Risikobewertung für Bedrohungen aus nächster Nähe Insider-Angriffe erkennen und abwehren

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

Eine auf Insider-Bedrohungen basierende detaillierte Risikobewertung hilft dabei, User rechtzeitig zu identifizieren, die riskante und verdächtige Aktivitäten ausüben. Welche Lösungen bieten sich an?

Insider-Bedrohungen stellen ein komplexes und dynamisches Risiko dar, das den öffentlichen und privaten Bereich aller kritischen Infrastruktursektoren betrifft. Wobei sich Insider-Bedrohungen auf die Risiken und Schwachstellen beziehen, die von Personen innerhalb einer Organisation ausgehen, die autorisierten Zugriff auf deren Systeme, Daten oder Räumlichkeiten haben, ihre Privilegien jedoch missbrauchen, um absichtlich oder unabsichtlich Schaden anzurichten.

Diese Attacken äußern sich in unterschiedlichen Formen, wie zum Beispiel Datendiebstahl, Sabotage, Spionage, Betrug oder unbefugte Offenlegung, und können Mitarbeiter, Auftragnehmer. Bedrohungen dieser Art können auch andere vertrauenswürdige Personen mit Insiderwissen betreffen, was möglicherweise zu finanziellen, betrieblichen oder Reputationsschäden führen kann. Studien zufolge gehen knapp 20 Prozent aller Datenschutzverletzungen auf interne Akteure zurück.

Wie Dritte zu Insider-Bedrohungen werden können

Eine faszinierende und oft übersehene Insider-Bedrohung sind sogenannte Insider, die nicht offiziell Teil der Organisation sind – also Dritte. Dazu gehören Auftragnehmer, Partner und Lieferanten. Oft erhalten andere Unternehmen einen gewissen Zugriff auf die Systeme und Netzwerke der Organisation, um Aspekte ihrer Lieferkette zu verwalten oder an großen und vielfältigen Projekten zusammenzuarbeiten.

Obwohl ein solcher Zugriff weitgehend eingeschränkt ist, können Außenstehende ihn nutzen, um sich weitere Zugriffe zu verschaffen, und so in die Daten und das Netzwerk vorzudringen. Ein weiteres Problem bei diesem Ansatz besteht darin, dass sich wiederum Partner des Dritten über diese Beziehung möglicherweise unbefugte Zugriffe auf ein Netzwerk verschaffen und diese Verbindung nutzen, um ihre Reichweite auf andere Unternehmen auszudehnen.

Abwehrmaßnahmen der Insider-Bedrohungen

Herkömmliche Tools für die IT-Security bieten wenig Schutz vor Insider-Bedrohungen. Bei jeder der oben genannten Arten von Insider-Angriffen gibt es einen gemeinsamen Faktor: Zugriff auf das Netzwerk. Wobei natürlich Mitarbeiter und Auftragnehmer zur Erledigung ihrer Aufgaben Zugang zu bestimmten Systemen und Anwendungen benötigen.

Überlastete und unterbesetzte IT-Security-Teams sind einfach nicht in der Lage, jede Aktion jedes Mitarbeiters manuell zu überwachen. Moderne Algorithmen für maschinelles Lernen (ML) können jedoch das Verhalten von Mitarbeitern automatisch verfolgen und analysieren, um anomale und verdächtige Aktivitäten zu erkennen.

Best Practices zur Abwehr von Bedrohungen

Zur Verhinderung von Insider-Bedrohungen bieten sich folgende Best-Practices an:

• Sicherheitsrichtlinien festlegen: Mit dieser Maßgabe werden Verfahren zur Erkennung und Blockierung von Missbrauch durch Insider definiert. Damit sind auch die Folgen potenzieller Insider-Bedrohungen zu berücksichtigen und Leitlinien für die Untersuchung von Missbrauch bereitzustellen.

• Threat-Detection-Governance-Programm einführen: Implementierung eines fortlaufenden, proaktiven Programms zur Bedrohungserkennung. Das heißt, alle privilegierten User müssen als potenzielle Bedrohungen betrachtet werden.

• Absicherung der Infrastruktur: Strengere Zugriffskontrollen beschränken den physischen und logischen Zugriff auf kritische Infrastrukturen. Durch die Anwendung von Zugriffsrichtlinien mit den geringsten Privilegien zur Beschränkung des Mitarbeiterzugriffs und die Anwendung stärkerer Identitätsüberprüfungssysteme wie der biometrischen Authentifizierung lässt sich das Risiko von Insider-Bedrohungen verringern.

• Automatisierte Prüfungen: Moderne Technologien können den Prüfungsprozess erheblich verbessern. Insbesondere künstliche Intelligenz (KI) und maschinelles Lernen (ML) helfen dabei, Abweichungen vom Standard-Nutzerverhalten genau und schnell zu erfassen. Sobald verdächtige Ereignisse erkannt werden, alarmiert das Tool die Verantwortlichen. Sie können verschiedene Tools verwenden, um Daten zu erfassen und Funktionen bereitzustellen, die den Prüfungsprozess effizienter machen.

• Anormales Verhalten untersuchen: Verhaltensüberwachung und -analyse helfen dabei, Insider-Bedrohungen zu erkennen und zu stoppen. User and Entity Behavior Analytics (UEBA) ist eine Sicherheitslösung, die erweiterte Analysen nutzt, um Insider-Bedrohungen schnell zu identifizieren, indem sie Netzwerk- und Benutzerverhaltensmuster verfolgt. UEBA meldet sofort alle Verhaltensanomalien im System wie beispielsweise nicht genehmigte Benutzerrollenänderungen, Rechteerweiterungen oder verdächtige Datenzugriffsmuster. Um eine höchstmögliche Effektivität zu erzielen, sollte der Einsatz von UEBA-Lösungen zusammen mit IDS- (Intrusion Detection Systems), EDR- (Endpoint Detection and Response) und SIEM-Lösungen (Security Information and Event Management) in Betracht gezogen werden.

• Authentifizierungsmaßnahmen einrichten: Eine Multi-Faktor-Authentifizierung (MFA) sowie sichere Passwortpraktiken erschweren es Hackern, Anmeldeinformationen zu stehlen. Passwörter sollten stets komplex aufgebaut sein. MFA unterstützen den Netzwerk-Betreiber dabei zu vermeiden, dass Eindringlinge auf Systeme zugreifen, selbst wenn sie über User-IDs und Passwörter verfügen.

• Daten-Exfiltrationen verhindern: Zugriffskontrollen überwachen den Zugriff auf Daten, um Lateral Movements zu verhindern und das geistige Eigentum eines Unternehmens zu schützen.

• Ungenutzte Konten auflösen: Bereinigung der Verzeichnisse von verwaisten und ruhenden Konten. Kontinuierliche Kontrolle, ob nicht genutzte Konten und Berechtigungen vorhanden sind. Sicherstellung, dass inaktive User bzw. ehemalige Mitarbeiter keinen Zugriff mehr auf das System oder sensiblen Daten haben.

• Kompromittierte Konten identifizieren: Unbefugte Kontozugriffe frühzeitig erkennen, damit User ihre Passwörter zurücksetzen und gefährdete Konten wiederherstellen können. Eine Verhaltensanalyse kann dabei helfen, ungewöhnliche Verhaltensmuster aufzudecken. Böswillige Akteure können Konten durch Phishing-Angriffe, Drive-by-Web-Hijacks oder auf Workstations installierte Malware kompromittieren.

• Zugriffe Dritter überwachen: Die Systeme sollten vor kompromittierten Drittanbietern und Auftragnehmern geschützt werden. Dafür müssen Zugriffe Dritter sorgfältig kontrolliert und überwacht werden.

• Stimmungsanalysen durchführen: Mithilfe von Stimmungsanalysen lassen sich Einblicke in die Gefühle und Absichten einzelner Personen gewinnen. Regelmäßige Analysen sollen Anhaltspunkte liefern, ob ein Mitarbeiter unter Stress steht, finanzielle Probleme hat oder schlechte Leistungen erbringt.

(ID:50038301)