- Anzeigen -


Sie sind hier: Home » Markt » Hintergrund

Bekannte Angriffsmethoden


NotPetya-Attacke: Sind Unternehmen wirklich machtlos?
Wie Petya/NotPetya, aber auch andere Angriffe können sehr wohl und machtvoll abgewehrt werden

- Anzeigen -





"Ich höre immer wieder, dass die bestehenden Sicherheitssysteme ausreichend seien und dass man machtlos gegen solche Angriffe wäre – dem ist nicht so", sagt Oliver Keizers, Regional Director DACH des IT-Sicherheitsunternehmens Fidelis Cybersecurity. "Wir haben in der Vergangenheit immer wieder vernommen, dass Unternehmen sich machtlos gegenüber modernen Cyberattacken fühlen. Hier wird leider zu oft mit traditionellen Verteidigungswerkzeugen auf moderne Angriffe reagiert. Wir haben es hier nicht mit simplen, traditionellen Angriffen zu tun, die bekannte Präventionssysteme wie Antiviren-Software oder Firewalls verteidigen können, welche dann keine Gefahr mehr darstellen. Moderne Angriffe verstecken sich vor diesen Verteidigungslinien jedoch erfolgreich und lassen uns vermeintlich machtlos sein, hier bedarf es jedoch vor allem modernen Erkennungssystemen, welche eine weitere Verteidigung in der zweiten Linie ermöglichen. Auch uns und unseren Sicherheitsforschern war der hier vorliegende Schadcode initial unbekannt, das heißt aber nicht, dass wir nichts über die einzelnen Methoden gewusst hätten und diesen somit sehr wohl erkennen und erfolgreich verhindern konnten."

Nicolei Steinhage, Senior Systems Engineer DACH bei Fidelis Cybersecurity, erläutert die technischen Hintergründe dazu:
"Schaut man sich im Nachhinein die Angriffe an, so wird klar, dass die Erstinfektion durch eine DOC/RTF-Datei auf den Exploit CVE-2017-0199 erfolgte, die wiederum zu einer XLS-Datei mit eingebettetem HTA-Skript führte, was dann in der Folge den Malware-Download startete. Der hier verwendete Exploit war bereits bekannt und das hat dafür gesorgt, dass es bei vielen Unternehmen erst gar nicht zu einer Infektion kam – die Sicherheitssysteme am Perimeter konnten bereits vor der Infektion Alarm schlagen. Eine Warnung war hier also durchaus möglich und gegeben.

Diese Malware jedoch hat sich nach der Überwindung des Perimeters und der initialen Infektion sekundenschnell im gesamten Netzwerk ausgebreitet und alle verfügbaren Endpunkte befallen. Dazu nutzten die Angreifer durchaus valide und im System vorhandene Tools wie das Windows Management Interface (WMI) und PSexec, um mithilfe eines Derivates von MimiKatz an Benutzerzugangsdaten zu kommen und die Malware remote auszuführen. Der Transfer durch das Netzwerk zu den einzelnen Endpunkten fand per Server Message Block statt. Genau dieselbe Methode wurde bereits beim Angriff "Shamoon" 2012 verwendet – auch hier schlagen moderne, nicht signatur-basierte Sicherheitssysteme Alarm. Zudem war für moderne Endpunkt-Lösungen das Zusammensammeln der Zugangsdaten und die Nutzung von PSexec auf den betroffenen Systemen sichtbar und zu unterbinden – ebenso sekundenschnell, wie die Malware versuchte sich auszubreiten, indem der Endpunkt, egal ob es sich um einen Computer oder einen Server handelt, sofort vom Netzwerk isoliert und bereinigt wird.

Kurz gesagt, auch wenn der Schadcode noch unbekannt war, die Angriffsmethoden waren es nicht. Und moderne Sicherheitssysteme können anhand von Codeverhalten Angriffe finden und dagegen vorgehen. Typische Aktionen wie zum Beispiel Prozessausführung über "cmd.exe / c start", die Ausführung von Code aus dem TEMP Verzeichnis oder auch die Löschung von Volume Shadow Kopien sind immer verdächtig, müssen jedoch am Endpunkt zur Laufzeit erkannt werden können. Dabei braucht es dann nicht einmal mehr menschliche Hilfe: die Systeme gehen hier – beispielsweise bei der Isolation des befallenen Endpunkts und der folgenden Bereinigung – automatisiert vor und lösen das Problem, bevor es entsteht. Durch die Analyse von Metadaten rund um den Angriff ist es für das System dann des Weiteren möglich, selbständig zu lernen und zu überprüfen, ob ähnliche Angriffe bereits in der Vergangenheit auf dieses oder andere Systeme verübt worden sind.

Und auch wenn in diesem besonderen Fall der Sicherheitsforscher Amit Serper sehr schnell eine Möglichkeit gefunden hatte, sein System zu "impfen", rührt die gefühlte Machtlosigkeit der Unternehmen daher, dass sie nicht wissen, wie sie dies auf allen Endpunkten, die in die Tausende gehen können, so schnell wie möglich durchführen sollen. Mit einem entsprechenden zentralen Management-Tool für die Endpunkte wäre dieses Problem sehr schnell über einfachste Skripte (manchmal so einfach, dass es nicht mehr als zwei Zeilen Code brauchte!) erledigt."

Oliver Keizers kommt deshalb zu dem Schluss, dass das Gefühl der Machtlosigkeit woanders herrührt:
"Die "Machtlosigkeit", die viele Unternehmen also spüren und die noch häufig von reaktiven, signaturbasierten Systemen gepredigt wird, existiert also absolut nicht. Es ist nur, gerade für globale Unternehmen, schwer, immer auf der Höhe der Zeit zu bleiben – Innovationszyklen bei Angriffen und Verteidigung sind schnell, Implementationszyklen aber langsam. Budgettöpfe werden lange im Voraus geplant und moderne Verteidigungslösungen finden darin nur stark verspätet eine Position.

Es bedarf also eines umfassenden modernen Systems zur Erkennung und Verteidigung von Angriffen, einer besseren Analyse auch des internen Verkehrs auf Inhaltsebene und vor allem einer Lösung auf dem Endpunkt, die all die oben geforderten Schritte und Fähigkeiten aus einer Hand bietet.

Das soll übrigens nicht heißen, dass Unternehmen ihre alten Systeme einfach rausschmeißen sollten, oder dass man unbedingt mehr Geld in die Hand nehmen muss. Sicherheitslösungen sollten sich ergänzen, es kommt aber auch durch ganzheitlichere Ansätze zu einer Konsolidierung der Produkte und Services.

Zahlreiche Unternehmen haben in den vergangenen Jahren traditionelle Security-Maßnahmen implementiert – und ruhen sich nun darauf aus. Gefühlte Sicherheit ist also trügerisch, bis zum nächsten Angriff."
(Fidelis Cybersecurity: ra)

eingetragen: 10.07.17
Home & Newsletterlauf: 09.08.17


Fidelis Cybersecurity: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Hacktivismus im Katalonien-Konflikt

    Nach einem Bericht von Digital Shadows hat die Threat Intelligence-Anbieterin seit 24. Oktober eine wachsende Anzahl an Angriffen und Social Media-Aktivitäten im Zusammenhang mit der OpCatalunya (OpCatalonia) Hacktivismus-Kampagne verzeichnet. OpCatalunya wurde Ende September 2017 von Mitgliedern des Anonymous-Kollektivs als Reaktion auf die anhaltenden politischen und sozialen Spannungen zwischen der autonomen Regionalregierung in Katalonien und der spanischen Regierung in Madrid gegründet.

  • "Bad Rabbit" zeigt Verwundbarkeit der Netze

    Erneut sieht sich vor allem Osteuropa einer neuen Ransomware-Attacke gegenüber. Vor dem Hintergrund der Erfahrungen mit vergleichbaren Angriffen (WannaCry, NotPetya) mahnt die Prüfungs- und Beratungsgesellschaft EY Unternehmen und Institutionen auf der ganzen Welt zur Vorsicht und empfiehlt, umgehend Datenverbindungen ins Ausland intensiv zu beobachten. Insbesondere bei NotPetya hatte sich gezeigt, dass der zunächst lokale Angriff andernfalls schnell zu einem internationalen Problem werden kann. Auch in Deutschland waren international operierende Unternehmen aufgrund der Verflechtung Ihrer Datennetze von mehrtägigen Produktionsausfällen betroffen. Dies gilt es nun von Anfang an zu verhindern.

  • Die zwei Gesichter des IoT

    Im IT-Bereich gibt es ein hohes Bedrohungspotential durch Hacker und Cyberkriminelle. Die Sicherheitsspezialisten von F5 Networks haben die aktuellen Gefahren für Unternehmen und mögliche Gegenmaßnahmen zusammengefasst. Im Cloud-Zeitalter reicht die Absicherung des Netzwerk-Perimeters nicht mehr aus. Eine wirksame Cloud-Architektur sorgt nicht nur für die notwendige Flexibilität, sondern auch über Web Application Firewalls (WAF) für stärkere Transparenz in Bezug auf den Netzwerk-Traffic. Dabei müssen Risiken über dynamische, zentrale, anpassungsfähige Zugangssteuerung sowie umfassende Multi-Cloud-Ansätze für alle Anwendungen unabhängig von ihrem Standort minimiert werden. Zudem schützen nur moderne DDoS-Lösungen vor gezielten Angriffen.

  • Das Ende der VPN-Netze wird eingeläutet

    Die europäischen Unternehmen modernisieren im Zuge der Digitalisierung ihrer Geschäftsprozesse ihre Arbeitsplätze. Diese fünf Themen stehen dabei in der zweiten Jahreshälfte 2017 im Vordergrund: Security, Servicifizierung, Device-Vielfalt, die Abschaffung der VPN-Netze und die Einführung eines kontinuierlichen Software Asset Managements. Die Modernisierung der Arbeitsplätze in den europäischen Unternehmen ist in vollem Gange. Die Prioritäten bei der Umsetzung werden in vielen Unternehmen aber im zweiten Halbjahr 2017 etwas anders gesetzt als bislang.

  • Dramatischer Anstieg der Cyberkriminalität

    Seit 2013 haben sich die Technik und die Sicherheitslage in der Europäischen Union rasend schnell verändert. Digitale Technologien sind inzwischen fester Bestandteil unseres täglichen Lebens und das Rückgrat unserer Wirtschaft. Die durch das Internet der Dinge ausgelöste Revolution ist heute Alltagsrealität, und bis 2020 werden wohl Zigmilliarden Geräte online sein. Gleichzeitig gibt es immer mehr Cyberbedrohungen unterschiedlichster Art. Angesichts der jüngsten Ransomware-Attacken, des dramatischen Anstiegs der Cyberkriminalität, der immer stärkeren Nutzung von Cyberinstrumenten durch Staaten, die damit ihre geopolitischen Ziele erreichen wollen, und der immer vielfältigeren Cybersicherheitsvorfälle muss die EU in der Lage sein, besser auf Cyberattacken zu reagieren und eine wirksame - auch strafrechtliche - Abschreckungsstrategie verfolgen, um Bürgerinnen und Bürger, Unternehmen sowie öffentliche Einrichtungen in der EU besser zu schützen. Deshalb schlagen die Kommission und die Hohe Vertreterin - wie von Kommissionspräsident Juncker in seiner Rede zur Lage der Union am 13. September bereits angekündigt - heute vor, die Abwehrfähigkeit und Reaktion der EU bei Cyberattacken zu verbessern, indem die Agentur der Europäischen Union für Netz- und Informationssicherheit (ENISA) gestärkt, ein EU-weiter Rahmen für die Cybersicherheitszertifizierung eingeführt, ein Konzeptentwurf für die Reaktion auf große Cybersicherheitsvorfälle und -krisen vorgestellt und ein Europäisches Forschungs- und Kompetenzzentrum für Cybersicherheit gegründet werden soll.