Assume Breach Wenn Schadcode das Endgerät bereits infiltriert hat

Eine zu reaktive IT-Sicherheitsstrategie mit traditionellen Lösungen hat ihre Schwächen. Besser ist es, eine Kompromittierung durch Malware oder Angreifer von Vornherein zu unterstellen. Wie kann solch ein „Assume Breach“-Ansatz aussehen?

Anbieter zum Thema

Arvato Systems

TXOne Networks

Keeper Security EMEA Ltd.

Computacenter Deutschland

Da Virenschutz-Lösungen mit Signaturerkennung oder Firewalls gegen den maßgeschneiderten Schadcode heutiger Angriffe kaum noch etwas ausrichten können, haben Cyberkriminelle oft leichtes Spiel: gerade Desktops oder Notebooks sind leicht zu kompromittieren.

Die Angreifer nutzen sowohl bekannte Sicherheitslücken gängiger Applikationen als auch nicht veröffentlichte Schwachstellen, für die es noch keine Patches gibt. Die Erkenntnis daraus ist der Ansatz „Assume Breach“: Unternehmen sollten davon ausgehen, dass ihre Clients bereits kompromittiert sind.

Folgerichtig rücken Maßnahmen in den Fokus, die Attacken erkennen und deren Ausbreitung auf andere Systeme erschweren. Ein fortschrittliches Konzept für Endgeräte-Sicherheit berücksichtigt dieses Paradigma und achtet auf Wirkung auch bei zielgerichteten Angriffen.

Prävention ist der erste Schritt

Was aber gehört konkret dazu? Zunächst einmal müssen die passenden präventiven Maßnahmen zum Einsatz kommen: Techniken wie Exploit Mitigation, Anwendungsisolation sowie Application-Control- und -Privilege-Management hindern einen Schadcode bei der Zulieferung zum Client, an der Ausnutzung einer Schwachstelle oder an der Installation. Exploit Mitigation erschwert es, Speicherbereiche zu überschreiben und Code des Angreifers auszuführen.

Weil diese Maßnahmen auf den Exploit-Techniken selbst basieren, sind sie auch gegen Zero-Day-Angriffe wirksam. Bei modernen Application-Control-Lösungen werden mit verschiedenen Regelsätzen „Application Whitelists“ und sogenannte „Greylists“ konfiguriert. „Greylist“ bedeutet, dass mit Hilfe von Client Privilege Management Nutzerrechte für Anwendungen erweitert werden können, ohne die Applikationskontrolle aus der Hand geben zu müssen.

Last but not least gehört die Isolation von Anwendungen zu den präventiven Maßnahmen. Dabei läuft eine Applikation in einem isolierten Kontext. So kann sich der Schadcode auch nur dort einnisten und hat keine weiteren Auswirkungen. Diese Methode wird für Browser und Anwendungen genutzt, die Daten aus dem Internet verarbeiten. Bekannte Techniken sind Remote-Controlled Browser Systems (RECOBS), Browser-Virtualisierung und Sandboxing.

Eine neue und sehr erfolgversprechende Methode ist die Technik der Micro-Applikationsvirtualisierung. Applikationen greifen hierbei über eine Hardware-Virtualisierung des Prozessors auf das Betriebssystem zu. So sind sie vollständig vom Client isoliert, Malware hat keine Auswirkungen und Anwender können ohne Sorge Dateien öffnen.

Forensische und reaktive Maßnahmen werden zur Pflicht

Soweit zur einen Seite der Medaille. Weil wir gemäß des „Assume Breach“-Ansatzes davon ausgehen müssen, dass Clients bereits kompromittiert sind, wird ein Blick auf die andere Seite der Medaille zur Pflicht: Gefragt sind hier detektierende und reaktive Maßnahmen, die einen Schadcode identifizieren, nachdem er sich festgesetzt hat.

Netzwerkbasierte Malware-Protection-Systeme (NMPS) beispielsweise erkennen zielgerichtete Attacken, die über das Unternehmensnetzwerk erfolgen. Um die Detektion von Schadcode am Client zu unterstützen, bietet sich Endpoint Threat Detection und Response (ETDR) an.

EDTR-Tools ermöglichen Verhaltensanalysen, Endpoint-Forensik sowie Endpoint Remediation zur Wiederherstellung eines Clients. Für Cyber-Threat-Analysten sind diese ein wichtiges Werkzeug.

Machine Learning hilft bei der Analyse

Einen weiteren großen Schritt erlauben User and Entity Behavior Analytics (UEBA). Entsprechende Lösungen machen sich die Tatsache zunutze, dass Cyberkriminelle im Netz und in der IT-Infrastruktur Spuren hinterlassen. So lassen sich mit „Machine Learning“ und statistischen Analysen Auffälligkeiten erfassen, die anderen Methoden verborgen bleiben.

Durch die fortschrittliche Datenanalyse können sehr detaillierte Auswertungen gemacht werden. Der größte Vorteil ist, dass UEBA Angreifer auch dann erkennt, wenn bereits alle anderen detektiven und präventiven Maßnehmen überwunden wurden.

Carsten Dibbern

Erfolgreiche Angriffe wird es immer geben. Die Aufgabe für Unternehmen ist es daher einerseits, den Angreifern das Leben von Vornherein möglichst schwer zu machen. Gleichzeitig wird allerdings mittelfristig niemand am Einsatz von detektiven und reaktiven Komponenten vorbeikommen, um Schadcode auch dann zu erkennen und zu beseitigen, wenn er bereits Systeme im Netz kompromittiert hat.

* Carsten Dibbern ist Solution Manager Secure Information bei Computacenter.

(ID:44270465)