Stresstest auch für Managed Services MITRE-Engenuity-Testergebnisse lesen, verstehen und Nutzen daraus ziehen

Anbieter zum Thema

Bitdefender GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Tests signaturbasierter IT-Sicherheitslösungen bestätigen deren Schutz vor opportunistischen Angriffen. Doch organisierte Cyberkriminelle führen komplexe, mehrphasige Angriffe durch, die andere Bewertungsansätze erfordern – etwa wie die realistischen Angriffssimulationen von MITRE Engenuity zeigen.

Tests von IT-Sicherheitstechnologien, die auf dem Erkennen von Signaturen basieren, belegen und indizieren die Effizienz der Defensive gegen opportunistische Attacken. Unternehmen sind aber gleichermaßen von ganz anderen Risiken bedroht: Organisierte Cyberkriminellen führen komplexe Angriffe durch, die sich über mehrere Phasen erstrecken und für die sie verschiedene Taktiken nutzen. Dieses Vorgehen erfordert völlig andere Evaluationen über die Wirksamkeit von IT-Sicherheitslösungen und -diensten. Solche Ergebnisse liefern Tests wie etwa von MITRE Engenuity, die mehrstufige Angriffe mit realistischen Angriffsszenarien simulieren.

Die aussagefähige Evaluation einer Abwehr mehrstufiger Angriffe benötigt ein Grundgerüst, um Testergebnisse strukturiert zu bewerten, auszuwerten sowie vergleichbar darzustellen. MITRE-Tests nutzen dafür das MITRE ATT&CK Framework. Basierend auf Wissensdatenbanken über Techniken, Taktiken und Verfahren (TTP) der Cyberkriminellen definiert das Framework vierzehn Angriffstaktiken über die verschiedensten Phasen einer mehrstufigen Infiltration und Exekution: vom böswilligen Auskundschaften über den Erstzugang bis hin zu Command-and-Control, Exfiltration und weiteren Folgen. Das Framework liefert aber nicht nur Grundlagenwissen, sondern hilft auch dabei, realistische Emulationsszenarien bereitzustellen.

Test unter realen Bedingungen

17 Anti-Malware-Lösungen im Test

Wie läuft eine Evaluation auf Basis des MITRE ATT&CK Framework ab?

Fundament der Tests ist eine simulierte Attacke auf eine hypothetische IT-Umgebung. Basierend auf Recherchen in der tatsächlichen Gefahrenlandschaft entwickeln die Experten von MITRE Engenuity ein realistisches Angriffsszenario. Unter anderem achten sie auf ein der cyberkriminellen Praxis entsprechendes Verhältnis zwischen alten und bewährten Angriffstechniken einerseits und neuen Methoden andererseits. Die Tester schätzen zudem die Menge und die Qualität der beim Angreifer vorliegenden Intelligenz ein.

In der Folge entwickeln die Tester die einzelnen Komponenten des simulierten Angriffs und werten dafür Threat Intelligence aus. Sie rekompilieren und organisieren einzelne Prozeduren in ein größeres Emulationsszenario einer Attacke zu einer Kette der verschiedensten Angriffsphasen. Zuletzt wählen sie konkrete Angriffstools aus, um ein vermutetes Verhalten der Cyberkriminellen nachzuahmen.

Die an der Evaluation teilnehmenden Hersteller erhalten dann eine realistische On-Premises-Umgebung, in der sie ihre Sicherheitstools und -sensoren installieren. Kein Testteilnehmer weiß, wann und wie die Attacke beginnt und welcher Typus Angreifer simuliert wird. MITRE Engenuity übernimmt dann die Rolle des Kunden oder eines Red Teamers, der eine Reihe von Angriffstechniken und -schritten als Teil einer Bedrohungssimulation durchführt. Die Bewertungen konzentrieren sich auf die Fähigkeiten des Dienstanbieters, Bedrohungen zu erkennen und zu überwachen sowie darauf, wie er mit seinen Kunden kommuniziert und sie unterstützt.

MITRE ATT&CK Framework & Threat Intelligence

Anwendung des MITRE ATT&CK-Frameworks

Beispielevaluationen für Mangaged-Detection-and-Response-Dienste

Ein aktuelles Beispiel bietet eine von MITRE Engenuity durchgeführte Evaluation verwalteter Sicherheitsdienste. Den Angriffsmethoden lagen die in the wild beobachteten Attacken der cyberkriminellen Akteure menuPass und ALPHV BlackCat zugrunde. Das menuPass-Szenario verwendete 20 ATT&CK-Techniken und 32 Subtechniken in 11 ATT&CK-Taktiken.

MenuPass lieferte als Gruppe mit wohl staatlichem chinesischem Hintergrund ein realistisches Vorbild für ein Evaluationsszenario. Die Tester simulierten die Kompromittierung zweier hypothetischer Tochtergesellschaften eines weltweit agierenden Pharma-Unternehmens. Die Emulation bildete die für menuPass charakteristischen Living-of-the-Land-Techniken ab, wie das Reflective Loading von Schadcode sowie das DLL-Side-Loading zum Ausführen von SigLoader-, FYAnti-, QuasarRAT-, und SodaMaster-Payloads im Arbeitsspeicher.

ALPHV zogen die Gutachter aufgrund seiner Aktualität heran. ALPHV BlackCat ist ein leider allzu produktiver Anbieter von Ransomware-as-a-Service. Die in Rust codierten Attacken zielen auf Windows-, Linux- und VMware-Systeme. Branchenübergreifend sind Angriffe auf Betreiber kritischer Infrastrukturen belegt. Die vielfältigen Attacken sind deswegen gefährlich, weil sie vor dem Verschlüsseln die Abwehrdienste deaktivieren. In der Evaluation simulierte das Testszenario, dass Hacker eine Ransomware durch einen BlackCat-Affiliate auf Windows- und Linux-ESXi-Server in einer Tochtergesellschaft implementierten. Der Test überprüfte insbesondere, wie erfolgreich Hacker ihre Aktivitäten verbergen konnten, damit die verwaltete IT-Sicherheit sie nicht erkannte. Ebenso sahen die Auswerter, wie Angreifer Daten vernichteten oder zerstörten und verhinderten, dass die IT-Systeme und Informationen wiederhergestellt wurden.

LotL-Angriffe erkennen und abwehren

So funktionieren Living-off-the-Land-Attacken

Aussagen und Nutzen

Ein Test bewertet zudem die Alerts, welche die Teilnehmer an MITRE Engenuity während der Evaluation senden. Dafür gibt es drei Kategorien: „Reported“, „Not Reported“ und „Not Applicable (N/A)“. Bei „Not Applicable (N/A)” scheiterte der Angriff aus verschiedenen Gründen, sodass die Anbieter von verwalteten Sicherheitsdiensten die Aktivität nicht berichten konnten. „Not Reported“ bedeutet, dass MITRE Engenuity keinen Bericht über das feindliche Verhalten erhielt oder dass die Informationen keinen ausreichenden Kontext lieferten.

Ein als „Reported“ bewerteter Bericht muss die fünf W-Fragen beantworten: Welchen Fehler- oder Alarmcode für welches Problem sendete der Dienst? Wo im Netzwerk wendeten Angreifer die Taktik an (Hostname, IP-Adresse, Domain, Region, Building oder Subnetz)? Wann ereignete sich der Vorfall (relevante Timestamps)? Wer war der Urheber (User/Domänen/Gruppen)? Weshalb erfolgte der Alarm und welche Priorität hat die Gefahr?

Neben der Qualität der Berichte evaluierte der Test die Lösungen der teilnehmenden Hersteller nach zentralen Metriken, die den Wert der Informationen eines Managed Service Providers für die Kunden bewerteten. Zu diesen Metriken gehört die Menge von Alerts, die durchschnittliche Zeit zum Erkennen eines Angriffes (Mean Time to Detect – MTTD) sowie die Verwertbarkeit der Alarminformationen. Potenzielle Kunden sollten für die Evaluation einer in Frage kommenden Abwehrlösung die drei Kriterien insgesamt bewerten. So können sie beurteilen, welche Lösung bei priorisierten, effizienten Alarmen Angriffe schnell erkennen und effizient abwehren können.

Top Malware in Deutschland

Die gefährlichsten Schadprogramme für deutsche Unternehmen 2024

Hersteller und interessierte Unternehmen erhalten mit diesen öffentlich zugänglichen Ergebnissen eine höchst detaillierte Transparenz über die Qualität der Abwehr komplexer Angriffe durch den angebotenen Dienst. Zugleich können Unternehmen ihre eigene Abwehr überprüfen, Schwachstellen anhand realistischer Szenarien aufzeigen sowie interne Abwehrtests planen. IT-Sicherheitsverantwortliche erfahren so von unabhängiger Seite, welche Lösung sie mit gezielten, priorisierten Alerts versorgt, ohne einen Überfluss an Meldungen zu generieren. Sie können die Leistungsfähigkeit einer Abwehrtechnologie anhand der Angaben zur Mean Time of Detection, der durchschnittlichen Dauer bis zum Erkennen eines Angriffes einschätzen und sehen, wie viele Alarmmeldungen sie dafür auswerten müssen. Eine kurze MTTD in Verbindung mit einer hohen Zahl an Alarmen kann ein Hinweis dafür sein, dass eine getestete Lösung eines Herstellers Benachrichtigungen nicht sorgfältig prüft und einfach nur an die Kunden weiterleitet.

Nutzer erhalten zudem ein Bild, wie eine Lösung sie bei der Abwehr von Angriffen und beim Minimieren von Schäden unterstützt: Die Bewertung der Umsetzbarkeit von Hinweisen zeigt zum einem, wie gründlich und detailliert die teilnehmenden Lösungen über Sicherheitsereignisse berichten. Zum anderen, welche Abwehrmaßnahmen ergriffen werden sollen. Die Hersteller können ihre Angebote erproben und anhand der Simulationserlebnisse ständig weiterentwickeln.

Über den Autor: Kevin Gee ist Principal Product Manager bei Bitdefender.

(ID:50321116)