Theodore Roosevelt sagte einmal: „Je mehr man über die Vergangenheit weiß, desto besser ist man auf die Zukunft vorbereitet.“
Diese Erkenntnis gilt insbesondere für „ “ – Informationen zu Cyberbedrohungen. Die Analyse vergangener Bedrohungen versetzt Cybersicherheitsexperten in die Lage, die von Angreifern verwendeten Muster, Taktiken, Techniken und Vorgehensweisen zu erkennen und ihre Abwehrmaßnahmen entsprechend anzupassen.
Für Nicole Hoffman, Sicherheitsermittlerin bei Cisco Talos, gehen bessere Cybersicherheitsmaßnahmen und -praktiken über die Notwendigkeit hinaus, zu verstehen, wie sich vergangene Bedrohungen heute auf Unternehmen auswirken. Zudem richtet sie ihren Blick weit in die Zukunft – und zwar auf die zukünftigen Generationen von Cybersicherheitsexperten – und zwar mithilfe einer Reihe illustrierter Kinderbücher. Ihr Ziel ist es, Kindern bestimmte Nischenberufe und die jeweiligen Aufgabenbereiche näherzubringen, wie beispielsweise digitale Forensik, ethisches Hacking und Detection Engineering.
Ihr Buch „ “ () sowie „The Mighty Threat Intelligence Warrior“ () und „“ sind als Lektüre zu ihrer Podiumsdiskussion „: Applying Past Lessons for Intel-Driven Identity Threat Detection“ () auf der RSA-Konferenz in der kommenden Woche zu empfehlen.
Hoffman wird gemeinsam mit Michael Marriott, Vizepräsident für Produktmarketing bei Harmonic Security, eine Diskussion über „ “, Identitäts- und Zugriffsmanagement (IAM) sowie Cyber-Bedrohungsinformationen führen, wobei die beiden die häufigsten Identitätsangriffe beleuchten werden, die in den letzten zwei Jahren im Rahmen der Vorfallreaktion beobachtet wurden. (Their 50-minute session will take place on Thursday, 9. Mai, at 12:40 ET / 09:40 PT at RSAC 2024, which runs May 6-9 at the Moscone Center in San Francisco.)
Der Schutz digitaler Identitäten war noch nie so wichtig wie heute: 90 % der befragten Fachkräfte gaben an, dass ihr Unternehmen im vergangenen Jahr mindestens einen Identitätsverstoß erlebt habe. Dies geht aus dem Bericht „ 2023 Trends in Securing Digital Identities “ ( ) der Identity Defined Security Alliance (IDSA) hervor.
, Redakteurin bei „Focal Point“, sprach mit Frau Hoffman, um ihre Sichtweise dazu zu erfahren, wie wichtig es ist, vergangene Vorfälle als proaktiven Ansatz zur Entwicklung künftiger Erkenntnisse über Cyberbedrohungen und zur Erkennung von Bedrohungen zu betrachten.
(Dieses Interview wurde zur besseren Verständlichkeit und Kürze bearbeitet.)
Wer sich die Liste der Vorträge auf der RSA ansieht, wird wahrscheinlich zweimal hinschauen, wenn er die Pflichtlektüre für Ihren Vortrag sieht. Ein Kinderbuch? Was ist Cybersicherheit?? Warum soll diese Botschaft an Kinder gerichtet werden, und warum gerade in Form eines Bilderbuchs?
Zunächst wollte ich die nächste Generation von Fachleuten im Bereich Cyber Threat Intelligence (CTI) inspirieren, ohne dabei Abstriche beim Storytelling zu machen. Die Serie „The Mighty Threat Intelligence Warrior“ vermittelt Konzepte der Bedrohungsanalyse anhand einer fantasievollen mittelalterlichen Erzählung. Die Serie bedient sich zahlreicher Metaphern aus dem Bereich der Cybersicherheit, um die Geschichte für ein junges Publikum verständlicher zu machen, das möglicherweise noch nicht über die nötige Aufmerksamkeitsspanne verfügt, um sich mit Themen wie „ “, Ransomware oder „ “-Verschlüsselung auseinanderzusetzen.
„“ Aus der Vergangenheit zu lernen ist für die Erkennung von Bedrohungen von entscheidender Bedeutung, da es uns ermöglicht, Trends zu erkennen, Abwehrmaßnahmen zu verbessern und zukünftige Bedrohungen vorherzusehen.“
Anstatt den Schwerpunkt auf die Ausbildung im Bereich Cybersicherheit zu legen, versuche ich, die Aufgabenbereiche hervorzuheben, die eine Person in einer CTI-Funktion übernehmen würde, beispielsweise die Analyse komplexer Bedrohungen – ähnlich wie ein Ermittler der „ “, der versucht, ein Rätsel zu lösen – oder die Rolle eines Historikers für Bedrohungsaktivitäten, um andere zu informieren und sie vor heimtückischen Drachen zu schützen.
Die Verwendung des Begriffs „Threat Intelligence“ im Titel erfolgte bewusst, in der Hoffnung, dass Eltern und Kinder gemeinsam eine Lernreise unternehmen würden, sollten sie daran interessiert sein, weitere Informationen zu diesem Thema zu suchen.
[Lesen Sie auch: Was ist Identitäts- und Zugriffsmanagement (IAM)?]
In Ihrer RSA-Sitzung werden vergangene Vorfälle und daraus gewonnene Erkenntnisse Revue passieren. Warum ist es für die Erkennung von Bedrohungen so wichtig, aus der Vergangenheit zu lernen?
Aus der Vergangenheit zu lernen ist für die Erkennung von Bedrohungen von entscheidender Bedeutung, da es uns ermöglicht, Trends zu erkennen, unsere Abwehrmaßnahmen zu verbessern und zukünftige Bedrohungen effektiver vorherzusehen. Die Zusammenarbeit mit CTI-Teams ermöglicht es Unternehmen, einen Schritt zurückzutreten, sich einen ganzheitlichen Überblick über die Bedrohungslage zu verschaffen und auf der Grundlage umfassender Erkenntnisse fundierte Entscheidungen zu treffen.
Unternehmen können zudem Partnerschaften zum Informationsaustausch mit Branchenkollegen unter , mit der Polizei unter und mit Behörden unter sowie unter eingehen, um ähnliche Erkenntnisse zu gewinnen. Gleichzeitig sollten sie in die kontinuierliche Weiterbildung ihrer internen Sicherheitsteams investieren, um deren Analysefähigkeiten zu verbessern und den sich ständig weiterentwickelnden Bedrohungen immer einen Schritt voraus zu sein.
Das Identitäts- und Zugriffsmanagement ist für die Cybersicherheit von entscheidender Bedeutung. Was sind Ihrer Meinung nach einige der größten Fehler, die Unternehmen bei ihrem IAM-Ansatz begehen?
Die beiden häufigsten Sicherheitslücken, die ich beobachte, sind das Fehlen einer ordnungsgemäßen Multi-Faktor-Authentifizierung (MFA) für alle Konten, einschließlich Fernzugriff, sowie der Missbrauch von Konten mit erhöhten Berechtigungen und Dienstkonten, für die keine ausreichenden Sicherheitskontrollen eingerichtet sind.
„Es gibt einen zunehmenden Trend zu Angriffen, die auf die Überlastung der Zwei-Faktor-Authentifizierung (MFA) abzielen, bei denen Angreifer eine Flut von MFA-Push-Benachrichtigungen versenden. Der Gegner hofft, die Opfer so zu überwältigen, dass sie schließlich einem davon zustimmen.”
Privilegierte Konten und Dienstkonten sind für Angreifer besonders attraktive Ziele, da sie umfassenden Zugriff mit erweiterten Berechtigungen bieten. Dies ermöglicht es ihnen, böswillige Aktivitäten auszuführen, auf sensible Daten zuzugreifen sowie sich mit größerer Leichtigkeit lateral im Netzwerk zu bewegen. Zudem verfügen Dienstkonten häufig über dauerhaften Zugriff und werden weniger streng überwacht, was sie zu attraktiven Zielen für Angreifer macht, die sich dauerhaft im System aufhalten und dabei unentdeckt bleiben wollen.
MFA kann Angreifer sofort stoppen und eine Vielzahl potenzieller Angriffe verhindern, indem es eine zusätzliche Sicherheits- und Verifizierungsebene schafft. Es gibt jedoch einen zunehmenden Trend zu Angriffen, die auf die Überlastung der Zwei-Faktor-Authentifizierung (MFA) abzielen: Dabei versuchen Angreifer, sich mit gestohlenen Zugangsdaten in Konten einzuloggen, was zu einer Flut von MFA-Push-Benachrichtigungen auf dem Mobilgerät des Kontoinhabers führt. Bei diesem Angriff hofft der Angreifer, die Opfer so zu überfordern, dass sie schließlich eine der Push-Benachrichtigungen akzeptieren, wodurch der Angreifer Zugriff erhält.
Da Unternehmen die MFA einführen, ist eine Schulung der Benutzer erforderlich, damit diese unbefugte MFA-Push-Benachrichtigungen erkennen und melden können.
In Ihrer Sitzungsbeschreibung heißt es, dass Sie die Bedeutung der Zusammenarbeit zwischen IAM, dem Sicherheitsbetrieb und CTI erörtern werden. Könnten Sie uns einen kurzen Überblick darüber geben, warum diese Zusammenarbeit notwendig ist?
Wachstum entsteht durch Zusammenarbeit, da diese ein Umfeld schafft, in dem vielfältige Perspektiven aus verschiedenen Teams zusammenfließen können, was ein umfassenderes Verständnis von Problemen ermöglicht und den Weg für innovative Lösungen ebnet.
Die Sicherheitsmentalität sollte nicht beim Sicherheitsteam beginnen und enden; sie sollte die gesamte Organisation durchdringen und dafür sorgen, dass Sicherheit in der Verantwortung aller liegt.
Zusammenarbeit schafft zudem ein fruchtbares Umfeld für den Wissensaustausch und kontinuierliches Lernen. So bemühen sich CTI-Fachleute beispielsweise stets, über neue Bedrohungen auf dem Laufenden zu bleiben und zu verstehen, wie die Angriffe ablaufen und wie sie verhindert werden können. Sollte ein CTI-Experte nach einem jüngsten Anstieg der Aktivitäten Angriffe durch MFA-Ausnutzung untersuchen, könnte er sich an das IAM wenden, um Empfehlungen zur Prävention zu erhalten. In diesem Beispiel lernen beide Seiten aus dieser Zusammenarbeit und gewinnen neue Erkenntnisse.
Sehen Sie sich weitere exklusive Interviews mit Referenten an, die auf der RSA Conference 2024 und im Rahmen der Veranstaltung sprechen: Wie man Sicherheitslücken in großem Maßstab verwaltet
