- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Wie funktionieren Endpoint-Attacken?


Ein besseres Verständnis über die verschiedenen Schritte einer Endpoint-Attacke ist entscheidend für den Schutz vor Angriffen
Es gibt eigentlich nur einen sinnvollen Weg, der Kreativität von Angreifern vorzubeugen und das sind ausgefeiltere Schutzmechanismen

- Anzeigen -





Bei Cyber-Attacken führen die Angreifer meistens verschiedene Schritte durch, um an ihr Ziel zu kommen. Deshalb ist es besonders wichtig, diese Schritte zu kennen. Dabei hat sich eine umfassende Verteidigungsstrategie mit überlappenden Schutzschichten als bester Ansatz für die Cybersicherheit erwiesen. Bei der Angriffskette lassen sich sieben Stufen identifizieren, über die man Klarheit haben sollte: Aufklärung, Art des Angriffs, Weg der Infizierung, Art des Schadprogramms, Installation, Command & Control und letztlich die Aktion oder Ausführung. Diese komplexe und sich teils überschneidende Standardkette ist oftmals komplizierter als nötig. Daher reicht es tatsächlich, mit einer einfacheren, endpunktspezifischen Angriffskette zu beginnen, die nur aus drei wesentlichen Schritten besteht.

Die Art der Zustellung
Auf dieser Stufe versucht der Angreifer, mit Schadprogrammen und entsprechenden Ausführungsanweisungen in eine Umgebung einzudringen. Als Abwehr hat man zu diesem Zeitpunkt mehrere Möglichkeiten den Angriff via Phishing-, Netzwerk- und E-Mail-Schutz zu stoppen, ohne dass die Endpoint Security genutzt werden muss. Hat der Angreifer diese Ebenen der Verteidigung überwunden, kommt die Endpoint Security zum Einsatz, um Exploits zu blockieren, bösartige URLs zu erkennen und schadhafte Dokumente zu verhindern. Es besteht auch die Möglichkeit, die Kommunikation von Command- und Control-Servern zu erkennen.

Exploits und Ausführung
Im nächsten Schritt versucht der Angreifer, Endpoints zu nutzen, um bösartigen Code auszuführen. Die Abwehr auf Endpoints ist oft stark darauf ausgerichtet, bösartige ausführbare Dateien zu stoppen, entweder durch grundlegende Ansätze wie Signaturen oder neuere Ansätze wie maschinelles Lernen. In dieser Phase sollten jedoch auch andere, komplementäre Techniken eingesetzt werden, einschließlich der Anti-Exploit-Technologie zur Verhinderung von Identitätsdiebstahl, Rechteausweitung (Privilege Escalation) und Anwendungsmissbrauch.

Der "Boom"
Schließlich kommt es zum "Knall", auch bekannt als Aktions- oder Post-Exekutions-Phase, in der Angreifer Schaden anrichten. Selbst wenn ein Angreifer es bis hier hin schafft, gibt es wirkungsvolle Verteidigungsschichten. So kann beispielsweise Data Loss Prevention (DLP) die Exfiltration sensibler Daten stoppen. Darüber hinaus können Verhaltenstechniken, wie der Schutz vor Lösegeldern oder bösartige Aktivitäten in Aktion erkannt werden und den Angreifer stoppen, bevor er seine Ziele erreicht.

Auch kann eine Analyse nach der Ausführung angewendet werden, um die Details der spezifischen Angriffskette zu verstehen. Häufig konzentriert sich Endpoint-Security in erster Linie darauf, ausführbare Dateien zu stoppen. Es gibt jedoch viele andere Möglichkeiten entlang der Angriffskette, eine Attacke zu unterbrechen. Wenn eine mehrschichtige Verteidigung einen Angriff irgendwo entlang der Angriffskette unterbricht, wird der gesamte Angriff vereitelt.

"Es gibt eigentlich nur einen sinnvollen Weg, der Kreativität von Angreifern vorzubeugen und das sind ausgefeiltere Schutzmechanismen. Wir wissen, dass nach wie vor sehr viele traditionelle Angriffe tagtäglich auf unsere IT abzielen. Diese sind zuverlässig durch traditionelle, signaturbasierte Mechanismen zu erkennen und aufzuhalten. Für moderne Angriffe braucht es schon etwas mehr. Schutzmechanismen auf Basis von Machine und/oder Deep Learning schützen intuitiv und auf verhaltensbasierten Schemata. Wir benötigen also nach wie vor beide Arten an Schutztechnologie und idealer Weise sind diese in einer intelligent arbeitenden Security-Lösung integriert" erklärt Michael Veit, Security Experte bei Sophos.
(Sophos: ra)

eingetragen: 03.06.18
Newsletterlauf: 15.06.18

Sophos: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Tipps & Hinweise

  • Angriffsszenarien auf Fertigungsanlagen

    Beim Stichwort Cybersecurity denkt jeder zunächst einmal an die Absicherung gegen unberechtigte Zugriffe auf ein Netzwerk oder an Datendiebstahl. Dass Cyber-Risiken Produktionsbetriebe jedoch sogar komplett lahmlegen können, wird häufig nicht bedacht. Das Hauptrisiko von Fertigungsbetrieben besteht oft nicht in Form von Zugriffen auf vertrauliche Informationen, sondern darin, eine lückenlose Fertigung in der Produktion zu gewährleisten. Die Funktionalität einer Maschine kann beispielsweise beeinträchtigt werden, wenn sie durch sogenannte Kontaktplanlogik infiltriert wird. Es handelt sich dabei um eine graphische Programmiersprache, die auf ein Steuergerät oder eine programmierbare Logiksteuerung gespielt wird. Dieser Low-Level-Code wird nicht aktualisiert und High-Priority-Geräte werden sowieso selten rebootet. So hat der injizierte Code eine längere Halbwertszeit und kann als Bug im Unternehmensnetzwerk aktiv ins Produktionsgeschehen eingreifen.

  • Robotic Process Automation ein Sicherheitsrisiko

    In immer größerem Maße verwenden Unternehmen Robotic Process Automation. Die damit verbundenen Sicherheitsgefahren übersehen sie allerdings in aller Regel, warnt CyberArk. Ohne Verwaltung, Sicherung und Überwachung der genutzten Zugangsdaten bleiben RPA-Anwender extrem verwundbar. Unternehmen setzen in den Bereichen Prozesssteuerung und -automatisierung zunehmend auf Robotic Process Automation (RPA). Die Nutzung verspricht viele Vorteile: Zeit- und Kosteneinsparung, Erhöhung von Qualität, Konsistenz und Transparenz durch Reduzierung manueller Tätigkeiten sowie Beseitigung redundanter Prozesse.

  • Das Phänomen Remote Ransomware

    Gekidnappte Daten - per se bereits ein Alptraum-Szenario, aber es ist besonders perfide, wenn Dateien verschlüsselt werden, obwohl der eigene PC gar nicht von Schadsoftware befallen ist. Sophos Experte Michael Veit hat die Mutation der Remote Ransomware unter die Lupe genommen. Jeder kann Opfer eines Ransomware-Angriffs werden. Hat sich der erste Schock gelegt - idealerweise nachdem man seine Daten aus dem gesicherten Backup zurückgewonnen hat statt Lösegeld zu zahlen - stellt sich die entscheidende Frage: Wie habe ich mir das eingefangen? Insbesondere dann, wenn selbst die gründlichste Recherche und Durchsicht potenzieller Einfallstore keinerlei Spur für Schadsoftware auf den eigenen Geräten erkennen lässt?

  • Angriffe auf Basis von BEC/EAC

    Das FBI hat seinen jährlichen Cybersecurity-Bericht "2018 Internet Crime Report" veröffentlicht. Kaum überraschend, aber dennoch beunruhigend, ist die weitere Zunahme der Schäden durch Cyber-Betrug und die ebenfalls weiterhin zunehmende - im negativen Sinne zu verstehen - Professionalisierung der Angriffe. Doch die Anwender können sich durchaus schützen. Rob Holmes, VP of Email Security, Proofpoint, empfiehlt die Kombination aus technischen Vorkehrungen und dem Training der Mitarbeiter, um dieser stetig wachsenden Gefahr zu begegnen.

  • Von öffentlichen WLAN-Netzwerken fernhalten

    Datenschutzverletzungen sind auf einem historischen Höchststand und es ist äußerst wahrscheinlich, dass viele Passwörter enthüllt wurden. Diese werden nun im Dark Web mit sämtlichen Benutzerinformationen verkauft. Schlagzeilen über massive Datenmissbräuche, die Millionen von Nutzern betreffen, waren noch nie so häufig. Laut einer Umfrage des IT-Branchenverbundes sind zwei Drittel der deutschen Hersteller von Cyberkriminalität betroffen. Sensible digitale Daten sind von etwa einem Viertel der deutschen Unternehmen verloren gegangen, wohingegen 11 Prozent angegeben haben, dass ihre Kommunikationssysteme abgehört wurden. Bei fast jedem fünften deutschen Unternehmen (19 Prozent) wurden die IT- und Produktionssysteme durch Cyberangriffe manipuliert.