Datenlecks stopfen bevor es zu spät ist Cyberangriffe erkennen

Anbieter zum Thema

SolarWinds EMEA Headquarters

Insider Research

Fälle wie der der gehackten Bitcoin-Börse Mtgox zeigen, dass aktuell Datenlecks aufgrund von Angriffen durch Cyberkriminelle ein Thema sind, das die Verantwortlichen in der Industrie immer stärker beschäftigt. Doch was kann man dagegen tun?

Verletzungen der Cyber-Sicherheit bereiten immer mehr IT-Verantwortlichen schlaflose Nächte. Doch was wäre, wenn man vorhersagen könnte, wo und wann sie passieren? Das klingt vielleicht wie Science-Fiction, tatsächlich aber gibt es bei fast allen Bedrohungen der Cyber-Sicherheit – einschließlich Malware, DDoS und Cyber-Spionage – ganz eindeutige Warnzeichen, nach denen jeder IT-Manager Ausschau halten kann.

Unternehmen müssen daher in die präventive Erkennung und Vorbeugung investieren, anstatt nur zu reagieren. „Ich habe es nicht kommen sehen“ ist nach erfolgreichen Netzwerkangriffen keine gültige Entschuldigung mehr.

Zeichen rechtzeitig erkennen

Da Angriffe auf die Cyber-Sicherheit immer raffinierter und kostspieliger werden, geraten IT-Manager zunehmend unter Druck, die Verteidigungsmaßnahmen ihrer Netzwerke zu stärken. Eine kürzlich von SolarWinds unter australischen IT-Managern durchgeführte Umfrage zum Thema Netzwerkkomplexität hat gezeigt, dass die steigenden Sicherheitsbemühungen einer der Hauptgründe für die wachsende Komplexität heutiger Netzwerke sind.

Admins können dabei jedoch auf einfache Art viele verräterische Anzeichen, die einem böswilligen Zugriffs- oder Manipulationsversuch typischerweise vorausgehen, erkennen und so im besten Fall ohne aufwendige Sicherheitsmaßnahmen reagieren.

Es sind nicht nur die mit brachialer Gewalt vorgehenden Bedrohungen wie DDoS und Malware, die so angekündigt werden. Nimmt man hochkomplexe Bedrohungen einmal aus, senden alle Angriffe bestimmte Frühwarnsignale, die umsichtige IT-Manager erkennen können.

Durch die Überwachung der Bereiche, in denen diese Signale üblicherweise auftreten, können Unternehmen Datenlecks – und die damit verbundenen Folgen für Gewinne und Marktanteil – reduzieren. IT-Abteilungen müssen sich dabei auf vorbeugende Maßnahmen konzentrieren, anstatt die Scherben nach einem Angriff aufzufegen. Dies spart langfristig viel Geld und Zeit.

Eine vor kurzem von Verizon durchgeführte Umfrage zum Thema Verletzung der Datensicherheit hat die Opfer nach Branche aufgeschlüsselt:

• 37% Finanzwesen

• 24% Einzelhandel und Restaurants

• 20% Herstellung, Transport und Versorgung

• 20% Information und Dienstleistungen

Freund oder Feind?

Die Anzeichen eines bevorstehenden Angriffs sind häufig offensichtlich. Eine rasche Zunahme von Paketübertragungen und WAN-Datenverkehr deutet zum Beispiel oft darauf hin, dass ein DDoS-Versuch läuft. Der hohe Datenverkehr wird dabei durch Bots generiert, die Daten an den Dienst senden, der zum Ausfall gebracht werden soll. Diese Zunahme des Datenverkehrs lässt sich beobachten. Aber wie erkennt man den Unterschied zwischen einem einfachen Leistungsproblem und dem Beginn einer böswilligen Sicherheitsverletzung? IT-Manager müssen nicht nur lernen, „wie ein Hacker zu denken“, wie es von Experten für Cyber-Sicherheit oft verlangt wird, sondern sie müssen auch überlegen, wie Hacker die Planung und Ausführung ihrer Angriffe angehen.

Bei einem DDoS-Angriff versucht der Hacker höchstwahrscheinlich, vorhandene Sicherheitslücken auszunutzen, um die Kontrolle über Ihr System zu übernehmen und damit andere Systeme im Netzwerk anzugreifen. Ein perfektes Beispiel dafür ist das Senden von Spam, um eine Website mit Informationen zu überlasten. Einfach ausgedrückt, erfolgt der Angriff an verschiedenen Fronten, wobei mehrere Computer genutzt werden, um den DoS-Angriff zu starten.

Symptome wie schlechte Netzwerkleistung, plötzliche Spitzen beim Empfang von Spam und fehlender Zugriff auf bestimmte Websites können anzeigen, dass Ihr Netzwerk möglicherweise angegriffen wird.

Außerdem läuft bei einem DDoS-Versuch normalerweise eine Flut von fehlerhaften Paketen auf, die den Protokollstapel eines Systems viel wirksamer zum Absturz bringen können als fehlerfreie. Wenn Sie die Qualität der Datenverkehrsspitzen testen, können Sie also feststellen, ob Ihr Netzwerk einfach nur stark ausgelastet ist oder ob es einen Versuch gibt, Ihre Server lahm zu legen.

Außerdem lösen böswillige Sicherheitsverletzungen häufig ungewöhnliche Aktivitäten bei einer ganzen Reihe von Netzwerkelementen aus, wohingegen einfache Fehler meist nur einzelne Elemente betreffen. Beim Versuch, Viren einzuschleusen, finden Spitzen beim Datenverkehr eher an sonst ungenutzten Ports statt, oder sie stammen von ungültigen IP-Adressen, was die Legitimität des Datenverkehrs weiter infrage stellt.

Aktion statt Reaktion

Der Film Minority Report hat effektvoll gezeigt, dass eine gründliche Überwachung unerlässlich ist, um Verbrechen zu stoppen, noch bevor sie begangen werden. Dasselbe trifft auch auf Cyberkriminalität zu. Unternehmen müssen daher in eine umfassende Palette von Tools zur Überwachung, Erkennung und Benachrichtigung investieren, die nicht nur die Warnzeichen für eine Sicherheitsverletzung erkennen, sondern auch IT-Mitarbeiter alarmieren oder – im besten Fall – automatisch Gegenmaßnahmen ergreifen.

Ausgeklügelte Netzwerkverwaltungstools können diese verschiedenen Anzeichen überwachen und unterscheiden: Log and Event Manager von SolarWinds sendet zum Beispiel nicht nur Warnungen, wenn fehlerhafte Pakete erkannt werden, sondern korreliert diese Aktivitäten auch mit anderen verdächtigen Anfragen oder Datenverkehrsmengen im Netzwerk.

Durch die Hintertür

Doch wie kann man auf subtilere Bedrohungen, besonders das wachsende Problem von Cyber-Spionage und –Sabotage, reagieren? Während ein umfassendes SIEM-Tool (Security Information and Event Management) möglicherweise ausreicht, um die offensichtlicheren Angriffe herauszufiltern, müssen IT-Manager vor allem ihre eigene Unternehmensintelligenz einsetzen, um ihre Verteidigungslinien entsprechend in Stellung zu bringen.

Unternehmen sollten beim Speichern ihrer Daten einen strukturierten Ansatz verfolgen. Dies ermöglicht ihnen, den Zugriff auf vertrauliche Informationen leichter zu identifizieren und zu verfolgen. Sie können auch unterschiedliche Stufen der Zugriffssteuerung auf verschiedene Teile des Netzwerks anwenden, sodass Hacker, die subtiler vorgehen als per Brute-Force, effektiv am Zugriff gehindert werden. Dies ist nicht nur für die Integrität des Netzwerks von Bedeutung, sondern stellt auch ein wichtiges Element der Compliance dar.

Die meisten Angriffe erfolgen mit der Absicht, auf Finanz- oder Geschäftsdaten zuzugreifen. Diese erfolgen daher meist in Form von versuchtem Datendiebstahl, SQL-Injection, Spyware, Phishing-Versuchen, Hacking oder dem Einsatz von Malware.

Am schwierigsten zu erkennen sind dabei allerdings jene Bedrohungen der Cyber-Sicherheit, die innerhalb des Unternehmens entstehen: vom sorglosen Einbinden privater Geräte in das Unternehmensnetzwerk (BYOD) bis zur böswilligen Infiltrierung über korrumpierte USB-Sticks und andere Medien.

Verletzung der Datensicherheit auf diesem Wege zeigen jedoch charakteristische Muster, die überwacht werden können und sollten. Ungewöhnliche Zugriffsmuster oder Netzwerkaktivitäten nach Geschäftsschluss können ein Anzeichen für Wirtschaftsspionage oder -sabotage sein. Dies ist besonders dann der Fall, wenn Ihr System ungewöhnlich viele Anmeldeversuche bei vertraulichen Netzwerkbereichen für Finanzen oder Forschung und Entwicklung protokolliert.

Erfolgt die Attacke dabei mittels Brute-Force-Algorithmus, werden die Anmeldeversuche in sehr großer Zahl automatisch generiert. Die Überwachung des LAN-Datenverkehrs kann helfen, von außen eingebrachte Malware zu identifizieren. Dies erfolgt durch die Feststellung der Art des illegalen Zugriffsversuchs. IT-Personal oder sogar das System selbst kann die Bedrohung dann automatisch am Ursprungspunkt eindämmen. Auf diese Weise können IT-Manager verhindern, dass Daten das Unternehmen verlassen –sogar durch Offlinemethoden.

Vorbeugen ist besser als Nachsorgen

Viel zu lange haben Unternehmen und IT-Führungskräfte beim Umgang mit Cyber-Sicherheit einen reagierenden Ansatz verfolgt. Mit einer umfassenden SIEM-Lösung und einem strukturierten Überwachungsansatz können Unternehmen jedoch viele Bedrohungen erkennen und im Keim ersticken, bevor die interne Verteidigung durchbrochen wird.

Jeder, der Minority Report gesehen oder gelesen hat, weiß, dass nicht jedes (Cyber)-Verbrechen verhindert werden kann, bevor es begangen wird. Anders als in diesem Science-Fiction-Klassiker kann ein präventiver Ansatz beim Umgang mit Sicherheitsverletzungen für Unternehmen und ihre Bilanzen jedoch nur von Vorteil sein.

Zum Autor

Lawrence Garvin ist Head Geek bei SolarWinds. Garvin hat über 25 Jahre IT-Erfahrung und ist 2013 zum neunten Mal in Folge als Microsoft Most Valuable Professional (MVP) ausgezeichnet worden.

Die Head Geeks bei SolarWinds unterstützen die Gemeinschaft der IT-Professionals durch Diskussionsbeiträge zu IT-Trends und durch das Teilen ihres Fachwissens mit der Thwack-Community von SolarWinds.

(ID:42580605)