Mobile-Menu

Cloud-Risiken für sensible Daten Datenexfiltration verhindern, bevor sie passiert

Ein Gastbeitrag von Andy Grolnick 5 min Lesedauer

Anbieter zum Thema

Graylog Germany GmbH
FAST LTA GmbH
FTAPI Software GmbH

Die meisten Unternehmen konzentrieren sich heutzutage auf eine Cloud-native Entwicklung, bei der Cloud-Speicher und Microservice-Architekturen verwendet werden, die auf API-Kommunikation beruhen. Einfach ausgedrückt: Die Cloud-native Architektur und die Verwendung von Cloud-Speicher macht es Bedrohungsakteuren einfach, Unternehmensdaten in Rekordzeit zu erbeuten.

Wenn sich Unternehmen nur auf die Erkennung von Datenexfiltrationen konzentrieren, sind sie zu spät dran. Entscheidende Sicherheitsschritte sollten erfolgen, bevor der Datenklau stattgefunden hat.(Bild: © freshidea - stock.adobe.com)
Wenn sich Unternehmen nur auf die Erkennung von Datenexfiltrationen konzentrieren, sind sie zu spät dran. Entscheidende Sicherheitsschritte sollten erfolgen, bevor der Datenklau stattgefunden hat.
(Bild: © freshidea - stock.adobe.com)

Die Verwendung von Cloud-Speicher ermöglicht eine schnelle Datenexfiltration. In der heutigen Cloud-Umgebung wird eine Virtualisierung auf die nächste Virtualisierung gestapelt. Dieses Vorgehen birgt Sicherheitsrisiken in sich. Unternehmen sehen gerne die Vorteile, die native Cloud-Entwicklung, Containern und Microservices mit sich bringen. Dazu gehört die Möglichkeit für Entwicklungsteams, neue Builds schnell bereitzustellen. Jedes Team kann sich auf seinen Teil des Dienstes konzentrieren und kontinuierliche Updates in einer schnelllebigen Umgebung nutzen. Dies führt jedoch auch zu einem höheren Potenzial für Fehlkonfigurationen. Und Fehlkonfigurationen führen zu Schwachstellen. Und wenn es eine Schwachstelle gibt, nutzen Angreifer diese aus.

Einfache Fehler wie eine falsche Konfiguration der Berechtigungseinstellungen können zu Sicherheitsbedenken führen. Im Jahr 2024 berichtete The Register, dass durch Fehlkonfigurationen in Microsoft Power Pages sensible Daten offengelegt wurden. Ein Sicherheitsforscher deckte erhebliche Datenmengen auf, die aufgrund falsch konfigurierter Zugriffskontrollen in Websites, die mit Power Pages erstellt wurden, für jedermann einsehbar waren. Und Security Week berichtete, dass Sicherheitsforscher von Palo Alto Networks einen Bedrohungsakteur entdeckten, der Unternehmen erpresste, nachdem er ihre Cloud-Umgebungen durch versehentlich offengelegte Umgebungsvariablen kompromittiert hatte.

SIEM in die moderne Netzwerküberwachung mitintegrieren

Die „traditionellen“ Methoden für Angriffe auf Netzwerkumgebungen sind nicht verschwunden. Sicherheitsteams verlassen sich nach wie vor auf die Analyse des Netzwerkverkehrs sowie auf Intrusion-Prevention-Systeme und Firewalls, um den Netzwerkverkehr zu überwachen und bösartige Nutzdaten zu erkennen.

Die API-Inspektion folgt demselben Ansatz. Sicherheitsteams sollten nach Indikatoren suchen, die ein potenzielles Eindringungsverhalten in der API-Aktivität anzeigen. Beim Cloud Computing ist die Überwachung von APIs und Abfragen an API-Dienste und Speichereinrichtungen wie Amazon S3 von großem Wert. Ähnlich wie bei den Berechtigungen für Datei-Ordner ermöglichen lockere Zugriffskontrollen für Cloud-Speicher den Bedrohungsakteuren den Zugriff auf sensible Daten, indem sie die Schritte überspringen, die traditionell für die Aufklärung, die Ausweitung von Berechtigungen und das Eindringen von außen erforderlich sind.

Für die Sicherheit ist es nach wie vor wichtig zu wissen, „wer“ auf „was“ zugreift, und sie muss in der Lage sein, Verhaltensanalysen durchzuführen, selbst bei der Kommunikation zwischen Diensten. Durch die Überwachung des Datenverkehrs können Sicherheitsteams zwischen Dienst- und Benutzerkonten unterscheiden und somit feststellen, wann ein Benutzer auf einen Dienst zugreift, der normalerweise von einem Dienst genutzt wird. Eine Diensttransaktion sieht ganz anders aus als eine Benutzertransaktion. Allerdings können sich die Teams nicht allein auf die Verhaltensanalyse verlassen.

Die Sicherheit muss über das Verhalten der API-Transaktion hinausgehen und sich auf den Inhalt der API-Anfrage und -Antwort erstrecken. In der Regel werden bei der API-Verhaltensanalyse nur die HTTP-Antwortcodes identifiziert (z. B. 200 - OK, 500 - Error). Bei der bloßen Analyse der HTTP-Antwort wird übersehen, dass 200 OK aufgrund falsch konfigurierter Zugriffskontrollen Daten anderer Kunden oder 500 - Error vertrauliche Serverinformationen enthielt.

Wo Datenexfiltrationsversuche abgefangen werden

Mit den heutigen SIEM-Systemen kommt die moderne Überwachung erst richtig in Schwung. Sie sind in der Lage, das Gesamtbild zu überblicken, indem sie Informationen aus mehreren Protokoll- und Audit-Quellen, einschließlich APIs, zusammenstellen - wer sich wie oft authentifiziert und welche Daten in welchem Umfang abgegriffen werden.

Was passiert, wenn Unternehmen eine öffentliche API einer Anwendung abfragen? Die API soll öffentlich sein, damit Partner Anwendungen für eine SaaS-Anwendung erstellen können. Eine öffentliche API hat zwar ihre Vorteile, kann aber auch missbraucht und falsch konfiguriert werden und so den Zugriff auf Kundendaten ermöglichen. Indem Unternehmen den API-Verkehr unter die Lupe nehmen, können sie nach Angriffssignaturen oder Verhaltensweisen innerhalb des API-Verkehrs suchen, um zu erkennen, wenn etwas keinen Sinn ergibt. Und genau dort können Datenexfiltrationsversuche abgefangen werden.

Wie können Unternehmen Angreifer daran hindern, auf sensible Daten zuzugreifen?

Heutige Sicherheitsstrategien müssen in ihre Risikobewertung, Risikomodelle und Automatisierungen auf der Grundlage einer Kombination aus Risikoinput und Risikoverstärkern einbeziehen. Das bedeutet, dass die Laufzeitaktivität eines Assets mit einer Vielzahl von Analysetechniken ausgewertet und die Ergebnisse kombiniert werden, um den Risiko-Input zu ermitteln. Risikoverstärker fügen zusätzlichen Kontext hinzu, um den Risiko-Input zu verstärken.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Im Detail bedeutet das: Wenn wir einhundert gleiche Alarme von einem Vermögenswert gegenüber einhundert verschiedenen Alarmen von einem Vermögenswert sehen, sind die 100 verschiedenen Alarme eindeutig eine bedenklichere Situation. Wir verwenden also die Varianz der Aktivitäten als eine Methode, um das Risiko für diesen Vermögenswert zu erhöhen. Auf diese Weise zählen wir nicht nur die Warnungen, sondern berechnen die Wahrscheinlichkeit, dass die Anlage gefährdet ist, indem wir den Schweregrad der Aktivitäten, die Varianz der Aktivitäten und andere Faktoren, die alle auf dieselbe Anlage abzielen, bewerten.

Ein Vermögenswert ist nicht nur als System definiert, sondern auch als Benutzer, Cloud-Speicher, Cloud-Dienst usw. Wenn wir uns auf eine einzige Analysetechnik verlassen, werden wir mit falsch positiven Ergebnissen bombardiert und wissen nicht, wonach wir suchen sollen. Daher nutzen wir die Ergebnisse mehrerer Analysetechniken für unsere Risikoeingaben. Wir bewerten nicht jeden einzelnen Befund, sondern die Anlage mit hohen Risikowerten. Falsch-positive Ergebnisse werden automatisch unterdrückt, da es nur wenige bestätigende Beweise gibt, die den Risikowert der Anlage erhöhen. Mehrere analytische Befunde untermauern einen echten positiven Befund. Bei genügend Rauch kann man davon ausgehen, dass es Feuer gibt.

Die gute Nachricht ist, dass Cloud-Dienste und Speicher zwar einen besseren Zugang zur Datenexfiltration bieten, Bedrohungsakteure aber immer noch mehrere Schritte unternehmen müssen, um ihre Ziele vollständig zu erreichen. Bedrohungsakteure müssen die Unternehmens-APIs und die Datengrenzen kennenlernen und die Exploits finden.

Wenn eine echte Bedrohung vorliegt, besteht der nächste Schritt darin, den Benutzer und das Konto zu sperren und die API zu aktualisieren, bevor die Daten exfiltriert werden. Anstatt Löcher im Nachhinein zu stopfen oder nach einem Datendiebstahl aufzuräumen, kann die Risikoanalyse dazu beitragen, die Datenexfiltration zu verhindern, da sie genügend Anhaltspunkte dafür liefert, was passieren wird.

Risikovorhersage zur Schließung der Schwachstellenlücke

Die Zusammenfassung von Verhaltensänderungen und Angriffsindikatoren auf ein gemeinsames Objekt ist eine moderne Methode zur Risikovorhersage. Sicherheitsteams können erkennen, wenn mehrere Aktivitäten mit derselben Kampagne in der Umgebung verbunden sind, und die Punkte miteinander verbinden. Die Teams können erkennen, dass das Risiko dieses Ereignisses erhöht ist, weil es mit einer anderen Kampagne in dieser Umgebung in Verbindung gebracht wird.

Infolgedessen steigt das Risiko für das Asset. Die Unternehmen haben jetzt einen vollständigen Überblick über alle Aktivitäten, die auf dem betreffenden Objekt stattgefunden haben, und können erkennen, welche Ereignisse wirklich positiv sind. Sicherheitsanalysten haben automatisch zusammengestellte Informationen zur Hand und können ihre Untersuchungen mit einem Vorsprung beginnen.

Wenn sich Unternehmen auf die Erkennung von Datenexfiltrationen konzentrieren, sind sie zu spät dran. Entscheidende Sicherheitsschritte sollten vor der Datenexfiltration erfolgen. Der wichtigste Schritt zum Schutz eines Unternehmens und seiner Kunden besteht darin, stichhaltige Beweise zu finden, um zu erkennen, dass ein Verstoß stattgefunden hat.

Über den Autor: Andy Grolnick ist CEO vom SIEM-Sicherheitsanbieter Graylog. Er verfügt über mehr als dreißig Jahre Erfahrung im Aufbau und in der Führung wachstumsstarker Technologieunternehmen in den Bereichen Unternehmenssoftware, Sicherheit und Storage. Sein Fokus hochwertige Produkte bereitzustellen sowie den Kundenerfolg und eine starke Unternehmenskultur zu fördern sind sein Erfolgsrezept.

(ID:50517811)

Weiterführende Inhalte