Komplexe Cyberbedrohungen erkennen und abwehren Forensische Cybersicherheit für Mobilgeräte

Anbieter zum Thema

Jamf Software Germany GmbH

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

Cyberbedrohungen werden immer komplexer, deshalb reichen One-Size-Fits-All-Lösungen nicht länger aus, um fortschrittliche Attacken zu erkennen und abzuwehren. Stattdessen werden in Zukunft vielmehr ein forensischer Ansatz auf Basis von Kompromittierungs­indikatoren sowie mehrschichtige Schutzstrategien notwendig sein.

In der Vergangenheit waren die Erkennung von und der Schutz vor Cyberbedrohungen essenzielle, aber technisch vergleichsweise geradlinige Aufgaben. Die Gründe dafür sind ökonomischer Natur: Hacker und andere böswillige Akteure haben sich oftmals darauf fokussiert, eine breite Masse an Systemen oder Endgeräten zu kompromittieren. Dementsprechend haben sie bei der Gestaltung ihrer Angriffsmethoden, beispielsweise beim Programmieren von Viren und Malware, darauf geachtet, dass diese für so viele potenzielle Ziele wie möglich funktionieren. Diese breite Funktionalität ging dabei teilweise auf Kosten der Effektivität.

Mit den technologischen Möglichkeiten von heute bieten sich jedoch auch böswilligen Akteuren neue Möglichkeiten, beispielsweise durch die Nutzung von künstlicher Intelligenz und Machine Learning bei der Erstellung von Malware. Damit werden einerseits technisch anspruchsvolle und ausgefeilte Cyberbedrohungen möglich. Darüber hinaus lassen sich die Attacken auch präzise auf bestimmte Ziele anpassen. Diese neuen, individuell zugeschnittenen Cyberbedrohungen werden als Advanced Persistent Threats (APTs) bezeichnet.

Advanced Persistent Threats (APTs): Gezielte Angriffe auf hochkarätige Ziele

Viele APTs fliegen unter dem Radar: Sie sind, wie oben beschrieben, keine breit gestreuten, sondern gezielte, punktuelle Angriffe. Sie sind innerhalb der Cybersicherheitsbranche oftmals noch unzureichend erforscht und werden von vielen Threat Detection und Response Tools und anderen Sicherheitsmaßnahmen nicht erkannt. Dementsprechend haben sie in vielen Fällen auch keine „offiziellen“ Namen oder Bezeichnungen und finden damit auch in der Medien- und Presselandschaft selten statt.

Die Ziele von APTs sind jedoch üblicherweise hochkarätig: investigative Journalisten, Regierungsbeamte, leitende Angestellte, Behörden, Betreiber kritischer Infrastrukturen oder Diplomaten auf deren Endgeräten sich potenziell besonders wertvolle Daten befinden. Ein APT-Angriff greift auf Textnachrichten, E-Mails, Fotos, Zugangsdaten und ähnlich sensible Daten zu, die auf dem Gerät oder in der damit verbundenen Cloud gespeichert sind. Dabei versuchen die Angreifer möglichst lange unbemerkt zu bleiben und den Zugang zum System auszubauen. Im nächsten Schritt werden die Daten dann kopiert und unbemerkt auf einen dem Angreifer zugänglichen Server transferiert.

Insgesamt wird die Bedrohungslage für Organisationen sowie deren Nutzer und Nutzerinnen also komplexer und die Erkennung und Bekämpfung einzelner Bedrohungen technisch anspruchsvoller. Um dieser Komplexität zu begegnen, müssen sich folglich auch die Ansätze und Werkzeuge in der IT-Sicherheit weiterentwickeln: Dabei wird forensische IT-Sicherheit in Zukunft eine zentrale Rolle spielen.

Indicators of Compromise (IoCs): Spurensuche auf dem Endgerät

Vor der Bedrohungsbekämpfung steht die Bedrohungserkennung. Obwohl fortschrittliche Cyberattacken weniger offensichtlich sind als beispielsweise ein Ransomware-Angriff, der das gesamte Endgerät oder System sperrt und eine Lösegeldforderung anzeigt, lässt sich eine solche Bedrohung nach wie vor anhand bestimmter Kompromittierungs­indikatoren (IoCs) nachweisen.

Typische IoCs umfassen beispielsweise ungewöhnlichen Datenverkehr oder Aktivitäten auf dem Gerät oder in den damit verbundenen Netzwerken und Administratorkonten. Insbesondere Datenverkehr in Länder, mit denen Nutzer und Nutzerinnen üblicherweise keinen Kontakt haben oder Datenverkehr, der über normalerweise nicht genutzte Ports abgewickelt wird, ist verdächtig, genauso wie ungewöhnliche Spitzen in der Datennutzung.

Und auch wenn unerklärlicherweise unbekannte Dateien, Anwendungen oder Prozesse im System oder an anderen Orten auftauchen, an denen sie eigentlich nicht sein sollten, ist Vorsicht geboten, vor allem wenn es sich um große Datenmengen handelt. Nicht zuletzt deuten auch plötzlich geänderte Datei-, DNS- (Domain Name Server), und Registrierungs­konfigurationen sowie Änderungen in den Systemeinstellungen auf eine Kompromittierung des Endgeräts hin. Üblicherweise wird dabei als erstes die Einstellung für automatische (Sicherheits-)Updates ausgeschaltet, um zu verhindern, dass vorhandene Schwachstellen geschlossen werden.

Erste Indizien im Nutzeralltag

Im Alltag und täglichen Gebrauch sind viele dieser Indikatoren für normale Nutzer und Nutzerinnen nicht sofort ersichtlich, da sie zum Großteil nur im Systemhintergrund ablaufen. Die indirekten Auswirkungen sind hingegen spürbar, denn die Schadsoftware auf kompromittierten Endgeräten ist üblicherweise durchgehend aktiv und bindet dementsprechend auch System- und Netzwerkressourcen und -kapazitäten, um ihr Ziel zu erreichen.

Für die Nutzer und Nutzerinnen äußert sich diese heimliche Nutzung von Systemressourcen im Alltag beispielsweise darin, dass sich die Batterie ihres Endgeräts schneller als erwartet leert, einzelne Anwendungen oder sogar das gesamte System langsamer laufen oder unerwartet und wiederholt abstürzen. Auch wenn plötzlich neue Apps auf dem Gerät installiert sind oder sich Kamera oder Mikrofon von selbst an- und ausschalten, kann dies auf eine Kompromittierung hinweisen.

Mehrschichtiger Schutz auf forensischer Basis

Selbst hochkomplexe APTs hinterlassen also eine Datenspur. Ein forensischer Cybersicherheitsansatz beginnt stets damit, dieser Spur anhand der vorhandenen IoCs zu folgen. Dabei gilt es nicht nur zu bestätigen, dass ein Gerät oder System kompromittiert wurde, sondern auch herauszufinden, wann und wie es kompromittiert wurde und welche direkten und indirekten Auswirkungen der Zugriff hatte. Jedoch ist die forensische Untersuchung von Endgeräten und Systemen ressourcen- und zeitintensiv, vor allem wenn der Ansatz auf alle potenziell gefährdeten Endpunkte innerhalb eines Netzwerks hochskaliert werden soll. Eine umfassende Untersuchung kann so schnell Wochen in Anspruch nehmen.

Glücklicherweise gibt es bereits technologische Lösungen, die Cybersicherheitsverantwortliche in diesem Prozess unterstützen, indem sie unter anderem Absturzprotokolle, IPS-Dateien, Zertifikate, Konfigurationsprofile, installierte Apps oder Dateinamen automatisiert auf vorher definierte IoCs und neue Zero-Day Angriffe untersuchen und auf Basis der Analyse Handlungsempfehlungen aussprechen – wochenlange forensische Untersuchungen lassen sich auf diese Weise in wenigen Minuten durchführen. In Kombination mit den klassischen Threat Defense-Maßnahmen wie Firewalls, Antivirus-Software oder Identity Management-Tools als erste Verteidigungslinie bieten diese Executive Threat Protection-Lösungen einen umfassenderen Schutz, selbst vor komplexen APTs.

Über den Autor: Henrik Nitsche leitet den Sicherheitsvertrieb von Jamf in DACH & CEE. Er verfügt über mehr als 10 Jahre an Erfahrung mit modernen Arbeitsplatz- und mobilen Sicherheitslösungen und ist ein vertrauenswürdiger Berater für Kunden und Partner. Bevor er vor 3 Jahren zu Jamf stieß, war er unter anderem Partner Solutions Architect Digital Workspace bei VMware.

(ID:49948601)