Die Gefahren des Home-Office Wie Hacker blinde Flecken im Netzwerk ausnutzen

Anbieter zum Thema

Arvato Systems

TXOne Networks

Keeper Security EMEA Ltd.

Tanium UK Limited

Der rasche Umzug ins Homeoffice und das Etablieren von Ad-hoc-Infrastrukturen hat viele IT-Teams vor große Herausforderungen gestellt. War das Unternehmensnetzwerk bis dahin weitgehend unter Kontrolle, ergaben sich jetzt eine ganze Reihe blinder Flecken, die Hacker schamlos ausnutzen konnten. Um diese Sicherheitslücken zu schließen, ist es wichtig, die Taktiken der Gegner zu kennen.

Der Aufbau von Remote-Arbeitsplätzen war für Unternehmen bis zur Corona-Krise lediglich „nice to have“. Wobei das sichere Einbinden mobiler Mitarbeiter ins Unternehmensnetzwerk bereits seit vielen Jahren eine Herausforderung darstellt. Eine Herausforderung, die sich durch das überstürzte Etablieren eine Infrastruktur, die es Mitarbeitern erlaubt, von überall aus zu arbeiten, nochmals intensiviert hat. So blieben für ein Langzeitprojekt nur wenige Tage, was dazu führte, dass bereits bestehende Lücken im Endpunktmanagement gnadenlos offengelegt wurden. Darüber hinaus hat sich durch ein solches Vorgehen die Angriffsfläche drastisch vergrößert, sodass Cyberkriminellen jetzt weitaus mehr Möglichkeiten zur Verfügung stehen, ein Netzwerk zu kompromittieren und sensible Daten zu stehlen oder zu manipulieren.

Das Problem: Die Verlagerung der Arbeitskräfte ins Homeoffice erschweren Endpunkt- sowie Netzwerksicherheitskontrollen und beeinträchtigen das Patch- und Schwachstellen­managements – ganz zu schweigen von der mangelnden IT-Hygiene. Als ebenso problematisch erweist sich das Split Tunneling. Die Vorteile liegen auf der Hand: So werden nur schützenswerte Daten über das VPN transportiert, was weniger Art für VPN-Clients, Server und Gateways bedeutet. Wird allerdings ein Teil des Datenverkehrs aus dem sicheren VPN-Tunnel ausgekoppelt und nicht über Security-Gateways geleitet, bedeutet dies auch immer ein Sicherheitsrisiko. Um zu verhindern, dass unbefugte Dritte in das Netzwerk eindringen können, sollten Client-Systeme stets auf dem aktuellen Stand sein, sodass auch Sicherheitspatches umgehend eingespielt werden.

Somit hat die aktuelle Situation nicht nur eine Reihe neuer Herausforderungen im Bereich der Cybersicherheit geschaffen, die Unternehmen zuvor nicht bewältigen mussten, sondern auch bestehende Lücken in der Sichtbarkeit und Widerstandsfähigkeit der IT vergrößert. Jedoch können diese Herausforderungen, die durch das dezentralisierte Unternehmen geschaffen wurden, durch Unified Endpoint Security-Lösungen gemeistert werden.

Die Taktik der Cyberkriminellen

Hacker, die es auf die Endpunkte abgesehen haben, verzeichnen oftmals einer höheren Erfolgsquote als diejenigen, die sich für netzwerkbasierte Angriffe entscheiden, denn sie erlangen dauerhaften Zugang zum Netzwerk. Die Techniken, die dabei zum Einsatz kommen, reichen von Spear-Phishing und Social-Engineering bis hin zu Drive-by-Download-Sites, SMS-Phishing (Smishing) und Voice-Phishing (Vishing).

Beim Großteil der Attacken gegen Mitarbeiter im Homeoffice handelt es sich um browserbasierte Angriffe. Besucht ein Nutzer eine von Hackern infiltrierte Webseite, kann eine Schwachstelle in Browser, Betriebssystem oder Plugins ausgenutzt werden, um das Nutzersystem mit Malware zu überfrachten oder sich anderweitig Zugriff auf das Unternehmensnetzwerk zu verschaffen, etwa über VPN, wenn Split-Tunneling zum Einsatz kommt. Unified-Endpoint-Security-Lösungen können diese Drive-by-Download-Techniken verhindern, indem der Dropper erkannt wird, sobald die Malware das erste Mal am Endpunkt eingeschleust wird. Erkannt werden darüber hinaus auch dateilose Angriffe, wenn die Malware ausschließlich im Arbeitsspeicher ausgeführt wird.

Eine verbreitete Art browserbasierter Angriffe ist die Document Object Module (DOM)-Injection. DOM meint die hierarchische Darstellung von Elementen auf einer Webseite. Es gibt verschiedene Arten von DOM-Angriffen, wie etwa Reflected DOM Injection (RDI), DOM-basierte Cross Site Scripting (XSS) und DOM-basierte Java Script Injection. Beim Einschleusen von schädlichen Java Scripten in eine Webseite geht es weniger um ein Sicherheitsproblem von Java Script, sondern vielmehr um eine Sicherheitslücke in fehlerhaften Webanwendungen, die Daten aus nicht vertrauenswürdigen Quellen ungefiltert ins HTML einbauen. Wenn eines Webanwendung Benutzereingaben annimmt und diese Daten dann an einen Browser weitergibt, ohne den Inhalt zu überprüfen, ist es dem Angreifer möglich, auch Skripte indirekt an den Browser des Opfers zu senden und auf diese Weise bösartigen Code auf der Seite des Clients auszuführen. So könnte er Hacker auf Cookies zugreifen, zu seinem Server senden und Daten wie Session-IDs auslesen. Über einen Keyboard-Event-Listener ist es ihm sogar möglich, Tastaturanschläge mit zu verfolgen und an den eigenen Server zu senden. Auf diese Weise erlangt er ebenfalls Zugriff auf sensible Daten wie Passwörter oder Kreditkartennummern.

Das Netzwerk im Visier

Besonderes Augenmerk sollte auf den Routern im Homeoffice liegen, die häufig nicht nur als Einfallstor ins Heim- sondern in der Folge auch ins Unternehmensnetzwerk fungieren. Ein grundlegender Anwenderfehler ist das Verwenden von Standardpasswörtern. Nicht selten wird es nutzerseitig versäumt, die Werkseinstellung zu ändern und ein sicheres Passwort zu generieren. Die schlechte Nachricht: UEM-Lösungen können, da sie nicht auf Routern installiert sind, Angriffe auf das Heimnetzwerk nicht verhindern. Sollten sich die Attacken allerdings danach auf einen der Endpunkte im Unternehmensnetzwerk richten, kann die Lösung diese Angriffe erkennen und verhindern.

Eine weitere beliebte Methode sind Man-in-the-Middle-Angriffe, bei der sich der Hacker logisch oder physisch zwischen sein Opfer und die jeweils verwendete Ressource klemmt, sodass er in der Lage ist, jegliche Kommunikation abzufangen und für sich zu nutzen. Häufig kommt diese Angriffsmethode im WLAN-Umfeld zum Einsatz: Beispielsweise wird hier ein WLAN-Router oder Access Point eingerichtet, der sich gegenüber dem Nutzer als legitimes Gerät ausgibt. Sobald eine Verbindung aufgebaut wird, können sensible Daten nahezu unbemerkt entwendet werden, da der „falsche“ Access Point die Daten im Anschluss an das eigentliche Ziel weiterleitet.

Man-in-the-Middle-Attacken kommen auch beim Hijacken von Browser-Sitzungen oder beim Stehlen von Login-Cookies zum Einsatz. Hierzu wird eine schädliche Software auf dem Rechner des Opfers platziert, die sich zwischen Browser und Kommunikationsschnittstelle befindet, sodass der Datenverkehr aufgezeichnet werden kann. Auch hier sind UEM-Lösungen, die auf den Endpunkten im Netzwerk laufen, eine gute Wahl, um Man-in-the-Middle-Aktivitäten umgehend zu erkennen und zu verhindern.

Fazit

Die Methoden der Cyberkriminellen sind vielfältig und werden immer raffinierter. Unternehmen sollten sich nicht darauf verlassen, kein Opfer von Angriffen zu werden, sondern vielmehr ihre Position stärken und sich möglichst unangreifbar machen. Die Tatsache, dass Mitarbeiter heute nicht mehr von einem Standort aus, agieren, legt Sicherheitslücken gnadenlos offen und zwingt Unternehmen, zu handeln. Unified Endpoint Security-Lösungen ermöglichen es, die Angriffsfläche für Hacker erheblich zu reduzieren.

Über den Autor: Christoph Volkmer ist VP EMEA Central bei Tanium.

(ID:47277556)