Lateral Movement Paths (LMPs) Wie sich Hacker in einem Netzwerk ausbreiten

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

TXOne Networks

Über Lateral Movements erkunden Hacker ein von ihnen infiziertes Netzwerk, um weitere Schwachstellen zu finden, Zugriffsrechte zu erweitern und letztlich ihr eigentliches Ziel zu erreichen. Welche Möglichkeiten der Erkennung und Vermeidung gibt es?

Unter Lateral Movement versteht man eine Reihe von Methoden, mit denen Hacker auf Geräte, Apps oder Assets in einem Netzwerk zugreifen, nachdem sie zum ersten Mal einen Endpunkt erfolgreich kompromittiert haben. Mithilfe gestohlener Anmeldedaten oder anderen Vorgehensweisen der Rechteausweitung bewegen sich Hacker dann durch ein Netzwerk, um an sensible Daten zu gelangen. Indem diese Aktivitäten als erlaubter Netzwerkverkehr getarnt bleiben, können sie der Entdeckung meist noch lange entgehen und ihre Angriffe ausweiten.

Ziele und Varianten der Angriffe

Hacker streben über die Methode der Lateral Movements zwei Hauptziele an: Zugriff auf Daten bzw. ein bestimmtes Konto oder Steuerung so vieler Geräte wie möglich. Ob es um finanziellen Profit, den Diebstahl von Daten bzw. geschützten Informationen oder um weitere kriminelle Aktivitäten geht, die Art des Angriffs weist in der Regel auf das Endziel des Täters hin. Dazu gehören:

• Ransomware: Hacker erpressen ihre Opfer, indem sie damit drohen, ihre gekaperten Daten zu löschen oder zu veröffentlichen, wenn die Zahlung eines Lösegelds nicht innerhalb einer bestimmten Frist erfolgt.

• Übertragung von Daten: Diebstahl vertraulicher oder sensibler Informationen – mit oder ohne Lösegeldforderung.

• Spionage: In der Regel stiehlt der Angreifer nichts und stellt auch keine Forderungen. Der größtmögliche Informationsgewinn wird im Grunde dadurch erzielt, dass er so lange wie möglich im Verborgenen bleiben kann.

• Botnet-Infektion: Manchmal ist die Infektion eines Netzwerks nur der erste Schritt. Botnet ist ein Netzwerk von Computern mit ausreichend Rechenleistung, um einen schwerwiegenderen Angriff zu starten, beispielsweise einen DDoS-Angriff (Distributed Denial of Service).

Strategien zur Erkennung

Lateral Movements können lange Zeit unentdeckt bleiben. Daher sollten IT-Security-Teams ihre Erkennungsstrategien optimieren. Folgende Maßnahmen bieten sich an:

• Schwachstellen entdecken: Überprüfung der Infrastruktur nach anfälligen Verbindungen zwischen Geräten, Daten und Systemen. Sie können vielleicht nicht entfernt, aber zuverlässig überwacht und gesichert werden.

• Reporting-Tools nutzen: Tools zur Überwachung und für das Reporting sind für die Erkennung verdächtiger Aktivitäten unerlässlich.

• Benutzerverhalten analysieren: Die Analyse von Verhaltensmustern durch maschinelles Lernen (ML) kann dabei helfen, Anomalien zu isolieren und zu untersuchen. Auch wenn einige ungewöhnliche Verhaltensweisen keinen Anlass zur Sorge geben, können solche Analysen dazu führen, dass unbefugte Aktivitäten aufgedeckt werden.

• Überwachung unbekannter Geräte: Mittlerweile ist es üblich, dass sich unbekannte Geräte (Bring Your Own Device - BYOD) der Mitarbeiter in Netzwerken registrieren. Daraus lässt sich aber nicht vorschnell schließen, dass es sich tatsächlich um einen Mitarbeiter handelt.

• Anomalien bei Dateifreigaben und Verwaltungsaufgaben detektieren: Hacker werden versuchen, die Erkennung durch den Einsatz nativer Tools zu vermeiden, was jedoch zu erkennbaren Anomalien führt. Darüber hinaus testen Hacker oftmals Zugriffe auf Server mit vertraulichen Daten, sodass Diskrepanzen beim File-Sharing-Zugriff ein Indikator für Lateral Movements sein können.

• Anmeldungen überwachen: Dies gilt insbesondere für Geräte mit mehreren Anmelde-Informationen. Grundsätzlich können Anmeldungen zu ungewöhnlichen Zeiten bzw. außerhalb der Geschäftszeiten oder mehrere Anmeldungen auf einem einzigen Gerät Hinweise für Lateral Movements sein.

• Port-Scans und ungewöhnliche Netzwerkprotokolle erkennen: Hacker führen im Rahmen ihrer Spionage Port-Scans durch. Diese Scans können jedoch von Intrusion-Detection-Systemen erkannt werden. Darüber hinaus kann es zu Anomalien zwischen einem für eine Verbindung verwendeten Protokoll und den gesendeten oder empfangenen Daten kommen. Dies deutet darauf hin, dass keine Verschlüsselung verwendet wurde.

Lateral Movements verhindern

Sicherheitsvorkehrungen, die Eindringlinge verhindert, sind jenen vorzuziehen, die lediglich eine Erkennung und Reaktion ermöglichen. Selbst wenn dies nicht immer für jede Organisation praktikabel ist, gibt es doch einige Ansatzpunkte, um solche Angriffe so weit wie möglich zu verhindern.

• Regelmäßig Software-Updates und System-Patches installieren: Alle Betriebssysteme, Anwendungen, Dienste, Endpunkte und Systeme müssen stets auf dem neuesten Stand gehalten werden.

• Endpoint-Sicherheitslösungen aktualisieren: Endpunkte sind am anfälligsten für unbefugten Zugriff, daher sind Tools zu ihrer Überwachung und Sicherung wichtig. Kein Endpunkt darf angreifbar bleiben.

• Prinzip der geringsten Privilegien (PoLP): Nutzer dürfen nur Zugriff auf das haben, was sie zur Ausführung der ihnen zugewiesenen Aufgaben benötigen.

• Multi-Faktor-Authentifizierung (MFA) nutzen: Für eine MFA - als Kernkomponente einer starken Identity and Access Management (IAM)-Richtlinie - muss ein Nutzer zwei oder mehr Verifizierungsfaktoren angeben, um einen Zugriff zu erhalten.

• Netzwerksegmentierung vornehmen: Mithilfe einer Segmentierung bzw. Mikrosegmentierung wird sichergestellt, dass sensible Teile eines Netzwerks vom Rest des Systems isoliert sind.

• Kritische Daten sichern: Durch eine Datensicherung lassen sich Daten selbst im Falle einer Systemkompromittierung vollständig wiederherstellen.

• Zero-Trust-Sicherheit implementieren: Da bei einer Zero-Trust-Lösung davon ausgegangen wird, dass jeder User potenziell eine Bedrohung darstellen kann, bis das Gegenteil bewiesen ist, werden Lateral Movements deutlich erschwert.

(ID:49736040)