Ransomware-Angriffe auf unstrukturierte Daten Storage-Management als wichtiger Faktor für die Sicherheit

Anbieter zum Thema

Vogel IT-Medien GmbH

FTAPI Software GmbH

Specops Software GmbH

An der Stelle, an der Schad-Software die größten Schäden anrichtet, fehlt die Transparenz, um effektiv gegenzusteuern: bei den unstrukturierten Daten auf File-Servern. Daher spielen Storage-Administratoren und -Manager eine wichtige, bisher oft unterschätzte Rolle dabei, neue Ansätze für mehr Transparenz umzusetzen, um die Sicherheit zu verbessern.

Laut aktueller Studien, wie einer Erhebung des Digitalverbands Bitkom, werden deutsche Unternehmen verstärkt Ziel von Cyberattacken. Dabei nimmt die Rolle der organisierten Kriminalität, aber auch staatlich gelenkter Gruppen stetig zu. Diese Angriffe verursachen mittlerweile rund 203 Milliarden Euro Schaden pro Jahr. Natürlich setzen fast alle Unternehmen bereits Software-Lösungen ein, um bekannte Bedrohungen wie Ransomware-Angriffe einzudämmen. Die vielen trotzdem erfolgreichen Angriffe zeigen jedoch, dass Firewalls und Endpoint-Security-Lösungen allein nicht als Schutz ausreichen.

In vielen Organisationen sind die File-Server noch immer eine Art „Black-Box“, in der ungewöhnliche IT-Aktivitäten viel zu spät bemerkt werden, um Schäden rechtzeitig begrenzen und zeitnah beheben zu können. Dabei genügt häufig ein falscher Klick eines Mitarbeiters, um das gesamte OT-Netzwerk einer Organisation zu infizieren. Das fatale ist, dass sich Schad-Software von einem lokalen Gerät, dem Laptop oder PC eines Mitarbeiters, sehr schnell bis zum Network Attached Storage (NAS) ausbreiten kann. Eine durchschnittliche Ransomware-Variante kann in unter dreiundvierzig Minuten bis zu 100.000 Dateien mit insgesamt 53,93 GB verschlüsseln, wie Studien gezeigt haben.

Viele Cyberangriffe führen daher zu Ausfallzeiten von mehreren Tagen. Entsprechend aufwändig ist auch der Wiederherstellungsprozess für das IT-Team und vor allen die Storage-Verantwortlichen. Ein Ansatz, um diese Problematik anzugehen, ist eine systematische Überwachung der Speicherumgebung. Auf diese Weise können einerseits Angriffe sowie Fehlverhalten von Nutzern schneller identifiziert und gestoppt werden. Andererseits ist auch eine zielgenauere und somit wesentlich schnellere Wiederherstellung betroffener Dateien möglich. Die folgenden Technologien und Maßnahmen können die IT-Verantwortlichen bei dieser Aufgabe unterstützen.

Teilautomatisierung bei der Überwachung von Cyber-Angriffsmustern

Bekannte Ransomware und Dateitypen von Schad-Software können gezielt blockiert werden. Das Tempo, mit dem sich Schad-Software jedoch weiterentwickelt, macht es IT-Teams fast unmöglich, Schritt zu halten und sich täglich mehrfach mit diesem Thema zu beschäftigen. Daher ist es sinnvoll, den Einsatz von Software-Lösungen zu prüfen, die Angriffsmuster rund um die Uhr überwachen. Mithilfe entsprechender Erkennungsalgorithmen können die meisten Aktualisierungen dann automatisch umgesetzt werden, was eine enorme Arbeitserleichterung und gleichzeitig ein Booster für die Sicherheit ist. Bei Bedarf können spezifische Dateitypen manuell zu Blocklisten hinzugefügt werden.

Einsatz von KI für Verhaltensmuster-Analysen

Nicht umsonst fristen File-Server mit den dort vorgehaltenen unstrukturierten Daten und Dokumenten in vielen Unternehmen ein Dasein als „Black-Box“ des File-Servers. Transparenz in diese Daten und die vorgenommenen Zugriffe und Änderungen zu bringen, ist eine Mammutaufgabe. Bisher werden Attacken und die Folgen daher zumeist erst viel zu spät bemerkt. Der Schaden durch verschlüsselte oder gestohlene Daten ist deshalb häufig erheblich. KI-gestützte Algorithmen moderner Monitoring-Lösungen helfen dabei, das Nutzerverhalten und die Daten in Dateisystemen zu analysieren. Bedrohungen lassen sich damit in wenigen Sekunden erkennen und stoppen.

Datenzugriffsmuster helfen bei der Identifikation des Angriffspunkts

Eine lückenlose Dokumentation von Datenzugriffsmustern aller User hilft nicht nur dabei, Cyberattacken frühzeitig zu erkennen. Mithilfe einer solchen Lösung lässt sich auch in sehr kurzer Zeit der genaue Angriffspunkt ermitteln – beispielsweise das betroffene Endgerät eines Nutzers. Die IT-Verantwortlichen erhalten in Echtzeit eine Warnmeldung und können infizierte Gerät und kompromittierte Accounts isolieren. Eine Deaktivierung kann auch automatisch durch das System vorgenommen werden, bevor die Verantwortlichen den Prozess und mögliche weitere Schritte überprüfen und umsetzen.

Zielgenaue Wiederherstellung von Dateien und Daten verringert Schäden

Datentransparenz auf Nutzerebene mithilfe einer Monitoring- und Auditing-Lösung, die Datei- und Datenzugriffe verfolgt und dokumentiert, hat entscheidende Vorteile für die Wiederherstellung. Ist ein Cyberangriffe erfolgt, dann zeigt die Lösung genau auf, welche Dateien betroffen sind, und dokumentiert Infektionen, Löschungen sowie andere Änderungen. Mithilfe einer solchen lückenlosen Dokumentation und Identifikation beschädigter Dateien lassen sich diese mit wenigen Klicks aus einem Snapshot wiederherstellen. (Backups sind Kopien der Daten, die gesichert werden sollen. Snapshots hingegen bezeichnen eine systemseitige Verlinkung der geänderten Blöcke zur originalen Datei, was die Wiederherstellung beschleunigt.)

Nicht nur bei Angriffen, sondern auch bei versehentlich gelöschten Dateien ist die Wiederherstellung einzelner oder mehrerer Dateien auf diese Weise problemlos möglich. Bisher war es in vielen Unternehmen nicht möglich, infizierte Dateien und Angriffszeiten genau zu identifizieren. Daher mussten Speicherverantwortliche häufig ganze Datei-Ordner aus Backups wiederherstellen. Neben dem hohen Zeitaufwand konnten dabei auch wichtige Aktualisierungen verloren gehen. Für die Fachabteilungen können sich daraus ein erheblicher Zusatzaufwand und großer geschäftlicher Schaden für das Unternehmen ergeben.

Zusammenspiel und Integration von Sicherheitslösungen

Wie die oben genannten Punkte zeigen, erfordert ein wirksamer Schutz vor Cybersecurity-Angriffen mehrere Layer. Bei der Lösungswahl zum Schutz für die Speicherumgebung, ist es daher empfehlenswert, darauf zu achten, dass sich die Lösung mit anderen im Unternahmen eingesetzten Sicherheitssystemen integrieren lässt – beispielsweise einer SIEM-Plattform (Security Information & Event Management).

Heute können viele Angriffsmethoden bereits gezielt den Endpoint-Schutz deaktivieren, Daten extrahieren und Backups löschen, bevor sie die Daten verschlüsseln. Besonders gefährlich ist, dass Ransomware wochenlang in Speichersystemen versteckt schlummernd kann. Wenn sie aktiviert wird, ist der Schaden meist erheblich. Sicherheitslösungen, die sämtliche Aktivitäten auf dem Dateiserver überwachen, helfen dabei, Angriffe sehr viel schneller zu identifizieren und zu stoppen. Damit werden auch aufwändige Wiederherstellungszyklen vermieden.

Anfang dieses Jahres erlitt beispielsweise einer unserer Kunden in Deutschland an einem frühen Sonntagmorgen einen Ransomware-Angriff. Die CryptoSpike-Software erkannte und stoppte den Angriff in weniger als zehn Sekunden. So konnten die Angreifer weniger als 100 Dateien verschlüsseln. Der Speicheradministrator konnte die beschädigten Dateien sofort identifizieren und mit wenigen Mausklicks wiederherstellen.

*Der Autor: Robert Graf, CEO und Geschäftsführer von ProLion

Aktuelles eBook

Disaster Recovery – Konzepte für den Daten-Notfall

Ransomware-Attacken bedrohen die gesamte IT und speziell die gespeicherten Daten in einem nie zuvor gekannten Ausmaß. Um den Angriffen der Cyberkriminellen zu begegnen, benötigen Unternehmen eine funktionierende Disaster-Recovery-Strategie. Unser neues eBook erläutert DR-Strategien – inklusive unterschiedlicher DR-Pläne, unerlässlicher DR-Tests und DR-as-a-Service.

Die Themen im Überblick:

• So funktioniert Disaster Recovery
• Was ist ein DR-Plan?
• Disaster-Recovery-Test
• Disaster-Recovery-as-a-Service

eBook „Disaster Recovery“ kostenlos downloaden

(ID:48707681)