Ganzheitlicher Ansatz statt Klein-Klein Identitätsbasierte Angriffe effizient abwehren

Cyberattacken mit gestohlenen Zugangsdaten und Session Cookies gehören zu den gefährlichsten Angriffsvektoren. Der Schutz von Identitäten und Zugängen wird daher immer wichtiger. Wie sich die Bedrohungslandschaft verändert und was wirklich gegen identitätsbasierte Angriffe hilft, zeigt dieser Artikel.

Identitätsbasierte Angriffe haben im vergangenen Jahr stark zugenommen, wie der IBM X-Force Threat Intelligence Index 2024 zeigt. Demnach war die Übernahme legitimer Konten im Jahr 2023 zum ersten Mal seit Durchführung der Studie der häufigste Einstiegspunkt für Cyberkriminelle. Insgesamt beobachteten die Experten einen Anstieg solcher Angriffe um mehr als 70 Prozent im Vergleich zum Vorjahr, beim sogenannten Kerberoasting sogar um 100 Prozent. Bei dieser Methode fordern Angreifer über das Authentifizierungsprotokoll Kerberos vom Active Directory ein Service-Ticket an, das unter anderem verschlüsselte Passwörter für Dienste wie Web-, SQL- oder Dateiserver enthält. Sie knacken die relativ schwache Verschlüsselung offline und erhalten so Zugang zu den Ressourcen. Die IBM-Experten sehen in der Zunahme der Kerberos-Attacken ein Zeichen dafür, dass sich die Angreifer bei der Identitätsbeschaffung technisch weiterentwickelt haben.

Für den Strategiewechsel bei Cyberangriffen sind mehrere Faktoren verantwortlich. Unternehmen haben in den vergangenen Jahren aufgerüstet und sowohl die Erkennung und Abwehr von Phishing-Attacken als auch das Patch-Management verbessert. Für Angreifer wird es dadurch immer schwieriger, Anwender zum Download und zur Ausführung von Malware zu verleiten oder Schwachstellen in Soft- und Hardwareprodukten zu finden und auszunutzen. Gleichzeitig steigt das Angebot an gestohlenen Zugangsdaten fast täglich. Auf Webseiten wie dem Identity Leak Checker des Hasso-Plattner-Instituts sind mehr als 13 Milliarden betroffene Konten hinterlegt. Da viele Anwender Passwörter mehrfach verwenden, lassen sich mit erbeuteten Credentials oft auch noch nicht geleakte Accounts übernehmen. Okta konnte seit März 2024 eine Verzehnfachung von Passwort-Spraying-Attacken feststellen – eine Gefährdungslage, mit der sich auch Okta-Kunden wie Nvidia oder OpenAI, dem Entwickler von ChatGPT, konfrontiert sehen. Dabei werden erbeutete Passwörter für Login-Versuche auf Millionen von Nutzerkonten verwendet. Da viele Nutzer nach wie vor einfache Kombinationen aus Zahlen und Buchstaben bevorzugen und Passwörter häufig mehrfach verwenden, ist diese Strategie oft von Erfolg gekrönt.

Was Unternehmen jetzt tun sollten

Die steigende Anzahl und Komplexität von identitätsbasierten Angriffen stellt Unternehmen vor die Herausforderung, sowohl Mitarbeiter- als auch Kundenkonten wirksam vor Übernahme und Missbrauch zu schützen. Folgende Maßnahmen können dabei helfen:

Multi-Faktor-Authentifizierung zur Pflicht machen. Administrative Accounts werden immer häufiger zum Ziel von Account-Takeover-Attacken (ATO). Die alleinige Authentifizierung über Benutzername und Passwort bietet keine ausreichende Sicherheit dagegen. Eine Multi-Faktor-Authentifizierung (MFA) sollte deshalb in jedem Unternehmen zur Pflicht werden. Laut einer Studie der Identity Security Alliance (IDSA) hätten mehr als 40 Prozent der durch Cyberangriffe verursachten Sicherheitsvorfälle durch die unternehmensweite Einführung von MFA verhindert oder zumindest in ihren Auswirkungen minimiert werden können. Ein Vorreiter in dieser Strategie ist der Okta-Kunde Salesforce, der bereits im Februar 2022 die Multi-Faktor-Authentifizierung obligatorisch gemacht hat. Als Reaktion auf die sich entwickelnde Bedrohungslandschaft haben auch wir MFA für alle Auth0-Administratoren mit einem Benutzernamen/Passwort-basierten Login oder einem sozialen Login eines Drittanbieters obligatorisch gemacht.

Sicherheitskontrollen durch Auth0 Teams verbessern. Auth0 Teams ist eine Plattform, mit der sich die Mandantenverwaltung vereinfachen und sicherer gestalten lässt. Administratoren erhalten einen Überblick über alle relevanten Details eines Mandanten, sowie die Rollen und Zugriffsrechte. Auth0 Teams bietet die Möglichkeit, Single Sign-On (SSO) für den Zugriff aller Team- und Mandanten-Mitglieder auf Auth0 zu erzwingen, die Erstellung von neuen Mandanten auf ein bestimmtes Team zu beschränken sowie Abonnement- und Rechnungsdetails zu verwalten.

Sitzungcookies automatisch löschen. Gestohlene Sitzungscookies ermöglichen es Cyberkriminellen, sich als legitime Benutzer auszugeben. Oft kann der Angreifer auf dieselbe Sitzung zugreifen wie der rechtmäßige Benutzer, solange die Sitzung aktiv ist. Um das Hijacking bestehender Sitzungen zu verhindern, sollten Sitzungcookies automatisch gelöscht werden, sobald sich die IP-Adresse ändert - sei es, dass ein legitimer Benutzer den Standort wechselt oder ein Angreifer versucht, eine Sitzung zu entführen. Okta widerruft automatisch eine Sitzung an der Okta Admin Console, wenn die ASN (Autonomous System Number), die während einer API- oder Web-Anfrage registriert wird, von der ASN abweicht, die beim Aufbau der Sitzung aufgezeichnet wurde.

Passwortlose Authentifizierung verwenden. Allerdings bietet auch MFA längst keinen hundertprozentigen Schutz mehr, denn die Angreifer haben Mittel und Wege gefunden, auch diese Hürde zu überwinden. Mit passwortlosen Verfahren wie Passkey lassen sich viele dieser Angriffsszenarien vermeiden und die Risiken identitätsbasierter Angriffe deutlich reduzieren. Das System ist mit der W3C-Spezifikation WebAuthn und dem Authentifizierungsstandard Fido2 kompatibel und beruht auf einem asymmetrischen Public-Private-Key-Verfahren. Passkey kann sowohl mit Hardware-Token wie Nitrokey oder Yubikey als auch mit Notebooks und Smartphones verwendet werden, sofern diese mit einem Sicherheitschip ausgestattet sind. Okta unterstützt Passkey seit Oktober 2023.

Zero Trust umsetzen. Das Zero-Trust-Prinzip wurde in den 1990er Jahren entwickelt, aber erst durch ein 2010 veröffentlichtes Whitepaper des Forrester-Analysten John Kindervag populär. Es basiert auf der Regel „Never trust, always verify“. Jeder Anwender, jedes Gerät und jeder Service muss sich bei jedem Zugriff authentifizieren und erhält nur die Rechte, die für die jeweilige Aufgabe absolut notwendig sind. Laut der aktuellen Studie „The State of Zero Trust Security“ haben bereits 61 Prozent aller Unternehmen Zero-Trust-Programme eingeführt, 2021 waren es erst 24 Prozent.

Künstliche Intelligenz nutzen. Künstliche Intelligenz (KI) ist zu einem unverzichtbaren Werkzeug im Kampf gegen Cyberattacken geworden. Machine-Learning-Algorithmen sind unter anderem sehr gut darin, in großen und komplexen Datenmengen Muster zu erkennen und Anomalien zu entdecken. KI-Engines wie OktaAI helfen Sicherheitsteams, Informationen aus Security-Lösungen mit Signalen aus dem Netzwerk zusammenzuführen und auszuwerten. Bei verdächtigem Verhalten oder einem sicherheitsrelevanten Vorfall können sie Aktionen vorschlagen oder sogar automatisch Gegenmaßnahmen einleiten.

Fazit: Identitätsmanagement braucht eine ganzheitliche Strategie

Identitätsbasierte Angriffe auf Unternehmen nehmen nicht nur zu, sie werden auch immer raffinierter und gefährlicher. Diese Angriffe frühzeitig zu erkennen und zu stoppen, ist deshalb geschäftskritisch geworden. Unternehmen können diesen Risiken nur noch mit einem ganzheitlichen Ansatz Herr werden, der alle Aspekte der Authentifizierung und Autorisierung berücksichtigt. Okta hat sich mit seinem Security Identity Commitment dazu verpflichtet, die Branche aktiv voranzubringen und Unternehmen bestmöglich zu unterstützen. Wir sind uns bewusst, dass die Sicherheit unserer Systeme direkte Auswirkungen auf die Sicherheit unserer Kunden und deren Geschäftserfolg hat. Deshalb härtet Okta kontinuierlich die eigene Infrastruktur, um das Risiko von Sicherheitsvorfällen effektiv zu minimieren. Für alle unsere Mitarbeiter, Prozesse und Technologien gelten die gleichen strengen Sicherheitsstandards wie für unsere kundenorientierten Produkte - wir legen Wert auf einen ganzheitlichen, von innen nach außen gerichteten Sicherheitsansatz. Kunden erhalten aber nicht nur effiziente Produkte und Services für den Schutz von Identitäten, sondern auch Best Practices an die Hand, die ihnen beim Aufbau einer optimalen Strategie helfen.

Über den Autor: Sven Kniest ist Vice President Central & Eastern Europe bei Okta.

(ID:50117589)