Den Missbrauch von Cloud-Konten verhindern Schutz vor Angriffen auf Cloud-Apps

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Mimecast Germany GmbH

Die Diskussionen über die Sicherheit von Cloud Computing begleiten diese Technologie von Beginn an. Trotz dieser Diskussion ist Cloud Computing heute allgegenwärtig und fast alle Organisationen nutzen die Dienste eines Cloud-Anbieters. So liegt es nahe, dass Cyberkriminelle spezielle Angriffsmethoden für Cloud-Anwendungen entwickelt haben.

Natürlich bedeutet das nicht, dass Cloud Computing dadurch unsicherer ist als die meisten traditionellen Formen der IT. Es ist jedoch wichtig, eine Antwort auf die spezifischen Schwachstellen von Cloud-Anwendungen und die darauf angepassten Angriffsmethoden von Cyberkriminellen zu haben.

Problematisch für die Sicherheit von Cloud-Anwendungen ist nach wie vor die sogenannte „Schatten-IT“. Diese umfasst unter anderem die Nutzung von Cloud Apps, die nicht von der IT-Abteilung genehmigt oder verwaltet werden und daher ein besonders hohes Risiko darstellen. Oft nutzen Cyberkriminelle beispielsweise ein kompromittiertes Cloud-Service-Konto, um über diesen Account weiter in das Unternehmen vorzudringen. Kürzlich analysierten Proofpoint-Forensiker Daten von mehr als 1.000 Cloud-Service-Kundenkonten mit insgesamt mehr als 20 Millionen Nutzerkonten. Hier entdeckten die Forensiker über 15 Millionen unbefugte Anmeldeversuche, von denen mehr als 400.000 erfolgreich waren.

Beliebte Angriffsmethoden

Die Studie identifizierte drei Angriffsmethoden, die derzeit bei Cyberkriminellen sehr beliebt sind: Brute-Force-Angriffe, Phishing innerhalb einer Organisation und Nutzung von Drittanbieter-Apps, die Zugriff auf Daten aus Office 365 oder der G Suite haben.

Die Kriminellen setzen Brute-Force-Angriffe gezielt und intelligent ein. Besonders beliebt ist der Missbrauch des Internet Message Access Protocol (IMAP). IMAP ist eigentlich ein Authentifizierungsprotokoll und kommt im Falle der E-Mail oft dann zum Einsatz, wenn keine Multi-Faktor-Authentifizierung (MFA) verwendet werden kann – beispielsweise im Falle von geteilten E-Mail-Konten. Da IMAP jedoch ein veraltetes Protokoll ist, das einige Schwachstellen aufweist, lassen sich Konten, bei denen der Zugriff mittels IMAP erfolgt, von Cyberkriminellen vergleichsweise einfach kompromittieren.

Der Mechanismus der Angriffe lässt sie dabei wie zufällig fehlgeschlagene Anmeldungen aussehen, die nichts miteinander zu tun haben. Dies führt dazu, dass die Attacken nicht weiter auffallen und verhindert, dass das Konto gesperrt wird. Immerhin wurden etwa ein Viertel aller Office-365- und G-Suite-Kunden Opfer eines erfolgreichen Einbruchs, bei dem IMAP-gestützt Passwörter gesendet wurden. Diese Kampagnen waren besonders effektiv und waren hauptsächlich an strategisch wichtige Benutzer wie Führungskräfte und deren Mitarbeiter gerichtet.

Oftmals beschränken sich Cyberkriminelle nicht darauf, die gestohlenen Anmeldedaten für den Zugriff auf die gehackten Konten zu verwenden. Wenn das ursprüngliche Ziel nicht über die erforderliche Berechtigung verfügt, um Geld zu überweisen oder wichtige Daten auszutauschen, verwenden Kriminelle diese Anmeldedaten, um ihren Zugang innerhalb einer Organisation zu erweitern und die Cloud-Anwendungen anderer Benutzer zu infiltrieren.

Kein Fischen im Trüben

Studien von Proofpoint zufolge hatten mehr als 31 Prozent aller untersuchten Cloud-Service-Kundenkonten mit erfolgreichen Phishing-Angriffen zu kämpfen. Hier verwenden Cyberkriminelle gehackte Cloud-Konten, um Phishing-E-Mails innerhalb einer Organisation zu versenden. Da diese sehr glaubhaft aussehen, gelingt ihnen der Zugriff auf interne Ressourcen meist relativ leicht. Die Angreifer nutzen ihren Zugriff zudem, um die Regeln für die Weiterleitung von E-Mails zu ändern oder richten sich selbst weitreichende Rechte ein.

Manchmal führen sie auch „Man-in-the-Middle“-Angriffe (Abfangen der Kommunikation zwischen zwei anderen Parteien) von einem kompromittierten Konto aus durch. Sie benutzen auch gehackte Konten, um Phishing-E-Mails an andere Partnerorganisationen zu senden und so in die Cloud-Umgebung Dritter zu gelangen, beispielsweise in einer Kunden-Lieferantenbeziehung.

Eine weitere Angriffsmethode sind Anwendungen von Drittanbietern, die Zugriff auf die Daten von Office 365 und der G-Suite haben. Die Infiltration oder der Erhalt von OAuth-Token erfolgt durch Phishing, Social Engineering, Malware oder kompromittierte Konten. Dies ist eine unauffällige, aber beständige Methode zur Datenbeschaffung und stellt ein hohes Compliance-Risiko dar. Um solche Angriffe zu bekämpfen, müssen IT-Verantwortliche die Verwendung von Drittanbieter-Apps, die gewährten OAuth-Berechtigungen und die Reputation der App ständig im Auge behalten. Dazu sollten ein Warnsystem sowie die Möglichkeit zur automatischen Entfernung von Apps existieren.

Helfer schon vor der Not

Was ist also zu tun, um das eigene Unternehmen vor diesen Angriffen zu schützen? Zunächst ist es ein guter Ausgangspunkt, seine Organisation so zu betrachten, wie es ein Cyberkrimineller tun würde. Hier fällt der Faktor „Mensch“ ins Auge. Daher sollten IT-Verantwortliche einen Sicherheitsansatz verfolgen, der den Menschen in den Mittelpunkt der Betrachtung rückt, und die Sensibilisierung zu einer der zentralen Säulen der Cyber-Verteidigungsstrategie erheben.

Besonderes Augenmerk verdienen dabei die Very Attacked People (VAPs), also jene Personen innerhalb des Unternehmens, die aufgrund ihrer Zugangsrechte besonders häufig Ziele von Cyberkriminellen sind. Diese sind in den meisten Fällen nicht deckungsgleich mit den VIPs einer Organisation. Danach gilt es, das Unternehmen technisch aufzurüsten, um den Missbrauch von Cloud-Konten zu verhindern. Dabei hilft der Cloud Access Security Broker (CASB) auf vier Feldern: der Verwaltung von Cloud-Anwendungen, bei der Abwehr von Bedrohungen, dem Schutz sensibler Daten und in der Compliance für die Cloud.

Auf dem ersten Gebiet, der Verwaltung von Cloud-Anwendungen, administrieren CASBs Anwendungen und Dienste in der Cloud und bieten eine zentrale Sicht auf alle Elemente einer Cloud-Umgebung. So wird jederzeit deutlich, wer welche App zu welcher Zeit nutzt, wo sich der Benutzer befindet und welches Gerät er gerade benutzt. Mit einem CASB können IT-Verantwortliche auch den Risikograd bestimmter Anwendungen und Dienste bestimmen und in der Folge automatisch den Zugang zu einer dieser Anwendungen für bestimmte Benutzer, Daten und Dienste freigeben oder einschränken.

Die Verteidigung gegen Angriffe auf die Cloud ist das zweite Aktivitätsfeld. Hier können CASB-Lösungen bei der Identifizierung von Cloud-Angriffen helfen, indem sie verdächtige und übermäßige Anmeldungen überwachen. Ein moderner CASB verwendet zudem Anti-Malware- und Sandboxing-Tools, um Angriffe zu stoppen und zu analysieren. Auch die Anbindung an Datenbanken von Cyber-Sicherheitsunternehmen ist möglich, so dass die Lösung jederzeit die neuesten Angriffsmethoden erkennen kann.

Das dritte Anwendungsgebiet widmet sich dem Schutz sensibler Daten. Hier bieten CASBs die Möglichkeit, extern oder öffentlich geteilte Dateien zu finden und zu löschen. Darüber hinaus können sie mittels spezieller Komponenten Datenverluste verhindern.

Nicht zuletzt dienen CASBs auch der Einhaltung der aktuellen Gesetze und Vorschriften. Dies kann zwar für in der Cloud gespeicherte Daten beispielsweise bezüglich der Datenschutzgrundverordnung (DSGVO) eine besondere Herausforderung darstellen. Doch durch Überwachung, automatisierte Prozesse und Berichtsfunktionen kann ein CASB dabei helfen, die Einhaltung der Vorschriften auch nachzuweisen.

Grenzenlose Bedrohung

Insgesamt zeigen Cyberkriminelle keine Präferenzen für eine bestimmte Branche – es kann jeden treffen. Von der Erfahrung der bereits angegriffenen Unternehmen können aber alle lernen. So tragen geeignete Sicherheitsmaßnahmen dazu bei, die Übernahme von Konten und weitere Sicherheitsvorfälle bei Unternehmen und ihren Partnern beziehungsweise Kunden zu verhindern oder gegebenenfalls schneller zu beheben. Organisationen müssen mehrschichtige, intelligente Sicherheitsmaßnahmen implementieren – einschließlich Benutzerschulungen und Sensibilisierungen – um die immer erfolgreicheren Kompromittierungen von Cloud-Accounts zu bekämpfen.

* Autor des Beitrags ist Michael Heuer, Vice President DACH bei Proofpoint.

(ID:46697294)