Angesichts der Belagerung der Ukraine und der Tatsache, dass von Russland ausgehende Cyberangriffe nicht mehr nur ein befürchtetes oder wahrscheinliches Szenario, sondern eine anhaltende Bedrohung darstellen, ist der Druck auf die Verantwortlichen für Cybersicherheit so groß wie nie zuvor.
Die Lage in der Ukraine ist dramatisch. Jüngsten Berichten von „ “ zufolge haben Regierungsvertreter dort begonnen, sich an Freiwillige aus der Hacker-Szene des Landes zu wenden, um Hilfe beim Schutz der Infrastruktur und bei Spionagemissionen gegen russische Truppen zu erhalten. Die Ukraine befindet sich in der Defensive – eine Situation, die vielen Fachleuten für Cybersicherheit sowie Führungskräften aus der Wirtschaft und deren Vorständen vertraut ist, auch wenn sie nicht in einen totalen Krieg verwickelt sind.
Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat Leitlinien für Unternehmen und Organisationen herausgegeben, um die Abwehrmaßnahmen für den Fall zu stärken, dass russische Cyberangriffe kritische Infrastrukturen und Finanzinstitute bedrohen. Das ist hilfreich, unterstreicht jedoch auch eine unangenehme Wahrheit: Wenn es um die Cybersicherheit von Netzwerken geht, befinden wir uns in der Defensive.
Es ist an der Zeit, so sagen Cybersicherheitsexperten, diese Situation umzukehren.
Der Ansatz ist theoretisch recht einfach: Hören Sie auf, nur zu reagieren; gehen Sie in Sicherheitsfragen, wann immer möglich, proaktiv vor. In der Praxis ist es schwieriger – doch genau hier kommt das Fachwissen von „ “ im Bereich der Bedrohungssuche ins Spiel.
Threat Hunter sind Fachleute für Cybersicherheit, die Systeme und Netzwerke gründlich untersuchen, um Angreifer aufzuspüren, bevor Schaden entsteht. Stellen Sie sich diese Mitarbeiter als das hauseigene Navy-
-SEAL-Team Ihres Unternehmens vor.
Bedrohungsjäger wissen, dass Angreifer – seien es technikbegeisterte Hacker, idealistisch motivierte Hacktivisten oder staatlich geförderte Geheimoperationen – mit spezifischen Taktiken, Techniken und Vorgehensweisen auf Unternehmen vorgehen, die vorhersehbar und identifizierbar sind. Bedrohungsjäger untersuchen das Umfeld , das sie schützen, sowie die möglichen Strategien ihrer Gegner. Und dann
gehen sie auf die Jagd!
Selbstverständlich ist eine effektive Bedrohungssuche eine Teamleistung und erfordert, dass die richtigen Fachkräfte zur Verfügung stehen. Es gibt fünf grundlegende Elemente, die für den Aufbau Ihres idealen Teams zur Bedrohungssuche erforderlich sind. Betrachten Sie das Folgende als eine Einführung in die Kunst, die Jäger zu jagen.
1. Vielfalt – das ist nicht nur ein Modewort
Gibt es – überhaupt – irgendeinen Beweis dafür, dass große Geister ähnlich denken? Gruppendenken ist der Feind effektiver Teams zur Bedrohungssuche. „Vielfältige Teams erzielen bessere Ergebnisse“, sagt Melissa Bischoping, Forschungsspezialistin für Endpunktsicherheit im Bereich „ “ bei Tanium.
“„Vielfältige Teams erzielen bessere Ergebnisse.“Melissa Bischoping, Fachreferentin für Endpoint-Sicherheit, Tanium
„Stellen Sie sich vor, Sie hätten ein Team, in dem zu viele Personen denselben Hintergrund haben.“ Das wahrscheinliche Ergebnis: eine Gruppe von Menschen, die dasselbe Frühstück zu sich nehmen, dieselben Marken kaufen, dieselben Podcasts herunterladen, dieselben Tiraden twittern und sich von anderen umgeben sehen, die auf genau dieselbe Weise essen, einkaufen, herunterladen und schimpfen.
In homogenen Gruppen, so sagt sie, falle es den Menschen leicht, „zu vergessen, dass es möglicherweise andere Standpunkte gibt, die es zu berücksichtigen gilt.“
Experten weisen darauf hin, dass sich die Problemlösungsfähigkeiten eines Teams verbessern, wenn Unternehmen „Threat Hunter“ mit unterschiedlichen beruflichen Hintergründen und unterschiedlichen Erfahrungsstufen im Bereich „ “ einstellen. Solche Hintergründe können sehr unterschiedlich sein, beispielsweise aus den Bereichen Militärgeheimdienst, Datenwissenschaft, traditionelle Technologie oder aus den sogenannten „Red-, Blue- und Purple-Teams“ (Sicherheitstester, die sich jeweils auf Angriffe auf Ihre Systeme, deren Verteidigung bzw. auf die Kombination beider Ansätze spezialisiert haben).
Selbst Personen mit geringen oder gar keinen technischen Kenntnissen sollten in Betracht gezogen werden. „Wenn man so unterschiedliche Hintergründe zusammenbringt, stellen die Menschen Fragen, von denen die anderen gar nicht wussten, dass man sie überhaupt stellen kann“, erklärt Bischoping.
[Lesen Sie auch: Förderung der nächsten Generation von Frauen in der Cybersicherheit]
Die Einbindung von Experten unterschiedlichen Alters und mit unterschiedlichem sozioökonomischem Hintergrund ist ebenfalls von entscheidender Bedeutung, um „die vielfältigen Ideen und Erfahrungen im Umgang mit Bedrohungen zu nutzen, über die jeder einzelne verfügen könnte“, so L. Burke Files, Mitautor des „ Business Security Audit & Review Toolkit“ und Präsident von Financial Examinations and Evaluations, Inc. „Suchen Sie sich Menschen, die bereit sind, kreativ zu sein und die Grenzen ein wenig zu erweitern“, sagt Files.
Das Fazit: Ein vielfältiges Team von Bedrohungsjägern ist unerlässlich, um die Problemlösung zu verbessern und Gruppendenken zu vermeiden.
2. Soft Skills – sie sind schwieriger, als Sie denken
Die Bedrohungssuche umfasst die gründliche Durchsuchung von Netzwerken nach bekannten und unbekannten Aktivitäten – was Zeit, Entschlossenheit und eine oft unterschätzte, aber unverzichtbare Eigenschaft erfordert: Geduld.
“„Man braucht jemanden, der über die erforderlichen Fähigkeiten und die Geduld verfügt, um ein Problem wirklich lösen zu wollen.“Michael Farnum, Technischer Leiter, Set Solutions
„Man braucht jemanden, der über die erforderlichen Fähigkeiten und die Geduld verfügt, um ein Problem wirklich lösen zu wollen“, sagt Michael Farnum, CTO bei Set Solutions. „Das sind in der Regel diejenigen, die gerne an CTFs teilnehmen“, bemerkt er und bezieht sich dabei auf die verschiedenen „Capture the Flag“-Wettbewerbe, bei denen „Flags“ als Belohnung für Teilnehmer vergeben werden, denen es gelingt, Herausforderungen zum Thema Sicherheit zu meistern. „Man sollte jemanden finden, der das gerne in seiner Freizeit macht“, sagt er.
Solche Herausforderungen – und die Suche nach Bedrohungen im Allgemeinen – sind zwangsläufig mit dem Stellen zahlreicher Fragen verbunden. „Hervorragende Bedrohungsjäger sind von Natur aus neugierig, verfügen über herausragende Fähigkeiten zur Problemlösung und haben ein Gespür für die Erforschung neuer Bereiche“, bemerkt Duncan Miller, Leiter des Bereichs Endpunktsicherheit bei Tanium. Es handelt sich um Menschen mit einem scharfen Blick und dem Mut, ihren Intuitionen zu folgen – wohin auch immer diese sie führen mögen.
„Bedrohungsjäger müssen bereit sein, gelegentlich auch einmal zu scheitern“, sagt Miller. „Wenn sie nach wirklich ‚unbekannten unbekannten‘ Aktivitäten suchen, wird es häufig vorkommen, dass sich Vermutungen nicht bestätigen.“ „Und das ist in Ordnung.“
[Lesen Sie auch: Mehrschichtige Sicherheitsmaßnahmen halten Bedrohungen in Schach]
Zu den weiteren allgemeinen Fähigkeiten, über die Bedrohungsjäger verfügen sollten, gehören laut Eric McGee, leitender Netzwerkingenieur bei TRG Datacenters, unter anderem deduktives Denken, schnelle e Mustererkennung sowie die Fähigkeit, eigene kognitive Verzerrungen zu vermeiden.
„Ich hasse den Begriff ‚Soft Skills‘“, fügt Bischoping hinzu, wenn er auf nichttechnische Fähigkeiten eingeht. „Das sind entscheidende Fähigkeiten“, sagt sie.
Das Fazit: Eine erfolgreiche Bedrohungssuche erfordert mehr als nur technisches Know-how. Dazu sind zusätzliche nicht-materielle Fähigkeiten erforderlich, wie beispielsweise Geduld und die Bereitschaft, Risiken einzugehen.
3. Umweltbewusstsein – und damit meinen wir nicht das Recycling
Jede Branche weist einzigartige Merkmale auf, die sowohl unterschiedliche Gruppen von Angreifern als auch von Verteidigern anziehen. Aus diesem Grund unterscheiden sich die Anforderungen und Strategien im Bereich der Cybersicherheit bei einer Bank, einer Schule, einem medizinischen Zentrum oder einem Energieversorger.
„Wir sprechen über industrielle Systeme wie SCADA [Supervisory Control and Data Acquisition] und industrielle Steuerungssysteme, beispielsweise in der Öl- und Gasindustrie“, sagt Bischoping. „Die Jagd in solchen Umgebungen unterscheidet sich erheblich von der Jagd an einer Bank oder in einem Krankenhaus.“ „Daher ist es wichtig, ein tiefgreifendes Verständnis für die Art von Umfeld zu haben, in dem bestimmte Bedrohungsjäger tätig sind.“
Eine hervorragende Möglichkeit, dieses Umweltbewusstsein zu stärken, besteht darin, dass Bedrohungsjäger branchenübergreifend zusammenarbeiten.
„Dies ist in Ihrer Branche besonders wichtig, in der Vertrauen und Beziehungen oft mehr zählen können als reine Intelligenz“, sagt Ron Gula, Präsident und Mitbegründer der auf Cybersicherheit spezialisierten Investmentfirma Gula Tech Adventures. „Dadurch können Ihre „Jäger“ von anderen lernen und diese Erkenntnisse in Ihr Unternehmen einbringen.“
Das Fazit: Geschäftstechnologien und -systeme unterscheiden sich von Branche zu Branche erheblich, weshalb es für jedes Threat-Hunting-Team von entscheidender Bedeutung ist, die jeweilige Branche auf allen Ebenen gründlich zu verstehen.
4. Weiterbildung – man kann nie früh genug damit beginnen
Die Technologie entwickelt sich ständig weiter, und auch die Angreifer passen sich ständig an und verbessern ihre Methoden. Daher besteht die einzige Möglichkeit für ein Threat-Hunting-Team, hochgradig effektiv zu sein, darin, sich intensiv mit der Materie auseinanderzusetzen. Lernen Sie noch einmal. Und lernen Sie noch ein wenig weiter.
“„Es war noch nie so wichtig, sich auf [dies] zu konzentrieren, da derzeit ein akuter Personalmangel im Bereich Cybersicherheit herrscht.“Scott Crawford, Leiter der Forschung im Bereich Informationssicherheit bei 451 Research
„Es war noch nie so wichtig, sich auf [dieses Thema] zu konzentrieren, da im Bereich Cybersicherheit derzeit ein akuter Personalmangel herrscht “, sagt Scott Crawford, Leiter der Forschung im Bereich Informationssicherheit bei 451 Research.
Um welche Art von Bildung geht es hier also? Selbstverständlich gehört dazu auch das Erlernen technischer Fähigkeiten wie Netzwerktechnik, Datenforensik, Datenanalyse, Anwendungssicherheit, Malware-Analyse und die Funktionsweise von Endgeräten sowie fundierte Kenntnisse über die Systeme, die sie schützen. „Es gibt eine ganze Reihe von Faktoren, von denen wir wissen, dass sie zu einer effektiven Bedrohungssuche beitragen“, sagt Crawford.
Sicherheitsverantwortliche können diese Fähigkeiten bei ihren internen Threat-Hunters fördern, wie McGee von TRG Datacenters anmerkt, indem sie ihnen Zugang zu Workshops zum Thema Threat Hunting, zu verfügbaren Kursen wie dem „Certified Cyber Threat Hunter“ (CCTH) sowie zu Zertifizierungsprüfungen gewähren. Neben den CCTH-Prüfungen (zu finden unter diesem Link: sowie im Bootcamp unter) gehören zu den weiteren Zertifizierungen die „ “ von CompTIA Security+ (gut geeignet für Einsteiger in diesem Bereich), die „ “ von GIAC im Bereich Cyber Threat Intelligence (ausgestellt von GIAC, einem führenden Anbieter von Cyber-Zertifizierungen) sowie das „Certified Information Security Manager“-Programm von ISACA unter .
Das Fazit: In der Unternehmens-IT entwickelt sich alles weiter, was bedeutet, dass auch Bedrohungsjäger sich weiterentwickeln müssen, um effektiv zu bleiben.
5. Praxisnahes Training – je realistischer, desto besser
Einer der Gründe, warum das Militär mit scharfer Munition trainiert, besteht darin, die Rekruten an den Umgang mit ihren Waffen zu gewöhnen – und zwar unter Bedingungen, die die realen Szenarien, in denen sie bald zum Einsatz kommen werden, möglichst genau widerspiegeln.
„Die realistische Nachahmung von Angreifern ist eine hervorragende Möglichkeit, um sicherzustellen, dass Sie die Fähigkeiten von Bedrohungsjägern fördern“, sagt Gula. „Je realistischer die Simulation ist, desto besser vorbereitet und zuversichtlicher wird Ihr Team sein.“
Für Bedrohungsjäger könnte diese Vorbereitung die Teilnahme an CTF-Wettbewerben zum Zweck des offensiven Trainings oder die Teilnahme an Tabletop-Übungen umfassen. Gula sagt, dass Übungen wie diese für das Mannschaftstraining von zentraler Bedeutung sind.
Plattformen zur Emulation von Angreifern, die einfache Malware sowie die wiederkehrenden Strategien fortgeschrittener, hartnäckiger Bedrohungen (APTs) – typischerweise solche, die von heimlich agierenden Nationalstaaten ausgehen – simulieren, machen das Training zudem wesentlich realistischer, sagt er. „Cyber-Übungsumgebungen sind ebenfalls hervorragend, doch die Arbeit an Ihrem eigenen Netzwerk mit Ihren eigenen Tools ist wesentlich effektiver.“
[Lesen Sie auch: 5 Möglichkeiten, sich auf Cyberkriegsführung vorzubereiten]
Tools wie die „Adversary Emulation Plans“ von Mitre veranschaulichen, wie Bedrohungsjäger und Verteidiger das „ “-Framework von Mitre ATT&CK „ “ (Adversarial Tactics, Techniques, and Common Knowledge) nutzen können – eine weit verbreitete Wissensdatenbank, die zur Modellierung des Verhaltens von Angreifern dient.
Diese Art der Schulung ist für Threat Hunter unerlässlich, um hinsichtlich der Angriffstechniken auf dem Laufenden zu bleiben
– genau jene Techniken, die von denjenigen eingesetzt werden, die sie zu
aufspüren versuchen.
Das Fazit: Gestalten Sie Schulungen zur Bedrohungssuche so realistisch wie möglich, damit die Teilnehmer über die erforderlichen Fähigkeiten verfügen, um reale Bedrohungen zu erkennen.
Nach dem Eindringen in ein Netzwerk können Hacker laut einem Bericht von IBM Security mit dem Titel „ “ („“) durchschnittlich 280 Tage lang unentdeckt bleiben. Bedrohungsjäger können dem erheblich entgegenwirken. Natürlich wird es neben den Erfolgen auch Rückschläge geben, doch wenn Sie das richtige Team zusammenstellen und ihm den Freiraum geben, potenzielle Angreifer in Ihrer Umgebung aufzuspüren, wird es die Bedrohungsakteure aufspüren, bevor diese Schaden anrichten können.
