Taktiken, Techniken und Verfahren (TTP) Anatomie eines Cyberangriffs

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

Mit TTP werden Verhaltensweisen, Prozesse, Aktionen und Strategien beschrieben, durch die ein Hacker Bedrohungen entwickeln und Angriffe durchführen kann. Daher ist es entscheidend, die TTP eines Angreifers zu verstehen.

Bedrohungsakteure operieren tendenziell mit ähnlichen Verhaltensmustern. In der IT-Security werden diese als „Taktiken, Techniken und Verfahren“, „Tactics, Techniques, and Procedures“ oder kurz „TTPs“ bezeichnet. Bei TTP geht es darum, die Denk- und Vorgehensweise von Hackern verstehen zu lernen, um so böswillige Aktivitäten besser und vor allem schneller erkennen, identifizieren und verhindern zu können.

Ferner helfen TTPs den IT-Security-Teams dabei, ihren Untersuchungspfad zu fokussieren, Bedrohungsquellen oder Angriffsvektoren zu detektieren, den Schweregrad der Bedrohung zu definieren und die Reaktion auf Vorfälle und die Bedrohungsminderung zu unterstützen. TTPs unterstützen die Teams auch bei Aktivitäten zur Bedrohungsmodellierung.

TTP analysieren und verstehen

TTPs lassen sich auf jede Art von Angriff anwenden, von traditionellen serverseitigen Bedrohungen wie Ransomware bis hin zu clientseitigen JavaScript-Angriffen auf Lieferketten. In der Folge wird TTP in seine einzelnen Kategorien aufgeschlüsselt:

Taktik

Der erste Teil des TTP-Ansatzes stellt die Frage nach dem „Warum“ einer Angriffs-Technik. Sie ist demnach das taktische Ziel bzw. der Grund für die Ausführung einer Aktion eines Hackers. Dieser könnte beispielsweise der Zugang zu Anmelde-Informationen oder die Infiltration einer Website sein, um Informationen über Kreditkarten von Kunden zu stehlen.

Techniken

Der „Techniken“-Teil von TTPs bezieht sich auf die Methoden und Tools, die ein Hacker bei der Verfolgung einer Taktik einsetzt. Diese Techniken sollen darstellen, „wie“ ein Hacker durch die Ausführung einer Aktion ein taktisches Ziel erreicht. In diesem Schritt geht es um die Methode, mit der ein Hacker einen Angriff ausführt, beispielsweise E-Skimming, Magecart, Javascript-Injection-Angriffe oder Cross-Site-Scripting (XSS).

Wenn ein Hacker also versucht, vertrauliche Daten zu stehlen, versucht er möglicherweise, Konten zu finden und diese zu korrumpieren. Oder Hacker geben sich oft als eine andere bekannte Person aus und nutzen dann Social-Engineering-Techniken, um andere Mitarbeiter dazu zu bringen, diese Daten preiszugeben. Wenn die Security-Teams wissen, was Hacker tun, um ihre Ziele zu erreichen, können sie diese Art von Aktivitäten überwachen und sie schnell als verdächtig kennzeichnen.

Verfahren

Der dritte Schritt beschreibt die „Verfahren“ von TTPs, die sich auf die entsprechenden Maßnahmen beziehen, die ein Hacker ergreift. Dazu gehören alle vorbereitenden Arbeiten, beispielsweise das Sammeln von Informationen über potenzielle Schwachstellen eines Unternehmens, die ausgenutzt werden können. Ein weiteres Beispiel ist die Identifizierung von Schlüsselpersonen, die Opfer eines Identitätsdiebstahls oder Kontoübernahmen werden sollen.

Diese Verfahren sind letztlich die spezifische Implementierungen, die der Hacker für spezielle Techniken verwendet. Ein Verfahren könnte ein Angreifer sein, der PowerShell verwendet, um sich in lsass.exe einzuschleusen und Anmelde-Informationen auszugeben, indem er den LSASS-Speicher eines Opfers löscht. Die Verfahren sind aus mindestens zwei Gründen die wichtigste TTP-Komponente, die Security-Teams verstehen müssen:

• Einerseits können sie den Betrug in Echtzeit erkennen, um schnell wirkungsvolle Gegenmaßnahmen zu ergreifen.

• Andererseits können sie dadurch die am stärksten gefährdeten Teile eines Unternehmens identifizieren, sodass diese abgesichert werden können, um böswillige Aktivitäten von vornherein zu verhindern.

Schutzmaßnahmen gegen häufig verwendete TTPs

Kleinere Unternehmen verfügen meist nicht über die Ressourcen, um TTPs umfassend genug zu studieren. Es gibt jedoch mehrere bewährte Methoden, mit denen sie sich gegen die häufigsten Formen des Hackings verteidigen können. Einige Vorschläge umfassen:

Multi-Faktor-Authentifizierung: Erhöhung der Konten-Sicherheit durch mehr als eine Anmelde-Information. Selbst wenn es einem Hacker gelingt, ein Konto-Passwort zu knacken, benötigt er möglicherweise dennoch Zugriff auf ein bestimmtes Gerät oder E-Mail-Konto, um ein anderes Passwort einzugeben oder auf einen Authentifizierungslink zu klicken.

Sichere Passwörter: Mitarbeiter müssen dazu angehalten werden, komplexe Konto-Passwörter zu erstellen. Diese sollten eine Mindestlänge von 14 Zeichen aufweisen und eine Mischung aus Buchstaben, Zahlen und Symbolen enthalten.

Passwort-Manager: Dadurch wird nicht nur der Konto-Zugriff, sondern auch die Sicherheit optimiert, indem auf schwache, anfällige oder mehrfach verwendete Passwörter hingewiesen wird.

Mitarbeiter-Information über Phishing: Mitarbeiter sollten darin regelmäßig geschult werden, gefälschte Mitteilungen zu erkennen. Dafür empfehlen sich praktische Schulungen mit Dummy-Phishing-Versuchen.

Softwareaktualisierung: Hacker suchen laufend nach Schwachstellen in der Software, die sie kompromittieren können. Daher arbeiten Entwickler kontinuierlich daran, diese Schwachstellen zunächst zu finden und zu beheben.

3-2-1-Backup-Methode: Selbst kleinere Unternehmen sollten mindestens drei Kopien aller sensiblen Daten erstellen, diese auf mindestens zwei verschiedenen Speichermedien ablegen und damit sicherstellen, dass sich mindestens eines dieser Geräte außerhalb des Standorts befindet, beispielsweise in einer zuverlässig abgesicherten Cloud. Eine solche Vorgehensweise erleichtert die Wiederherstellung von Daten und die Aufrechterhaltung des Betriebs im Falle eines Hacker-Angriffs.

Business Continuity and Disaster Recovery (BCDR)-Plan: Ein Kernpunkt eines IT-Security-Programms ist die Erstellung, Dokumentation und Testung eines BCDR-Plans. Das Sichern von Daten sollte immer auch Teil eines umfassenderen BCDR-Plans sein, um zu gewährleisten, dass das Unternehmen die Funktionalität einer Plattform nach einem Hacker-Angriff wiederherstellen und aufrechterhalten kann. Dieser Plan muss auch getestet werden, um festzustellen, wie weit ein Unternehmen Daten wiederherstellen und wie schnell es den Betrieb wieder aufnehmen kann.

Regelmäßige Risikobewertungen: Unternehmen sollten alle zwei bis drei Jahre (wenn nicht öfter) Einschätzungen durchführen, wie anfällig es für missbräuchliches Verhalten ist. Dadurch wird deutlich, welche Teile einer Risikomanagement-Strategie verbessert werden müssen.

(ID:49844996)