- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Security-GAU: Advanced Persistent Threats


Der Netzwerk-Detektiv: Wie die Analyse des Netzwerk-Traffics bei der Bekämpfung fortschrittlicher Bedrohungen hilft
NTSA hilft auch in Hinsicht auf Compliance: Die DSGVO verlangt von Unternehmen, die Opfer von Datenschutzverletzungen wurden, schnell detaillierte Informationen über böswillige Aktivitäten nach einem Verstoß bereitzustellen

- Anzeigen -





Von Liviu Arsene, Bitdefender

Moderne Hackerangriffe werden immer komplexer und überfordern damit herkömmliche Lösungen für Endpoint- und Netzwerksicherheit. Zwar ist Ransomware die Wahl für Cyberkriminelle die schnellen Bitcoins hinterherjagen, Sicherheitsverantwortliche fürchten heute jedoch viel mehr Advanced Persistent Threats (APTs). Denn diese bleiben im schlimmsten Fall jahrelang unentdeckt und ermöglichen Cyberkriminellen über lange Zeit hinweg umfangreiche Datenmengen zu stehlen und geben ihnen dauerhaft Zugriff auf sensible Dateien wie Produktionspläne, Entwicklungsberichte, Kommunikationsdaten oder Sitzungsprotokolle. Eine ständige Analyse des Datenverkehrs im Netzwerk kann jedoch auch solche Angriffe aufdecken.

Kriminelle, die APTs lancieren, verwenden höchsten Aufwand darauf, dass die entscheidenden Vorgänge beim digitalen Einbruch einen legitimen Anschein haben. Dies gelingt ihnen zum Beispiel, indem sie reale Nutzernamen und Passworte von Administratoren oder Topmanagern phishen oder indem sie noch unbekannte Schwachpunkte legitimer Anwendungen missbrauchen und ihre Spuren nach gelungenem Einbruch in die IT-Systeme wieder löschen.

Derzeit gängige Sicherheitslösungen erkennen solcherart getarnte Angriffe nicht oder erst viel zu spät. Nur durch eine intelligente Analyse des Netzwerk-Traffics (Network Traffic Security Analytics, NTSA), die typisches Verhalten erlernt und dadurch Abweichungen erkennt, lassen sich APTs identifizieren. NTSA ergänzt die in den meisten Unternehmen bestehenden Abwehrmaßnahmen wie Firewalling und Endpoint Security, weil sie etwas hat, das kein anderes Sicherheitstool hat: Detaillierte Kenntnisse über das typische Verhalten jedes Endpunkts im Netzwerk.

Gegen welche Art von Angriffen schützt NTSA? Zum Beispiel um diesen, der Ende 2018 die weltweit größte Hotelkette Marriott erwischte: Ein APT kompromittierte rund 500 Millionen Daten von Kunden. Es handelte sich um einen mehrschichtigen Angriff. Die Cyberkriminellen verfolgten den Ansatz, langfristig Zugang auf die Daten zu erhalten und große Mengen an wertvollen, sensiblen Informationen zu sammeln. Dies stellt die ressourcenintensivste Form der Cyberkriminalität dar. Die Angreifer arbeiten in Kooperation oder im Auftrag staatlicher Stellen oder sind Teil der organisierten Kriminalität und haben in der Regel ein klar definiertes Ziel. Und obwohl sie dieses teilweise über geradezu plumpe Angriffswaffen wie Phishing anvisieren, ist das Wirkung des Angriffs oft verheerend.

Was APTs von anderen Angriffen unterscheidet, ist ihre Fähigkeit langfristig von Sicherheitslösungen unentdeckt zu bleiben, während sie unbemerkt sensible Daten exfiltrieren. Zu einigen Angriffsmethoden gehört es, die eingesetzten Sicherheitslösungen genauestens zu studieren, um erst dann Malware einzusetzen, wenn man sich sicher ist, dass sie unerkannt bleibt.

Alle Angriffe hinterlassen Spuren
Um solche ausgeklügelte Angriffe zu erkennen, ist eine Kombination verschiedener Sicherheitstechnologien erforderlich – aber vor allem die Analyse des Netzwerk-Traffics. Denn APTs, so gründlich sie auch konzipiert sein mögen, hinterlassen Spuren im Netzwerk, die sich anhand von Netzwerk-Metadaten nachverfolgen lassen. NTSA nutzt diese Metadaten, um detaillierte Kenntnisse über das Verhalten jedes Endpunkts im Netzwerk zu liefern und anomales Verhalten zu entlarven. Aus sicherheitstechnischer Sicht schließt die Netzwerk-Traffic-Analyse die Lücke zwischen Next-Gen-Firewalls und IDS/IPS und ergänzt Netzwerküberwachung und EDR (Endpoint Detection&Response).

So funktioniert die Analyse des Netzwerk-Traffics
Die wichtigste Stärke von NTSA ist es, aus den verfügbaren Netzwerk-Metadaten eine normale Verhaltensbasis für alle Geräte und Anwendungen in einem Netzwerk zu modellieren. Die Lösung nutzt dann diese Basis, um das aktuelle Verhalten abzugleichen. Weicht dieses zu sehr von der Basis ab, erkennt die Lösung eine potenziell bedrohliche Netzwerkaktivität und erzeugt einen Alarm. So kann NTSA neue Bedrohungen erkennen, die von bisherigen Lösungen nicht erkannt wurden. NTSA nutzt Künstliche Intelligenz sowie Verhaltens- und Bedrohungsanalyse, um ausgefeilte Bedrohungen zu erkennen. Sie speichert Metadaten für zur nachträglichen Erkennung von Bedrohungen, also Forensik und Compliance.

Die Analyse von verschlüsseltem Datenverkehr
Ein großer Teil des Datenverkehrs ist heute aus Gründen der Datensicherheit und des Datenschutzes verschlüsselt. Ein wesentlicher Vorteil der NTSA ist die Fähigkeit, Metadaten von verschlüsseltem Datenverkehr zu untersuchen, ohne die Sicherheit der Daten oder die Privatsphäre des Dateninhabers zu beeinträchtigen.

Weitere Vorteile von Network Traffic Analytics
NTA bietet die agentenlose Überwachung aller Ereignisse im Netzwerk jedes einzelnen Endpunkts in Echtzeit, samt detaillierter Netzwerkprotokolle. Diese detaillierte Einsicht hilft nicht nur bei der forensischen Analyse, sondern schafft auch komplette Transparenz, da jedes Gerät im Netzwerk inbegriffen ist. Somit erweitert NTSA seine Schutzwirkung auch auf Geräte , deren eigene, integrierte Sicherheit mangelhaft ist, wie es etwa oft bei BYOD- oder IoT-Szenarien vorkommt.

NTSA hilft auch in Hinsicht auf Compliance. Die DSGVO verlangt von Unternehmen, die Opfer von Datenschutzverletzungen wurden, schnell detaillierte Informationen über böswillige Aktivitäten nach einem Verstoß bereitzustellen. Auf NTSA aufbauende Lösungen unterstützen Unternehmen bei der Einhaltung von Compliance-Standards, indem sie Informationen über den Netzwerkdatenverkehr über einen längeren Zeitraum aufzeichnen. Die Aufzeichnung enthält nur Metadaten und der Zugriff lässt sich auf Berechtigte, wie den Datenschutzbeauftragten, beschränken.

Fortschrittliche Lösungen, welche die Analyse des Netzwerkverkehrs nutzen, kombinieren das Wissen über bekannte Bedrohungen außerdem mit fortgeschrittenem maschinellem Lernen und Heuristiken, um die Netzwerk-Metadaten in Echtzeit zu analysieren und Bedrohungsaktivitäten und verdächtige Verkehrsmuster genau zu erkennen. Die Analysen und Warnmeldungen können automatisiert werden. Dies vermeidet Fehlalarme und stellt einen für Menschen lesbaren Kontext her. So verkürzen die Lösungen die Zeit für Untersuchungen und die Effektivität der Security-Teams.

NTSA - Der Netzwerk-Detektiv im Sicherheitsportfolio
Die immer komplexer werdenden IT-Umgebungen in Unternehmen stehen heute vor vielen Bedrohungen. Erfolgreiche Angriffe können Unternehmen finanziell schwer treffen. Um diese Bedrohungen abzuwenden, benötigen Unternehmen eine proaktivere Sicherheitsarchitektur, die über Endpoint-Security hinausgeht und die Erkennung von Bedrohungen in der gesamten IT-Umgebung verbessert. Die Bekämpfung ausgeklügelter, mehrstufiger Angriffe, wie etwa APTs, erfordert auch eine mehrschichtige Verteidigung. Die Netzwerk Traffic Security Analyse kann eine bestehende Sicherheitsarchitektur um eine spezialisierte, netzwerkbasierte Verteidigungslinie ergänzen. Sie analysiert das Verhalten auf Netzwerkebene und liefert Daten, die potenziell kompromittierte Systeme und riskantes oder bösartiges Nutzerverhalten aufzeigen. Wer Daten exfiltrieren will, muss sie zu guter Letzt irgendwann im Netzwerk bewegen. Wenn ein Unternehmen diese Bewegung registriert, kann es sich schützen.
(Bitdefender: ra)

eingetragen: 05.04.19
Newsletterlauf: 16.05.19

Bitdefender: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Der primäre Anwendungsfall unserer Zeit

    Es scheint ein Widerspruch zu sein: Obwohl die meisten Unternehmen viele ihrer Anwendungen in die Cloud migrieren, erfreut sich das klassische Rechenzentrum nach wie vor großer Beliebtheit. Seit nun mehr als einem Jahrzehnt virtualisieren Unternehmen ihre Rechenzentren und führen Cloud-Technologien ein. Und sagten einige Experten vor gut zehn Jahren voraus, dass das Rechenzentrum der Zukunft vollständig in der Cloud betrieben würde, sehen wir heute, dass dies nicht eingetreten ist. Stattdessen führten Unternehmen Hybrid- und Multi-Cloud-Umgebungen ein, die ihnen die Wahl geben, ihren Anwendungen und Daten das ideale Zuhause zu geben.

  • Modulare Malware: Bösartige Multitalente

    Modulare Malware bietet Cyberkriminellen eine Architektur, die robuster, flexibler und gefährlicher ist als klassische dokumentenbasierte oder webbasierte Malware. Denn die Schadware beinhaltet verschiedene Nutzlasten und Funktionen und kann diese selektiv starten, je nach Ziel und Funktion des Angriffs. Mit dem Aufkommen von Botnetzen, die Befehle von Cyberkriminellen ausführen, und Malware, die für eine umfangreiche Verbreitung geschrieben wurde, ist Modularität zur neuen Norm geworden. Malware-Autoren organisieren sich zunehmend professionell und übernehmen und implementieren Praktiken der Softwareindustrie, einschließlich Qualitätssicherung und Tests, um den Erfolg von Angriffen zu optimieren. Als Reaktion auf die Anforderung, mehrere Fähigkeiten mit einer Malware-Datei zu erfüllen, hat sich modulare Malware zu einer funktionsreichen und flexiblen Angriffslösung für Cyberkriminelle entwickelt.

  • KI-Anwendungen missbraucht

    Malwarebytes veröffentlichte ihren Hintergrundbericht zum Einsatz Künstlicher Intelligenz (KI) innerhalb der Malware-Branche. In diesem Bericht wirft Malwarebytes dabei einen Blick zurück auf die Anfänge von KI, gibt einen Einblick in die Vorteile von KI und Machine Learning innerhalb der Cybersicherheitsbranche, definiert Einsatzgebiete mit Beispielen von KI bei Malware-Angriffen und gibt einen Ausblick, wozu bösartige Angriffe auf KI-Basis in Zukunft im Stande sind. Der komplette (englischsprachige) Hintergrundbericht ist unter diesem Link verfügbar. Als Gesellschaft nutzen wir künstliche Intelligenz bereits in einer Vielzahl von Branchen: Spracherkennung, Wortvervollständigung, Biometrie, maschinelle Lernplattformen. KI ist über den Hype hinaus und wir werden bald feststellen, dass sie mittlerweile weit verbreitet ist. Malwarebytes geht davon aus, dass es einen entscheidenden Zeitraum in der Entwicklung der künstlichen Intelligenz gibt, in dem diejenigen, die diese relativ neue Technologie in die Welt bringen, die Wahl haben, sie verantwortungsbewusst zu nutzen oder ihre Entwicklung einfach um jeden Preis zu beschleunigen. Es ist jetzt an der Zeit, darüber nachdenken, bevor es Cyberkriminelle tun werden.

  • ML: Die geknüpften Erwartungen sind hoch

    Die an Maschinelles Lernen (ML) geknüpften Erwartungen sind hoch, und das mit gutem Grund. Algorithmen, die auf maschinellem Lernen basieren, erlauben es uns beispielsweise enorme Mengen von Sicherheitsvorkommnissen auf Anomalien hin zu sichten. Also Abweichungen von einem als normal definierten Verhalten zu erkennen, die häufig Anzeichen für böswillige Aktivitäten sind. Die Ergebnisse dieses Sichtungsprozesses werden an einen Analysten übermittelt, der sie durchsieht und gründlich überprüft. Anschließend wird das System mit den Ergebnissen gefüttert um es weiter zu trainieren. Mit mehr und mehr in das System eingespeisten Daten entwickelt es sich sukzessive weiter: Es lernt ähnliche Sicherheitsvorkommnisse zu erkennen und letztendlich deren zugrunde liegende Charakteristika eines böswilligen Verhaltens.

  • Angriffsforensik: Post Mortem von Cyberattacken

    Wenn Cyberangriffe die Sicherheit von Endgeräten umgehen, kann es oft Monate dauern, bis Unternehmen die Schwachstelle entdecken. Unternehmen suchen deshalb nach Möglichkeiten, ihre Endgerätesicherheit zu modernisieren und ihre Fähigkeit zu verbessern, Bedrohungen schneller zu erkennen und in komplexen Infrastrukturen effektiver darauf zu reagieren. Um genutzte Sicherheitslücken und blinde Flecken im System zu erkennen, müssen sich Securityteams der Angriffsforensik bedienen, um genau herauszufinden, wie es zu Sicherheitsvorfällen kommen konnte. Sie ist ein Element zur Verbesserung der Endpoint Detection and Response (EDR). Weiß man dank der Angriffsforensik genau, wo die Sicherheitslücken sind und wie sie von Kriminellen ausgenutzt wurden, können Unternehmen Business Continuity besser gewährleisten, Malware schneller erkennen und Sicherheitslücken zukünftig schließen.