Identitätschutz bei Cloud-Services Cyberattacken auf Identitäten nehmen zu

Anbieter zum Thema

CrowdStrike GmbH

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

Angesichts der verstärkten Nutzung von Cloud-Services sowie Remote-Arbeit rückt die Identität zunehmend in das Visier von Cyberangreifern. Mittlerweile zählen identitätsbasierte Angriffe zu den größten Bedrohungen für Unternehmen und lassen sich laut des jüngsten Global Threat Report von CrowdStrike in fast 80 Prozent aller Cyberangriffe beobachten.

Cloud-basierte Dienste sind heute ein wichtiger Bestandteil vieler Geschäftsprozesse und erleichtern den Austausch von Dateien und die Zusammenarbeit, insbesondere in Zeiten von Hybrid Work. Genau diese Dienste werden jedoch zunehmend von Cyber-Akteuren für Netzwerkoperationen missbraucht - ein Trend, der sich in absehbarer Zukunft fortsetzen dürfte, da immer mehr Unternehmen hybride Arbeitsumgebungen anstreben. Einer der häufigsten Angriffsvektoren auf Cloud-Umgebungen ist der Identitätsdiebstahl. Denn die Zunahme des hybriden Arbeitens bedeutet, dass viele Mitarbeiter nicht in einem Büro arbeiten, sondern sich stattdessen über kollaborative Anwendungen, VPNs und andere Dienste aus der Ferne verbinden - unter Verwendung eines Benutzernamens und Passworts. Um an die begehrten Informationen zu gelangen, hosten die kriminellen Akteure gefälschte Authentifizierungsseiten, um legitime Authentifizierungsdaten für Cloud-Dienste wie Microsoft Office 365 (O365), Okta oder Online-Webmail-Konten zu sammeln. Mit diesen versuchen die Täter später dann auf die Konten der Opfer zuzugreifen. Aber nicht nur die Konten der Opfer sind dabei von Interesse. Auch der Zugriff auf in der Cloud gehostete E-Mail- oder Filehosting-Dienste können den Tätern bei ihren Spionage- und Diebstahlaktivitäten helfen.

Ernste Gefahr - auch große Namen im Visier

Heutige Angreifer sind unglaublich geschickt darin, gestohlene Zugangsdaten zu erlangen und zu missbrauchen. Dabei schrecken sie auch nicht vor großen Cloud-Diensten zurück. So beobachtete CrowdStrike beispielsweise im April 2021, dass die in der Türkei ansässige Hackergruppe COSMIC WOLF es auf Opferdaten abgesehen hatte, die in der Cloud-Umgebung von Amazon Web Services (AWS) gespeichert waren. Den Angreifern gelang es, mit gestohlenen Benutzernamen und Passwörtern in die AWS-Cloud-Umgebung einzudringen, wodurch die Angreifer auch über die erforderlichen Berechtigungen zur Nutzung von Kommandozeilen verfügten. Das bedeutet, dass sie in der Lage waren, die Sicherheitseinstellungen so zu ändern, dass ein direkter Secure Shell Protocol (SSH)-Zugang zu AWS von ihrer eigenen Infrastruktur aus möglich war, wodurch der Datendiebstahl ermöglicht wurde.

Eine weitere staatliche Akteursgruppe, für die das Sammeln von Zugangsdaten eine wichtige Rolle spielt, ist FANCY BEAR - nach Einschätzung westlicher Geheimdienste eine Einheit des russischen Militärgeheimdienstes GRU. Sie nutzen Credential Harvesting, um an Informationen zu gelangen und sich primären Zugang zu Zielorganisationen oder -personen zu verschaffen. Zu Beginn ihrer operativen Laufbahn nutze FANCY BEAR vor allem Spear-Phishing-E-Mails, die bösartige Dokumente oder Links enthielten, um Anmeldedaten abzugreifen. Nachdem jedoch zahlreiche Operationen aufgedeckt wurden, hat FANCY BEAR seine operative Vorgehensweise überarbeitet und den Einsatz von Malware zurückgefahren. Angesichts des Trends, dass öffentliche und private Einrichtungen zunehmend Teile ihrer internen Infrastruktur (z. B. E-Mail, interne Chats oder Identitäts- und Geräteverwaltungsdienste) über Cloud-Dienste hosten, hat der Angreifer im Jahr 2021 eine Reihe von Cloud-basierten E-Mail-Providern mit einer Vielzahl von Datenerfassungsmethoden ins Visier genommen. Dazu gehören beispielsweise Enterprise-Dienste wie Microsoft 365 oder GSuite, aber auch Webmail-Dienste, die eher von Privatpersonen genutzt werden. Die Operationen von FANCY BEAR zum Sammeln von Anmeldedaten wurden im Laufe der Jahre immer weiter perfektioniert, wobei sie ein gleichbleibend hohes Volumen und Tempo aufweisen.

Cloud-Services ziehen auch Kriminelle an

Aber nicht nur staatliche Akteure nutzen identitätsbasierte Angriffe, um an ihre Ziele zu gelangen. Auch eCrime-Akteure setzen auf den Identitätsklau als Angriffsvektor. Dies wird im Zusammenhang mit Ransomware-Kampagnen immer problematischer. Unternehmen müssen daher ihre Verteidigungsmaßnahmen anpassen, um den Angreifern einen Schritt voraus zu sein. Denn ein Angreifer mit gültigen Anmeldeinformationen ist für viele IT-Abteilungen ohne Zero Trust-Richtlinien unglaublich schwer von normalen, alltäglichen, autorisierten Aktivitäten unterscheidbar und verschafft Angreifern damit wertvolle Zeit, unbemerkt das eigentliche Ziel ihres Angriffes auszukundschaften. Darüber hinaus kann es überraschend schwierig sein, den Eindringling zu stoppen, sobald die Verteidiger einen laufenden Angriff erkannt haben, insbesondere bei Angriffen, die von nicht verwalteten Hosts ausgehen. Ein verwaltetes System kann in wenigen Minuten vom Netzwerk abgeschottet werden. Dagegen kann es Stunden dauern, bis der Missbrauch gestohlener Anmeldedaten auf einem System gestoppt wird, das sich außerhalb der Kontrolle des Sicherheitsteams befindet, da die Anfrage in den meisten Unternehmen den Weg durch verschiedene IT-Silos nehmen muss.

Cloud-Infrastruktur widerstandsfähiger machen

Der Schutz vor Bedrohungen mit gestohlenen Identitäten ist für Unternehmen heutzutage von entscheidender Bedeutung. Aber Technologie allein ist kein Allheilmittel, um Angriffe zu stoppen. Anspruchsvolle Angriffe erfordern eine Mischung aus Technologie und menschlichem Fachwissen, um eine wirksame Verteidigung aufzubauen, die sicherstellt, dass die Abwehrmechanismen stets auf dem neuesten Stand sind und eine Reaktion auf Bedrohungen innerhalb von Minuten erfolgen kann. Unternehmen müssen jedes Element, vom Endpunkt über die Cloud bis hin zum Netzwerk, sicherheitstechnisch überdenken – und zwar basierend auf Zero Trust.

Über den Autor: Jörg Schauff ist Manager, Strategic Threat Advisory Group (EMEA) bei CrowdStrike.

(ID:48443503)