Identitätsschutz neu gedacht 7 Dinge, die Sicherheitsverantwortliche wirklich bewegen

Anbieter zum Thema

Proofpoint Germany

FTAPI Software GmbH

Aus intensiven Gesprächen mit Security-Praktikern zeigt sich deutlich: ITDR mit Machine Learning, gezielte Täuschungsstrategien und konsequente AD-Hygiene schließen gefährliche Sicherheitslücken in der Mitte der Angriffskette – denn MFA allein bietet längst keinen ausreichenden Schutz vor modernen Cyber-Bedrohungen.

Nichts hilft besser gegen Scheuklappendenken als Gespräche mit einer großen Vielfalt an Menschen. Im Zuge der kürzlich beendeten Veranstaltungsreihe „Protect“ von Proofpoint habe ich ausführlich mit Kunden, Interessenten und Partnern gesprochen und dabei gelernt, welche IT-Sicherheitsfragen vor allem die Praktiker besonders beschäftigen, angefangen bei Identity Threat Protection and Response (ITDR) über den Einsatz von Täuschungsmechanismen und AD-Hygiene bis zu den größten Hürden für mehr IT-Sicherheit.

1. Großes Interesse an ITDR

Es besteht ein intensives und wachsendes Interesse an der Verbesserung der Identitätssicherheit im Allgemeinen und Lösungen zur Erkennung von und Reaktion auf Identitätsbedrohungen (ITDR) im Besonderen. Die meisten meiner Gesprächspartner hatten noch keine direkten Erfahrungen mit ITDR, zeigten aber riesiges Interesse am Thema.

In modernen ITDR-Lösungen spielen Machine-Learning-Algorithmen eine zentrale Rolle, weil sie potenzielle Gefahren in Echtzeit identifizieren können. Sie liefern umsetzbare Erkenntnisse, die schnelle und effektive Reaktionen ermöglichen, und sollten ein Tool enthalten, das Privilegieneskalation und laterale Bewegungen von Angreifern frühzeitig erkennt und automatisierte Abwehrmaßnahmen einleitet. Wichtig ist auch, dass die ITDR-Lösung nahtlos mit bestehenden Sicherheitssystemen wie EDR und XDR zusammenarbeitet. Sie muss flexibel genug sein, um sich in die vorhandene Sicherheitsinfrastruktur zu integrieren und gleichzeitig skalierbar, um mit dem Unternehmenswachstum Schritt zu halten.

Externe Identitäten und das Identitätsmanagement

Was sind die Folgen von immer mehr Identitäten?

2. Die Mitte der Angriffskette stellt für viele Neuland dar

Der mittlere Teil der Angriffskette steht in engem Zusammenhang mit der Identitätssicherheit. In diesem Teil finden Persistenz, Informationsbeschaffung, Privilegienerweiterung und laterale Bewegungen statt. Leider weisen viele Organisationen in diesem Teil der Angriffskette große Lücken in ihren bestehenden Sicherheitsmaßnahmen auf. In meinen Gesprächen zeigte sich, dass das Thema für viele noch reichlich nebulös war. Weil sich erfolgreiche Cyberangriffe nicht mit absoluter Sicherheit vermeiden lassen, ist gerade die Mitte der Angriffskette wichtig. Hier entscheidet sich, ob ein Angriff desaströse Folgen hat oder glimpflich abläuft. Darum ist ein IT-Sicherheitssystem erforderlich, das Echtzeit-Warnmeldungen zu Angreiferbewegungen liefert und schädliche Änderungen mit einem Klick rückgängig machen kann.

3. Täuschungsmanöver verändern die Spielregeln

Viele meiner Gesprächspartner waren besonders am Einsatz von Täuschungen bei der Aufdeckung von und Reaktion auf Sicherheitsvorfälle interessiert. Für sie bedeutete es eine neue Art, darüber nachzudenken, wie man aktive Bedrohungen am besten aufspürt und auf sie reagiert. Seit vielen Jahren versuchen Unternehmen, aktive Bedrohungen mit Hilfe von Signaturen und verhaltensbasierten Erkennungsmethoden zu identifizieren. Diese Methoden waren unterschiedlich erfolgreich, kosteten aber viel Zeit und Geld. Die Herausforderung, sowohl falsch-positive als auch falsch-negative Ergebnisse zu minimieren, hat sich für viele Unternehmen als entmutigend erwiesen.

Täuschungen stellen die forensische Analytik auf den Kopf. Anstatt mit riesigen Datenmengen nach Bedrohungsakteuren zu fahnden und hochentwickelte forensische Analysen anzuwenden, kann ein Unternehmen mit Hilfe von Täuschungen erkennen, wann ein Bedrohungsakteur anwesend ist und versucht, sich im Unternehmen zu bewegen (in der Mitte der Angriffskette). Obwohl Täuschungsmanöver noch nicht auf breiter Front eingesetzt werden, sind sie Teil der Zukunft.

KI als Schutz und Risiko

Die am häufigsten ausgenutzten Exploits 2023

4. AD-Hygiene wird immer wichtiger

Non-Spoiler Alert: Active Directory (AD) sorgt in jeder Organisation, die es verwendet, für ein Sicherheitschaos. Die Gründe dafür sind überall weitgehend dieselben. Zunächst einmal wird es von vielen Adminstratoren über viele Jahre hinweg verwaltet, und den meisten Organisationen fehlt eine umfassende AD-Governance. Die Liste geht weiter – von kurzfristigen und schnellen Lösungen über einmalige Projekte bis hin zu Fusionen und Übernahmen. Dies sind nur die häufigsten Ursachen. All dies dazu geführt, dass das AD jetzt häufig als wichtiges Instrument von Angreifer genutzt wird.

Wenn man bedenkt, welche Tools Angreifern zur Verfügung stehen, um die Fehlkonfigurationen und Schwachstellen des AD automatisch auszunutzen, verwundert es nicht, dass AD-Hygiene ein wichtiges Thema bei vielen meiner Unterhaltungen war. Dabei ging es u.a. um die Notwendigkeit eines Tier-Modells zur Sicherung privilegierter Zugriffe, die Minimierung der Anzahl von Benutzerkonten mit Service Principal Names sowie die regelmäßige Überprüfung und das entsprechende Verständnis der eigenen AD-Konfiguration, einschließlich Objektberechtigungen und Beziehungen zwischen Objekten.

Angriffsfläche des eigenen AD reduzieren

Active Directory härten und vor Angriffen schützen

5. MFA ist nicht genug

Die Übernahme von Konten bei SaaS-basierten Identitätsanbietern – wie Microsoft Entra ID, Okta und Google – wird zunehmend als zentrale Sicherheitsherausforderung sowie als Hauptquelle für eine erste Kompromittierung erkannt. Damit Angreifer die Mitte der Angriffskette erreichen können, müssen sie die Infrastruktur eines Unternehmens zuerst kompromittieren. Viele meiner Gesprächspartner waren überrascht, dass bei den meisten von Proofpoint entdeckten Kontoübernahmen Multifaktor-Authentifizierung (MFA) zum Einsatz kommt. Die wichtigste Erkenntnis daraus ist, dass MFA gut ist. Aber angesichts der aktuellen Tools und Techniken der Angreifer ist sie nicht gut genug. Heutzutage ist eine identitätszentrierte Tiefenverteidigung erforderlich. Sie kombiniert verschiedene Sicherheitsebenen, um Bedrohungen effektiv zu erkennen und abzuwehren.

6. Häufige Hürden für mehr Sicherheit

Ein weiterer Non-Spoiler Alert: Viele Organisationen stehen vor der Herausforderung, neue Sicherheitslösungen verschiedener Art zu erwerben und einzusetzen. Das gilt auch für ITDR. Jede Organisation hat ihre Grenzen, auch was Personal und Budgets angeht. Das ist nichts Neues. Aber ein Thema, das mehrfach zur Sprache kam, ist, wie der Einsatz von ITDR die Struktur der Sicherheitsorganisationen selbst und die Verwaltung der Identitätssicherheit in Frage stellt.

Häufig ging es bei meinen Konversationen um die Frage, welches Team für das Problem – und damit für dessen Lösung – zuständig sein sollte. Ist es das SOC-Team, das Team für den operativen Betrieb, das Identitätsmanagementteam oder das Schwachstellenmanagementteam? Die deprimierende Tatsache ist, dass diese Lücken in der organisatorischen Problemverantwortung eine der Hauptursachen für große Sicherheitsvorfälle sind. Durch diese Lücken fehlt es an Identitätssicherheitskontrollen – und hier schlüpfen Bedrohungsakteure immer wieder hindurch.

Ab Februar 2025

MFA wird Pflicht im Microsoft 365 Admin Center

7. Viele gute Gründe für ITDR

Was bringt Unternehmen dazu, in ITDR zu investieren? Für die meisten scheinen es verschiedene äußere Faktoren zu sein. Vielleicht sind es die Ergebnisse von Red-Team-Übungen oder Penetrationstests. Oder es sind dokumentierte Schwachstellen in einem Audit, ein Sicherheitsvorfall oder eine Sicherheitsverletzung in der Organisation oder bei einem ihrer Branchenkollegen. Es könnte sogar ein CISO sein, der eine Vision hat und sich für Innovationen einsetzt. All diese Faktoren tragen dazu bei, dass Unternehmen aus ihrer Komfortzone herauskommen und sich für eine verbesserte Identitätssicherheit und ITDR entscheiden.

Überblick

Es liegt auf der Hand, dass die Notwendigkeit, die Identitätssicherheit zu verbessern, bei einer breiten Schaar von Sicherheitsexperten ein wachsendes Anliegen ist, und der erste Schritt zur Lösung eines Problems ist die Erkenntnis, dass man ein Problem hat. In Anbetracht dessen denke ich, dass die Sicherheitsbranche auf dem besten Weg ist, dieses Problem zu lösen.

Über den Autor: Miro Mitrovic ist Area Vice President DACH bei Proofpoint.

Notfallaccounts überwachen und absichern

MFA-Pflicht für Break Glas-Accounts in Azure und Microsoft 365

(ID:50376271)