Erkenntnisse eines Angriffs auf ein Versorgungsunternehmen Der Nutzen von Penetrationstests

Anbieter zum Thema

Arvato Systems

TXOne Networks

Outpost24 GmbH

Gladbach Consulting

RAPID7

Cyberangriffe betreffen alle Branchen - und Versorgungsunternehmen sind genauso stark von Angriffen bedroht wie jede Branche. Technische Schwachstellen und menschliches Versagen sind Risiken für die IT-Sicherheit, die sich durch den Einsatz eines Pentesting-Teams überprüfen lassen.

Der Versorgungs- und Energiesektor rangiert an zweiter Stelle bei den durch Cyberkriminalität prognostizierten Verlusten pro Unternehmen, welche jährlich 16,2 Millionen Euro pro Unternehmen betragen. Da Versorgungsunternehmen und Energieunternehmen immer smarter und stärker miteinander verzahnt werden, sind leider auch die Auswirkungen eines Cyberangriffs immer gravierender und weitreichender. Laut Weltwirtschaftsforum liegen große Cyberangriffe auf dem fünften Platz unter den Risiken, die in den nächsten 10 Jahren in der Versorgungs- und Energiewirtschaft am ehesten auftreten werden. Vor diesem Hintergrund ist es für diese Unternehmen wichtig, wachsam zu bleiben und mögliche Schwachstellen in ihren Sicherheitssystemen zu beheben. Aber wie erkennt man diese Risiken überhaupt?

Professionelle Schwachstellensuche

Penetrationstests retten Leben

Penetrationstests: die Grundlagen

Eine Möglichkeit besteht darin, ein „ethisches Hacking“ des eigenen Unternehmens zu beauftragen, auch "Penetrationstest" genannt. Diese Tests werden von vielen Unternehmen dazu genutzt, um zu überprüfen, wie stark (oder schwach) ihre Sicherheitssysteme wirklich sind.

Pen-Tests können als "physische", "Social Engineering " oder "Internal Network Assessments" für Unternehmen jeder Größe durchgeführt werden.

„Physische“ Tests zeigen Schwachstellen bei Zutrittssystemen auf, die Hacker attackieren können, wie zum Beispiel Schlösser, Sensoren oder Kameras. „Social Engineering Assessments“ wenden sich an Mitarbeiter auf der persönlichen Ebene, und die eingesetzten Techniken sind vielfältig. Hacker manipulieren Mitarbeiter mit hochwirksamen psychologischen Taktiken, um einen privilegierten Netzwerkzugriff auf sensible Daten zu erhalten. „Internal Network Assessments“ testen die Sicherheit der Unternehmensnetzwerke einschließlich der Domain, der Speichersysteme und der Server.

Mithilfe dieser unterschiedlichen Bewertungen sind Pen-Tester in der Lage, gefährdete Bereiche in der Sicherheit eines Unternehmens zu identifizieren, so dass das Unternehmen diese Probleme beheben kann, bevor es an dieser Stelle von Hackern angegriffen wird.

BlackBerry Cylance Pentest-Report

Penetrationstests machen sensible Daten zugänglich

Schon LinkedIn-Informationen können dem Hacker ausreichen

Wir haben für einen Kunden aus dem Versorgungssektor einen Pen-Test durchgeführt. Ein Großkraftwerk suchte nach Schwachstellen durch einen physischen und einen Social Engineering-Penetrationstest. Deswegen haben wir das Sicherheitsbewusstsein der Mitarbeiter getestet.

Also, was war die Vorgehensweise? Die erste Anlaufstelle war ein Blick auf LinkedIn. LinkedIn ist zwar ein wertvolles Werkzeug für viele Unternehmen, aber es ist auch eine zugängliche Datenbank, die eine Fülle von Informationen enthält, einschließlich Telefonnummern und E-Mail-Adressen. In diesem Fall nutzte der Pen-Tester von Rapid7 LinkedIn, um Informationen über einen IT-Manager zu finden, der im Kraftwerk arbeitete. Innerhalb weniger Minuten hatte er seinen Titel und seine Telefonnummer, was ihm tatsächlich gereicht hat, um den physischen Zugang zum Gebäude zu bekommen und einen Social Engineering Test durchzuführen.

Mit den LinkedIn-Informationen ausgestattet ging der Pen-Tester über den Vordereingang ins Kraftwerk, wo ein Wachmann an der Rezeption wartete. Der Pen-Tester hatte im Vorfeld eine Hintergrundstory fabriziert und tat so, als wäre er ein Netzwerktechniker, der geschickt worden wäre, um Drahtlosnetzwerke zu testen, und dass den Auftrag vom IT-Manager bekommen hätte (den er über LinkedIn gefunden hatte).

Es gab anfänglich etwas Widerstand vom Sicherheitspersonal, aber der Pen-Tester setzte ruhig das Gespräch fort. Er gab an, dass er bereits Tests an mehreren anderen Standorten durchgeführt habe und ratterte die Adressen herunter, um glaubwürdig zu wirken. Dann erklärte er dem Wachmann anhand der LinkedIn-Informationen, dass der IT-Manager die Rezeptionistin anrufen werde. Alles, was er dazu brauchte, waren ihre Kontaktdaten. Das Sicherheitspersonal stimmte dem Anruf zu und gab dem Hacker die Telefonnummer.

Der Hacker trat dann auf den Parkplatz hinaus, rief beim Empfang an und täuschte die Telefonnummer des IT-Managers vor. Er gab sich als IT-Manager aus und behauptete, dass er Zugang zu den IDF-Schränken, dem Rechenzentrum sowie den NERC-CIP-Kontrollräumen in der Anlage brauche. Dies sind alles Bereiche erhöhter Sicherheit, so dass der Zugang eigentlich nicht über das Telefon ohne ausreichenden Identitätsnachweis hätte gewährt werden sollte. Doch überraschenderweise hat das einfach so funktioniert. Der Wachmann gab die Erlaubnis, und der Hacker betrat erneut das Gebäude.

Während der Pen-Tester von einem Mitarbeiter des Informationssicherheitsteams durch das Werk geführt wurde, erhielt er Zugang zu allen Bereichen des Gebäudes, einschließlich der Leitstelle und des Rechenzentrums - alle mit hochsensiblen Daten.

Das ist nicht wirklich wie bei "Ocean's Eleven", aber das muss es auch nicht sein. Wenn ein Mitarbeiter die Regeln nicht einhält, werden alle technischen Sicherheitsvorkehrungen, die ein Unternehmen getroffen hat, irrelevant. Menschliches Versagen ist sehr oft die Einbruchstelle für die Unternehmenssicherheit.

Kali Linux Workshop, Teil 1

Kali Linux installieren und Hacking-Lab aufsetzen

Passwort-Hacking führt zum Erfolg

Ein anderer Kunde bat uns, sein internes Netzwerk zu testen. Eine der üblichen Methoden ist es, den Windows-spezifischen Netzwerkverkehr zu überwachen und zu versuchen, bestimmte Windows-Maschinen dazu zu bringen, uns Passwort-Hashes zu schicken - Passwörter, die speziell als unkenntlich kodiert wurden. Es stellte sich heraus, dass sie über eine ziemlich gute Netzwerksegmentierung verfügten, und unsere Pen-Tester konnten nur einen Passwort-Hash von einem einzelnen Domain-Benutzer abfangen.

Leider reicht „fast aber doch nicht ganz“ für die Informationssicherheit selten aus. In diesem speziellen Engagement konnte Rapid7 den erhaltenen Passwort-Hash nicht knacken. Das bedeutet zum einen, dass dieser Benutzer ein starkes und ungewöhnliches Passwort verwendete, und zum anderen, dass der Kunde eine gesunde Zufallspasswortkultur bei den meisten seiner Mitarbeiter erreicht hatte. Bei der Diskussion dieser Ergebnisse während einer Nachbesprechung erklärte der Kunde, dass die meisten der Mitarbeiter Smartcards und lange zufällig generierte Passwörter verwenden.

Die Pen-Tester waren jedoch nicht ganz bereit, aufzugeben, da in einigen Fällen sogar Passwort-Hashes selbst verwendet werden können, um mit einer Technik namens "Pass the Hash" Zugriff auf ältere Windows-Maschinen zu bekommen. Sobald ein Computer identifiziert war, der die SMB-Signatur nicht einsetzte (was die übliche Verteidigung gegen „Pass-the-Hash“-Angriffe ist), konnte sich der Pen-Tester einloggen und mit dem beliebten Scraping-Tool Mimikatz ungehaschte Klartext-Passwörter direkt aus dem Speicher dieses Computers ziehen. Übrigens gab es nur einen solchen Computer in der Domain, aber genau wie beim Hash-Passwort, hat einer gereicht.

Trotz der starken Passwörter zeigte dieser Test, dass Hartnäckigkeit und gängige Angriffstechniken ausreichen, um einem Hacker den Zugang zu verschaffen.

Die meiste Energie in Trainings stecken

Pen-Tester finden in der Regel immer eine Schwachstelle, was Unternehmen oft das Gefühl gibt, dass es hoffnungslos ist, sich gegen einen kompetenten und entschlossenen Angreifer zu verteidigen. Auf der anderen Seite werden Penetrationstester jedoch oft in etwa 20 Prozent der Fälle durch bestehende Sicherheitskontrollen verhindert, was zeigt, dass das Unternehmen gute Arbeit bei der Sicherung bestimmter Elemente seines Netzwerks leistet.

Allerdings ist die beste Abwehrmaßnahme, genau die Stellen besonders zu schützen, die am häufigsten und erfolgreichsten von Angreifern ausgenutzt werden. Gegen Social Engineering können Trainings des Personals helfen, die aufzeigen, welche Tricks Angreifer benutzen. Hilfreich ist auch, eine schriftliche Richtlinie für den physischen und digitalen Zugriff auf die Firmenassets zu haben und sicher zu stellen, dass die Mitarbeiter vor Ort die Richtlinie und die Prozesse gut kennen.

Außerdem sollte ein starker virtueller „Zaun“ um die Unternehmensdaten und -systeme herum aufgebaut werden. Ebenso wichtig ist die Einführung einer starken Kultur des Passwortmanagements. Dafür gibt hier mehrere Software-Lösungen. Doch letztlich ist erst einmal nur eines wichtig: Wenn das Unternehmen sicherstellen kann, dass alle Benutzerkonten durch zufällige und lange Passwörter geschützt sind, dann hält es einen großen Teil der Angriffe in Schach - und beginnt, einen Teil der 16,2 Millionen Euro, die jedes Jahr verloren gehen, wieder reinzuholen.

Über den Autor: Tod Beardsley ist Forschungsdirektor bei Rapid7. Er verfügt über mehr als 20 Jahre praktisches Sicherheitswissen und Erfahrung. Er war in IT-Operations und IT-Sicherheitspositionen in großen Organisationen wie 3Com, Dell und Westinghouse tätig. Heute spricht Beardsley oft auf Sicherheits- und Entwicklerkonferenzen.

(ID:46378838)