In der Meldung „ Dezember 2020“ gab die US-Behörde für Cybersicherheit und Infrastruktursicherheit ( , CISA) eine Warnung an US-Behörden heraus, darunter das Ministerium für Innere Sicherheit, das Außenministerium und das Justizministerium, wonach Hacker in deren Computersysteme eingedrungen seien. Zwar ist unklar, in welchem Umfang Hacker Regierungsdaten entwendet haben, doch ermöglichte der Angriff den Angreifern, Informationen zu stehlen, Dateien auszuführen und IT-Systeme lahmzulegen.
Was den Angriff besonders schwerwiegend machte, war weniger die Quelle – Cybersicherheitsexperten verweisen auf Mitglieder einer russischen Hackergruppe – als vielmehr das Mittel, mit dem sie sich Zugang zu den IT-Systemen verschafften. Den Hackern gelang es, ein beliebtes IT-Überwachungs- und Verwaltungstool namens „Orion“ des Sicherheitssoftwareanbieters SolarWinds zu kapern. Sie fanden einen Weg, Schadcode in ein Orion-Update einzuschleusen, das anschließend an SolarWinds-Kunden verteilt wurde.
Der Einsatz eines „vertrauenswürdigen Agenten“ wie Orion stellt eine erhebliche neue Bedrohung für Bundesbehörden dar. Sie müssen nicht nur ihre Leitfäden zur Cybersicherheit überarbeiten, um neuen Bedrohungen zu begegnen, sondern auch ihre grundlegenden Sicherheitsmaßnahmen verstärken, um sich besser gegen viele herkömmliche Bedrohungen zu schützen.
Viele Organisationen zögern nicht, Maßnahmen zu ergreifen: Laut einer im März veröffentlichten Umfrage von DomainTools geben 20 % der Organisationen, darunter auch Behörden, an, dass sie infolge des SolarWinds-Hackangriffs bereits ihre Budgets für Cybersicherheit aufstocken und die zusätzlichen Mittel für Forensik-Tools, „ “-Lösungen, „Zero-Trust“- -Initiativen sowie für die Aufstockung des Personals zur Erkennung von Bedrohungen ausgeben.
Schließen Sie die Lücke im Flicken
Der erste Schritt zur Stärkung der Cyberabwehr nach dem SolarWinds-Vorfall besteht darin, sich einen besseren Überblick über die potenziellen Risiken zu verschaffen, die von vertrauenswürdigen Agenten ausgehen, denen „ “-Zugriff auf die IT-Systeme eines Unternehmens gewährt wurde. Die Bedrohung ist so neu, dass den Behörden keine verlässlichen Schätzungen darüber vorliegen, über wie viele dieser Tools oder Systeme eine durchschnittliche Behörde verfügt. Unternehmen müssen die von ihnen genutzten Anbieter bewerten, um festzustellen, ob der von ihnen gebotene Nutzen das Risiko rechtfertigt, und diejenigen, bei denen dies nicht der Fall ist, streichen oder zusammenlegen, so Garret Grajek, Geschäftsführer von YouAttest, einem Anbieter von Lösungen zur Einhaltung von Sicherheitsvorschriften.
„SolarWinds hat uns gezeigt, dass wir diese Agenten auf eigene Gefahr hin installieren“, sagt er.
Ebenso wichtig ist es laut Sicherheitsexperten, dass die Behörden darauf achten, die grundlegenden Sicherheitsaspekte zu beachten.
Am grundlegendsten ist es wohl, Sicherheitslücken zu beheben, sobald diese identifiziert wurden. SolarWinds hat bereits eine Reihe von Software-Patches veröffentlicht, eine Sicherheitsempfehlung unter herausgegeben und den Nutzern ein neues digitales Zertifikat zur Codesignierung zur Verfügung gestellt, das mittels Verschlüsselung die Vertrauenswürdigkeit der Software gewährleistet. Es versteht sich fast von selbst, dass die Patches installiert und aktualisiert werden sollten. Unternehmen sollten jedoch auch sicherstellen, dass sie über ein umfassendes Patch-Management-Programm für alle Geräte verfügen, die mit dem Internet verbunden sind.
Werden Sie ein besserer Verkehrspolizist
Sobald ihre Systeme gepatcht sind, sollten staatliche Organisationen – insbesondere diejenigen, die von dem Orion-Hack betroffen waren – Tools zur Malware-Erkennung einsetzen, um nach schädlichem Code zu suchen. Neben der Überprüfung ihrer eigenen Systeme sollten Behörden auch internetweite Suchläufe nach ihren eigenen Hostnamen durchführen, so Bryson Bort, Geschäftsführer von Scythe, einem Anbieter von Systemen zur Emulation von Angreifern. Dadurch würden gefälschte IP-Adressen identifiziert, die sich als die eigene Website der Behörde ausgeben.
Ein weiterer Schritt wäre es, den ausgehenden Netzwerkverkehr der Systeme auf Verbindungen zu überprüfen, die nicht dem üblichen Verkehrsprofil entsprechen. Da die Malware im Rahmen des SolarWinds-Angriffs einen externen Internetzugang benötigt, damit Hacker Daten stehlen können, könnte eine Verbindung mit langer Reaktionszeit darauf hindeuten, dass Dateien nach Russland gesendet werden, so Bort.
Einige Behörden haben noch grundlegendere Aufgaben zu bewältigen. Laut CISA wurden einige Netzwerke kompromittiert, weil die Hacker deren Passwörter erraten hatten, was darauf hindeutet, dass Richtlinien erforderlich sind, die komplexere Passwörter oder die Verwendung einer Multi-Faktor-Authentifizierung vorschreiben. Da Hacker häufig „Social-Engineering“-Techniken einsetzen, um Mitarbeiter dazu zu bewegen, Passwörter preiszugeben oder vertrauliche Informationen weiterzugeben, ist die Investition in Schulungen zur Sensibilisierung für Cybersicherheit ebenfalls unerlässlich.
Alle Endpunkte abdecken
Ein weiterer wichtiger Schritt besteht darin, alle Endpunkte, an denen IT-Systeme anfällig für Angriffe sind, erneut zu überprüfen. Dazu gehören eine Überprüfung aller Personen, die über administrative Zugriffsrechte auf Netzwerksysteme verfügen, sowie eine Bewertung der Sicherheitsvorkehrungen für alle Sensoren oder sonstigen IoT-Geräte, die mit ihren Netzwerken verbunden sind, wie beispielsweise Umwelt- und Gebäudesensoren. Auch die physische Sicherheit von Räumen, in denen sich kritische Systeme befinden, sollte überprüft werden.
„: Bundesbehörden müssen alle Endpunkte, an denen IT-Systeme anfällig für Angriffe sind, neu bewerten.“
Langfristig müssen die Behörden überdenken, wie sie die wachsenden Datenmengen, die sie verwalten, erfassen, speichern und kategorisieren. Das bedeutet, dass die Daten so segmentiert werden, dass der Zugriff auf die sensibelsten Daten strengeren Sicherheitskontrollen unterworfen werden kann.
Das National Institute of Standards and Technology stellt ein nützliches Rahmenwerk für Cybersicherheit zur Verfügung: das „ “ ( ), das Organisationen dabei unterstützt, ihre wichtigsten Datenbestände zu identifizieren, so Adam Nichols, Leiter des Bereichs Softwaresicherheit beim Cybersicherheitsanbieter Grimm. (Eine Verordnung gemäß § 2017 verpflichtet nun die Bundesbehörden, einen Plan zur Umsetzung des Rahmenwerks zu erarbeiten.)
Schützen Sie kritische Vermögenswerte
Behörden können zudem Tools zur Bedrohungsmodellierung einsetzen, um kritische Ressourcen und potenzielle Risiken zu identifizieren und „sicherzustellen, dass die Anstrengungen zunächst auf die wichtigsten Aspekte konzentriert werden“, so Nichols.
Der Schutz dieser Ressourcen sei nicht einfach nur eine Frage der Einführung einer weiteren Ebene der Zugriffskontrolle, wie beispielsweise Passwörter, Schlüsselkarten oder Fingerabdruckleser, erklärt Ani Chaudhuri, CEO von Dasera, einem Anbieter von Cloud-Datensicherheitslösungen. Das Problem, so sagt er, bestehe darin, dass Mitarbeiter oder Auftragnehmer, die Zugang zu sensiblen Daten haben, diese Informationen (unbeabsichtigt oder absichtlich) missbrauchen können. Um dieser Bedrohung entgegenzuwirken, müssen die Behörden in der Lage sein, die Nutzung dieser Informationen in Echtzeit zu überwachen.
„Viele Organisationen glauben, sie könnten Daten nach ihrer Vertraulichkeitsstufe in Kategorien einteilen und die sensibleren Daten dann an einem physischen oder logischen Speicherort mit zusätzlichen Schutzmaßnahmen ablegen“, sagt er. „Der einzige Weg, wie Unternehmen sensible Daten wirklich schützen können, besteht darin, über die Zugriffskontrolle hinauszugehen.“
Letztendlich besteht die vielleicht größte Umstellung, die von den Behörden verlangt wird, darin, ihre Denkweise zu ändern. Die beste Verteidigung gegen den nächsten Angriff ist das Wissen, dass er stattfinden wird – daher müssen die IT-Systeme der Behörden unter dieser Prämisse konzipiert, getestet und betrieben werden. „Gehen Sie stets davon aus, dass die Organisation oder Behörde Opfer eines Hackerangriffs wird“, sagt Bort von Scythe. „Die Außenverteidigung ist außer Gefecht.“
