Das ewige Rennen zwischen Hase und Igel Evolution bei Ransomware

Anbieter zum Thema

FAST LTA GmbH

Cohesity GmbH

Vom Landkreis Anhalt-Bitterfeld über das Klinikum Wolfenbüttel bis zur Media Markt Saturn Gruppe: Ransomware kann heute jeden treffen. Und die Art der Angriffe entwickelt sich dabei permanent weiter. Wie können Unternehmen mit dieser Herausforderung umgehen?

Die Bedrohung durch Ramsomware verändert sich rasant und erinnert dabei an ein beliebtes Märchen der Gebrüder Grimm: Denn egal, wie schnell die Security-Teams der Unternehmen laufen, die Cyberkriminellen sind gefühlt immer schon am Ziel. Wie können die IT-Verantwortlichen vom Hasen zum Igel werden? Dazu lohnt sich ein kurzer Blick in die Entwicklung von Ransomware.

Attacken auf Backup und Recovery

Zunächst verschlüsselten Cyberkriminelle vor allem Produktionsdaten und verlangten für ihre Freischaltung Lösegeld. Unternehmen setzten als Gegenmaßnahme auf Backups, die eine schnelle Wiederherstellung der Daten ermöglichten. Dann verlegten sich die Hacker darauf, vorab die Backups zu zerstören oder zu verschlüsseln. Die Security-Teams konterten mit unveränderlichen Backups.

Jetzt gehen Angreifer den nächsten Schritt und ziehen erst sensible Daten ab und drohen, diese im Dark Web zu veröffentlichen, falls das Lösegeld nicht bezahlt wird. Für diese Taktik ist zum Beispiel die Ransomware Hive bekannt, deren Opfer im November 2021 die Handelsgruppe rund um Media Markt und Saturn wurde. Wie in vielen anderen Fällen wurden hier zahlreiche Server kompromittiert.

Die Veröffentlichung sensibler Daten ist besonders heikel. Denn Unternehmen pflegen umfangreiche Beziehungen zu Lieferanten, Kunden und Partnern. Entsprechend können sie sich kaum die Schädigung ihrer Marke durch veröffentlichte Geheimdaten leisten. Natürlich wissen Unternehmen aller Größen und Branchen heute um diese Gefahr – und dass sie sich vor solchen Angriffen schützen müssen. Aber die wenigsten wissen, wie dies gelingen kann.

Wenige, aber dafür sensible Daten gestohlen

Wenn nicht eine eindeutige Anomalie oder Veränderung im Netzwerkverhalten vorliegt, lässt sich nur schwierig illegale von legitimer Kommunikation unterscheiden. Entsprechend verlegen sich Hackergruppen zunehmend auf eine gezielte Exfiltration von Daten, um nicht durch eine groß angelegte Aktion sofort aufzufallen.

So wurden bei diversen Angriffen laut Kaspersky nur jeweils wenige hundert MB bis etwa ein Dutzend GB an Daten ausgelesen. Da es sich aber zum Beispiel um sensible Geschäftsdateien oder kryptografische Schlüssel handelt, hat dies eine große Wirkung.

Gerade solch gezielte Angriffe können die meisten herkömmlichen Security-Tools nicht erkennen. Daher wurde vor einigen Jahren das Zero-Trust-Modell entwickelt. Es basiert auf dem Prinzip „never trust, always verify“, etwa: vertraue niemandem, überprüfe jeden. Damit lassen sich zwar Schäden vermeiden, da die Ausbreitung von Ransomware im gesamten Unternehmen verhindert wird. Doch für einen wirklich effektiven Schutz gilt es, die Lösungen für Datensicherheit und Data Governance in einem konvergenten Angebot zu vereinen. Dann können Unternehmen zum Beispiel:

• KI/ML-basierte Klassifizierungstechnologie zur Identifizierung sensibler Daten – einschließlich personenbezogener Daten – in Backup- und Produktionsdaten nutzen. Dabei lässt sich feststellen, wer darauf Zugriff hat, um Umgebungen vor Angriffen zu schützen.

• Die Datenklassifizierung mit vordefinierten Richtlinien für gängige Vorschriften wie DSGVO automatisieren und vereinfachen, um Compliance- und Governance-Vorgaben zu erfüllen.

• Verhaltensanomalien nahezu in Echtzeit erkennen, etwa wenn ein Nutzer plötzlich auf größere Mengen sensibler Daten zugreift. Diese Aktivität kann auf eine Datenexfiltration hinweisen.

• Richtliniengetreue Abwehrmaßnahmen über die Integration mit führenden SOAR-Plattformen (Security Orchestration, Automation and Response) auslösen.

Welche Daten sind zu schützen?

Da die Gefahr, Opfer eines Ransomware-Angriffs zu werden stetig steigt, müssen Unternehmen dringend ermitteln, welche Daten sie besitzen, wo sie sich befinden, wie sie klassifiziert sind und wer mit ihnen arbeitet. Nur dann lässt sich feststellen, ob abweichendes Verhalten gegenüber diesen Datensätzen auftritt. Die Fragmentierung der Daten erschwert daher nicht nur die Gewinnung von Informationen, sondern auch die Umsetzung geeigneter Sicherheitsmaßnahmen.

So sollten Unternehmen mit den gleichen Methoden zurückschlagen, die Cyberkriminelle anwenden. Diese kartieren mit Hilfe von Automatisierung, Machine Learning und KI eine Umgebung, um die Speicherorte der wertvollsten Daten zu ermitteln. Diese Vorgehensweise empfiehlt sich auch für das Unternehmen. Auf Basis eines richtlinienbasierten Ansatzes ist dann zu überlegen, wie die Daten geschützt und im Angriffsfall wiederhergestellt werden.

Zum Beispiel legen Nutzer häufig Informationen vom freigegebenen Laufwerk des Unternehmens auf ihrem Desktop ab. Geht die Data Governance über Zero Trust hinaus, kann das nicht mehr passieren. ML- und KI-Tools erkennen dann sofort, dass sich die Daten am falschen Ort befinden. Entweder verhindern sie den Kopiervorgang oder isolieren die Daten auf dem Desktop. Dabei lernen die Systeme schnell, was normales Verhalten ist und was bei abweichenden Aktionen geschehen soll.

Sicherheit als Service

Unternehmen müssen diese Lösungen nicht selbst betreiben, sondern können sie als SaaS-Angebote nutzen. Dies gilt nicht nur für einen KI/ML-basierten Datensicherheits- und Governance-Service, der sensible Daten sowie anormale Zugriffs- und Nutzungsmuster automatisch erkennt. Es lässt sich auch eine Kopie in einer vom Anbieter verwalteten sicheren Datenisolation speichern.

Durch ein solches Cloud-basiertes Repository können Unternehmen auf einfache Weise eine sichere Datenisolierung erreichen. Sie speichern dabei eine Kopie ihrer Daten, die manipulationssicher und immer verfügbar ist. Dies bietet viele Vorteile:

• Der Service lässt sich einfach nutzen. Es ist nicht nötig, Bänder hin und her zu schieben, eine zusätzliche Speicherinfrastruktur aufzubauen, einen Cloud-basierten Datentresor selbst zu erstellen oder neue Recovery-Prozesse zu entwickeln.

• Im Falle eines Ransomware-Angriffs können Unternehmen schnell und zuverlässig eine saubere Kopie der Daten am gewünschten Ort wiederherstellen – on-Premises oder in der Cloud.

• Das regelmäßige Testen der Abwehrmaßnahmen durch Probeübungen in einer isolierten Umgebung erhöht die Sicherheit.

• Der Wechsel von investitionsintensiven Kapitalkosten zu dienstleistungsorientierten Betriebskosten erleichtert die Finanzierung.

Fazit

Der zunehmende Einsatz von Datenexfiltration in Kombination mit Ransomware erfordert einen erweiterten Sicherheitsansatz. Unternehmen brauchen Lösungen, um die Angriffsflächen zu begrenzen, die Zeit bis zur Entdeckung zu verkürzen und die Folgen des Angriffs zu minimieren. KI/ML automatisiert die Erkennung sensibler Daten und anormaler Nutzungsmuster, die auf einen Cyberangriff hindeuten. Zudem lässt sich eine isolierte Kopie in einer extern verwalteten sicheren Datenisolation speichern. So werden Daten widerstandsfähiger gegen Ransomware-Angriffe.

Über den Autor: Wolfgang Huber ist Regional Director Central Europe bei Cohesity und verantwortet von München aus als Regional Director Central Europe das Marktwachstum der Plattformlösung Cohesity für Backup und Datenmanagement. Er bringt mehr als 20 Jahre Erfahrung im Bereich IT-Vertrieb und Partnerschaften für Software-, Cloud- und Datenmanagement mit und ist zudem ein versierter Technologie-Experte.

(ID:48043506)