Am 27. August berichtete das „ “ Wall Street Journal unter , dass ein massiver Datenklau bei T-Mobile, bei dem ein Hacker rund 50 Millionen Kundendatensätze gestohlen hatte, von einem 21-Jährigen verübt wurde, der über einen ungeschützten Router in die Sicherheitssysteme des Unternehmens eingedrungen war. Der Hacker soll eine Woche lang die Server des Netzbetreibers durchforstet haben, bevor er sich mit seiner Beute aus dem Staub machte.
Die Nachricht von dem Hackerangriff – und die Art und Weise, wie er durchgeführt wurde – dürfte Führungskräfte aus den Bereichen Wirtschaft, IT und Sicherheit in allen Branchen und Regierungsbehörden in Alarmbereitschaft versetzt haben. Angesichts der weitverzweigten digitalen Netzwerke, die der US-Wirtschaft, der Infrastruktur und der militärischen Verteidigung zugrunde liegen, und angesichts der Millionen von Endgeräten, die mit diesen Netzwerken verbunden sind – wie soll man da jedes einzelne verwalten und schützen?
„Angriffe dieser Art nehmen zu, und böswillige Akteure arbeiten Tag für Tag daran, … unsere Systeme anzugreifen und auszunutzen“, erklärte Mike Sievert, CEO von T-Mobile, in einem Beitrag. Er schrieb, dass die Bewältigung des Datenlecks „eine demütigende Erfahrung“ gewesen sei. Er versicherte: „Die Sicherheit der Daten unserer Kunden ist eine Verantwortung, die wir äußerst ernst nehmen, und die Verhinderung solcher Vorfälle hatte für uns stets höchste Priorität.“ Die Stellungnahme von T-Mobile zu „ “ können Sie hier nachlesen:.
Während Geschäftsführer wie Herr Sievert – und ihre IT- und Sicherheitsteams – weiterhin gegen eine mittlerweile ununterbrochene Welle von Cyberangriffen sowohl durch Nationalstaaten als auch durch kriminelle Banden kämpfen, gibt es einige Lehren aus diesen jüngsten Cyberangriffen, die jeder im Hinterkopf behalten sollte.
Im Folgenden finden Sie fünf der wichtigsten.
Verringern Sie Ihre Angriffsfläche
Um die Angriffsfläche zu verringern, müssen Sie wissen, über welche Ressourcen Ihr Unternehmen verfügt und wo sich diese befinden. Ohne ein aktuelles Bestandsverzeichnis sind alle Bemühungen zum Schutz Ihres Vermögens unvollständig. Die Suche nach Vermögenswerten kann jedoch kompliziert sein. Unternehmen fusionieren. Sie übernehmen andere Unternehmen. Diese Unternehmen dürfen ihre eigenen Internetverbindungen nutzen.
„-Angriffe nehmen zu, und böswillige Akteure arbeiten Tag für Tag daran, neue Wege zu finden, um unsere Systeme anzugreifen und auszunutzen.“Mike Sievert, Vorstandsvorsitzender von T-Mobile
Angesichts einer derart weitläufigen Infrastruktur benötigen Sie eine stets verfügbare Methode, um Ressourcen zu ermitteln ( ) und zu klassifizieren ( ). Sobald Sie Ihre Ressourcen kennen und wissen, welche davon extern sind, können Sie damit beginnen, die Angriffsfläche zu verringern.
Es ist wichtig, Ihre externe Sicherheitsperimeter so zu überprüfen und zu verstehen, wie es ein Hacker tun würde.
Sobald Sie alle Komponenten in Ihrem Netzwerk erfasst haben, müssen Sie Ihre externe Umgebung für Hacker unattraktiv gestalten: Außer den Websites Ihres Unternehmens und den zu 100 % notwendigen, nach außen gerichteten Ports sollte nichts anderes zugänglich sein. Je mehr Informationen und Dienste Sie der Öffentlichkeit zur Verfügung stellen, desto wichtiger ist es, diese Dienste zu sichern und vor Angreifern zu schützen.
Unternehmen stellen nach außen gerichtete Dienste (wie Websites und Dienste für Verbraucher und Partner) in demilitarisierten Zonen (DMZs) bereit – den Netzwerken, die sich zwischen dem öffentlichen Internet und privaten Netzwerken befinden. Sind diese Teilnetzwerke nicht ordnungsgemäß konfiguriert , können Websites und Dienste angreifbar werden und ausgenutzt werden.
Manchmal wird ein Webdienst direkt für das Internet freigeschaltet, um die Verwaltung oder den Zugriff zu beschleunigen. Unternehmen sollten jedoch keine Verwaltungsdienste im Internet zugänglich machen. Das Internet wird ständig von außen angegriffen, und jeder direkte oder auch nur indirekte Zugriff kann Probleme für Ihr Netzwerk und letztlich für Ihr Unternehmen und dessen Widerstandsfähigkeit mit sich bringen.
Indem Sie einen Scan vom externen Perimeter aus durchführen, können Sie schnell erkennen, welche Dienste zugänglich sind – genau so, wie es ein Hacker tun würde. Es empfiehlt sich, Ihre Systeme zu überwachen, um sicherzustellen, dass die Dienste an Ihrem Netzwerkperimeter nicht mit Verwaltungsdiensten oder nicht autorisierten Diensten kommunizieren. Die kontinuierliche Erfassung von Geräten innerhalb der DMZ ist von entscheidender Bedeutung, um sicherzustellen, dass keine Geräte hinzugefügt werden, ohne dass sie den Onboarding-Prozess durchlaufen haben.
Verwalten Sie Ihre Konfigurationen
Wie Tony Robbins sagt: „Komplexität ist der Feind der Umsetzung.“
Er hätte eine glänzende Karriere als CISO machen können. Seine Maxime erweist sich im Bereich der Cybersicherheit als sehr nützlich. Es zeigt sich, dass Vereinfachung der Schlüssel zur Sicherheit ist, insbesondere angesichts der zunehmenden Komplexität heutiger Netzwerke. Unternehmen müssen zunächst alle ihre Ressourcen ermitteln und inventarisieren sowie die Endpunkte unter erfassen. Was man nicht sieht, kann man nicht steuern. Erst wenn Sie den Überblick über Ihr gesamtes Netzwerk haben, können Sie es auch absichern. Und der beste nächste Schritt ist die Verwaltung Ihrer Konfigurationen, was viele nicht gut hinbekommen.
Tatsächlich stellten privilegierter Zugriff und Konfigurationskontrollen bei den 300 von IDC im vergangenen Jahr befragten CISOs eine der größten Bedrohungen im Zusammenhang mit Cloud-Risiken dar – wobei 63 % dieser Sicherheitsverantwortlichen (von denen die meisten in ihren Unternehmen in den vergangenen 18 Monaten mindestens einen Cloud-Sicherheitsvorfall erlebt hatten) angaben, dass der Schutz sensibler Daten eine entscheidende Herausforderung darstelle.
Das ist kaum verwunderlich. IT-Teams begehen bei der Konfiguration ihrer Kontrollmaßnahmen häufig schwerwiegende Fehler. Oder sie weisen jedem eine andere Konfiguration zu, was zu Komplexität führt und unnötige Sicherheitslücken schafft. Man geht davon aus, dass alle Geräte, sofern sie über dieselbe Konfiguration verfügen und dieselben Updates erhalten, auch dieselben Sicherheitslücken aufweisen. Das kann jedoch durchaus etwas Positives sein.
Da pro Asset-Typ nur eine (oder eine minimale) Konfiguration vorhanden ist, können Sie Zeit und Ressourcen darauf verwenden, nur diese eine Konfiguration zu optimieren und zu testen. Sollten Systeme von einer geplanten Konfiguration abweichen, sollten Sie sich fragen: Warum? Welche Prozesse sind ausgefallen, sodass es dazu gekommen ist?
Seitliche Bewegung blockieren
Sobald sich Hacker in einem Unternehmen Zugang verschafft haben, besteht ihr nächster Schritt häufig darin, noch tiefer in die IT-Systeme vorzudringen. Der T-Mobile-Hacker soll angegeben haben, er habe sich Zugang zu einem einzelnen Router verschafft und sich anschließend in die Server des Unternehmens eingehackt. Wahrscheinlich tat er dies, indem er sich quer durch das Netzwerk bewegte, bis er die gesuchten Daten gefunden hatte. Hacker bewegen sich lateral, indem sie von einem Endpunkt zum nächsten springen und dabei die Zugangsdaten der Benutzer mithilfe von Keyloggern oder anderen speziellen Tools erfassen.
„Mit den richtigen Zugangsdaten können sie sich überall hinzugelangen, wo sie wollen“, erklärt Ben Rothke, Senior Information Security Manager beim Werbe- und Content-Delivery-Anbieter Tapad, gegenüber Endpoint. Mit diesen Zugangsdaten, so Rothke, könne sich der Hacker Zugang zu Netzwerken, Anwendungen und sogar zur Cloud-Konsole verschaffen, die von einem Administrator genutzt wird. Daher ist die Verhinderung, Erkennung und Blockierung von lateralen Bewegungen für die Verteidigung jedes Unternehmens von entscheidender Bedeutung.
Glücklicherweise gibt es mehrere Möglichkeiten, die Sie nutzen können. Machen Sie es einem Angreifer zunächst so schwer wie möglich, sich lateral zu bewegen. Dies erreichen Sie, indem Sie die Kosten für einen erfolgreichen Angriff erhöhen. Machen Sie ihnen das Leben schwer, indem Sie die Grundlagen einer guten Cyberhygiene umsetzen. Dazu sollten die bereits erwähnten Bereiche Management der Assets sowie Konfigurationen und zudem das regelmäßige Patch-Management gehören.
Außerdem müssen Sie Identitäten verwalten. Es ist unerlässlich zu wissen, wer über die Zugangsdaten für den Zugriff auf kritische Anwendungen und vernetzte Ressourcen verfügt. Das Prinzip der „geringstmöglichen Berechtigungen“ verringert die interne Angriffsfläche, indem den Benutzern nur Zugriff auf die Ressourcen gewährt wird, die sie zur Ausübung ihrer Tätigkeit unbedingt benötigen.
Seien Sie ein proaktiver Bedrohungsjäger
Warum? Denn es geht nicht darum, wann, sondern wie.
Unternehmen können es sich nicht mehr leisten, abzuwarten, bis ein anderer Anbieter angegriffen wird, und erst dann in ihren eigenen Systemen nach derselben Malware oder demselben Hacker zu suchen. Sie müssen proaktiv nach Bedrohungen suchen, Abweichungen von den Normwerten in ihren Netzwerken erkennen und entsprechende Maßnahmen ergreifen.
Das bedeutet, dass zunächst bestimmte Indikatoren für eine Kompromittierung (IOCs) identifiziert und anschließend regelmäßig nach diesen gesucht werden müssen. Dabei könnte es sich um bekannte Hackerprozesse oder -tools handeln, die gegen andere Akteure der Branche eingesetzt werden. Konzentrieren Sie sich auf die Ermittlung der Taktiken, Techniken und Vorgehensweisen (TTPs) von Hackern. Beispielsweise müssen Hacker Erkundungsmaßnahmen durchführen, um wertvolle Ziele zu identifizieren und sich innerhalb eines Netzwerks seitlich zu bewegen.
Da es nur wenige Methoden gibt, mit denen sich Hacker in einer Umgebung bewegen können, ist die Ermittlung ihrer TTPs für einen Threat-Hunter der beste Weg, sie aufzuspüren. Zu den Fragen, die Sie sich stellen sollten, gehört: Wie erkenne ich Abweichungen von der Norm? Welche Kennzahlen sollte ich im Auge behalten? (Der Netzwerkverkehr von kritischen Datenbanken oder Servern könnte ein Beispiel dafür sein.) Bin ich ebenso flink wie meine potenziellen Angreifer? Wenn nicht, wie könnte ich es dann sein?
[Lesen Sie auch: Was sind die größten Herausforderungen im Bereich IT und Cybersicherheit?]
Sobald Sie Eindringlinge entdeckt haben, müssen Sie diese natürlich entfernen. Genau hier kommt es auf Flexibilität an. Denn schon wenige Stunden oder Tage können einen großen Unterschied ausmachen. Wie haben Sie Ihre Berichterstattung gestrafft, damit die Personen, die diese Informationen benötigen, sie schnell erhalten und prüfen können?
Und zu guter Letzt: Schützen Sie Ihre Passwörter!
Passwörter sind für viele Unternehmen ein wesentlicher Bestandteil des neuen Netzwerkperimeters. Da Millionen von Remote-Mitarbeitern über Endgeräte wie Laptops, PCs und Tablets auf Unternehmensnetzwerke und cloudbasierte Anwendungen zugreifen, wird jedes dieser Endgeräte zu einem potenziellen Einfallstor für böswillige Aktivitäten.
Passwörter dienen dazu, unerwünschte Personen fernzuhalten. Doch Menschen sind fehlbar und gehen nicht immer angemessen mit Passwörtern um. Sie denken vielleicht, dass „ Marlins1234 “ ein absolut sicherer Schlüssel für Ihre digitalen Schlösser ist. Doch schon ein Blick auf Ihr soziales Netzwerk reicht aus, und ein Hacker kann dieses Passwort mit geringem Aufwand erraten. Als Beweis werfen Sie doch einmal einen Blick auf die Liste der 200 häufigsten Passwörter der „ “ unter.
Millionen amerikanischer Arbeitnehmer halten sich nicht an die Grundregeln für die Passwort-Sicherheit. Laut Keeper Security gab mehr als die Hälfte (57 %) der Befragten in einer aktuellen Umfrage von „ “ unter an, dass sie ihre berufsbezogenen Passwörter auf Haftnotizen notieren. Das ist Nachlässigkeit. Und seit Beginn der Pandemie hat sich dieser Trend noch verstärkt. Aus derselben Umfrage ging hervor, dass 66 % der Beschäftigten dazu neigen, sich Passwörter aufzuschreiben, wenn sie von zu Hause aus arbeiten.
[Lesen Sie auch: Warum wir den Weltpassworttag nach wie vor brauchen]
Natürlich ist in der heutigen Zeit auch die mehrstufige Authentifizierung (MFA) ein absolutes Muss. Websites, Anwendungen und Unternehmensnetzwerke nutzen häufig die mehrstufige Authentifizierung (MFA), indem sie die Anmeldung per Passwort mit Authentifizierungs-Apps von Drittanbietern kombinieren, auf die die Nutzer über ihr Smartphone zugreifen können. Allerdings ist MFA kein Allheilmittel, insbesondere wenn Netzbetreiber wie T-Mobile angegriffen werden. Mit Blick auf die Zukunft prüfen viele Unternehmen den Zero-Trust-Netzwerkzugang, um zusätzlich zu den bisherigen Passwortkontrollen für mehr Sicherheit zu sorgen.
Und wenn alles andere fehlschlägt, wenden Sie sich bitte an oder an diesen Herrn:.
