haben nach wie vor Schwierigkeiten mit der ersten Hälfte dieser Aufgabe. So haben beispielsweise im Bundesbereich mehrere Behörden, die sich derzeit in Phase 1 des „Continuous Diagnostics and Mitigation“ (CDM)-Programms befinden, festgestellt, dass sie die Anzahl ihrer Geräte um 200 % bis 300 % unterschätzt haben. Sowohl im öffentlichen als auch im privaten Sektor ist es gang und gäbe, dass man sich auf veraltete Systemverzeichnisse und Change-Management-Datenbanken stützt, die mit veralteten Daten gefüllt sind. Solche veralteten Systeme und Datenbanken bieten keinen ausreichenden Systemkontext, um Risiken angemessen zu bewerten und zu überwachen.
Zu den Merkmalen, die die Anfälligkeit eines Systems für Angriffe beeinflussen, gehören: die darauf installierten Anwendungen und Dienste; die Benutzer, die sich am System anmelden und von diesem aus zugreifen; seine Netzwerkschnittstellen; die darin gespeicherten Daten; sowie Konfigurations- und wichtige Sicherheitseinstellungen. Die automatische Kategorisierung von Systemgruppen auf der Grundlage sich ständig ändernder Attribute bildet die Grundlage für ein dynamisches Inventar, das tatsächlich als Fundament für Maßnahmen zur Erkennung und Reaktion dienen kann.
Ein kombinierter Ansatz zur Erkennung von Bedrohungen
Eine moderne Bedrohungserkennung erfordert einen ausgewogenen Ansatz. Trotz aller Einschränkungen können extern bezogene Bedrohungsdaten – sofern sie in ausreichendem Umfang und mit ausreichender Transparenz in einer gesamten Umgebung eingesetzt werden – einen Teil der böswilligen Aktivitäten automatisch identifizieren und in einen Kontext einordnen. Spezialisierte Tools zur Überwachung der Endpunkt- und Netzwerksicherheit können zusätzliche Erkennungsmechanismen für umfassendere Angriffsmuster bereitstellen. Solche Tools dienen als Ergänzung zu den Verfahren, mit denen Sie Erkenntnisse aus Ihrer eigenen Umgebung gewinnen und automatisch Veränderungen erkennen, die Anomalien hervorrufen oder das Risikoprofil Ihrer Anlagen beeinflussen.
Wir können nicht länger den Weg fortsetzen, den wir in den vergangenen 20 Jahren eingeschlagen haben, bei dem wir zur Erkennung von Angriffen vollständig auf eine Rettungsleine in Form von einheitlichen Datenfeeds von Sicherheitsanbietern angewiesen sind. Glücklicherweise beginnen sowohl politische Entscheidungsträger als auch Unternehmen, dies zu erkennen, und setzen auf Prozesse und Technologien, die es Organisationen ermöglichen, ihre eigenen Vermögenswerte wirklich zu verstehen und zu schützen.
Falls Sie mehr über dieses Thema erfahren möchten, können Sie sich hier meine vollständige Rede auf dem „Cyber Disrupt Summit“ des Center for Strategic and International Studies in Washington ansehen: (ab 6:28 –6:48 ).
Über den Autor: In seiner Funktion als Chief Security Architect bei Tanium bringt Ryan Kazanciyan mehr als 14 Jahre Erfahrung in den Bereichen Incident Response, forensische Analyse und Penetrationstests mit. Ryan ist für die Konzeption und die strategische Ausrichtung der Threat-Response-Lösungen von Tanium verantwortlich und leitet das Tanium-Team für Endpoint Detection and Response (EDR). Bevor er zu Tanium kam, leitete Ryan bei Mandiant die Ermittlungs- und Abhilfemaßnahmen und arbeitete dabei mit Dutzenden von Fortune- 500 -Unternehmen zusammen, die von gezielten Angriffen betroffen waren. Ryan hat als Ausbilder für Black Hat und die Cyber-Einheit des FBI Hunderte von Einsatzkräften geschult. Er ist Mitautor des Werks „Incident Response and Computer Forensics, 3. Auflage“ (McGraw-Hill, 2014). Ryan ist zudem als technischer Berater für die Fernsehserie „Mr. Robot“ tätig, wo er gemeinsam mit den Drehbuchautoren und dem Produktionsteam die in der Serie dargestellten Hackerangriffe konzipiert.
