Threat Hunting und Red Teams Menschliche Verteidigung gegen Cyberangriffe

Anbieter zum Thema

SoSafe GmbH

Rapid7 Germany

TXOne Networks

F-Secure GmbH

Hinter jeder Bedrohung, auch den hochautomatisierten, steckt immer ein Mensch. Moderne Hacker sind stets um neue und bessere Angriffsstrategien bemüht. Automatisierte Abwehr greift hier oft zu kurz, denn Bedrohungen halten sich nicht an Regeln. Das ist eine schmerzhafte Lektion, die Unternehmen von den Angreifern lernen müssen. Und gerade deswegen sind menschliche Abwehr-Experten so wertvoll.

Solange die Cybersicherheit für viele Unternehmen noch Neuland ist, können Abwehrspezialisten von Stanley Baldwins Leitsatz „The bomber will always get through“ aus seiner Rede vor dem Britischen Parlament im Jahre 1932 vieles lernen. F-Secure Senior Threat Hunter Arran Purewal formuliert ähnliche Gedanken, wenn er beschreibt, wie menschliche Angreifer hochautomatisierte Lösungen, auf die viele Unternehmen setzen, mit großer Regelmäßigkeit überwinden.

„Moderne Cyberabwehr-Taktiken basieren häufig auf einer umfassenden Automatisierung. Aber menschliche Angreifer sind jederzeit bereit, Innovationen zu entwickeln und Herausforderungen kreativ zu meistern. Und genau deshalb werden sie sich auch zukünftig immer wieder gegen automatische Abwehrlösungen durchzusetzen“, so Purewal. „Hauptgrund dafür ist, dass man sich zu sehr auf die Automatisierung verlässt. Das sollte unsere Branche unbedingt bei den Erkennungs- und Abwehrmaßnahmen berücksichtigen, die sie ihren Unternehmenskunden empfiehlt.“

Eine komplett auf Automatisierung basierende Abwehrstrategie wird immer Schwächen aufweisen. Viele Teams konzentrieren sich zu sehr auf offensichtliche Bedrohungen und ignorieren die unbekannten. Doch gerade über diese treten neue oder innovative Taktiken, Techniken und Prozeduren (TTP) auf den Plan. Wenn man sich aber mit der Bekämpfung bekannter Bedrohungen zufriedengibt, anstatt proaktiv unbekannte Inhalte und Anomalien zu untersuchen, lädt man neue TTP geradezu dazu ein, Abwehrmaßnahmen unbemerkt zu überwinden.

Dazu Arran weiter: „Die Entwicklung neuer Sicherheitsstrategien, die den gleichen Ansatz integrieren, bieten keinen technischen Fortschritt gegenüber konventionellen Produkten für den Endgeräteschutz, die, wie wir bereits wissen, gezielte Angriffe nicht verhindern können.“

Der Wert offensiver Sicherheitsstrategien resultiert aus den richtigen Fachleuten

Automatisierung basiert häufig auf Regeln, die Angriffe sowie entsprechende Abwehrmaßnahmen definieren. Doch Bedrohungen halten sich nicht an diese Regeln. Das ist eine schmerzhafte Lektion, die Unternehmen von den Angreifern lernen müssen. Und gerade deswegen erhalten Unternehmen mit offensiven Sicherheits-Services wie „Red Teaming“ so viele wertvolle Einblicke.

Wenn Sie die herkömmliche Cyberabwehr mit solchen offensiven Sicherheits-Services (wie Red-Team-Tests) vergleichen, werden Sie einen großen Unterschied feststellen. Für professionelle Red Teams gehört zwar Automatisierung zu ihrer Arbeit, die wahren Ergebnisse aber werden nicht automatisiert erzielt. Ein Schwachstellen-Scan kann sich für eine Red-Team-Übung als nützlich erweisen, letztendlich aber sind es die Red-Team-Mitarbeiter, die den wahren Unterschied machen.

„Red Teams sind nicht deshalb so wertvoll, weil sie Scans durchführen, sondern weil es sich hier um erfahrene Fachleute handelt, die mit ihren Fertigkeiten und ihrer Intuition simulieren, wie ein gewiefter Angreifer die Schwachstellen eines Unternehmens ausnutzen kann, sowohl technisch als auch anderweitig“, führt Arran fort. „Mit defensiven Sicherheitstaktiken lassen sich die Stärken des menschlichen Erfindergeistes nicht auf die gleiche Weise ausschöpfen. Mit Threat Hunting allerdings können Verteidiger diesen Mangel effizient ausgleichen.“

Im weitesten Sinne versteht man unter Threat Hunting die Fähigkeit, tatkräftig Defensivmaßnahmen für Vermögenswerte in Einrichtungen und Netzwerken zu unterstützen, indem man fortwährend offensive Strategien untersucht und entschärft. In der Praxis bieten diese Strategien einen entscheidenden Vorteil im Kampf gegen spezielle Angriffe, die sich bei erfahrenen Cyberangreifern immer größerer Beliebtheit erfreuen.

Trends bei Advanced Persistent Threats (APT) und anderen fortgeschrittenen Bedrohungen

In den vergangenen Jahren ist die Zahl der Supply-Chain-Angriffe deutlich angestiegen. Dabei nehmen Hacker Lieferanten oder kleinere Unternehmen ins Visier, die Dienstleistungen für größere Organisationen erbringen, auf die sie es eigentlich abgesehen haben. Diese kleineren Firmen verfügen über die gleichen Sicherheitsfunktionen wie Großunternehmen. Dadurch werden sie zu einer Art Brückenkopf, von dem aus die Angreifer ihre eigentlichen Ziele unter Beschuss nehmen.

Die NotPetya-Cyberattacke von 2017 ist vielleicht das beste Beispiel dafür. Der Angreifer hat damals Server, die für die Verteilung von Software-Updates an ein Steuerprogramm in der Ukraine genutzt wurden, infiziert und sie anschließend für die Verbreitung der NotPetya-Ransomware/Wiper genutzt. Viele glaubten, dass der Angriff lediglich auf Firmen in der Ukraine abzielte, allerdings hat die Malware bei Organisationen auf der ganzen Welt große Schäden angerichtet. Der Vorfall gilt mittlerweile als die teuerste Cyberattacke der Geschichte.

Ein weiterer Trend bei gezielten Attacken ist die Infizierung von anderen als Windows-Plattformen. Windows bildet das Herzstück der Systeme vieler Unternehmen. Und in der Vergangenheit hat Windows sowohl die meisten Bedrohungen als auch die größte Aufmerksamkeit der Sicherheitsunternehmen auf sich gezogen. Mittlerweile haben die Angreifer bemerkt, dass andere Plattformen, die bisher größtenteils vernachlässigt wurden, ideale Ziele für neue und innovative TTP darstellen – macOS bietet hier eine besonders attraktive Option. Tatsächlich ist Ende letzten Jahres eine neue Art von In-memory-Mac-Malware aufgetaucht, die der nordkoreanischen Lazarus-Gruppe zugeschrieben wird.

Diese beiden Trends in der Bedrohungslandschaft stellen ernsthafte Herausforderungen für alle Organisationen dar. Beide können automatisierte Verteidigungslinien leicht überwinden. Sie gehören aber gleichzeitig auch zu der Art von Angriffen, die mithilfe von Threat Hunting bekämpft werden können.

Das ganze Jahr über ist Threat-Hunting-Saison

Hoch qualifizierte und mit üppigen Ressourcen ausgestattete Angreifer nehmen ihre Attacken überaus ernst. So verbringen sie zuweilen Monate oder sogar Jahre mit der Verfolgung eines bestimmten Ziels. Für manche ist dabei Geld gar nicht so wichtig. Sie tun, was sie können, um ihr Ziel zu infizieren, von Zero-Day-Angriffen über Social Engineering bis hin zu On-Premise-Attacken.

Die Motivation spielt dabei ebenfalls eine wichtige Rolle. Es scheint ihnen nicht unbedingt ums Geld zu gehen, obwohl das natürlich häufig der Fall ist. Abwehrspezialisten müssen sich darüber bewusst sein, welchen Einfluss Geopolitik, Makroökonomie und andere soziale oder politische Entwicklungen auf die Bedrohungen haben.

Firmen und Branchen, die Teil des chinesischen 5-Jahres-Plans sind, sind gut beraten, sich gegen Cyber-Spionageangriffe zu wappnen. Viele Unternehmen, die eng mit der US-Regierung zusammenarbeiten, sind ständig auf der Suche nach Informationen zu Cyberbedrohungen aus dem Iran, die nach dem Tod General Soleimanis deutlich zugenommen haben.

Threat Hunter sind im Wesentlichen Forscher, die proaktiv Netzwerke untersuchen, um herauszufinden, auf welche Weise Systeme durch Bedrohungen beeinträchtigt werden können. Es gehört zu ihrem Job, eine sich ständig weiterentwickelnde Bedrohungslandschaft zu durchleuchten, und speziell auch den Einfluss, den politische, wirtschaftliche und sogar kulturelle Entwicklungen darauf haben. Darum sind sie auch in der Lage, Anzeichen für einen laufenden Supply-Chain-Angriff, Malware ohne Ausführungsdateien, übernommene Prozesse oder infizierte Konten zu erkennen. Sie wissen, wie man Automatisierung und Technologie effizient verwendet, ohne dabei blind für deren Beschränkungen zu werden.

Konventionelle Produkte für den Endgeräteschutz (EPP) allein können die Unternehmenssicherheit nicht länger gewährleisten. Das heißt natürlich nicht, dass sie keinen Nutzen haben. So kann man mit ihnen viele der ungezielten Bedrohungen bekämpfen, mit denen Unternehmen den ganzen Tag über willkürlich bombardiert werden. Davon wären Abwehrspezialisten ohne die präventiven Funktionen vertrauenswürdiger EPP-Lösungen klar überfordert. Und Automatisierung ist für die Funktionsfähigkeit dieser Produkte enorm wichtig. Doch im Zeitalter von Detection and Response müssen Sicherheitslösungen in der Lage sein, das Beste aus zwei Welten zu vereinigen.

Über den Autor: Arran Purewal ist Senior Threat Hunter bei F-Secure.

(ID:46715751)