- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Mit UEBA die Sicherheit der IT erhöhen


Der Großteil aller Cyberattacken wird von gängigen Sicherheitslösungen nicht erkannt
Die Analyse des Benutzer- und Entity-Verhaltens wird bei der Entwicklung von Sicherheitslösungen immer wichtiger, um moderne Angriffe abwehren zu können

- Anzeigen -





Von Egon Kando, Exabeam

Das Verhältnis von erfolgreichen und nicht erfolgreichen Cyberangriffen auf Unternehmen schätzen Experten auf 80 zu 20 ein. Und nein, die Zahlen sind keinesfalls verdreht: Experten gehen tatsächlich davon aus, dass viermal so viele Angriffe erfolgreich sind, wie abgewehrt werden. Zwar werden erfolgreiche Cyberbangriffe auf Organisationen jeder Art in den Schlagzeilen tagtäglich publik und man sollte meinen, diese seien die Ausnahme. Tatsächlich stellen diese Angriffe jedoch nur die sichtbare Spitze des Eisbergs dar. Dies gibt zu denken, geben Unternehmen doch jährlich Milliarden für den Schutz ihrer IT aus, deren Abwehrstrategien auf Prävention und reaktionäres Management von Bedrohung basieren.

Und es muss die Frage gestellt werden, ob diese eingesetzten Sicherheitsprodukte denn überhaupt noch geeignet sind, vor heutigen Cyberattacken schützen zu können. Denn eines ist sicher: die derzeitigen Cyberbedrohungen entwickeln sich ständig weiter – und die IT-Security muss mit ihnen Schritt halten. Doch wie kann die IT-Security ihren Rückstand aufholen?

Mit Analytik der Cyberkriminalität einen Schritt voraus bleiben
Effektive Sicherheit für Unternehmen bedeutet in der Praxis vor allem Bedrohungen schnell zu erkennen und zu stoppen. Im besten Fall, bevor sie ernsthafte Schäden verursachen können. Bei der hohen Anzahl an nicht erkannten Bedrohungen werden die Budgets für die Cyberabwehr offenbar nicht effizient oder an falscher Stelle eingesetzt. Eine Technologie, die der IT-Security dabei helfen kann, auch die nicht erkannten 80 Prozent der Angriffe zu erkennen ist UEBA (User and Entity Behaviour Analytics) oder auf Deutsch, Analyse des Benutzer- und Entity-Verhaltens.

Die Basis für UEBA stellen die Datenbestände dar, die das Netzwerk über Ereignisse, Aktionen, Dateien und Benutzer anhäuft. In den meisten modernen Netzwerken werden diese Aktionen aufgezeichnet und protokolliert. Und je größer das Unternehmen, desto mehr Einträge werden erstellt, was oft zu riesigen Datenbeständen führt, die sich, effektiv analysiert, sehr gut zur Erhöhung der Sicherheit nutzen lassen.

Diese Analyse schafft natürlich erhebliche Infrastrukturanforderungen und benötigt effiziente Prozesse zur Abfrage der Daten. Um dies umzusetzen, kommen UEBA-Lösungen zur Überwachung von Prozessen und Aktivitäten auf Basis von Big Data zum Einsatz. Durch die Analyse aller stattfindenden Aktivitäten ist UEBA in der Lage, "normale" Benchmarks für die Netzwerkaktivitäten zu erstellen. Wenn die Aktivität zu weit von diesen akzeptablen Mustern abweicht, wird das Netzwerksicherheitsteam automatisch benachrichtigt, damit eine genauere Untersuchung stattfinden kann.

Fehlalarme mit dem richtigen Kontext vermeiden
Sicherheitsteams erhalten in der Regel täglich Tausende von Netzwerkwarnungen, von denen viele harmlos sind. Daher kann die Implementierung eines Systems sehr nützlich sein, das in der Lage ist, die Aktivität genau zu bewerten, bevor eine Warnung ausgelöst wird. Das bedeutet nicht nur, dass das Sicherheitsteam mehr Zeit damit verbringen kann, sich auf echte Bedrohungen zu konzentrieren, sondern auch, dass die Anzahl der erzeugten Fehlalarme deutlich reduziert werden kann.

UEBA-Lösungen können eine Vielzahl von Netzwerkaktivitäten bewerten. Nach der Festlegung von Verhaltensbenchmarks vergleichen sie die Aktivität von Nutzerkonten mit der von ähnlichen Konten, um anomale Aktivitäten zu identifizieren. Darüber hinaus bieten UEBA-Lösungen im Gegensatz zu anderen Sicherheitslösungen weitere entscheidende Vorteile. Viele Sicherheitslösung konzentrieren sich in erster Linie darauf, auf Warnmeldungen so schnell wie möglich zu reagieren.

Ohne jeglichen Kontext kann es jedoch äußerst schwierig sein, echte Bedrohungen aus den vielen False Positives genau zu sortieren. UEBA liefert den Sicherheitsteams hier den dringend benötigten Kontext, um keine Zeit mit Untersuchung von Fehlalarmen zu verschwenden, Ressourcen zu schonen und sich auf die richtigen Bereiche zu konzentrieren.

Maschinelles Lernen hilft bei der Erkennung kompromittierter Konten
Darüber hinaus nutzen fortschrittliche UEBA-Tools auch maschinelles Lernen, um die Sicherheit weiter zu erhöhen. Komplexe Data-Mining-Prozesse, die etwa auf VPN- und Aktivitätsprotokolle angewendet werden, erkennen so Probleme beim Zugriff auf die Infrastruktur von kompromittierten Konten. Die Verwendung von Logs auf Datenbank- und Dateiebene hilft außerdem, fragwürdige Aktivitäten zu erkennen, indem sie anomales Verhalten bestimmter Konten oder den Zugriff auf spezielle Daten identifizieren kann. Die komplexen Algorithmen, die zum Einsatz kommen, lernen ständig hinzu, werden dadurch besser und helfen Unternehmen so, der sich entwickelnden Cyberkriminalität einen Schritt voraus zu sein.

Fazit
Unternehmen geraten bei der Abwehr der immer zahlreicher und ausgeklügelter werdenden Cyberattacken trotz hoher Ausgaben für die Sicherheit zunehmend ins Hintertreffen. Gängige passive Methoden, bestehend aus Prävention und reaktionärem Management, reichen nicht aus, die IT zu schützen. Die moderne Bedrohungslandschaft erfordert einen modernen Ansatz. Einen, der Sicherheitsteams mit den notwendigen Werkzeugen ausstattet, um Netzwerke zu schützen, Benutzer zu warnen und erfolgreiche Angriffe so schnell wie möglich abzuwehren. UEBA-Lösungen in den Mittelpunkt von Sicherheitslösungen zu stellen, kann Unternehmen den Vorteil verschaffen um ihre Daten wirklich zu schützen.
(Exabeam: ra)

eingetragen: 05.04.19
Newsletterlauf: 14.05.19

Exabeam: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Sicherheit & Schutz der Privatsphäre

    Patientendaten sind extrem vertrauliche Informationen. Sie besonders zu schützen ist nur konsequent, und die Institutionen im Gesundheitswesen sind sich der Tragweite bewusst. Die hier anfallenden Daten, die sogenannten PHI-Daten, Personal Health Information, sind so sensibel wie begehrt. Das führt schon seit einigen Jahren dazu, dass Institutionen im Gesundheitswesen kontinuierlich mit Angriffen von Innentätern als auch von externen Cyberkriminellen zu kämpfen haben. Die Beispiele erfolgreicher Attacken sind Legion. Auch hierzulande hat es bereits spektakuläre Vorfälle mit schwerwiegenden Folgen gegeben. PII-Daten gehören zu den Daten, die sich besonders gut verkaufen lassen, und die finanzielle Motivation spielt bei externen Angreifern eine entscheidende Rolle. Es verwundert also nicht, dass die Zahl der Angriffe steigt und die verwendeten Vektoren zunehmend ausgefeilter werden. Ziel ist es, illegitim auf alle Arten von medizinischen Daten und Patienteninformationen zuzugreifen und dabei möglichst lange unentdeckt zu Werke zu gehen. Gleichzeitig gehört die Gesundheitsbranche zu den besonders stark regulierten Industriezweigen. Regulatorischer Druck und mögliche Strafen, stellen die Verantwortlichen vor nicht zu unterschätzende Herausforderungen.

  • Die ersten 90 Tage

    Sicherheit in einem wachstumsstarken Unternehmen auf- und ausbauen ist die zentrale Aufgabe eines designierten IT-Sicherheitschefs. Mit großer Wahrscheinlichkeit hat das Unternehmen bereits eine Reihe grundlegender Sicherheitsverfahren und Technologien implementiert, wie etwa Scan-Tools oder einen jährlichen Penetrationstest. Worin aber besteht das beste Fundament für maßgeschneiderte Sicherheitskonzepte? Welche Schritte sind geeignet Sicherheitsmaßnahmen einzuziehen, die mit dem Unternehmen wachsen? Neue und laufende Projekte, konkurrierende Prioritäten, Upgrades, potenzielle Sicherheitsschwachstellen und die 5-Jahresplanung. Mangelnde Betätigung und zu wenig Herausforderungen sind vermutlich das letzte über das sich ein Sicherheitsexperte beklagen muss. Angesichts der Fülle an Aufgaben mag es paradox anmuten: Trotzdem sollte man die Anfangsphase nutzen um sich zunächst gründlich zu orientieren. Nehmen Sie sich die Zeit, den aktuellen Status des Unternehmens gut zu verstehen. Dieses Verständnis trägt entscheidend dazu bei, präzise zu definieren wie der Status in Zukunft sein soll.

  • Wird Bluekeep zu WannaCry 2.0?

    Vor kurzem entdeckte Microsoft die Sicherheitslücke Bluekeep, die die schlimmsten Cyberangriffe seit der berüchtigten Ransomware-Attacke WannaCry aus 2017 ermöglichen könnte. WannaCry konnte sich nur deshalb so weit ausbreiten und solch immense Schäden verursachen, weil Tausende von Systemen nicht gepatcht waren. Microsoft hatte zwar einen Patch bereitgestellt, der vor WannaCry geschützt hätte, aber dieser Patch war bei vielen Systemen nicht aufgespielt worden. So blieben diese Systeme verwundbar. Mit Bluekeep droht sich die Geschichte zu wiederholen: Einige Wochen nach der Entdeckung von Bluekeep und Bereitstellung des Patches durch Microsoft sind immer noch fast eine Millionen Systeme mit extern exponiertem RDP ungepatcht.

  • Der primäre Anwendungsfall unserer Zeit

    Es scheint ein Widerspruch zu sein: Obwohl die meisten Unternehmen viele ihrer Anwendungen in die Cloud migrieren, erfreut sich das klassische Rechenzentrum nach wie vor großer Beliebtheit. Seit nun mehr als einem Jahrzehnt virtualisieren Unternehmen ihre Rechenzentren und führen Cloud-Technologien ein. Und sagten einige Experten vor gut zehn Jahren voraus, dass das Rechenzentrum der Zukunft vollständig in der Cloud betrieben würde, sehen wir heute, dass dies nicht eingetreten ist. Stattdessen führten Unternehmen Hybrid- und Multi-Cloud-Umgebungen ein, die ihnen die Wahl geben, ihren Anwendungen und Daten das ideale Zuhause zu geben.

  • Modulare Malware: Bösartige Multitalente

    Modulare Malware bietet Cyberkriminellen eine Architektur, die robuster, flexibler und gefährlicher ist als klassische dokumentenbasierte oder webbasierte Malware. Denn die Schadware beinhaltet verschiedene Nutzlasten und Funktionen und kann diese selektiv starten, je nach Ziel und Funktion des Angriffs. Mit dem Aufkommen von Botnetzen, die Befehle von Cyberkriminellen ausführen, und Malware, die für eine umfangreiche Verbreitung geschrieben wurde, ist Modularität zur neuen Norm geworden. Malware-Autoren organisieren sich zunehmend professionell und übernehmen und implementieren Praktiken der Softwareindustrie, einschließlich Qualitätssicherung und Tests, um den Erfolg von Angriffen zu optimieren. Als Reaktion auf die Anforderung, mehrere Fähigkeiten mit einer Malware-Datei zu erfüllen, hat sich modulare Malware zu einer funktionsreichen und flexiblen Angriffslösung für Cyberkriminelle entwickelt.