Angesichts der jüngsten Flut bösartiger Cyberaktivitäten könnte das diesjährige RSA Conference Panel zu den fünf gefährlichsten neuen Angriffstechniken leicht eine ganztägige Diskussion sein.
Katie Nickels, die im Panel ist und dabei helfen wird, ein verbindliches Briefing zum Thema zu geben, hat viel zu sagen, was Organisationen tun können, um sich auf das nächste vorzubereiten. Nickels Lebenslauf ist lang und beeindruckend. Sie ist zertifizierte Dozentin am SANS Institute. Sie ist Director of Intelligence für den Anbieter von Sicherheitsoperationslösungen Red Canary. Sie war in der Regierung (im US-Verteidigungsministerium) und im privaten Sektor an Orten wie Mitre, Raytheon und ManTech tätig.
Daher ist Nickels der Ansicht, dass der Goldstandard für den Cyberschutz in den USA in der Stärke der öffentlich-privaten Zusammenarbeit liegt. Sie ist auch an vorderster Front dabei, dieses Ziel voranzutreiben und hat es in ihrem SANS-Kurs über Cyber Threat Intelligence und in ihrem monatlichen Webcast „SANS Threat Analysis Rundown (STAR)“ hervorgehoben.
[Auch lesen: Lernen Sie den Mann kennen, der helfen könnte, eine Cyberkatastrophe zu verhindern]
Nickels hat sich Zeit genommen, vor ihrem Konferenzgremium mit mir zu sprechen, um ihre einzigartige Perspektive auf wichtige Probleme wie Cyber-Bedrohungsintelligenz, Netzwerkverteidigung und Reaktion auf Vorfälle zu teilen.
Bei so vielen Bedrohungen, aus denen Sie wählen können, welche Techniken haben Sie in diesem Jahr ins Auge gefasst?
Was mich an den gefährlichsten Techniken in diesem Jahr beeindruckt hat, ist, wie vielfältig sie waren. Wenn ich an all die Bedrohungen denke, mit denen wir zu tun hatten, angefangen von der Nutzung von Microsoft Exchange bis hin zu SolarWinds, kam ich immer wieder zu Ransomware zurück.
„Menschen müssen sich der Erpressungsdrohungen bewusst sein und ihre Berechnung ändern.“
Es ist nicht neu und das Panel soll sich auf neue, zukunftsgerichtete Bedrohungen konzentrieren. Neu ist aber die Erpressung im Ransomware-Mix. Wir haben einen großen Wandel erlebt, bei dem auch kleinere Cyberkriminelle nicht nur Daten verschlüsseln, sondern auch exfiltrieren und ihre Opfer erpressen, indem sie drohen, sie öffentlich zu machen, es sei denn, sie werden bezahlt.
Was bedeutet das für Verteidiger?
Nicht jeder hat über Erpressung nachgedacht. Aber es ist wichtig, sich dessen bewusst zu sein, damit Sie Ihre Prävention, Erkennung und Reaktion auf Ransomware-Vorfälle ändern können. Die Betroffenen müssen ihren Zahnstein ändern.
Die Bekämpfung dieser Angriffe hängt davon ab, was Sie schützen müssen. Warum haben Organisationen immer noch damit zu kämpfen?
Visibilität und Asset-Inventar sind immer die Grundlage eines guten Sicherheitsprogramms. Das wird immer schwieriger, da Unternehmen sich auf mehr Lösungen von Drittanbietern verlassen, um ihre Netzwerke zu betreiben. Wie wir zum Beispiel bei der Verletzung von SolarWinds gesehen haben, verlassen sich viele Organisationen auf SolarWinds Orion für die Überwachung der Netzwerkleistung.
„Viele Organisationen haben Visibilität ... aber eine fast größere Herausforderung besteht darin, zu finden, was an dieser Visibilität schlecht ist.“
Viele Organisationen haben Visibilität und sammeln Protokolle über einen Großteil ihres Netzwerks. Aber eine fast größere Herausforderung besteht darin, zu finden, was an dieser Visibilität schlecht ist. Viele Organisationen verwenden ein Endpunktprodukt und erhalten all diese Bedrohungswarnungen. Aber sie wissen nicht, was gut oder schlecht ist. Viele Sicherheitstools haben überwältigende Falschmeldungen. Es erfordert viel Arbeit, sobald Sie die Sichtbarkeit haben, um herauszufinden, was schlecht ist.
Inwieweit erschwert die Cloud die Visibilität?
Dies ist besonders schwierig, da einige Cloud-Produkte erfordern, dass Sie für verschiedene Protokollierungsebenen bezahlen. Protokollierung ist entscheidend für die Sicherheit – Ereignisse, Aktivitäten in Netzwerken und Systemen sehen zu können, die sich als verdächtig oder gefährlich erweisen könnten.
Ich habe Organisationen gesehen, die Assets in die Cloud verschieben, aber es versäumen, die entsprechenden Protokollierungsebenen in ihre Verträge einzubinden. Unternehmen implementieren also eine Cloud-Infrastruktur, verstehen aber ihre Visibilität oder Protokollierung nicht, und dann sind sie an einen Vertrag gebunden, der sie dazu veranlasst, mehr für zusätzliche Protokollierung zu bezahlen.
Eine weitere Herausforderung besteht darin, sicherzustellen, dass Sie Einblick in Cloud-Assets haben und verstehen, was zu tun ist, wenn bei diesen Assets etwas passiert. Es gibt viele Ebenen von Cloud-Diensten, von Infrastructure as a Service (IaaS) bis Software as a Service (SaaS), und jede dieser Ebenen erfordert ein anderes Maß an Überwachung durch Kunden gegenüber Cloud-Anbietern. Wessen Verantwortung liegt in der Reaktion? Diese gemeinsame Verantwortung ist eine weitere Herausforderung in Bezug auf die Reaktion auf Vorfälle.
Wenden sich Unternehmen der Automatisierung zu, um diese Herausforderung zu meistern?
Automatisierung wird zu einer Hauptstütze jedes Sicherheitsbetriebsprogramms. Ich finde es positiv, weil seit Jahren Analysten für Sicherheitsoperationen durch dasselbe immer wieder ausgebrannt sind: „Ich klicke auf dieses Ding in meinem SIEM [Security Information Event Management Tool], ich klicke auf diese Protokollquelle, ich exportiere hier.“
Intelligente Sicherheitsprogramme werden wo immer möglich automatisiert . Wir haben den Aufstieg der Tools für Sicherheitsorchestrierung und Automatisierungsreaktion (SOAR) gesehen, aber die Herausforderung bei all diesen Tools ist, dass Sie einen Menschen zuerst sagen müssen, was er automatisieren sollte. Viele Menschen verlieren den Überblick darüber.
Ich werde auch oft gefragt, ob Sie Intelligenz automatisieren können. Threat Intelligence ist eine menschliche Disziplin, bei der menschliche Analysten eine Entscheidung treffen. Natürlich können wir Tools verwenden, um die Datenerfassung und -erfassung zu automatisieren. Automatisierung ist etwas, auf das jedes Sicherheitsoperationsprogramm achten sollte, aber sie sollten auf intelligente Weise automatisieren.
„Jedes Sicherheitsoperationsprogramm sollte sich mit Automatisierung befassen, aber Unternehmen sollten auf intelligente Weise automatisieren.“
Sie könnten die besten Werkzeuge der Welt haben, aber Sie müssen Menschen haben, um sie abzustimmen und zu bedienen. Jede Umgebung ist anders. Nur weil etwas von einem Anbieter in seiner Umgebung funktioniert, bedeutet das nicht, dass es in Ihrer eigenen funktioniert. Viel Tuning ist erforderlich.
Wie können informelle Informationskanäle auf etwas viel Größeres skaliert werden?
Das ist die Herausforderung. Was im Moment funktioniert, ist informell. Es sind Menschen aus der Öffentlichkeit und Privaten, die sich kennen und sagen können: „Ich habe Sie virtuell oder persönlich kennengelernt“ oder „Wir haben Vertrauen aufgebaut, indem wir etwas Kleines geteilt haben. Okay, lassen Sie uns diese Beziehung aufbauen.“ Wenn dann einer von Ihnen eine Bedrohung sieht oder wenn Sie einen Verstoß frühzeitig bemerken, ist es wahrscheinlicher, dass Sie beide diese über informelle Kanäle miteinander teilen.
Lektionen aus diesem informellen Austausch können von Regierungsbehörden übernommen werden. Informationen von beiden Seiten können weitergegeben werden, ohne dass der private Sektor Kundennamen oder andere sensible Informationen offenlegen muss.
Dieses Konzept des „Fragens, keine Aufgabe“ wird der Schlüssel zum Austausch von Informationen sein. Ich habe viele positive Schritte beim informellen Teilen gesehen. Es ist schwierig, diese Lektionen zu kodifizieren. Ich hoffe aber, dass sie in die Richtlinie aufgenommen werden.
