Was Unternehmen aus dem Fall Snowden lernen können Insider-Bedrohung im Netzwerk erkennen

In Firmennetzen dürfen oft zu viele Mitarbeiter auf kritische Daten zugreifen. Werden solche Informationen gestohlen, kann dies einen erheblichen Schaden verursachen. Doch woran können Unternehmen verdächtige Aktivitäten aufspüren im Netzwerk und Attacken durch die eigenen Mitarbeiter erkennen?

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

TXOne Networks

Fast jedes dritte deutsche Unternehmen hat in den vergangenen beiden Jahren einen Cyberangriff erlebt, wie der IT-Branchenverband BITKOM gemeldet hat. Um den Unternehmensbetrieb und geschäftskritischen Daten vor Angriffen von außen zu schützen, werden meist Firewalls und Intrusion-Detection- oder Intrusion-Prevention-Systeme eingesetzt.

Im besten Fall vertrauen Unternehmen auf mehrstufige Sicherheitssysteme. Diese regeln den Zugriff auf das Netzwerk von außen und sehen dafür unterschiedliche Sicherheitsschleusen vor. Wenn ein Angriff allerdings aus dem Netzwerk selbst heraus erfolgt, sind diese Vorkehrungen wirkungslos.

Das Risiko, dass ein Angestellter seinem Arbeitgeber aus Wut oder Enttäuschung ernsthaften Schaden zufügt, indem er Daten stiehlt oder IT-Systeme sabotiert, wird von Fachleuten als eher gering eingestuft. Die passenden Umstände für dieses Szenario treten einfach zu selten auf.

Allerdings neigen wir auch dazu, uns vor allem auf sichtbare Gefahren zu konzentrieren. Ein Mitarbeiter, der wutentbrannt WLAN-DoS-Tools nutzt oder mit USB-Sticks voller Malware herumläuft, dürfte wahrscheinlich auffallen. Andere Insider-Bedrohungen bleiben hingegen fast unsichtbar.

Gut versteckt ist halb gewonnen

Wenn ein Angestellter von einem Datendiebstahl profitieren möchte, beispielsweise durch den Verkauf von Informationen an Dritte, dann verhält es sich wie beim externen Angreifer: er hat kein Interesse daran, in irgendeiner Form aufzufallen. Damit sind Angreifer aus der Mitte des Unternehmens, die keinen offensichtlichen Groll hegen, ein deutlich größeres Risiko.

Für die NSA hat sich Edward Snowden als eben solcher Insider erwiesen. Zugegeben, die Beweggründe für sein Handeln waren anderen Ursprungs und Whistleblower sind eher eine Gefahr für Staaten oder Unternehmen, die etwas zu verbergen und viel zu verlieren haben.

Dennoch dreht sich der Fall um den Schutz von kritischen Informationen in einem Netzwerk. Dieses Thema ist letztlich für jedes Unternehmen relevant, das geistiges Eigentum sowie strategische Geschäfts- und Personendaten schützen muss.

Crawling: Datensammlung mit System

Im Fall Snowden stellte sich heraus: Mithilfe automatisierter Tools gelang es ihm, systematisch alle verfügbaren Informationen zusammenzutragen. Er scannte das gesamte Netzwerk nach Webservern ab, um dann alle darauf gespeicherten Daten herunterzuladen. Diese Crawling-Technik ist eine gängige Strategie, um herauszufinden, wo Informationen gespeichert sind.

Crawling kann sowohl von der eigenen IT als auch bei Insider-Angreifern eingesetzt werden und ist extrem effektiv: Die meisten Daten sind so ungeschützt abrufbar, weil sie sich tief im eigentlich nach außen geschützten Firmennetz befinden. Entsprechend vorgehende Insider aufzuspüren, ist mitunter schwierig. Grundsätzlich sind ihre Präsenz im Netzwerk als Mitarbeiter und der Datenzugriff zur Verrichtung ihrer Arbeit ja vorgesehen.

Der Schlüssel liegt in Unterschieden zum Verhalten anderer regulärer Nutzer. Prinzipiell lässt sich eine ungewöhnliche Netzwerkaktivität leicht erkennen: Weichen Traffic-Spitzen für bestimmte Netzwerkbereiche vom Regelfall ab, ist die Chance hoch, dass dies ein Teil eines größer angelegten Angriffs ist.

Die Netzwerkaktivität ist die Datenspur des Insiders

Diese Unterschiede lassen sich gut am Beispiel von Internet-Suchmaschinen illustrieren, die mithilfe von Crawling Webseiten indizieren. Besucht ein Nutzer eine Website, landet er zunächst auf der Startseite. Danach klickt er auf einen Link, um auf hinterlegte Inhalte zuzugreifen. Daraufhin wird er auf einen weiteren Link klicken, um auf die nächste Seite zu gelangen, und so weiter.

Besucht hingegen ein Webcrawler eine Internetseite, ruft er automatisch jeden Link auf der Seite auf, anschließend die Links auf allen Unterseiten, dann alle Links auf diesen Seiten und so weiter, bis jeder Link und jede Seite indiziert wurde – inklusive toter Links und nicht existenter Seiten. Im Log der Webseite wird die Crawling-Aktivität als Anomalie auffallen, da dies sowohl einen Anstieg bei Seitenaufrufen als auch von Fehlermeldungen zur Folge hat.

Was Webseiten-Administratoren in Google Analytics sehen können, lässt sich auch im Netzwerk visualisieren. Der Screenshot zeigt alle Ergebnisse für die Abfrage von großen Anomalien (type=stats normalizedEvent="Large") für einen Zeitraum von 30 Tagen. In der letzten Zeile sind vier Instanzen für Webtraffic aufgeführt, die über das Normalmaß hinausgeht.

Falls also jemand einen Crawler einsetzt und damit Traffic über dem Normalniveau verursacht, lässt sich die gesteigerte IP-Aktivität sowohl Client- als auch Server-seitig durchaus nachvollziehen. Wenn ein Host eine Spitze verzeichnet, muss es die Spitze auch bei Client A geben. So kann ein Abgleich der beiden zur IP-Adresse des Clients führen, beispielsweise zum Arbeitsgerät von Snowden. Die automatisierte Erfassung von Netzwerkaktivitäten hingegen macht interne Attacken somit sichtbar.

Über den Autor

Paul Asadoorian ist Product Evangelist bei Tenable Network Security.

(ID:42623802)