Dank schnellem Informationsaustausch gemeinsam zum Ziel Hacking-Abwehr in Teamarbeit

Anbieter zum Thema

Arvato Systems

SoSafe GmbH

Outpost24 GmbH

Oseon GmbH & Co. KG

T-Systems Multimedia Solutions GmbH

Cyberkriminalität ist ein lukratives Geschäftsmodell für organisiertes Verbrechen. Angriffe werden oft lange geplant, die Bedrohungslage ändert sich stetig. Als Unternehmen den Fokus auf reine Hacking-Abwehr zu legen, reicht nicht mehr aus. Welche Konzepte besser auf die Sicherheitsprüfung und Verteidigung einzahlen, erläutert dieser Beitrag.

Es gibt zwei große Einfallstore, über die Cyberkriminelle in die IT-Infrastruktur eines Unternehmens eindringen: über technische Schwachstellen in der Software und über menschliche Schwachstellen bei unbedachtem oder falschem Verhalten. Dass die schiere Anzahl von Angriffen, aber auch ihre Schwere zunimmt, ist bekannt. Im April 2020 registrierte der Sicherheitstacho der Deutschen Telekom bis zu 46 Millionen Hacking-Angriffe an einem Tag, Tendenz steigend. Sogenannte Hacking-Dienste und Ransomware werden immer mächtiger und stehen schon „as a Service“ offen zur Verfügung. Die Strukturen der Cyber-Kriminalität befinden sich ebenfalls in einer ständigen Weiterentwicklung. Es zeichnet sich eine starke Arbeitsteilung ab, von der Suche der Angriffspunkte, über die Entwicklung von Angriffswerkzeugen hin zur Planung und Durchführung der Angriffe, wie eine Studie von E.R. Leukfeldt und T.J Holt zeigt.

Nicht nur die Struktur wird komplexer, auch die eingesetzten technischen Komponenten: Künstliche Intelligenz und Machine Learning unterstützen beim Erkennen von Mustern und Profilen, indem etwa intelligente Bots soziale Netze, Foren und Websites durchcrawlen. So können Angreifende beim sogenannten „Spear Phishing“ auf eine Zielperson individuell zugeschnittene Mails oder Nachrichten erstellen, über die dann sensible Daten aus dem Unternehmensnetzwerk geschleust werden können, ohne dabei verhaltensbasierte Überwachungsmechanismen auszulösen – die KI hat sie ja von der Zielperson gelernt. Die Methoden werden also immer komplexer und raffinierter und beziehen sowohl technische als auch menschliche Schwachstellen mit ein. Die Nutzung von Cloud, IoT und Mobile Computing haben die Angriffsfläche vergrößert, für Unternehmen kommt die immer größere Komplexität ihrer IT-Umgebung hinzu. Ein klassischer Perimeterschutz reicht für eine Verteidigung nicht mehr aus.

Security-Insider Podcast – Folge 24

So funktioniert Red Teaming

Red Team: Ethical Hacking aus Sicht des Angreifers

Traditionelle Penetrationstests oder Vulnerability Scans konzentrieren sich meist auf die technischen Aspekte der Verwundbarkeit und prüfen nur einzelne Bereiche der IT-Infrastruktur. Der beschriebenen Komplexität der IT-Umgebungen und Angriffsmethoden werden sie nicht mehr gerecht. Der menschliche Faktor bleibt hier unbeachtet. Beim ganzheitlicheren Red- und Blue-Team-Ansatz hingegen bedienen sich Security-Expert*innen Methoden aus der Militärstrategie: Das Red Team agiert aus der Sicht des Angreifenden. Es bekommt die Aufgabe, die Sicherheitsvorkehrungen zu überwinden und in ein bestimmtes System einzudringen, etwa um an eine bestimmte Information zu gelangen. Das Red Team muss dafür verschiedene Angriffsvektoren kreativ kombinieren – auch Social Engineering und Phishing. Dieser Ansatz bietet sich an, wenn das gesamte Sicherheitsniveau eines Unternehmens systemübergreifend geprüft werden soll und nicht nur einzelne Bausteine im System. Es entsteht eine umfassende Sicht auf mögliche Risiken und macht bereits erfolgte Angriffe leichter nachvollziehbar. Dieser Ansatz kann verdeutlichen, ob die getroffenen Sicherheitsvorkehrungen greifen und neue Schwachstellen identifizieren.

Blue-Team: Verteidigungsstrategien entwickeln

Bekommt das Red Team einen Gegenspieler, das sogenannte Blue Team, so ist dessen Aufgabe die Verteidigung. Es soll das Red Team aufspüren und daran hindern, den Angriff erfolgreich durchzuführen. Eine zunächst undankbare Aufgabe, die aber deutlich zeigt, wo es an Verteidigungsmaßnahmen fehlt, wo es schwierig ist, den Überblick über die Infrastruktur, vor allem im Hinblick auf Schatten-IT, Smartphones oder Homeoffice-IT, zu behalten. Es ist also nicht unbedingt Ziel, das Red Team abzuwehren, sondern vielmehr weitere Erkenntnisse über das Sicherheitsniveau und die Effektivität der Gegenmaßnahmen herauszufinden. Aus dem Angriffsmanöver und der damit erzeugten Krisensituation lassen sich aus den beiden Blickwinkeln von Red und Blue Team ganzheitliche Schlüsse ziehen.

Managed Services unterstützen Unternehmen bei der IT-Security

Mit Security Testing die IT-Sicherheit verbessern

Purple Team: Dank schnellem Informationsaustausch gemeinsam zum Ziel

Wenn nicht erst am Ende eines solchen Testmanövers die Erkenntnisse aus beiden Seiten gezogen werden, sondern beide Teams kooperieren, spricht man vom Purple Team. Hier teilen sich beide Seiten schon während des Manövers die Ergebnisse. So kann etwa das Red Team nach einer ersten Schwachstellenanalyse bereits die gefundene Sicherheitslücke mitteilen und spart so dem Blue Team Zeit und Energie, das sonst alle potenziellen Lücken durchtesten müsste und möglicherweise an falschen Stellen Sicherheitsmechanismen unnötig erhöht. Schneller Informationsaustausch kann so vor Fehlinvestitionen schützen und effizienter zu einem geeigneten Maßnahmenplan führen. Der gemeinschaftliche Ansatz fördert zudem eine offene Fehlerkultur, da sich die Teams nicht „bis zum bitteren Ende“ gegeneinander ausspielen, sondern gemeinsam an einer Lösung arbeiten.

Hacking und Faktor Mensch: Mitarbeitende sensibilisieren und schulen

Social Engineering, wie Phishing, nutzt Stresssituationen von Mitarbeitenden aus, in denen sie vornehmlich unüberlegt handeln und etwa eine KI-individualisierte Nachricht nicht als Angriff identifizieren. Keine noch so gute Sicherheitsmaßnahme kommt gegen so einen Angriff an. Es hilft hier am besten, die Aufmerksamkeit der Mitarbeitenden zu schulen und immer hoch zu halten. Das gilt nicht nur vor einem Angriff, sondern auch, wenn Auffälligkeiten im Arbeitsbetrieb auftauchen. Im Schnitt dauert es laut dem „Cost of a Data Breach Report 2019“ von IBM 206 Tage, um einen Datendiebstahl zu erkennen und 73 weitere, um diesen einzudämmen. Hier können regelmäßige Testversände von Phishing Mails vor allem in Unternehmen mit sensiblen Gesundheits- oder Forschungsdaten Schwachstellen aufdecken und so die Wachsamkeit erhöhen. So konnte die Dresdner Apogepha Arzneimittel GmbH mit einem solchen Testversand eine Grundlage für passgenaue Schulungsmaßnahmen der Mitarbeitenden aufbauen.

Das Identifizieren der Schwachstellen und geeigneter Gegenmaßnahmen sollte aber bestenfalls nur ein Teil einer gesamten Cyber Resilience-Strategie sein, die weitergehend Recovery- und Business Continuity-Methoden miteinschließt. Diese wiederum sollte als ständiger Kreislauf und nie als abgeschlossenes Projekt verstanden werden. Je ganzheitlicher und umfassender alle Prozesse aufeinander abgestimmt sind, umso besser sind Unternehmen vor Angriffen geschützt.

Über den Autor: Thomas Haase ist Leiter des Bereiches Certified Security bei T-Systems MMS und mit diesem Teil der Einheit für Penetrationstests von Telekom Security. Er sensibilisiert mittels Live-Hacking für potenzielle Sicherheitslücken und führt vor, welche aktuellen Angriffstechniken und Vorgehensweisen sich Hacker zu Nutze machen, um in die technischen Systeme von Unternehmen vorzudringen. Seine Schwerpunkte sind Infrastructure and Application Security, Penetration Tests und Source Code Analysen. Er ist zertifiziert als ISO27001 Lead Auditor, Certified Ethical Hacker und TeleTrusT Information Security Professional (TISP).

(ID:47471930)