Administration
Social Engineering-Angriffstaktiken wie beispielsweise Phishing fordern nicht nur technische Vorsichtsmaßnahmen, sondern auch ein entsprechendes Risikobewusstsein auf Seiten der potenziellen Opfer. Ihr Verhalten kann größeren Schaden verhindern, sollte es zu einem Angriff kommen, der technische Schutzmaßnahmen umgeht. Leider hält sich in Belegschaften mitunter hartnäckig der Glaube, die Unternehmensdaten könnten für Cyberkriminelle keine interessante Beute sein. Dazu trägt vor allem eine Fehleinschätzung des Gegenübers bei. Die Vorstellung von Hackern ist in der breiten Masse der Bevölkerung von einem Stereotyp geprägt: Der talentierte Programmierer, der als Einzelgänger Ziele aussucht, um sein Können zu erproben. Ein Bild, das in den frühen Zeiten des Internets entstanden ist und nicht zuletzt mit Hilfe der Popkultur bis heute nicht ganz aus den Köpfen verschwunden ist.
Administration
Die Cybererpressung durch Ransomware bleibt eine der größten Sicherheitsbedrohungen für Unternehmen. Die gängige Praxis in der Cybersecurity ist heute, sich gegen die Auslieferungs- und Ausführungsphasen dieser Angriffe zu schützen. Beinahe kein Unternehmen ist jedoch in der Lage, die automatisierte Ausbreitung der Ransomware-Nutzlast proaktiv zu verhindern, wenn sie die Verteidigungsmaßnahmen bei der Auslieferung und Ausführung umgangen hat.
Recht und Kosten
Fokus auf Prävention oder Detektion? Segmentierung oder lieber SOC? Und was ist mit der Response und den Notfallplänen? Bei der Aufteilung natürlich begrenzter Sicherheits- und Resilienz-Budgets neigen manche Unternehmen dazu, einzelne große Bereiche vorzuziehen und andere herabzustufen. Das wird der Bedrohungslage und der eigenen Business-Dynamik selten gerecht. Häufig ist es sinnvoller, in allen Bereichen zumindest einen Grundstock aufzubauen und dann mit geschickter Priorisierung Akzente zu setzen.
Die kritische Bedrohung durch die Log4Shell-Schwachstelle erfordert natürlich eine sofortige Reaktion. Doch im zweiten Schritt müssen sich Unternehmen generell Fragen zu Prozessen rund um Software-Lieferketten und dokumentierte (?) Abhängigkeiten stellen. Die vor bekannt gewordene Log4Shell-Sicherheitslücke ist in aller Munde und hält die Sicherheitsfachleute weltweit auf Trab.
Nach dem Oktober, dem Nationalen Monat der Cybersicherheit, widmen wir uns im Rahmen unserer Serie zur "Cyber-Autopsie" einigen besonders schwerwiegenden Angriffen und Datenschutzverletzungen – und dem, wie man sie vielleicht hätte verhindern können.
Wenn das Security Operations Center (SOC) Ransomware meldet, ist es sowieso längst zu spät: Die Meinung, dass sich bereits angelaufene Verschlüsselungsattacken mit gängigen Angriffserkennungs- und Gegenwehr-Maßnahmen nicht aufhalten lassen, ist in der Security weit verbreitet. Dabei stehen die Abwehr-Chancen gar nicht so schlecht. Voraussetzung sind gute Vorbereitung und ein Fine-Tuning der Sensorik auf "Active Defense". Beim Thema Ransomware neigen auch praxisgestählte CISOs zu einem gewissen Fatalismus. Zu oft hat sich gezeigt, dass beim ersten SOC-Alarm wichtige IT-Ressourcen bereits verschlüsselt sind und die weitere Verbreitung der Malware so rasant voranschreitet, dass die in anderen Fällen durchaus wirkungsvollen Response-Maßnahmen dem Geschehen hoffnungslos hinterherlaufen. Maximaler Malware-Schutz, bestmögliche Segmentierung und Awareness, Awareness, Awareness – so lautet vor diesem Hintergrund der Ratschlag zur Ransomware-Eindämmung. Man zieht sich also weithin auf Prävention zurück. Tatsächlich ist diese Maßnahmen-Trias gegen rein opportunistische Ransomware-Attacken auf Phishing-Basis wohl wirklich das Mittel der Wahl. Aber ausgerechnet gegen die weit ausgefeiltere Variante, bei denen die Verbreitung der Ransomware im Netz des Opfers akribisch von den Angreifern gesteuert wird, haben SOC-Teams sehr wohl eine Chance. Sie benötigen dazu eine auf Ransomware zugeschnittene Ergänzung ihrer sensorischen Werkzeuge und eine gute Vorbereitung auf den Fall der Fälle.
Für kleine und mittelständische Unternehmen, die oft nur über begrenzte Budgets und Ressourcen verfügen, ist es eine Herausforderung, sich im derzeitigen Sturm der Cyberkriminalität zu schützen. Die Bedrohungen entwickeln sich schneller als die vorhandenen Cyber-Sicherheitslösungen, kleine IT-Abteilungen können nicht Schritt halten. Ransomware-Angriffe sind allgegenwärtig, aber die Bedrohungslandschaft hört damit nicht auf: Advanced Persistent Threats, Insider-Bedrohungen und Angriffe auf die Lieferkette gehören zu den zahlreichen alltäglichen Gefahren. Die Angreifer nutzen die gleichen Spitzentechnologien wie Anbieter von Cybersicherheitslösungen, zum Beispiel künstliche Intelligenz (KI), Verschlüsselung und Schwachstellen-Scans. Sie profitieren von einem ausgereiften Schwarzmarkt für Malware und Ransomware als Dienstleistung. Sie profitieren von einer immer größer werdenden Angriffsfläche, die durch die rasche Einführung von Cloud-Lösungen, IoT und Identity Federation wächst. So erscheinen beispielsweise die jüngsten Angriffe auf die Lieferkette wie die auf Solarwinds und Kaseya für herkömmliche Sicherheitstools völlig legitim. IoT-Geräte, nicht verwaltete oder private Geräte und vergessene virtuelle Maschinen oder Container schaffen blinde Flecken in der Sicherheit.
