Erkenntnisse eines Angriffs auf ein Versorgungsunternehmen

Der Nutzen von Penetrationstests

| Autor / Redakteur: Tod Beardsley / Peter Schmitz

Pen-Tester finden fast immer eine Schwachstelle, über die sie in ein Netzwerk eindringen können. Das macht eine Verteidigung gegen Angreifer aber nicht unmöglich.
Pen-Tester finden fast immer eine Schwachstelle, über die sie in ein Netzwerk eindringen können. Das macht eine Verteidigung gegen Angreifer aber nicht unmöglich. (Bild: gemeinfrei / Pixabay)

Cyberangriffe betreffen alle Branchen - und Versorgungsunternehmen sind genauso stark von Angriffen bedroht wie jede Branche. Technische Schwachstellen und menschliches Versagen sind Risiken für die IT-Sicherheit, die sich durch den Einsatz eines Pentesting-Teams überprüfen lassen.

Der Versorgungs- und Energiesektor rangiert an zweiter Stelle bei den durch Cyberkriminalität prognostizierten Verlusten pro Unternehmen, welche jährlich 16,2 Millionen Euro pro Unternehmen betragen. Da Versorgungsunternehmen und Energieunternehmen immer smarter und stärker miteinander verzahnt werden, sind leider auch die Auswirkungen eines Cyberangriffs immer gravierender und weitreichender. Laut Weltwirtschaftsforum liegen große Cyberangriffe auf dem fünften Platz unter den Risiken, die in den nächsten 10 Jahren in der Versorgungs- und Energiewirtschaft am ehesten auftreten werden. Vor diesem Hintergrund ist es für diese Unternehmen wichtig, wachsam zu bleiben und mögliche Schwachstellen in ihren Sicherheitssystemen zu beheben. Aber wie erkennt man diese Risiken überhaupt?

Penetrationstests retten Leben

Professionelle Schwachstellensuche

Penetrationstests retten Leben

22.01.16 - Zugegeben, Leben haben Penetrationstests vermutlich noch nicht gerettet, aber sie können Unternehmen vor dem finanziellen Ruin bewahren. Dennoch gelten sie noch immer als aufwändig und teuer. Allerdings mindert ein professioneller Pentest gerade in Zeiten knapper IT-Budgets nicht nur die Risiken, sondern hilft sogar dabei, Geld zu sparen und den Fortbestand des Unternehmens zu sichern. lesen

Penetrationstests: die Grundlagen

Eine Möglichkeit besteht darin, ein „ethisches Hacking“ des eigenen Unternehmens zu beauftragen, auch "Penetrationstest" genannt. Diese Tests werden von vielen Unternehmen dazu genutzt, um zu überprüfen, wie stark (oder schwach) ihre Sicherheitssysteme wirklich sind.

Pen-Tests können als "physische", "Social Engineering " oder "Internal Network Assessments" für Unternehmen jeder Größe durchgeführt werden.

„Physische“ Tests zeigen Schwachstellen bei Zutrittssystemen auf, die Hacker attackieren können, wie zum Beispiel Schlösser, Sensoren oder Kameras. „Social Engineering Assessments“ wenden sich an Mitarbeiter auf der persönlichen Ebene, und die eingesetzten Techniken sind vielfältig. Hacker manipulieren Mitarbeiter mit hochwirksamen psychologischen Taktiken, um einen privilegierten Netzwerkzugriff auf sensible Daten zu erhalten. „Internal Network Assessments“ testen die Sicherheit der Unternehmensnetzwerke einschließlich der Domain, der Speichersysteme und der Server.

Mithilfe dieser unterschiedlichen Bewertungen sind Pen-Tester in der Lage, gefährdete Bereiche in der Sicherheit eines Unternehmens zu identifizieren, so dass das Unternehmen diese Probleme beheben kann, bevor es an dieser Stelle von Hackern angegriffen wird.

Penetrationstests machen sensible Daten zugänglich

BlackBerry Cylance Pentest-Report

Penetrationstests machen sensible Daten zugänglich

12.09.19 - Forscher des BlackBerry Cylance Threat Intelligence Teams haben eine Vielzahl hochsensibler Daten aus dem zivilen Flugsicherungssystem eines Landes in einer halböffentlichen Schadsoftware-Datenbank entdeckt. Die Forscher zeigen, dass sicherheitsrelevante Informationen als Nebenprodukt von Penetrationstests in Malware-Repositorien gespeichert werden. lesen

Schon LinkedIn-Informationen können dem Hacker ausreichen

Wir haben für einen Kunden aus dem Versorgungssektor einen Pen-Test durchgeführt. Ein Großkraftwerk suchte nach Schwachstellen durch einen physischen und einen Social Engineering-Penetrationstest. Deswegen haben wir das Sicherheitsbewusstsein der Mitarbeiter getestet.

Also, was war die Vorgehensweise? Die erste Anlaufstelle war ein Blick auf LinkedIn. LinkedIn ist zwar ein wertvolles Werkzeug für viele Unternehmen, aber es ist auch eine zugängliche Datenbank, die eine Fülle von Informationen enthält, einschließlich Telefonnummern und E-Mail-Adressen. In diesem Fall nutzte der Pen-Tester von Rapid7 LinkedIn, um Informationen über einen IT-Manager zu finden, der im Kraftwerk arbeitete. Innerhalb weniger Minuten hatte er seinen Titel und seine Telefonnummer, was ihm tatsächlich gereicht hat, um den physischen Zugang zum Gebäude zu bekommen und einen Social Engineering Test durchzuführen.

Mit den LinkedIn-Informationen ausgestattet ging der Pen-Tester über den Vordereingang ins Kraftwerk, wo ein Wachmann an der Rezeption wartete. Der Pen-Tester hatte im Vorfeld eine Hintergrundstory fabriziert und tat so, als wäre er ein Netzwerktechniker, der geschickt worden wäre, um Drahtlosnetzwerke zu testen, und dass den Auftrag vom IT-Manager bekommen hätte (den er über LinkedIn gefunden hatte).

Es gab anfänglich etwas Widerstand vom Sicherheitspersonal, aber der Pen-Tester setzte ruhig das Gespräch fort. Er gab an, dass er bereits Tests an mehreren anderen Standorten durchgeführt habe und ratterte die Adressen herunter, um glaubwürdig zu wirken. Dann erklärte er dem Wachmann anhand der LinkedIn-Informationen, dass der IT-Manager die Rezeptionistin anrufen werde. Alles, was er dazu brauchte, waren ihre Kontaktdaten. Das Sicherheitspersonal stimmte dem Anruf zu und gab dem Hacker die Telefonnummer.

Der Hacker trat dann auf den Parkplatz hinaus, rief beim Empfang an und täuschte die Telefonnummer des IT-Managers vor. Er gab sich als IT-Manager aus und behauptete, dass er Zugang zu den IDF-Schränken, dem Rechenzentrum sowie den NERC-CIP-Kontrollräumen in der Anlage brauche. Dies sind alles Bereiche erhöhter Sicherheit, so dass der Zugang eigentlich nicht über das Telefon ohne ausreichenden Identitätsnachweis hätte gewährt werden sollte. Doch überraschenderweise hat das einfach so funktioniert. Der Wachmann gab die Erlaubnis, und der Hacker betrat erneut das Gebäude.

Während der Pen-Tester von einem Mitarbeiter des Informationssicherheitsteams durch das Werk geführt wurde, erhielt er Zugang zu allen Bereichen des Gebäudes, einschließlich der Leitstelle und des Rechenzentrums - alle mit hochsensiblen Daten.

Das ist nicht wirklich wie bei "Ocean's Eleven", aber das muss es auch nicht sein. Wenn ein Mitarbeiter die Regeln nicht einhält, werden alle technischen Sicherheitsvorkehrungen, die ein Unternehmen getroffen hat, irrelevant. Menschliches Versagen ist sehr oft die Einbruchstelle für die Unternehmenssicherheit.

Kali Linux installieren und Hacking-Lab aufsetzen

Kali Linux Workshop, Teil 1

Kali Linux installieren und Hacking-Lab aufsetzen

20.04.18 - Angehende Sicherheitsexperten, Pentester und IT-Verantwortliche finden in Kali eine umfangreiche Plattform, um digitale Attacken zu planen und durchzuführen. Warum sollte man dies tun? Zum einen um sich mit potentiellen Angriffen auf die eigenen Systeme auseinanderzusetzen und zum zweiten um interne oder externe Schwachstellentests besser zu verstehen. Im ersten Teil stellen wir Kali genauer vor und erklären, wie sich ein Hacking-Lab aufzusetzen lässt. lesen

Passwort-Hacking führt zum Erfolg

Ein anderer Kunde bat uns, sein internes Netzwerk zu testen. Eine der üblichen Methoden ist es, den Windows-spezifischen Netzwerkverkehr zu überwachen und zu versuchen, bestimmte Windows-Maschinen dazu zu bringen, uns Passwort-Hashes zu schicken - Passwörter, die speziell als unkenntlich kodiert wurden. Es stellte sich heraus, dass sie über eine ziemlich gute Netzwerksegmentierung verfügten, und unsere Pen-Tester konnten nur einen Passwort-Hash von einem einzelnen Domain-Benutzer abfangen.

Leider reicht „fast aber doch nicht ganz“ für die Informationssicherheit selten aus. In diesem speziellen Engagement konnte Rapid7 den erhaltenen Passwort-Hash nicht knacken. Das bedeutet zum einen, dass dieser Benutzer ein starkes und ungewöhnliches Passwort verwendete, und zum anderen, dass der Kunde eine gesunde Zufallspasswortkultur bei den meisten seiner Mitarbeiter erreicht hatte. Bei der Diskussion dieser Ergebnisse während einer Nachbesprechung erklärte der Kunde, dass die meisten der Mitarbeiter Smartcards und lange zufällig generierte Passwörter verwenden.

Die Pen-Tester waren jedoch nicht ganz bereit, aufzugeben, da in einigen Fällen sogar Passwort-Hashes selbst verwendet werden können, um mit einer Technik namens "Pass the Hash" Zugriff auf ältere Windows-Maschinen zu bekommen. Sobald ein Computer identifiziert war, der die SMB-Signatur nicht einsetzte (was die übliche Verteidigung gegen „Pass-the-Hash“-Angriffe ist), konnte sich der Pen-Tester einloggen und mit dem beliebten Scraping-Tool Mimikatz ungehaschte Klartext-Passwörter direkt aus dem Speicher dieses Computers ziehen. Übrigens gab es nur einen solchen Computer in der Domain, aber genau wie beim Hash-Passwort, hat einer gereicht.

Trotz der starken Passwörter zeigte dieser Test, dass Hartnäckigkeit und gängige Angriffstechniken ausreichen, um einem Hacker den Zugang zu verschaffen.

Die meiste Energie in Trainings stecken

Pen-Tester finden in der Regel immer eine Schwachstelle, was Unternehmen oft das Gefühl gibt, dass es hoffnungslos ist, sich gegen einen kompetenten und entschlossenen Angreifer zu verteidigen. Auf der anderen Seite werden Penetrationstester jedoch oft in etwa 20 Prozent der Fälle durch bestehende Sicherheitskontrollen verhindert, was zeigt, dass das Unternehmen gute Arbeit bei der Sicherung bestimmter Elemente seines Netzwerks leistet.

Allerdings ist die beste Abwehrmaßnahme, genau die Stellen besonders zu schützen, die am häufigsten und erfolgreichsten von Angreifern ausgenutzt werden. Gegen Social Engineering können Trainings des Personals helfen, die aufzeigen, welche Tricks Angreifer benutzen. Hilfreich ist auch, eine schriftliche Richtlinie für den physischen und digitalen Zugriff auf die Firmenassets zu haben und sicher zu stellen, dass die Mitarbeiter vor Ort die Richtlinie und die Prozesse gut kennen.

Außerdem sollte ein starker virtueller „Zaun“ um die Unternehmensdaten und -systeme herum aufgebaut werden. Ebenso wichtig ist die Einführung einer starken Kultur des Passwortmanagements. Dafür gibt hier mehrere Software-Lösungen. Doch letztlich ist erst einmal nur eines wichtig: Wenn das Unternehmen sicherstellen kann, dass alle Benutzerkonten durch zufällige und lange Passwörter geschützt sind, dann hält es einen großen Teil der Angriffe in Schach - und beginnt, einen Teil der 16,2 Millionen Euro, die jedes Jahr verloren gehen, wieder reinzuholen.

Über den Autor: Tod Beardsley ist Forschungsdirektor bei Rapid7. Er verfügt über mehr als 20 Jahre praktisches Sicherheitswissen und Erfahrung. Er war in IT-Operations und IT-Sicherheitspositionen in großen Organisationen wie 3Com, Dell und Westinghouse tätig. Heute spricht Beardsley oft auf Sicherheits- und Entwicklerkonferenzen.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 46378838 / Security-Testing)