- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Die menschliche Firewall


Trotz modernster Technologien bleibt ein ernstes Sicherheitsrisiko: Der Mensch
Eigentlich sollte es sich herumgesprochen haben, Anhänge von Unbekannten Absendern oder mit exotisch anmutenden Dateiformat-Endungen nicht zu öffnen

- Anzeigen -





Von Klaus Gheri, Vice President and General Manager Network Security, Barracuda Networks

Vergangenem nachzutrauern, ist selten zielführend. Dennoch: Was waren das noch für Zeiten für die IT und deren Nutzer, als E-Mail-Spam wohl immens nervte, aber in der Regel wenig Schaden anrichtete. Sieht man einmal von der erzwungenen Beschäftigung der Betroffenen ab, den Müll auszusortieren.

Heutzutage fahren Kriminelle ungleich härtere Geschütze auf, um Angriffe per E-Mail zu führen und die Adressaten in die Falle tappen zu lassen. Nur allzu oft sind die Phishing-Kampagnen derart clever, dass neben aller selbstverständlichen Abwehrtechnologie, die eine letzte Verteidigungslinie mitunter die wichtigste ist: Die menschliche Firewall. Denn oft ist die Lösegeldforderung nur einen bösartigen Klick entfernt.

Mitarbeiterschulungen und -trainings sollten daher unbedingt regelmäßiger Bestandeil einer Sicherheitsstrategie der Unternehmen sein, damit die Kollegen und Kolleginnen lernen, Phishing-Versuche zu erkennen und entsprechend sensibel damit umzugehen.

Als erstes stellt sich die Frage, wovor Nutzer auf der Hut sein müssen, wenn es um Phishing-E-Mails geht. Denn die Kriminellen haben nicht nur "die eine" Methode in petto. Ihre Kreativität kennt kaum Grenzen: Allein im vergangenen Juni blockierte Barracuda weltweit über 1,7 Millionen Phishing-E-Mails.

Die folgenden Beispiele tatsächlich stattgefundener Phishing-Versuche verdeutlichen, wie vielfältig, komplex und letzten Endes clever Kriminelle vorgehen, um über das immer noch beliebteste Einfallstor E-Mail* an ihr Ziel zu gelangen.

Geldbetrügereien versprechen dem potenziellen Opfer einen attraktiven Geldbetrag. Antwortet der E-Mail-Empfänger, verlangen die Kriminellen in der Regel eine kleinere Summe und versprechen im Gegenzug eine größere Summe zurück – was natürlich nie passiert. Das Lockmittel "Geld" dient aber häufig auch dazu, unternehmenskritische Informationen abzugreifen, beziehungsweise, einen Computer mit Malware zu infizieren.

Beim Informationsbetrug versuchen die Kriminellen, möglichst viele relevante Informationen vom E-Mail-Nutzer abzufischen. In diesem Beispiel verschickten die Angreifer eine gefälschte Bankmitteilung, deren vermeintliche Autorität den Adressaten in Sicherheit wiegen und reagieren lassen soll. Klickt der Nutzer auf den Link, wird er aufgefordert, seine Zugangsdaten – Benutzernamen und Passwort – einzugeben, und schon ist es um die Sicherheit geschehen.

Eine weitere, häufig praktizierte Methode des Phishings ist die Verbreitung von Malware durch Viren, Würmer, Bots, Ransomware oder Password Stealer-Malware. Ziel solcher E-Mails ist es, den Adressaten dazu zu bewegen, entweder einen Anhang zu öffnen (wie im Beispiel gezeigt) oder auf einen schadhaften Link zu klicken. Dies wollen Cyberkriminelle erreichen, indem sie eine dringende Angelegenheit vorgeben, die es sofort zu erledigen gilt, und somit Druck aufbauen. Damit die Malware funktioniert, versuchen die Angreifer das Opfer dahingehend zu manipulieren, dass es die Software installiert.

Eigentlich sollte es sich herumgesprochen haben, Anhänge von Unbekannten Absendern oder mit exotisch anmutenden Dateiformat-Endungen nicht zu öffnen. Damit kalkulieren Cyberkriminelle und minimieren ihr Risiko entdeckt zu werden, mittels Anhängen mit mehreren Dateierweiterungen. Bei dieser Methode versuchen die Angreifer, ihre potenziellen Opfer zu täuschen, indem sie E-Mail-Anhänge mit einem vertrauten Dateityp verschicken. Dahinter lauert dann das Böse.

In diesem realen Versuch verwendeten die Angreifer die Dateierweiterung "PDF.zip". Hier sollten sofort alle Alarmsirenen schrillen, da es sich um zwei verschiedene Dateitypen handelt. Leider wird die drohende Gefahr aufgrund des allseits bekannten .zip-Dateiformats nur allzu gerne übersehen.

Nicht alle Bedrohungen kommen in Form von E-Mail-Anhängen daher, ebenso misstrauisch sollten Empfänger sogenannte getarnte Links behandeln. Der Link selbst wirkt erst einmal nicht sonderlich verdächtig. Allerdings ist er nicht das, was er vorgibt zu sein. Dahinter verbirgt sich natürlich eine bösartige URL, die es dann in sich hat. Solche Art Links werden nicht nur zur Verbreitung von Malware verwendet, sondern leiten Nutzer zu Webseiten, die Diebe explizit eingerichtet haben, um Anmeldeinformationen oder andere persönliche Informationen abzugreifen.

Während Phishing gewöhnlich auf Massenreichweite abzielt, nehmen Spear Phishing-Botschaften speziell Einzelpersonen oder einzelne Unternehmen ins Visier. Diese Art des personalisierten Angriffs gibt es in den verschiedensten Varianten, etwa als gefälschte E-Mail von Banken, Bezahl- oder Zustelldiensten und sogar vom eigenen Arbeitgeber. Die Absicht ist stets die gleiche: Die Opfer sollen Geldbeträge überweisen oder sensible Daten an Kriminelle weitergeben, die sich als Chef, Kollege oder vertrauenswürdiger Kunde ausgeben.

In diesem Beispiel haben sich die Kriminellen die Zeit genommen, eine trügerische Domain zu registrieren, die den Namen eines tatsächlich existierenden Unternehmens enthält. Wer jedoch aufmerksam hinschaut, wird den falsch geschriebenen Unternehmensnamen im Link bemerken (Netfliix), und die Alarmglocken sollten läuten. Diese Methode des "Typosquattings" (engl. squatter = Hausbesetzer, übertragen: Tippfehlerdomain, Domaingrabbing) beruht darauf, dass eine Person die Webadresse versehentlich falsch eintippt und dann auf eine alternative Webseite geführt wird, die dem "Typosquatter" gehört. Diese Seiten können dann ein Konkurrenzangebot, unpassende Werbung oder sonstige unerwünschte Inhalte enthalten.

Die gezeigten Beispiele sind nur eine kleine Auswahl der vielen Varianten von Phishing-Betrug, die Kriminelle jeden Tag zigtausendfach versenden. Eine E-Mail-Sicherheitslösung, die Sandboxing sowie einen erweiterten Schutz vor Bedrohungen bietet und Malware blockiert– und zwar noch bevor das kriminelle Anschreiben den E-Mail-Server des Unternehmens erreicht, ist ein "Muss". Zur Abwehr von E-Mails mit bösartigen Links hilft zudem ein Anti-Phishing-Schutz, der eine Link Protection-Funktion enthält. Diese sucht nach URLs zu Webseiten, die bösartigen Code enthalten, und blockiert Links zu gefährdeten Webseiten, selbst wenn diese sich im Inhalt eines Dokuments verstecken. Ein Tipp: Indem lediglich der Mauszeiger über den Link bewegt wird – ohne diesen anzuklicken – offenbart sich die tatsächliche, kriminelle Absicht dahinter.

Allen erforderlichen Sicherheitstechnologien voran sollte jedoch immer eine fundierte Aufklärung der Mitarbeiter und Mitarbeiterinnen stehen. Diese müssen regelmäßig über aktuelle Gefahren und Phishing-Methoden geschult und anschließend getestet werden, um ihr Sicherheitsbewusstsein für verschiedene gezielte Angriffe zu erhöhen. Das simulierte Angriffstraining ist hier bei Weitem die effektivste Form solcher Schulungen. Funktioniert die menschliche Firewall, ist ein wesentlicher Schritt getan, es Cyberkriminellen – zumindest – deutlich schwerer zu machen.

*Umfrage von Barracuda unter IT-Verantwortlichen aus dem mittleren und gehobenen Management aus 145 europäischen kleinen, mittleren und großen Unternehmen über den aktuellen Stand der E-Mail-Sicherheit.
(Barracuda Networks: ra)

eingetragen: 14.07.18
Newsletterlauf: 23.07.18

Barracuda Networks: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • KI: Kein Ersatz für IT-Sicherheitsteams

    Ob Spear-Phishing, Ransomware oder Zero-Day-Exploits, Netzwerke sind ständig in Gefahr gehackt zu werden. Die wachsende Bedrohung geht einher mit immer komplexeren IT-Landschaften, mehr Daten und weniger IT-Personal. Um ihre Netzwerke unter diesen schwierigen Umständen effektiver zu schützen, setzen viele Unternehmen inzwischen auf Technologien wie KI-basierte Verhaltensüberwachung. Sie nutzt die Möglichkeiten von Datenanalyse und maschinellem Lernen um einen der größten Risikofaktoren im Netzwerk zu minimieren: den Benutzer. Nutzer sind die Einfallstore, die sensible Unternehmensdaten gefährden, sei es ein kompromittiertes Nutzerkonto im Netzwerk, ein Insider-Angriff oder unbedachtes Verhalten eines Mitarbeiters.

  • Cyber-Erpressung auf Bestellung

    CryptoLocker, GoldenEye, Locky, WannaCry - Ransomware hat mit der Geiselnahme von Dateien durch Verschlüsselung in den letzten Jahren eine beachtliche und unrühmliche Karriere hingelegt. Und da sich Kriminelle auch bei Digitalisierungstrends wie as-a-Service-Angeboten nicht lumpen lassen, hat die Untergrundökonomie mit Ransomware-as-a-Service (RaaS) rasch ein lukratives Geschäftsmodell für sich entdeckt, das in kürzester Zeit enormes Wachstum erlebt hat. Das Prinzip ist denkbar einfach - wie in der legalen Wirtschaft sind die Dienstleistungen ganz auf die Bedürfnisse einer möglichst breiten Kundschaft zugeschnitten: Auf Ransomware-as-a-Service-Plattformen können nun auch technisch wenig versierte Kriminelle ins Cyber-Erpressergeschäft einsteigen und sich von Schadware-Entwicklern die entsprechende Service-Leistung gegen Abgabe einer festen Gebühr oder einer Provision basierend auf den Lösegeldeinnahmen besorgen.

  • Investitionen in IT-Sicherheit legitimieren

    Wenn man so oft direkt mit unterschiedlichen Unternehmen und Menschen zu tun hat wie der Vertrieb, erkennt man schnell bestimmte Reaktionsschemata. Ebenso wie zuverlässig wiederkehrende Schwierigkeiten beim Implementieren von IT-Sicherheitsmaßnahmen. Den größten Teil unserer Zeit verbringen wir damit zu erläutern warum Cybersicherheit derart wichtig ist und wie ein Unternehmen von bestimmten Maßnahmen am besten profitiert. Trotzdem erhält man regelmäßig dieselben Antworten: "Ich verstehe absolut wovon Sie sprechen, und ich gebe Ihnen sogar Recht. Nur, wie soll ich die zusätzlichen Ausgaben gegenüber der Geschäftsleitung rechtfertigen?" Es gibt allerdings einige grundlegende Argumente die Kunden helfen, Sicherheitsansätze und Lösungen gegenüber der Geschäftsführung oder anderen Zeichnungsbefugten plausibel zu machen.

  • PKI ist im 21. Jahrhundert angekommen

    Um ein IoT-Ökosystem sicher aufzubauen und zu entwickeln, braucht man zwingend Tools und Architekturen, um IoT-Geräte zu identifizieren, zu kontrollieren und zu verwalten. Dieser Prozess beginnt mit dem Festlegen einer starken Identität für jedes IoT-Gerät. Der folgende Beitrag beschäftigt sich mit einigen der Möglichkeiten, wie man die Authentizität von IoT-Geräten verifizieren kann, bevor man sie integriert.

  • Tor-Browser, um IP-Adressen zu verschleiern

    Trotz ausgereifter Sicherheitstechnologien bleiben Anwender für Unternehmen eine empfindliche Schwachstelle, insbesondere deshalb, weil Cyberkriminelle ihre Social Engineering-Angriffe immer weiter verfeinern. Vor allem Phishing zählt zu den Angriffsvektoren, die Unternehmen gegenwärtig Kopfschmerzen bereiten. So werden E-Mails im Namen von Payment-Services, Shopanbietern oder E-Mailservice-Hosts von den kriminellen Hintermännern täuschend echt nachgeahmt, mit dem Ziel, durch das Abfischen von Logindaten weitere sensible, persönliche Daten zu erbeuten. Doch wie sehen die Konsequenzen aus, wenn Nutzerdaten von Mitarbeitern in die falschen Hände geraten und welche Auswirkungen hätte dies auf das Unternehmen? Das Forschungsteam von Bitglass hat versucht, mithilfe eines Experiments unter dem Namen "Cumulus" den Verbreitungswegen illegal erbeuteter Daten auf die Spur zu kommen.