Da die Ukraine nun besetzt ist und Cyberangriffe mit russischem Antrieb nicht mehr nur ein befürchtetes oder wahrscheinliches Szenario, sondern eine anhaltende Bedrohung darstellen, war der Druck auf Cybersicherheitsverteidiger noch nie größer.
Die Situation in der Ukraine ist schrecklich, und kürzliche Berichte deuten darauf hin, dass Staatsbeamte dort damit begonnen haben, Freiwillige aus dem Untergrund des Hackers des Landes anzusprechen, um die Infrastruktur zu schützen und Spionagemissionen auf russische Truppen durchzuführen. Die Ukraine befindet sich in der Defensive, eine Position, die vielen Cybersicherheitsexperten sowie Wirtschaftsführern und ihren Vorständen bekannt ist, auch wenn sie nicht in den gesamten Krieg gerät.
Die U.S. Cybersecurity and Infrastructure Security Agency (CISA) hat Unternehmen und Organisationen Leitlinien zur Absicherung von Verteidigungen für den Fall herausgegeben, dass russische Cyberangriffe kritische Infrastruktur und Finanzinstitute bedrohen. Das ist hilfreich, unterstreicht aber auch eine unpraktische Wahrheit: Wenn es um Netzwerk-Cybersicherheit geht, spielen wir Verteidigung.
Es ist an der Zeit, dieses Skript umzukehren, sagen wir Cybersicherheitsexperten.
Der Flip ist theoretisch ziemlich einfach: Hören Sie auf, reaktiv zu sein; gehen Sie proaktiv mit Sicherheit um, wann immer möglich. In der Praxis ist es schwieriger – aber hier kommt das Handwerk der Bedrohungssuche ins Spiel.
Bedrohungsjäger sind die Cybersicherheitsexperten, die in Systeme und Netzwerke eintauchen, um Angreifer auszurotten, bevor schlechte Dinge passieren. Betrachten Sie sie als das private Navy
SEAL-Team Ihres Unternehmens.
Bedrohungsjäger verstehen, dass Bedrohungsakteure – ob geeky-Hacker, idealsgesteuerte Hacktivisten oder staatlich gesponserte Black-Ops-Typen – Unternehmen mit unterschiedlichen Taktiken, Techniken und Verfahren ansprechen, die vorhersehbar und identifizierbar sind. Bedrohungsjäger untersuchen die Umgebung , die sie verteidigen, und die möglichen Strategien ihrer Gegner. Dann gehen
sie jagen!
Selbstverständlich ist eine effektive Bedrohungssuche eine Teambemühung und erfordert, dass die richtigen Talente vorhanden sind. Es gibt fünf grundlegende Elemente, die erforderlich sind, um Ihre ideale Bedrohungsjagdgruppe aufzubauen. Überlegen Sie, was einem Primer folgt, wie Sie die Jäger jagen können.
1. Vielfalt – es ist nicht nur ein Schlagwort
Gab es einen Beweis dafür, dass großartige Köpfe gleich denken? Groupthink ist der Feind effektiver Bedrohungsjagdteams. „Diverse Teams erzielen bessere Ergebnisse“, sagt Melissa Bischoping, eine Spezialistin für Endpunktsicherheit bei Tanium.
„Vielfältige Teams erzielen bessere Ergebnisse.“Melissa Bischoping, Spezialistin für Endpunktsicherheitsforschung, Tanium
„Stellen Sie sich vor, Sie haben ein Team mit zu vielen Personen aus demselben Hintergrund.“ Das wahrscheinliche Ergebnis: eine Gruppe von Personen, die dasselbe Frühstück essen, dieselben Marken kaufen, dieselben Podcasts herunterladen, dieselbenranten tweeten und sich von anderen umgeben fühlen, die genau auf die gleiche Weise essen, einkaufen, herunterladen und rantieren.
In homogenen Gruppen, sagt sie, ist es für die Menschen leicht, „es könnte andere Sichtweisen zu vergessen, die zu berücksichtigen sind“.
Experten stellen fest, dass sich die Problemlösungsfähigkeiten des Teams verbessern, wenn Unternehmen Bedrohungsjäger mit unterschiedlichen beruflichen Hintergründen und Erfahrungsstufen einstellen. Solche Hintergründe können so vielfältig sein wie militärische Intelligenz, Datenwissenschaft, traditionelle Technologie oder rote, blaue und violette Teams (Sicherheitstester, die sich jeweils auf den Angriff auf Ihre Systeme, deren Verteidigung und die Kombination der Weisheit beider spezialisiert haben).
Auch Personen mit wenig oder gar keiner technischen Expertise sind in Betracht zu ziehen. „Wenn Sie so unterschiedliche Hintergründe erhalten, bringen Sie Menschen dazu, Fragen zu stellen, von denen die anderen nicht einmal wussten, dass sie Fragen stellen können“, erklärt Bischoping.
[Lesen Sie auch: Unterstützung der nächsten Generation von Frauen in der Cybersicherheit]
Die Rekrutierung von Experten unterschiedlichen Alters und sozioökonomischen Hintergrunds ist ebenfalls von entscheidender Bedeutung, um „die verschiedenen Ideen und Bedrohungserfahrungen zu sammeln, die jede besitzen könnte“, sagt L. Burke Files, Mitautor des Business Security Audit & Review Toolkit und Präsident von Financial Examinations and Evaluations, Inc. „Finden Sie die Menschen, die bereit sind, kreativ zu sein und die Kanten ein wenig zu verschieben“, sagt Files.
Die Erkenntnis: Ein vielfältiges Team von Bedrohungsjägern ist unerlässlich, um die Problemlösung zu verbessern und Gruppendenken zu vermeiden.
2. Soft Skills – sie sind schwieriger, als Sie denken
Bedrohungssuche beinhaltet das Durchsuchen von Netzwerken nach Aktivitäten, die bekannt und unbekannt sind – was Zeit, Entschlossenheit und eine oft unterbewertete, aber unverzichtbare Komponente erfordert: Geduld.
„Sie brauchen jemanden, der über die Fähigkeiten und die Geduld verfügt, um ein Problem wirklich lösen zu wollen.“Michael Farnum, CTO, Set Solutions
„Sie brauchen jemanden, der über die Fähigkeiten und die Geduld verfügt, um ein Problem wirklich lösen zu wollen“, sagt Michael Farnum, CTO bei Set Solutions. „Dies sind tendenziell die Menschen, die CTFs durchführen“, bemerkt er und bezieht sich auf die verschiedenen „Capture the Flag“-Wettbewerbe, bei denen „Flags“ verwendet werden, um Spieler zu belohnen, die bei Herausforderungen mit Sicherheitsthemen erfolgreich sind. „Man möchte jemanden finden, der das gerne in seiner Freizeit macht“, sagt er.
Solche Herausforderungen und die Bedrohungssuche insgesamt beinhalten unweigerlich viele Fragen. Bedrohungsjäger, die sich auszeichnen, sind natürlich neugierig, mit überlegenen Problemlösungsfähigkeiten und einem Talent für die Erkundung, sagt Duncan Miller, Taniums Direktor für Endpunktsicherheit. Dies sind Menschen mit einem scharfen Auge und dem Mut, ihren Hunches zu folgen – wo auch immer sie führen.
„Bedrohungsjäger müssen bereit sein, manchmal zu scheitern“, sagt Miller. „Wenn sie nach wahrer „unbekannt-unbekannter“ Aktivität suchen, wird es viele Male vorkommen, dass Hunches nicht ablaufen. Und das ist in Ordnung.“
[Lesen Sie auch: Layered-Sicherheitsmethoden halten Bedrohungen auf dem Spiel]
Andere allgemeine Fähigkeiten, die Bedrohungsjäger besitzen sollten, beobachtet Eric McGee, Senior Network Engineer bei TRG Datacenters, umfassen deduktive Argumentation, schnelle Mustererkennung und die Fähigkeit, ihre eigenen kognitiven Verzerrungen zu vermeiden.
„Ich hasse den Begriff Soft Skill“, fügt Bischoping hinzu, wenn ich mich auf nichttechnische Fähigkeiten beziehe. „Das sind wichtige Fähigkeiten“, sagt sie.
Die Erkenntnis: Erfolgreiche Bedrohungssuche ist mehr als technischer Scharfsinn. Sie erfordert zusätzliche immaterielle Fähigkeiten, wie Geduld und die Bereitschaft, Risiken einzugehen.
3. Umweltbewusstsein – und wir meinen nicht Recycling
Jede Branche hat einzigartige Aspekte, die verschiedene Gruppen von Angreifern und Verteidigern gleichermaßen anziehen. Aus diesem Grund unterscheiden sich die Anforderungen und Strategien für Cybersicherheit in einer Bank, Schule, einem medizinischen Zentrum oder einem Energieanbieter.
„Wir sprechen über industrielle Systeme wie SCADA [Supervisory Control and Data Acquisition] und industrielle Steuerungen in der Öl- und Gasindustrie“, sagt Bischoping. „Die Jagd in diesen Umgebungen sieht viel anders aus als die Jagd in einer Bank oder einem Krankenhaus. Daher ist es wichtig, ein tiefes Verständnis der Art der Umgebung zu haben, in der bestimmte Bedrohungsjäger tätig sind.“
Eine großartige Möglichkeit, dieses Umweltbewusstsein aufzubauen, besteht darin, Bedrohungsjäger in der gesamten Branche zusammenarbeiten zu lassen.
„Dies ist besonders wichtig in Ihrer Branche, in der Vertrauen und Beziehungen wichtiger sein können als Rohintelligenz“, sagt Ron Gula, Präsident und Mitbegründer des Cybersicherheits-Investmentunternehmens Gula Tech Adventures. „Dies ermöglicht es Ihren Jägern, von anderen zu lernen und dies in Ihre Organisation zurückzubringen.“
Die Erkenntnis: Business-Technologie und -Systeme variieren stark von Branche zu Branche, was es für jedes Bedrohungssucheteam entscheidend macht, ihre Branche auf jeder Ebene gründlich zu verstehen.
4. Kontinuierliche Weiterbildung – es ist nie zu früh, um zu beginnen
Technologie entwickelt sich ständig weiter und Gegner verändern und verbessern sich ständig. Der einzige Weg, um ein Bedrohungsjagdteam hocheffektiv zu machen, ist also das Studium. Untersuchung erneut. Und studieren Sie noch mehr.
„Es war noch nie so wichtig, sich auf [dies] zu konzentrieren, da es derzeit einen Einstellungsnotfall in der Cybersicherheit gibt.“Scott Crawford, Forschungsleiter Informationssicherheit, 451 Research
„Es war noch nie so wichtig, sich auf [dies] zu konzentrieren, da es derzeit einen Einstellungsnotfall im Bereich Cybersicherheit gibt“, sagt Scott Crawford, Forschungsleiter für Informationssicherheit bei 451 Research.
Über welche Art von Bildung sprechen wir also? Natürlich technische Fähigkeiten wie Netzwerk, Datenforensik, Datenanalyse, Anwendungssicherheit, Malware-Analyse und Endpunktsystem-Internen sowie gründliche Kenntnisse der Systeme, die sie verteidigen. Es gibt eine Wäscheliste mit Dingen, von denen wir wissen, dass sie zur effektiven Bedrohungssuche beitragen, sagt Crawford.
Sicherheitsleiter können diese Fähigkeiten für ihre internen Bedrohungsjäger kultivieren, bemerkt McGee von TRG Datacenters, indem sie Zugang zu Workshops zur Bedrohungssuche, verfügbaren Kursen wie Certified Cyber Threat Hunter (CCTH) und Zertifizierungsprüfungen gewähren. Zusätzlich zu CCTH-Prüfungen (die in diesem Bootcamp zu finden sind) umfassen weitere Zertifizierungen CompTIA Security+ (gut für diejenigen, die vor Ort beginnen), Cyber Threat Intelligence von GIAC (ausgestellt von GIAC, einem führenden Cyber-Zertifizierungsanbieter) und das Certified Information Security Manager -Programm von ISACA.
Die Erkenntnis: Alles in der Unternehmenstechnologie entwickelt sich weiter, was bedeutet, dass es effektiv bleiben muss, ebenso wie Bedrohungsjäger.
5. Real-World-Training – je realistischer, desto besser
Einer der Gründe, warum das Militär mit Live-Runden trainiert, ist es, sich an die Anwerber zu gewöhnen, ihre Waffen zu bedienen – und unter Umständen, die die realen Szenarien, in denen sie bald ausführen müssen, am genauesten widerspiegeln.
„Realistische Emulation von Gegnern ist eine großartige Möglichkeit, um sicherzustellen, dass Sie Fähigkeiten für Bedrohungsjäger kultivieren“, sagt Gula. „Je realistischer die Simulation ist, desto besser vorbereitet und zuversichtlicher wird Ihr Team sein.“
Für Bedrohungsjäger könnte diese Vorbereitung die Teilnahme an CTF-Wettbewerben für beleidigende Schulungen oder die Teilnahme an Tischübungen beinhalten. Gula sagt, dass solche Übungen für die Teamschulung von zentraler Bedeutung sind.
Gegnerische Emulationsplattformen, die grundlegende Malware und die wiederholten Strategien von Advanced Persistent Threats (APTs) simulieren, typischerweise diejenigen von verborgenen Nationenstaaten, machen das Training ebenfalls viel realistischer, sagt er. „Cyber-Sortimente sind ebenfalls großartig, aber die Arbeit in Ihrem Netzwerk mit Ihren eigenen Tools ist viel effektiver.“
[Lesen Sie auch: 5 Möglichkeiten, sich auf Cyberwarfare vorzubereiten]
Tools wie Mitres Emulationspläne für Gegner zeigen, wie Bedrohungsjäger und Verteidiger das Mitre ATT&CK -Framework (Adversarial Tactics, Techniques, and Common Knowledge) verwenden können, eine beliebte Wissensdatenbank, die zum Modellieren von Gegnerverhalten verwendet wird.
Diese Art von Schulung ist für Bedrohungsjäger unerlässlich, um über
Angriffsfähigkeiten auf dem Laufenden zu bleiben – die gleichen Fähigkeiten, die von denjenigen verwendet werden, die sie
aufspüren möchten.
Die Erkenntnis: Machen Sie die Schulung zur Bedrohungssuche so realistisch wie möglich, damit Jäger über die Fähigkeiten verfügen, die sie benötigen, um reale Bedrohungen zu identifizieren.
Nach einem Netzwerkbruch können Hacker die Erkennung laut einem IBM Security-Bericht durchschnittlich 280 Tage lang vermeiden. Bedrohungsjäger können eine ernsthafte Delle darin hinlegen. Natürlich wird es Verluste unter den Gewinnen geben, aber wenn sie das richtige Team zusammenstellen und ihnen den Raum geben, potenzielle Gegner in Ihrer Umgebung aufzuspüren, werden sie Bedrohungsakteure finden, bevor sie Schaden anrichten.
