Wenig beachtetes Sicherheitsproblem Cyberattacken durch Zugriff auf privilegierte Dienste und Konten

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arctic Wolf Networks Germany GmbH

Vectra Networks

Eine Studie von Vectra weist auf eine kritische Sicherheitslücke hin, die bisher oft ignoriert wurde: Viele Unternehmen können nicht erkennen, ob privilegierte Konten und Dienste kompromittiert wurden. Die Studie basiert auf einer Analyse des aktiven und anhaltenden Angriffsverhaltens in mehr als fünf Millionen Workloads und Geräten aus Clouds, Rechenzentren und Unternehmensumgebungen.

Bei privilegierten Konten wird nur selten eine direkte Kontrolle ausgeübt darüber, wie sie genutzt werden, selbst dann nicht, wenn Tools zur Verwaltung des privilegierten Zugriffs vorhanden sind. Es ist dieser Mangel an Aufsicht oder Verständnis, woraus das betriebliche und finanzielle Risiko für Unternehmen hervorgeht. Wenn sie unsachgemäß verwendet werden, können privilegierte Konten großen Schaden verursachen, unter anderem durch Datendiebstahl, Spionage, Sabotage oder Ransomware. In den USA hat die NSA die Verteidigung von Privilegien und Konten als eine ihrer Top-Ten-Strategien zur Wahrung der Cybersicherheit bezeichnet, die dazu beitragen sollen, anhaltende Bedrohungen im Vorfeld einzudämmen.

Die Angreifer nutzen auf privilegierte Konten, um unbefugten Zugang auf das fremde Netzwerk zu erhalten und dann zu den wertvollsten Datenbeständen überzugehen. Dies unterstreicht die Notwendigkeit, das Verhalten von Benutzerkonten kontinuierlich zu überwachen, sobald der Zugang auf ein Netzwerk gewährt wurde. In der Studie von Vectra wird vor allem die entscheidende Rolle des privilegierten Zugangs als kritischer Faktor für die seitliche Bewegung von Cyber-Angriffen hervorgehoben. Angreifer verwenden privilegierte Konten, um unbefugten Zugang auf die wertvollsten Vermögenswerte zu erhalten, von denen eine Organisation abhängt.

Kontinuierliche Überwachung von Benutzerkonten, Diensten und Hosts während des Netzwerkzugangs

Herkömmliche Zugangsbasierte Ansätze, die auf einmaligen Security-Gating-Entscheidungen oder vordefinierten Listen privilegierter Identitäten basieren, sind angesichts der Ergebnisse der Studie nicht angemessen. In dem Bericht wird die Bedeutung einer kontinuierlichen Überwachung von privilegierten Accounts, Diensten und Hosts hervorgehoben, sobald diese auf das Netzwerk zugreifen und im Netzwerk aktiv sind. Auf diese Weise haben Sicherheitsteams die richtigen Informationen zur Hand, um schnell gegen die böswillige Verwendung von Berechtigungen in Cloud- und Hybridumgebungen vorzugehen.

Diese Beobachtungen unterstreichen die Bedeutung von Einsichten in privilegierten Zugang und andere Verhaltensweisen von Angreifern. Die Kombination von Datenquellen in der Cloud mit Netzwerkdaten schafft eine aussagekräftige Informationsbasis. Dies erhöht die Wahrscheinlichkeit, dass Aktivitäten unmittelbar nach einem Kompromiss erkannt und priorisiert werden, bevor ein massiver Sicherheitsvorfall auftritt.

Das Erkennen des Missbrauchs privilegierten Zugangs wurde bisher jedoch weitgehend als statisches Problem behandelt. Es wurden vorbeugende oder manuelle autorisierungsbasierte Ansätze verwendet, die auftretende Bedrohungen identifizieren und nur wenig Zeit für eine angemessene Reaktion lassen. Andere Ansätze behandeln alle Entitäten als gleich und verwenden musterbasierte Techniken, die zu einer übermäßigen Anzahl von Warnungen führen, die nicht betriebsbereit sind.

Privilegierter Zugang ist nicht gleichbedeutend mit vertrauenswürdigem Zugang

Anstatt sich auf die gewährten Berechtigungen einer Entität zu fokussieren, müssen sich Sicherheitsvorgänge darauf konzentrieren, wie die Entitäten ihre Berechtigungen innerhalb des Netzwerks verwenden. Dies bedeutet nicht nur die Überwachung der Hosts und des Netzwerks, sondern auch das Verständnis, wie privilegierter Zugang innerhalb einer Organisation zwischen lokalen Netzwerken, privaten Rechenzentren und Cloud-Instanzen erfolgt. Das „überwachte Privileg“ wird dadurch bestimmt, wie ein Account oder Host im Netzwerk verwendet wird, mit welchen Diensten er interagiert und wie viele andere mit ihm interagieren. Das gewährte Privileg basiert auf den Zugriffsrechten, die den Gruppen gewährt werden, in denen sich ein Konto auf dem Directory-Server befindet. Ein Konto, wie z.B. ein Domain-Administrator, kann Rechte für den Zugriff auf jedes System innerhalb des gesamten Netzwerks haben.

Der Einblick in privilegierten Zugriff und andere Angriffsverhalten wird durch automatisierte Erkennungs- und Reaktionstools erreicht, die netzwerk- und cloudspezifische Daten kombinieren. Die Daten werden dann analysiert, Beziehungen verstanden, verdächtige Verhaltensweisen identifiziert und den Sicherheitsteams gemeldet. Dies erhöht die Wahrscheinlichkeit, kompromittierte Aktivitäten zu erkennen, bevor ein katastrophaler Sicherheitsvorfall eintritt.

Über den Autor: Andreas Müller ist Regional Sales Director bei Vectra und für die DACH-Region verantwortlich.

(ID:46735973)