Threat Hunting als proaktive Suche nach Angreifern: Cyber-Angriffe Hypothesen-basiert aufdecken

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

Eye Security GmbH

Gerade Advanced Persistent Threat (APT) sind häufig effektive Angriffe; weil sie gezielt gesteuert werden und komplex vorgehen haben sie oft ein hohes Schadenspotenzial. Dabei umgehen sie Erkennungs- und Überwachungssysteme, nisten sich im ganzen Netzwerk mit lateralen Bewegungen ein und greifen systematisch Daten und Informationen ab. Um solche Angreifer im System auch ohne initiale Trigger aufzuspüren und die Zeit bis zur Entdeckung zu verkürzen stellt Threat Hunting eine proaktive Möglichkeit dar. Der Erkenntnisgewinn durch Threat Hunting führt zu einer stetigen Verbesserung der Cyber-Security.

Unternehmen überwachen ihre IT-Infrastruktur mit verschiedenen Tools und Schwerpunkten, wie zum Beispiel Vulnerability Management, Security Information und Event Management (SIEM) oder Advanced Persistent Threat Scannern. Threat Hunting stellt dabei eine sinnvolle Ergänzung dar: die proaktive Suche nach Angreifer-Aktivität im System ohne das Wissen, dass sich tatsächlich ein Eindringling im Netz befindet. Es erfolgt also meist ohne initialen Trigger. IT-Sicherheitsspezialist Steve Anson vergleicht Threat Hunting mit Polizeistreifen: Die Polizei wartet nicht erst auf die Meldung von Vorfällen, um auf diese zu reagieren, sondern sie patrouilliert aktiv in ihrem Zuständigkeitsgebiet. Wer mit der Cyber Defense beauftragt ist, sollte deswegen ebenfalls nicht erst bis zum Alarm warten, sondern bereits vorher aktiv und kontinuierlich nach Angriffsspuren Ausschau halten.

Gerade Advanced Persistent Threat (APT) Angreifer zielen darauf ab, so lange wie möglich unentdeckt zu bleiben. Sie umgehen Abwehrmechanismen, infiltrieren das Netzwerk und greifen unerkannt Wissen und Daten ab. Mit Lateral Movement gelingt es ihnen, sich immer mehr Zugriff auf Systeme zu verschaffen. Insbesondere hinter aufwändigen Attacken stecken als Angreifer oft sogenannte Nation State Actors, Geheimdienste oder staatliche Akteure. Deren Ziel ist nicht das Erpressen von Geld über Ransomware, sondern Wirtschaftsspionage: Bei einer Firma in Skandinavien suchte eine APT Gruppe im Netzwerk zum Beispiel nach Verbindungen zum US Verteidigungsministerium. Diese Art von Angriffen können mit Threat Hunting entdeckt und ihre Einfallstore geschlossen werden.

Was der Einsatz von Threat Hunting voraussetzt

Schlüsselrolle im Threat Hunting spielen der Mensch und seine Kompetenz: Die Jäger benötigen einen umfassenden Erfahrungsschatz. Sie müssen dazu in der Lage sein, sich in potenzielle Angreifer hineinversetzen zu können; außerdem müssen sie ihre Angriffsvektoren und Taktiken kennen bzw. nachvollziehen können. Ebenso von Wichtigkeit ist das Wissen über aktuelle Bedrohungslagen, auch branchenspezifisch, also wer konkret angreift und wie man dabei vorgeht. Hilfreich ist zudem, Vorgehensweisen und Taktiken von vergangenen Angriffen und deren Urhebern zu untersuchen um sie auf die aktuelle Situation anzuwenden.

Gleichzeitig müssen Threat Hunter in System, Netzwerk und Infrastruktur bewandert sein: Threat Hunting erfolgt auf Grundlage eines SIEM-Systems, das Meldungen und Logfiles der Systeme bündelt und auswertet. Damit ermöglicht es einen ganzheitlichen Blick auf die Cyber-Security. Deswegen muss im Unternehmen eine entsprechende Datenbasis durch SIEM und Logmanagement geschaffen worden sein: Sind nicht alle Informationen angebunden, kann das Threat Hunting nicht alle seine Taktiken ausspielen. Es ist daher eine ausgereifte Architektur erforderlich – sie ist meist in Firmen ab einer gewissen Größe gegeben, die die Grundlagen für Cyber Security geschaffen haben: Incident Response Prozesse wurden zum Beispiel bereits etabliert und werden gelebt.

Threat Hunting ist im Security Operation Center (SOC) angesiedelt. Liegen keine Alerts und Detections im System vor und muss kein Angriff aktiv nachverfolgt werden, eröffnet dies die Möglichkeit, in den Leerlaufzeiten Threat Hunting zu betreiben. Der Einsatz von Cyber-Security-Personal in Vollzeit ist dafür genauso denkbar wie der von Dienstleistern: Der Trend geht dorthin, die Dienstleistung als Managed Service einzukaufen; insbesondere große Konzerne nehmen dies in Anspruch.

Der Prozess: Wie Threat Hunting vorgeht

Gemäß Steve Ansons Definition des Prozesses von Threat Hunting wird zunächst eine Hypothese formuliert und dann festgelegt, welche Beweise es geben müsste, wenn sie zutreffend ist. Die Jäger haben also keinen konkreten Use-Case, sondern starten in der Regel frei. Auf Basis der vorhandenen Daten wird nach Taktiken, Techniken und Verfahren (TTP) der potenziellen Angreifer gesucht.

Tools wie UEBA (user and entity behavior analytics) oder die MITRE ATT&CK Matrix helfen Threat Huntern dabei, die möglichen Varianten im Auge zu behalten; bekannte Angreifergruppen werden von Institutionen mit Eigennamen versehen und kategorisiert; Firmen und Dienstleister, etwa Entwickler von Antiviren-Software, stellen das Wissen weltweit öffentlich zur Verfügung. So kann zum Beispiel die MITRE ATT&CK Matrix dazu genutzt werden, Hypothesen auf verschiedene Taktiken für die unterschiedlichen Phasen des Angriffs einzugrenzen.

Eine Hypothese kann lauten, dass sich ein schadhaftes Programm als legitime Windows-Systemdatei svchost.exe tarnt. Ein Beweis könnte darin bestehen, dass die Datei in ungewöhnlichen Ordnern liegt. Ein anderer Verdacht kann Anomalien in einem Netzbereich nahelegen – etwa, dass sich ein Client neuerdings zu ungewöhnlichen Zeiten anmeldet oder dass Login-Versuche aus atypischen Regionen erfolgen. Threat Hunter suchen also keine Indicators of Compromise (IOC), sondern Indicators of Attacks (IOA).

Sobald die Hypothese steht, wird in der Folge nach den erwarteten Beweisen gesucht und die Hypothese entweder validiert, nachgeschärft und weiterentwickelt oder aber widerlegt. Dabei werden Schwachstellen der Sicherheitsinfrastruktur aufgedeckt, Log-Gaps oder Tech-Gaps erkannt und festgestellt, ob die Erkennungsmechanismen gut genug sind oder wo die Grenzen der Endpoint-Protection liegen. Die Ergebnisse können rückgespiegelt und die Cyber-Security mit dem neuen Wissen optimiert werden – so kann der Reifegrad der Systeme, etwa der Log Collection, gesteigert werden. In einem weiteren Schritt können die Ergebnisse des Threat Hunting in die Automatisierung weiterer Erkennung und Prävention einfließen, sodass Angreifer automatisiert erkannt werden und keine aufwändige manuelle Suche mehr nötig ist. Damit ermöglicht Threat Hunting die Optimierung der Prävention und die Erhöhung des Automatisierungsgrads. Werden Zugriffe entdeckt oder bösartige Dateien im System erkannt, stößt es zudem den Incident Response Prozess an.

Insgesamt reduziert Threat Hunting die Zeit, die Angreifer im System verbringen, also jenen Zeitraum zwischen Eindringen und Entdeckung. Gerade in der initialen Phase ist ein Angriff meist schwer zu erkennen – mit Threat Hunting kann er detektiert werden.

Die drei Ansätze im Threat Hunting

Für Threat Hunting gelten drei Ansätze: Analyse-gesteuert (Analytics-Driven), Situations-gesteuert (Situational-Awareness Driven) und Intelligence-gesteuert (Intelligence-Driven). Im ersten Fall kommen Tools wie Maschinelles Lernen und UEBA zum Einsatz, mit denen die vorliegenden Daten durchsucht und Anomalien erkannt werden. Auf deren Ergebnisse bauen die Jäger ihre Hypothesen auf. Beim Situational-Awareness Driven Ansatz geht man von den Kronjuwelen der Infrastruktur aus: Man definiert, welche Assets und Daten für Angreifer besonders interessant und damit schützenswert sind, was sie genau zur Verfügung stellen und leitet daraus Angriffspfade ab. Der Intelligence-Driven-Ansatz basiert nicht nur auf der zur Verfügung stehenden Threat Intelligence. Auch das Know-How um Indicators of Compromise (IOC), um Tactics, Techniques and Procedures (TTP) sowie das Wissen, welche Angriffe aktuell durchgeführt werden und welche Gruppen in Frage kommen, spielen dabei eine bedeutende Rolle. Diese Hunt-Trigger sind zum Beispiel Meldungen des Threat Intelligence Reports oder ein Cyberbrief des Verfassungsschutzes zu Angriffskampagnen gegen deutsche Unternehmen. Darauf kann eine aktive Suche mit einer entsprechenden Hypothese aufbauen: Dieselben Angreifergruppen greifen oft auf ähnliche Vorgehensweisen zurück.

Fazit

Threat Hunting stellt für Unternehmen eine produktive Methode dar, die Cybersicherheit zu erhöhen und um Erkennungs- und Überwachungssysteme wie Compromise Assessment oder Vulnerability Management zu ergänzen. Es kann Angriffe bereits in einer frühen Phase erkennen und Sicherheitslücken im System offenlegen. Auf Basis der daraus gewonnenen Erkenntnisse kann die Cyber-Security optimiert und automatisiert werden.

Über die Autoren:

Leon Hormel ist Cyber Defense Consultant beim Secuinfra Falcon Team.

Maximilian Zahn ist Cyber Defense Analyst beim Secuinfra Falcon Team.

(ID:48389912)