Cybersecurity in Zeiten von Ransomware 9-Punkte-Plan für mehr proaktive IT-Sicherheit

Anbieter zum Thema

Mimecast Germany GmbH

Arctic Wolf Networks Germany GmbH

Zscaler Germany GmbH

Unternehmen geben heute viel Geld für reaktive IT-Sicherheitsmaßnahmen aus. Zum einen für Technologien zur Erkennung und Abwehr von Angriffen aber zum anderen auch für Cyber-Versicherungen und Bitcoins für Ransomware-Forderungen. Doch sollte angesichts solch fatalistischer und kostspieliger Maßnahmen nicht die Abwehr von Sicherheitsvorfällen stärker in den Mittelpunkt rücken?

Die Aussage, dass es lediglich eine Frage der Zeit ist, bis ein Unternehmen von einem Cyber-Angriff mit Datenverschlüsselung und -verlusten und damit einhergehenden Ransomware-Forderungen betroffen ist, scheint die Handlungsmaximen vieler Unternehmen in den letzten Jahren zu prägen. Es steht außer Zweifel, dass die Anzahl erfolgreicher Attacken auf Unternehmen steigt. Alleine das Bundeskriminalamt spricht von einem Anstieg von 12,2 Prozent an Delikten im Bereich der Computerkriminalität in Deutschland und Statista beziffert die Gesamtschadenshöhe durch Cyber-Angriffe im Jahr 2021 auf 223,5 Mrd. Euro. Als Reaktion auf diese Bedrohungslage investieren Unternehmen in Cyber-Versicherungen oder häufen nicht regulierte Cyber-Währungen wie Bitcoins an, um Lösegeldforderungen im Erpressungsfall nachkommen zu können. Die Versicherungsbranche reagiert bereits auf die Risikolage durch die Anhebung der Preise für Versicherungspolicen und Anforderungen, die ein versichertes Unternehmen zu leisten hat.

Auch an der technischen Front wird durch Investitionen in reaktive Sicherheitssysteme nachgerüstet SOCs, SIEM, EDR (Endpoint Detection and Response) und NDR (Network Detection and Response) haben Hochkonjunktur, denn Unternehmen wollen wissen, ob sie im Visier von Hackern stehen und wann sie kompromittiert werden. Die Herausforderung von „Detection & Response“ liegt allerdings im Kampf gegen die Zeit. Der zeitliche Rahmen einer Angriffskette wird zunehmend komprimiert, und zeitgleich wird die Reaktion auf eine erkannte Kompromittierung komplexer, um Schaden tatsächlich abwehren zu können. Laut ESG Research geben 76 Prozent der befragten Cybersecurity-Experten an, dass es heute schwieriger ist, Angriffe zu erkennen, als noch vor zwei Jahren. Security-Analysten in SOCs haben zu viele unterschiedliche Tools und eine zu umfangreiche Datenlage, um einen ganzheitlichen Einblick in die Risikolage einer Organisation zu erhalten. Durch die verschiedenen Lösungsansätze wird es zunehmend schwieriger, die Daten zu korrelieren und eine aussagekräftige Interpretation vorzunehmen, um die Nadel im Heuhaufen rechtzeitig zu finden.

Häufig krankt es daran, den einzelnen Daten Bedeutung beizumessen, da es oft am Kontext fehlt. Und es mangelt nicht nur an weiterführenden Informationen, sondern auch an den Experten, die die Daten richtig analysieren können. Es gilt, in der Menge an False-Positive Warnmeldungen diejenigen mit entsprechenden Forensik-Analysen herauszufiltern, die tatsächlich eine Gefahr für das Unternehmen darstellen, da sich ein Hacker-Angriff dahinter verbirgt. In den letzten fünf Jahren hat sich die Menge an Security-Alerts laut einem Report verdoppelt. Da Bedrohungen mit zunehmender Intensität und Menge auf diese Systeme treffen, muss entsprechend rund um die Uhr Personal in die Bedienung investiert werden und Unternehmen müssen erkennen, dass die traditionellen Tools in herkömmlichen Infrastrukturen an ihre Grenzen stoßen.

Wachablösung zugunsten proaktiver Sicherheit

Wenn ein Unternehmen davon ausgeht, dass ein Verstoß früher oder später unausweichlich ist, beeinflusst dieser Fatalismus seinen Entscheidungsprozess. Durch die Annahme der Kompromittierung gehen Unternehmen davon aus, dass ihre präventiven Maßnahmen versagen und konzentrieren sich daher auf reaktive Strategien zur Bewältigung von Sicherheitsvorfällen. Es besteht darauf aufbauend die Gefahr, dass sie nicht mehr in die Überarbeitung und Modernisierung bestehender Präventionsstrategien investieren. Als Antwort auf die moderne Bedrohungslandschaft ist eine Anpassung des Fokus erforderlich, bei der die Angriffsabwehr im Risikomanagement stärker berücksichtigt wird.

Um die Systeme und Mitarbeitenden angesichts der Datenflut nicht zu überlasten, sind Unternehmen gefordert, die Angriffsprävention stärker zu berücksichtigen. Neben Maßnahmen zum Erkennen von Angriffen auf die Unternehmensinfrastruktur sollten dementsprechend Maßnahmen zum Verhindern dieser Angriffe treten. Wenn Unternehmen in einem ersten Schritt ihr Augenmerk auf eine Reduktion ihrer Angriffsfläche lenken, könnten die Auswirkungen der Bedrohungen und ihr Schadpotenzial deutlich reduziert werden. Es geht dabei nicht gänzlich um die Abschaffung der existierenden Systeme, sondern um einen ganzheitlichen Maßnahmenkatalog für das Risikomanagement, der stärker auf die Abwehr von Angriffen denn auf ihre Erkennung setzt. Das Risiko erfolgreicher Angriffe lässt sich dadurch reduzieren, dass Unternehmen Schwachstellen in ihrer Infrastruktur erkennen und dort Lücken schließen, um keine Angriffsfläche zu bieten, die von Hackern genutzt werden kann.

Die folgenden Punkte helfen dabei, von einem reaktiven zu einem proaktiven Risiko-Management zu wechseln:

1. Reduktion von Angriffsflächen: Unternehmen, die Zeit investieren, sich ihre Angriffsflächen bewusst zu machen, sorgen für proaktive Sicherheit. Indem Schwachstellen und Schutzlücken aufgespürt werden, leisten sie einen großen Beitrag in Sachen Angriffsreduktion. Dazu müssen die Assets, die Unternehmen im Internet darstellen, überprüft werden. Die entscheidende Frage für IT-Verantwortliche ist dabei zu prüfen, ob Systeme und Hardware für jeden Angreifer sichtbar im Internet exponiert werden müssen. Zur Reduktion der Angriffsfläche erfolgt im ersten Schritt eine Bestandsaufnahme und Kategorisierung und darauf aufbauend muss entschieden werden, welche Assets und Workloads verborgen werden können. So entsteht eine reduzierte Angriffsfläche, auf deren Schutz das IT-Team die volle Aufmerksamkeit richten kann. Dabei hilft ein Zero Trust-Ansatz, der durch Microtunnel vom User zur Anwendung dafür sorgt, dass keine unbefugten Blicke auf die Infrastruktur mehr möglich sind. Denn was nicht sichtbar im Internet dargestellt ist, kann auch nicht angegriffen werden.

2. Abkehr von Castle & Moat: Das herkömmliche Infrastrukturmodell ist von einem Castle & Moat-Ansatz der Sicherheit geprägt. Durch Sicherheit am Netzwerk-Perimeter wird geschützt, was sich innerhalb des Netzwerks befindet. Durch die Cloud und neue Arbeitsmodelle befinden sich allerdings weder Anwendungen noch User innerhalb des Perimeters im Zeitalter von New Work. Im Zuge von vorbeugenden Maßnahmen müssen Anwendungen und Mitarbeitende unabhängig von deren Vorhaltungsort oder Standort abgesichert werden. Der Blick muss auf diejenigen Unternehmenswerte fokussiert werden, die schützenswert sind und dafür gilt es entsprechende Maßnahmen zu ergreifen. Das bedeutet letztlich mehr Sicherheit für Workloads in der Cloud und mobile Mitarbeitende beim Zugriff auf Anwendungen von überall aus.

3. Evolution der Sicherheit für die Cloud: Kein Unternehmen kommt heute mehr um die Cloud herum. Auch wenn Organisationen unterschiedlich weit in ihrer Cloudifizierung fortgeschritten sind, gilt es dabei nicht nur nach dem Lift- &Shift-Ansatz die Apps in die Cloud zu verlagern. Für eine ganzheitliche Transformation ist das Überdenken von Netzwerk- und Sicherheitsarchitekturen ebenso erforderlich wie die Konnektivität. Unternehmen müssen in der heutigen Cloud-first Welt darauf achten, dass ihr gesamtes IT-Architekturmodell der Evolution in die Cloud folgt. An die Stelle der Absicherung des Netzwerkzugriffs muss dabei ein sicheres Zugriffsmodell auf Basis der einzelnen Applikation und des einzelnen Users treten. Ein Zero Trust-Ansatz mit den Prinzipien des least privileged Access hilft dabei.

4. Erkennung von Command & Control-Datenverkehr: Es ist nicht gut genug, wenn ein SOC den Command & Control-Datenverkehr lediglich erkennt, ohne die Möglichkeit einer sofortigen Reaktion. Um zu verhindern, dass ein Gegner die Kontrolle über ein infiziertes Gerät übernimmt, muss der C&C-Datenverkehr mit Hilfe von maschinellem Lernen inline und in Echtzeit verhindert werden. Auch hier ist ein Wechsel von der Erkennung zur Prävention mit SOCs machbar, wenn sie ausreichend ausgestattet sind, um moderne Bedrohungen mit Hilfe von Automatisierung zu bekämpfen. Die alten Playbooks, nachdem ein Vorfall in einem SOC gemeldet wurde, sind heutzutage zu zeitaufwendig und langsam, um eine Infektion zu vermeiden. Maschinelles Lernen und die Automatisierung von Prozessen greifen sofort, ohne dass manuelle Eingriffe erforderlich sind.

5. Reduktion der Reaktionszeit durch Automatisierung: Eine weitere Option, um den manuellen Aufwand und damit die Überarbeitung von Sicherheits-Researchern in SOCs zu reduzieren, ist die Automatisierung von verschiedenen Sicherheitsfunktionen. Beim Erkennen von Malware-Mustern erhält künstliche Intelligenz eine große Bedeutung, wenn unterschiedlichste Facetten der Datenströme unter Einbezug des Kontextes miteinander korreliert werden können. Durch Automatisierung kann der Druck vom SOC-Team genommen werden und auch die Anzahl der Falschmeldungen lässt sich eindämmen. Hier ist ein ganzheitlicher Einblick in alle Datenströme erforderlich, der nicht nur einen Alert auslöst, sondern gegebenenfalls auch Quarantänemaßnahmen einläutet, falls erforderlich. Die Zeit zum Training eines Systems ist gut investiert, um zu einer Komplexitätsreduktion beizutragen.

6. Künstliche Hilfe versus Mitarbeiterschulung: Maschinelles Lernen schlägt im Zweifel auch das Anlernen von Mitarbeitenden, wenn es um die Erkennung von Phishing-Angriffen geht. Awareness-Trainings für die Belegschaft sind eine vorbeugende Maßnahme, die allerdings meist hinter den sich rasant weiterentwickelnden Taktiken und Techniken der Angreifer hinterherhinken. Unternehmen können nicht von jedem Mitarbeitenden erwarten, dass er/sie neue Phishings-Seiten erkennt. Hier kann maschinelles Lernen als Anti-Phishing-Technik eingesetzt werden.

7. Denkmuster der Angreifer durchbrechen: Deception-Techniken sind ein weiteres modernes Mittel zur Abwehr von Angriffen. Wer sich die Denkweisen von Angreifern zu eigen macht und die Vorgehensweise der Angreifer versteht, kann diese auch in die Irre führen und damit seine Unternehmens-Assets schützen. Angreifer, die sich durch das Unternehmensnetz bewegen können, werden sich auf die Suche nach geistigem Eigentum oder vertraulichen Daten machen, die sie für ihre Attacken missbrauchen können. Das Platzieren von Honigtöpfen ist demnach eine Methode, mit deren Hilfe Angreifer enttarnt werden können, wenn sie einmal bis ins Netzwerk vorgedrungen sind oder zum Stoppen von Insidern auf ihrem ersten Schritt durch eine automatische Antwort zum Schutz der Ressourcen.

8. Vom SIEM zur Threat Intelligence Plattform: Der Grund für die Abkehr vom traditionellen SIEM-System als Korrelationsplattform für Sicherheitsvorfälle liegt wiederum in deren komplexen Administration. Die Datenflut aus unterschiedlichen Hardware-Systemen, die womöglich nicht die gleiche Sprache sprechen, zu korrelieren und auf Sicherheitsvorfälle zu untersuchen, ist aufwändig und bedarf nicht selten der manuellen Interaktion. Ein moderner Threat Intelligence Plattform-Ansatz nimmt dem Sicherheits-Team Arbeit ab. Einblick über eine einheitliche Management-Konsole zeigt, was wirklich in der IT-Infrastruktur vor sich geht. Eine leistungsstarke Plattform nutzt den Kontext und die vorhandenen Daten für eine Inline-Reaktion, um unautorisierten Zugriff oder Datenverlust zu unterbinden. Der entscheidende Faktor dabei ist, dass eine solche Plattform auch die nächsten Schritte einleitet und Datenströme unterbindet, wenn Hinweise auf unerlaubten Zugriff oder Abfluss vorliegen.

9. Shift Left, Shift Down: Zu guter Letzt muss die Sicherheit früher im Anwendungslebenszyklus und der Infrastruktur (beispielsweise IaaC) heutiger Cloud-Umgebungen implementiert werden. Oberstes Ziel muss sein, dass Fehlkonfigurationen, die zu Schwachstellen führen können, von vornherein vermieden werden. Security-by-Design startet dementsprechend, bevor die Infrastruktur implementiert wird. Eine Verschiebung nach links bedeutet, dass Sicherheit bereits im Entwicklungsprozess implementiert wird. Im Unterschied dazu geht es bei einer Verschiebung nach unten darum, die Sicherheit näher an die Workload heranzuführen und neuere Segmentierungsansätze wie identitätsbasierte Segmentierung zu nutzen. Eine voll integrierte CNAPP-Lösung hilft dabei, diese Anforderungen für frühzeitige präventive Maßnahmen umzusetzen.

Fazit: Kompromittierung vermeiden

Der ständige reaktive Modus der Brandbekämpfung, wenn bereits Sicherheitsvorfälle schwelen, schafft einen Teufelskreis. IT-Teams sollten niemals zu überlastet sein, um innovative Ansätze zugunsten der eigenen Entlastung zu bewerten. Es besteht die Notwendigkeit der Evaluierung verfügbarer Ressourcen, um größeres Augenmerk auf den Beginn der Cybersicherheits-Kill-Chain zu lenken. Das Innehalten, um mehr Aufmerksamkeit auf proaktiven Schutz zu legen, benötigt Zeit, führt aber letztlich zu einer Entlastung und einer sicheren IT-Umgebung.

Unternehmen sollten ihre Risikostrategie kontinuierlich bewerten, einschließlich Faktoren wie Komplexität und Betriebskosten. Der Versuch, ein bisschen von allem abzudecken, ohne über die nötigen Ressourcen zur Administration aller Systeme zu verfügen, führt zu einem Kreislauf, der reaktive Schutzmaßnahmen beflügelt, da der proaktive Schutzschirm fehlt. Auch Cyber-Versicherungen legen mittlerweile vor Abschluss der Police mehr Wert auf den Audit der Präventivmaßnahmen, die das Risiko eines Cyber-Vorfalls reduzieren sollen. Im Zuge der Risikokalkulation sollten diese proaktiven Lösungsansätze verstärkt in den Fokus rücken, um Cyber-Angriffe von Anfang an zu unterbinden.

Über den Autor: Tony Ferguson ist CISO EMEA bei Zscaler.

(ID:48610088)