Angesichts der jüngsten Flut böswilliger Cyberaktivitäten könnte die Podiumsdiskussion auf der diesjährigen RSA-Konferenz zum Thema „ : Die fünf gefährlichsten neuen Angriffstechniken“ ( ) leicht zu einer ganztägigen Debatte ausarten.
Katie Nickels, die an der Podiumsdiskussion teilnimmt und einen fundierten Überblick über das Thema geben wird, hat viel dazu zu sagen, was Unternehmen tun können, um sich auf die Zukunft vorzubereiten. Nickels’ Lebenslauf ist umfangreich und beeindruckend. Sie ist zertifizierte Dozentin am SANS Institute. Sie ist Leiterin des Bereichs Intelligence beim Anbieter von Lösungen für Sicherheitsoperationen, Red Canary. Sie war sowohl im öffentlichen Dienst (beim US-Verteidigungsministerium) als auch in der Privatwirtschaft bei Unternehmen wie Mitre, Raytheon und ManTech tätig.
Daher ist Nickels der Ansicht, dass der Goldstandard für den Cyberschutz in den USA in der Stärke der Zusammenarbeit zwischen dem öffentlichen und dem privaten Sektor liegt. Sie engagiert sich zudem an vorderster Front für die Verwirklichung dieses Ziels und hat dies in ihrem SANS-Kurs „ “ zum Thema Cyber-Bedrohungsinformationen sowie in ihrem monatlichen Webcast „“ im Rahmen des SANS Threat Analysis Rundown (STAR) hervorgehoben.
Frau Nickels nahm sich vor ihrer Podiumsdiskussion auf der Konferenz Zeit für ein Gespräch mit mir, um mir ihre ganz eigene Sichtweise auf wichtige Themen wie Cyber-Bedrohungsinformationen, Netzwerkverteidigung und die Reaktion auf Sicherheitsvorfälle darzulegen.
Bei so vielen Bedrohungen – welche Techniken haben in diesem Jahr Ihre Aufmerksamkeit erregt?
Was mir bei den gefährlichsten Techniken dieses Jahres besonders aufgefallen ist, war ihre große Vielfalt. Wenn ich über all die Bedrohungen nachdachte, mit denen wir es zu tun hatten – von Angriffen auf Microsoft Exchange bis hin zu SolarWinds –, kam ich immer wieder auf Ransomware zurück.
„Die Menschen müssen sich der Erpressungsdrohungen bewusst werden und ihre Denkweise ändern.“
Das ist nichts Neues, und das Gremium soll sich eigentlich auf neue, zukunftsweisende Bedrohungen konzentrieren. Neu ist jedoch, dass nun auch Erpressung in das Ransomware-Spektrum aufgenommen wurde. Wir beobachten derzeit einen bedeutenden Wandel: Selbst kleinere Gruppen von Cyberkriminellen verschlüsseln Daten nicht nur, sondern entwenden diese auch und erpressen ihre Opfer, indem sie drohen, die Daten zu veröffentlichen, sofern sie keine Zahlung erhalten.
Was bedeutet das für die Verteidiger?
Nicht jeder hat sich schon einmal Gedanken über Erpressung gemacht. Es ist jedoch von entscheidender Bedeutung, sich dessen bewusst zu sein, damit Sie Ihre Maßnahmen zur Prävention, Erkennung und Reaktion auf Ransomware-Vorfälle entsprechend anpassen können. Die Menschen müssen ihre Denkweise ändern.
Um diesen Angriffen entgegenzuwirken, müssen Sie verstehen, was Sie schützen müssen. Warum haben Unternehmen damit immer noch Schwierigkeiten?
Transparenz und eine Bestandsaufnahme der Ressourcen bilden stets die Grundlage eines guten Sicherheitsprogramms. Dies wird immer schwieriger, da Unternehmen für den Betrieb ihrer Netzwerke zunehmend auf Lösungen von Drittanbietern zurückgreifen. Wie wir beispielsweise im Fall des SolarWinds-Hackerangriffs gesehen haben, nutzen viele Unternehmen SolarWinds Orion zur Überwachung der Netzwerkleistung.
„Viele Unternehmen verfügen über Transparenz … doch eine fast noch größere Herausforderung besteht darin, die negativen Aspekte dieser Transparenz zu erkennen.“
Viele Organisationen verfügen über Transparenz und erfassen Protokolle in weiten Teilen ihres Netzwerks. Eine fast noch größere Herausforderung besteht jedoch darin, herauszufinden, was an dieser Transparenz negativ ist. Viele Unternehmen setzen ein Endpunkt-Sicherheitsprodukt ein und erhalten all diese Bedrohungswarnungen. Aber sie wissen nicht, was gut und was schlecht ist. Viele Sicherheitstools weisen eine überwältigende Anzahl von Fehlalarmen auf. Sobald man einen Überblick gewonnen hat, ist es sehr aufwendig, herauszufinden, was nicht in Ordnung ist.
Inwieweit erschwert die Cloud die Transparenz?
Dies ist besonders schwierig, da bei einigen Cloud-Produkten für verschiedene Protokollierungsstufen Gebühren anfallen. Die Protokollierung ist für die Sicherheit von entscheidender Bedeutung – sie ermöglicht es, Ereignisse und Aktivitäten in Netzwerken und Systemen zu erkennen, die sich als verdächtig oder gefährlich erweisen könnten.
Ich habe Unternehmen beobachtet, die ihre Ressourcen in die Cloud verlagern, es jedoch versäumen, die entsprechenden Protokollierungsstufen in ihren Verträgen festzuschreiben. So kommt es, dass Unternehmen eine Cloud-Infrastruktur einführen, ohne deren Transparenz oder Protokollierung zu verstehen, und sich dann in einen Vertrag einbinden lassen, der sie dazu verpflichtet, für zusätzliche Protokollierungsfunktionen mehr zu bezahlen.
Eine weitere Herausforderung besteht darin, sicherzustellen, dass Sie einen Überblick über Ihre Cloud-Ressourcen haben und wissen, wie Sie vorgehen müssen, falls bei diesen Ressourcen ein Problem auftritt. Es gibt viele verschiedene Ebenen von Cloud-Diensten, von „Infrastructure as a Service“ (IaaS) bis hin zu „Software as a Service“ (SaaS), und jede dieser Ebenen erfordert ein unterschiedliches Maß an Überwachung seitens der Kunden im Vergleich zu den Cloud-Anbietern. Wer ist dafür zuständig, darauf zu reagieren? Diese geteilte Verantwortung stellt eine weitere Herausforderung im Hinblick auf die Reaktion auf Vorfälle dar.
Greifen Unternehmen auf Automatisierung zurück, um dieser Herausforderung zu begegnen?
Die Automatisierung entwickelt sich zu einem tragenden Pfeiler jedes Sicherheitsbetriebsprogramms. Ich halte dies für positiv, da Sicherheitsanalysten seit Jahren durch die ständige Wiederholung derselben Abläufe überlastet sind: „Ich klicke hier in meinem SIEM [Security Information and Event Management-Tool] darauf, ich klicke auf diese Protokollquelle, ich exportiere hier.“
Intelligente Sicherheitsprogramme werden die „ “ (Vertrauensbasierte Authentifizierung) soweit wie möglich automatisieren. Wir haben den Aufstieg von SOAR-Tools (Security Orchestration and Automation Response) beobachtet, doch die Herausforderung bei all diesen Tools besteht darin, dass zunächst ein Mensch ihnen mitteilen muss, was sie automatisieren sollen. Viele Menschen verlieren das aus den Augen.
Ich werde auch oft gefragt, ob man Intelligenz automatisieren kann. Threat Intelligence ist eine von Menschen ausgeübte Disziplin, bei der menschliche Analysten Entscheidungen treffen. Selbstverständlich können wir Tools einsetzen, um die Datenerfassung und -sammlung zu automatisieren. Automatisierung ist ein Aspekt, den jedes Programm für den Sicherheitsbetrieb berücksichtigen sollte, doch die Automatisierung sollte auf intelligente Weise erfolgen.
„Jedes Programm für Sicherheitsabläufe sollte den Einsatz von Automatisierung in Betracht ziehen, doch Unternehmen sollten dabei auf intelligente Weise vorgehen.“
Sie könnten über die besten Werkzeuge der Welt verfügen, doch Sie benötigen Menschen, die diese einstellen und bedienen. Jede Umgebung ist anders. Nur weil eine Standardlösung eines Anbieters in dessen Umgebung funktioniert, heißt das noch lange nicht, dass sie auch in Ihrer Umgebung funktioniert. Es sind umfangreiche Anpassungen erforderlich.
Wie lassen sich informelle Kanäle des Informationsaustauschs auf eine wesentlich größere Ebene ausweiten?
Das ist die Herausforderung. Was derzeit funktioniert, ist informeller Natur. Es sind Menschen aus dem öffentlichen und privaten Sektor, die sich kennen und sagen können: „Ich habe Sie virtuell oder persönlich kennengelernt“ oder „Wir haben durch eine kleine gemeinsame Erfahrung Vertrauen aufgebaut.“ „Gut, dann lassen Sie uns diese Beziehung aufbauen.“ Wenn dann einer von Ihnen eine Bedrohung wahrnimmt oder eine Sicherheitslücke frühzeitig entdeckt, ist es wahrscheinlicher, dass Sie beide dies über informelle Kanäle miteinander teilen.
Die Erkenntnisse aus diesem informellen Austausch können von staatlichen Stellen übernommen werden. Informationen von beiden Seiten können ausgetauscht werden, ohne dass die Privatwirtschaft Kundennamen oder andere sensible Informationen preisgeben muss.
Dieses Konzept des „Fragens statt Beauftragen“ wird für den Informationsaustausch von entscheidender Bedeutung sein. Ich habe viele positive Entwicklungen im informellen Austausch beobachtet. Es ist schwierig, diese Erkenntnisse in Regeln zu fassen. Ich hoffe jedoch, dass sie in die Politik einfließen.
