- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Security-GAU: Advanced Persistent Threats


Der Netzwerk-Detektiv: Wie die Analyse des Netzwerk-Traffics bei der Bekämpfung fortschrittlicher Bedrohungen hilft
NTSA hilft auch in Hinsicht auf Compliance: Die DSGVO verlangt von Unternehmen, die Opfer von Datenschutzverletzungen wurden, schnell detaillierte Informationen über böswillige Aktivitäten nach einem Verstoß bereitzustellen

- Anzeigen -





Von Liviu Arsene, Bitdefender

Moderne Hackerangriffe werden immer komplexer und überfordern damit herkömmliche Lösungen für Endpoint- und Netzwerksicherheit. Zwar ist Ransomware die Wahl für Cyberkriminelle die schnellen Bitcoins hinterherjagen, Sicherheitsverantwortliche fürchten heute jedoch viel mehr Advanced Persistent Threats (APTs). Denn diese bleiben im schlimmsten Fall jahrelang unentdeckt und ermöglichen Cyberkriminellen über lange Zeit hinweg umfangreiche Datenmengen zu stehlen und geben ihnen dauerhaft Zugriff auf sensible Dateien wie Produktionspläne, Entwicklungsberichte, Kommunikationsdaten oder Sitzungsprotokolle. Eine ständige Analyse des Datenverkehrs im Netzwerk kann jedoch auch solche Angriffe aufdecken.

Kriminelle, die APTs lancieren, verwenden höchsten Aufwand darauf, dass die entscheidenden Vorgänge beim digitalen Einbruch einen legitimen Anschein haben. Dies gelingt ihnen zum Beispiel, indem sie reale Nutzernamen und Passworte von Administratoren oder Topmanagern phishen oder indem sie noch unbekannte Schwachpunkte legitimer Anwendungen missbrauchen und ihre Spuren nach gelungenem Einbruch in die IT-Systeme wieder löschen.

Derzeit gängige Sicherheitslösungen erkennen solcherart getarnte Angriffe nicht oder erst viel zu spät. Nur durch eine intelligente Analyse des Netzwerk-Traffics (Network Traffic Security Analytics, NTSA), die typisches Verhalten erlernt und dadurch Abweichungen erkennt, lassen sich APTs identifizieren. NTSA ergänzt die in den meisten Unternehmen bestehenden Abwehrmaßnahmen wie Firewalling und Endpoint Security, weil sie etwas hat, das kein anderes Sicherheitstool hat: Detaillierte Kenntnisse über das typische Verhalten jedes Endpunkts im Netzwerk.

Gegen welche Art von Angriffen schützt NTSA? Zum Beispiel um diesen, der Ende 2018 die weltweit größte Hotelkette Marriott erwischte: Ein APT kompromittierte rund 500 Millionen Daten von Kunden. Es handelte sich um einen mehrschichtigen Angriff. Die Cyberkriminellen verfolgten den Ansatz, langfristig Zugang auf die Daten zu erhalten und große Mengen an wertvollen, sensiblen Informationen zu sammeln. Dies stellt die ressourcenintensivste Form der Cyberkriminalität dar. Die Angreifer arbeiten in Kooperation oder im Auftrag staatlicher Stellen oder sind Teil der organisierten Kriminalität und haben in der Regel ein klar definiertes Ziel. Und obwohl sie dieses teilweise über geradezu plumpe Angriffswaffen wie Phishing anvisieren, ist das Wirkung des Angriffs oft verheerend.

Was APTs von anderen Angriffen unterscheidet, ist ihre Fähigkeit langfristig von Sicherheitslösungen unentdeckt zu bleiben, während sie unbemerkt sensible Daten exfiltrieren. Zu einigen Angriffsmethoden gehört es, die eingesetzten Sicherheitslösungen genauestens zu studieren, um erst dann Malware einzusetzen, wenn man sich sicher ist, dass sie unerkannt bleibt.

Alle Angriffe hinterlassen Spuren
Um solche ausgeklügelte Angriffe zu erkennen, ist eine Kombination verschiedener Sicherheitstechnologien erforderlich – aber vor allem die Analyse des Netzwerk-Traffics. Denn APTs, so gründlich sie auch konzipiert sein mögen, hinterlassen Spuren im Netzwerk, die sich anhand von Netzwerk-Metadaten nachverfolgen lassen. NTSA nutzt diese Metadaten, um detaillierte Kenntnisse über das Verhalten jedes Endpunkts im Netzwerk zu liefern und anomales Verhalten zu entlarven. Aus sicherheitstechnischer Sicht schließt die Netzwerk-Traffic-Analyse die Lücke zwischen Next-Gen-Firewalls und IDS/IPS und ergänzt Netzwerküberwachung und EDR (Endpoint Detection&Response).

So funktioniert die Analyse des Netzwerk-Traffics
Die wichtigste Stärke von NTSA ist es, aus den verfügbaren Netzwerk-Metadaten eine normale Verhaltensbasis für alle Geräte und Anwendungen in einem Netzwerk zu modellieren. Die Lösung nutzt dann diese Basis, um das aktuelle Verhalten abzugleichen. Weicht dieses zu sehr von der Basis ab, erkennt die Lösung eine potenziell bedrohliche Netzwerkaktivität und erzeugt einen Alarm. So kann NTSA neue Bedrohungen erkennen, die von bisherigen Lösungen nicht erkannt wurden. NTSA nutzt Künstliche Intelligenz sowie Verhaltens- und Bedrohungsanalyse, um ausgefeilte Bedrohungen zu erkennen. Sie speichert Metadaten für zur nachträglichen Erkennung von Bedrohungen, also Forensik und Compliance.

Die Analyse von verschlüsseltem Datenverkehr
Ein großer Teil des Datenverkehrs ist heute aus Gründen der Datensicherheit und des Datenschutzes verschlüsselt. Ein wesentlicher Vorteil der NTSA ist die Fähigkeit, Metadaten von verschlüsseltem Datenverkehr zu untersuchen, ohne die Sicherheit der Daten oder die Privatsphäre des Dateninhabers zu beeinträchtigen.

Weitere Vorteile von Network Traffic Analytics
NTA bietet die agentenlose Überwachung aller Ereignisse im Netzwerk jedes einzelnen Endpunkts in Echtzeit, samt detaillierter Netzwerkprotokolle. Diese detaillierte Einsicht hilft nicht nur bei der forensischen Analyse, sondern schafft auch komplette Transparenz, da jedes Gerät im Netzwerk inbegriffen ist. Somit erweitert NTSA seine Schutzwirkung auch auf Geräte , deren eigene, integrierte Sicherheit mangelhaft ist, wie es etwa oft bei BYOD- oder IoT-Szenarien vorkommt.

NTSA hilft auch in Hinsicht auf Compliance. Die DSGVO verlangt von Unternehmen, die Opfer von Datenschutzverletzungen wurden, schnell detaillierte Informationen über böswillige Aktivitäten nach einem Verstoß bereitzustellen. Auf NTSA aufbauende Lösungen unterstützen Unternehmen bei der Einhaltung von Compliance-Standards, indem sie Informationen über den Netzwerkdatenverkehr über einen längeren Zeitraum aufzeichnen. Die Aufzeichnung enthält nur Metadaten und der Zugriff lässt sich auf Berechtigte, wie den Datenschutzbeauftragten, beschränken.

Fortschrittliche Lösungen, welche die Analyse des Netzwerkverkehrs nutzen, kombinieren das Wissen über bekannte Bedrohungen außerdem mit fortgeschrittenem maschinellem Lernen und Heuristiken, um die Netzwerk-Metadaten in Echtzeit zu analysieren und Bedrohungsaktivitäten und verdächtige Verkehrsmuster genau zu erkennen. Die Analysen und Warnmeldungen können automatisiert werden. Dies vermeidet Fehlalarme und stellt einen für Menschen lesbaren Kontext her. So verkürzen die Lösungen die Zeit für Untersuchungen und die Effektivität der Security-Teams.

NTSA - Der Netzwerk-Detektiv im Sicherheitsportfolio
Die immer komplexer werdenden IT-Umgebungen in Unternehmen stehen heute vor vielen Bedrohungen. Erfolgreiche Angriffe können Unternehmen finanziell schwer treffen. Um diese Bedrohungen abzuwenden, benötigen Unternehmen eine proaktivere Sicherheitsarchitektur, die über Endpoint-Security hinausgeht und die Erkennung von Bedrohungen in der gesamten IT-Umgebung verbessert. Die Bekämpfung ausgeklügelter, mehrstufiger Angriffe, wie etwa APTs, erfordert auch eine mehrschichtige Verteidigung. Die Netzwerk Traffic Security Analyse kann eine bestehende Sicherheitsarchitektur um eine spezialisierte, netzwerkbasierte Verteidigungslinie ergänzen. Sie analysiert das Verhalten auf Netzwerkebene und liefert Daten, die potenziell kompromittierte Systeme und riskantes oder bösartiges Nutzerverhalten aufzeigen. Wer Daten exfiltrieren will, muss sie zu guter Letzt irgendwann im Netzwerk bewegen. Wenn ein Unternehmen diese Bewegung registriert, kann es sich schützen.
(Bitdefender: ra)

eingetragen: 05.04.19
Newsletterlauf: 16.05.19

Bitdefender: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • KI: Neue Spielregeln für IT-Sicherheit

    Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark zugenommen. Dank künstlicher Intelligenz (KI), maschinellem Lernen und Big Data sind die Inhalte deutlich überzeugender und die Angriffsmethodik überaus präzise. Mit traditionellen Phishing-Angriffen haben die Attacken nicht mehr viel gemein. Während IT-Verantwortliche KI einsetzen, um Sicherheit auf die nächste Stufe zu bringen, darf man sich getrost fragen, was passiert, wenn diese Technologie in die falschen Hände, die der Bad Guys, gerät? Die Weiterentwicklung des Internets und die Fortschritte beim Computing haben uns in die Lage versetzt auch für komplexe Probleme exakte Lösungen zu finden. Von der Astrophysik über biologische Systeme bis hin zu Automatisierung und Präzision. Allerdings sind alle diese Systeme inhärent anfällig für Cyber-Bedrohungen. Gerade in unserer schnelllebigen Welt, in der Innovationen im kommen und gehen muss Cybersicherheit weiterhin im Vordergrund stehen. Insbesondere was die durch das Internet der Dinge (IoT) erzeugte Datenflut anbelangt. Beim Identifizieren von Malware hat man sich in hohem Maße darauf verlassen, bestimmte Dateisignaturen zu erkennen. Oder auf regelbasierte Systeme die Netzwerkanomalitäten aufdecken.

  • DDoS-Angriffe nehmen weiter Fahrt auf

    DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.

  • Fluch und Segen des Darkwebs

    Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.

  • Cyber-Sabotage durch Datenmanipulation

    Cyberkriminelle stehlen nicht nur Daten. Manchmal ist es stattdessen ihr Ziel, Daten bewusst zu manipulieren. Attacken, bei denen externe Angreifer oder böswillige Insider subtile Veränderungen an unternehmenskritischen Daten wie etwa Quellcodes, Finanzdokumenten oder Bauplänen vornehmen, können für Unternehmen genauso verheerend sein wie Diebstahl. Es bedarf oft nur eines Fehlers, beispielsweise durch einen Angriff auf industrielle Steuerungssysteme, um die Produktion von Gütern zu unterbrechen oder zu verzögern und eventuell eine gesamte Lieferkette zu gefährden. Hat das Unternehmen keine adäquate Möglichkeit zu überprüfen, ob wichtige Daten legitim sind, kann dies zudem das Vertrauen im Unternehmen von innen heraus zersetzen.

  • Datenmanipulation auf dem Vormarsch

    Technologie hat die Eigenschaft uns auf Trab zu halten. Und obwohl ständiger Wandel und Innovation aufregend sind, damit wirklich Schritt zu halten kann ein zweischneidiges Schwert sein. Das hat den Datenschutz zur heute vielleicht größten Herausforderung für Unternehmen gemacht. Bei der Sicherheitsplanung für das kommende Jahr gehen wir davon aus, dass einige Probleme vorrangig sein werden.