Cyber-Thread-Hunting (CTH) Mit Threat Hunting den Hackern auf der Spur!

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Outpost24 GmbH

Threat Hunting ist ein unverzichtbarer Bestandteil einer IT-Security-Strategie, deren Schwerpunkt auf der Erkennung und schnellen Reaktion auf unbekannte, bislang unentdeckte und ungelöste Bedrohungen liegt. Fokus sind bösartige Aktivitäten auf der Endpunkt- oder Netzwerkebene.

Vielen Hackern gelingt es, monatelang in einem von ihnen kompromittierten Netzwerk unbemerkt zu verbleiben und zu agieren. Währenddessen bewegen sie sich völlig ungestört, stehlen Passwörter und sammeln sensible Daten. Studien zufolge verbringen Hacker im Durchschnitt fast 190 Tage, bevor sie auf einem System entdeckt werden.

Da kein System zu 100 Prozent effizient geschützt sein kann, sollten sich die IT-Teams nicht nur auf klassische IT-Security-Produkte verlassen, sondern verstärkt auf Threat-Hunting-Techniken setzen. Die aktive Suche nach Bedrohungen ist ein entscheidendes Element einer IT-Security-Strategie, indem sie versucht, böswilligen Akteuren einen Schritt voraus zu sein und rechtzeitig auf ihre Angriffe zu reagieren.

Umfragen zur Wirksamkeit von Threat-Hunting ergaben, dass über 70 Prozent der Befragten auf diese Weise ihre Angriffsflächen reduzieren konnten. Knapp 60 Prozent berichteten von einer verbesserten Reaktionsgeschwindigkeit und über 50 Prozent identifizierten bisher unentdeckte Bedrohungen in ihren Netzwerken.

Untersuchungsfelder des Threat-Hunting

Für eine effektive Suche von potenziellen Bedrohungen sind folgenden Anzeichen in der IT-Umgebung zu beachten:

• Hostbasierte Artefakte: Untersuchung der Endpunkte auf Malware-Beteiligung in der Registrierung, im Dateisystem und anderswo.

• Netzwerkbasierte Artefakte: Suche nach Malware-Kommunikation über Sitzungsaufzeichnung, Paketerfassung und Netzwerküberwachung.

• Kompromissindikatoren (Indicators of compromise – IOCs): Faktoren wie forensische Daten und Protokolldateien, die bei der Identifizierung von vermutetem schädlichem Verhalten, das bereits stattgefunden hat, hilfreich sein können.

• Angriffsindikatoren (Indicators of Attack - IOAs): Obwohl sie IOCs ähneln, helfen IOAs dabei, die auftretenden Hacker-Angriffe besser zu verstehen.

• Bedrohungsakteure: Basierend auf dem Verständnis der Motive bzw. Taktiken, Techniken und Verfahren (Tactics, Techniques and Procedures - TTPs) von Bedrohungsakteuren könnten IT-Security-Teams nach Indikatoren für die Präsenz von Hackern in der Umgebung einer Organisation suchen.

Phasen des Threat-Hunting

Die Suche nach IT-Security-Bedrohungen beschreibt einen mehrstufigen Prozess, der zyklisch abläuft. Da das Hunting selbst proaktiv ist, weiß das Team oft nicht genau, wonach es eigentlich suchen soll. Der Prozess beginnt daher im Grunde mit der Definition des Zwecks einer Suche nach Bedrohungen und endet mit einer zielführenden Verarbeitung der gewonnen Erkenntnisse. Nachfolgend werden die verschiedenen Phasen kurz skizziert:

1. Definition des Ziels

Die erste Phase definiert die Hauptgründe für das Hunting und legt klare Ziele fest: Welche Assets sind am wertvollsten und müssen unbedingt geschützt werden? Welche davon könnten bei einem Angriff zu weiteren, schwerwiegenderen Schäden führen? Welche Fehler oder Schwachstellen könnte ein Hacker finden und ausnutzen?

Da es eine Vielzahl potenzieller Bedrohungen und abzurufender Daten gibt, ist die Durchführung einer Suche nach Bedrohungen ohne vorherige Festlegung der Ziele eher zum Scheitern verurteilt. Eine gezielte Suche ist daher immer erfolgreicher als ein nicht planvolles Vorgehen.

2. Datensammlung

Eine gute Suche nach Cyber-Bedrohungen spiegelt die Qualität der gesammelten Daten wider. Unvollständige Daten führen oft zu unbefriedigenden Ergebnissen oder auch zu einem falschen Sicherheitsgefühl. Eine SIEM-Lösung (Security Information and Event Management) gewährt Einblicke über die Aktivitäten in einer IT-Umgebung.

Wobei ein größeres Datenvolumen nicht zwangsläufig zu einem besseren Ergebnis führt. Eine Sammlung von mehr Daten bedeutet, dass das Team auch mehr Zeit mit deren Verarbeitung verbringen muss. So funktionieren einige Techniken am besten bei eher kleineren als bei größeren Datensätzen, wie beispielsweise Gruppierung und Stapelzählung.

3. Datenanalyse

Diese Phase kann unter Umständen für das IT-Team zu einer Herausforderung werden. Datenprotokolle verwenden häufig Verschlüsselungen und Codierungen, um auch nach der Erfassung nicht offengelegt zu werden. Das Team sollte Protokolle entfernen, die die Angriffslast in kleine Pakete aufteilen, um jedes Quäntchen Information, Asset oder Daten vollständig zu überprüfen.

Nach Abschluss der Datenanalyse sind diese beiden Ergebnisse zu erwarten: Entweder es gibt keine Hinweise auf die Anwesenheit eines Angriffsagenten im System oder es wird ein Angreifer erkannt. Dann muss das Team so schnell wie möglich Art, Ausmaß und Auswirkung des Angriffs auf das System überprüfen. Darüber hinaus muss das Team zeitnah eine wirksame Reaktion entwerfen.

4. Reaktion

Nach der Datenanalyse erstellt das IT-Security-Team eine optimale Lösung auf die Bedrohung und definiert sowohl kurzfristige als auch langfristige Maßnahmen zur Abwehr des Hacker-Angriffs. Ziel ist es, den laufenden Angriff so schnell wie möglich zu beenden. Zudem sollte das Sicherheitsteam den betroffenen Host schützen, Systemschäden vorbeugen sowie die Möglichkeit eines zukünftigen Angriffs eliminieren.

5. Gewonnene Erkenntnisse

Sobald das IT-Security-Team feststellt, dass ein Hacker-Angriff stattgefunden hat, sollte es diese Informationen nutzen, um ähnliche Ereignisse für die Zukunft zu verhindern. Das Hauptziel dieser Lektionsphase besteht darin, den Sicherheitsprozess durch Berücksichtigung aller Elemente zu optimieren. Dabei sollte nie der menschliche Faktor unterschätzt werden, der oftmals keine unerhebliche Rolle spielen kann.

Ein Beispiel: Wenn Systeme nicht rechtzeitig gepatcht werden, kann dies zu Sicherheitsverletzungen führen. Die Entlassung der betroffenen Person würde im Prinzip weder die Bedrohung beseitigen noch eine Lösung bringen. Eine vielleicht praktikablere Lösung wäre stattdessen die Implementierung automatisierter Patches für das gesamte Unternehmen.

(ID:49611210)