World Backup Day 2024 Wir brauchen einen World Resilience Day

Anbieter zum Thema

Cohesity GmbH

sysob IT-Distribution GmbH & Co. KG

Ja, es bleibt essenziell, Kopien der wichtigsten Daten zu erstellen. Der World Backup Day ruft zu Recht seit Jahren dazu auf, aber die größte Gefahr für unsere Daten sind heute nicht die traditionellen Szenarien für Geschäftskontinuität und Notfallwiederherstellung, für die der World Backup Day ursprünglich gedacht war, sondern destruktive Cyberangriffe in Form von Ransomware und Wipern.

Es reicht nicht aus, diese Bedrohungen zu bekämpfen, indem man einfach Kopien anfertigt und die Daten nach einem Vorfall wiederherstellt. Stattdessen brauchen wir einen World Resilience Day, an dem Cybervorfälle untersucht, die Bedrohungen entschärft und die Systeme gehärtet werden, bevor sie wiederhergestellt werden, um ein erneutes Auftreten und weitere Auswirkungen zu verhindern.

Die Backups in den Firmen halten ihre Versprechen nicht mehr und verraten das hehre Ziel des World Backup Days, wie die Zeitungsberichte über erfolgreiche Attacken jeden Tag beweisen. Das hat mehrere Gründe. Diese Akteure halten sich in den Netzwerken ihrer Opfer auf, nutzen Schwachstellen aus, halten sich hartnäckig, erstellen schädliche Accounts, verschaffen sich Administratorrechte und finden und exfiltrieren die vertraulichen Daten des Unternehmens. Bei diesen destruktiven Angriffen besteht das Hauptziel der Angreifer darin, die Organisation daran zu hindern, Daten wiederherzustellen, indem sie die Backups der Organisation angreifen und zerstören.

Das Cybersicherheitsrisiko in Unternehmen hat sich aufgrund globaler geopolitischer Krisen weiter verschlechtert. Wiper-Angriffe, die darauf abzielen, Chaos und Zerstörung in der IT-Infrastruktur zu verursachen, gehören seit langem zum Arsenal nationalstaatlicher Bedrohungsakteure wie Russland und Iran. Auch die jüngste Vorab-Positionierung der chinesischen Vault-Typhoon-Gruppe im Vorfeld eines potenziellen Konflikts in Taiwan ist ein weiterer Grund zur Sorge. Gleichzeitig hat sich die Ransomware-Branche durch die Einführung von Ransomware-as-a-Service-Plattformen (RaaS) exponentiell vergrößert, indem sie es „Partnern“ ohne technische Kenntnisse ermöglicht, Angriffe zu starten. Diese RaaS-Plattformen haben auch das gezielte Ausnutzen von Schwachstellen in der Infrastruktur anstelle des traditionellen Phishing-Mechanismus wirtschaftlich rentabel gemacht – indem sie neu entdeckte Lücken in der Software innerhalb weniger Tage nach ihrer Entdeckung viel schneller als Waffe einsetzen, als Unternehmen ihre Systeme flicken können.

Sicherheitsforscher befürchten, dass Hacker mit den 1,1 Milliarden US-Dollar Umsatz im Jahr 2023 auch Zero-Day-Schwachstellen auf dem Markt kaufen, die weder den Software-Anbietern noch der Sicherheitsbranche bekannt sind.

Auch ihre Taktiken haben sich verbessert. Die Opfer von Ransomware-Angriffen werden zunehmend zweimal kurz hintereinander gehackt. Das FBI warnt, dass gerade bei der Folgeattacke Daten der Opferfirmen zerstört oder exfiltriert werden.

Sind die Opfer unwillig zu zahlen, werden sie bei den Behörden angeschwärzt. So hat die Ransomware-Gruppe AlphV hat nach eigenen Angaben eine Beschwerde bei der Amerikanischen Börsenaufsicht SEC eingereicht, weil deren Opfer MeridianLink den erfolgreichen Angriff mit Datenverlust nicht gemeldet hat.

Nullpunkt

Wer mit IT-Teams spricht, die eine Ransomware-Attacke durchlebten, hört oft diesen Satz: „Wir haben die Folgen des Einschlags massiv unterschätzt.“ Denn bei einem erfolgreichen Cyberangriff sind alle IT-Systeme und alles, was daran hängt, verschlüsselt und ausgefallen – vom Zugangsserver der physischen Zugangskontrolle über die VoIP-Systeme bis hin zu allen IT-Diensten und -Werkzeugen. Mitarbeiter können keine Türen öffnen, um in Gebäude zu kommen oder Räume zu verlassen. Und sie können niemanden anrufen, da die VoIP-Systeme unten sind. Es ist wichtig, dass Firmen- und IT-Leiter unbedingt verstehen, dass dieses Szenario des Nullpunkts realistisch ist.

Zusätzlich sind möglicherweise auch die Sicherheitstools beeinträchtigt, so dass Security-Operation-Teams nicht mehr in der Lage sind, eine Reaktion einzuleiten. Viele Sicherheitstools, wie zum Beispiel Remote Forensic Imaging und Endpoint Detection & Response oder „eXtended Detection & Response“ (EDR/XDR), sind auf Netzwerkverbindungen angewiesen, um zu funktionieren. Die ganze Zeit über tickt die Uhr, und das Unternehmen kann seine Produkte und Dienstleistungen nicht liefern.

Und selbst wenn die Backup-Dateien noch nicht beschädigt worden sind, reicht es bei weitem nicht aus, sie einfach neu zu installieren. Angriffsartefakte wie schädliche Accounts, Persistenzmechanismen, die ausgenutzten Schwachstellen und die Lücken in den Schutz- und Erkennungskontrollen, die den ursprünglichen Angriff ermöglichten, bleiben bestehen, und andere Artefakte werden einfach ebenfalls wiederhergestellt. Angreifer können dann einfach den gleichen erfolgreichen Angriff durchführen und das neu installierte System innerhalb von Minuten erneut zum Absturz bringen. Es gibt praktische Fälle, in denen die IT-Abteilung diesen Vorgang Dutzende Male mit demselben Ergebnis wiederholt hat. Wochen wurden vergeudet, ohne einen einzigen Schritt vorwärtszukommen. Um diese realistischen Szenarien zu verhindern, müssen IT-Verantwortliche die Ziele des World Backup Day weiterdenken und ihre Cyber-Resilienz ausbauen.

Cyber-Resilienz über isoliertes Spielfeld

Unternehmen müssen die wichtigsten Daten und Dienste für eine Notfall-Kommunikation und Begriffsanalyse isoliert ablegen und innerhalb weniger Minuten aktivieren können, auch wenn die Attacke selbst noch läuft. Dieses Konzept heißt „Cleanroom“ und ist wie ein Notfallkoffer für Cyber-Krisen. Er enthält alle elementaren Tools und Datensets, die eine Firma braucht, um den Notbetrieb weiterzubetreiben. Er liefert die Kerndienste, um miteinander zu kommunizieren, auf den Vorfall zu reagieren, die interne und externe Kommunikation aufrechtzuerhalten sowie die ersten wichtigen Analysemaßnahmen einzuleiten.

Der Cleanroom ist per Definition ein isolierter hochgesicherter Bereich, der vom Rest des Netzwerks getrennt ist. Die darunter liegende Infrastruktur sollte aus Immutable Storage bestehen und Zero-Trust-Prinzipien folgen. Alle Daten sollten verschlüsselt sein, sowohl beim Transport als auch bei der Lagerung. Eine Plattform für Datensicherheit und -management wie von Cohesity bietet all dies und erstellt dank ihrer Backup- und Disaster-Recovery-Dienste ständig Snapshots aller Produktionsdaten, die eine forensische Analyse über den gesamten Zeitraum des Vorfalls hinweg ermöglichen.

Wenn im Ernstfall ein Cybervorfall ersten Schaden anrichtet, können die Security-Teams im Cleanroom gleich an mehreren Kopien der Snapshots betroffener Systeme parallel arbeiten und gezielt nach Schwächen und Angriffsspuren suchen. Für diese Analysen ist es hilfreich, auf externe Threat-Intelligence-Daten zugreifen zu können. Cyber-Threat-Intelligence-Unternehmen wie Qualys analysieren kontinuierlich die Tools, Techniken und Verfahren, die Gegner in den Angriffsphasen bis hin zum Diebstahl, der Verschlüsselung oder Zerstörung von Daten einsetzen. Cohesity DataHawk nutzt diese Informationen, um Unternehmen die Möglichkeit zu geben, ihre gesamte Infrastruktur passiv zu scannen, um Angriffe zu entdecken, bevor Daten betroffen sind, und um sicherzustellen, dass die Artefakte des Angriffs nicht wiederhergestellt werden.

Am Ende dieser Analyse werden sie verstehen, auf welche Weise welcher Schaden und welcher feindliche Code abgelegt wurde. Mit diesem elementaren Wissen können Security-Teams dann die Regeln und Konfigurationen ihrer eigenen Abwehrschirme schärfen und diesen Einbruchsweg schließen. Parallel können sie alle Angriffs-Artefakte von den Snapshots der betroffenen Produktionssysteme entfernen, Konfigurationen optimieren und fehlende Patches aufspielen. Ein Produktionssystem wird quasi gehärtet, bevor es in die Produktionsumgebung transferiert wird.

Das bedeutet, dass das ursprüngliche Ziel des Welt-Backup-Tags im Zeitalter der modernen Cyber-Bedrohungen erreicht wurde. Wie den obigen Ausführungen entnommen werden, kann die Datensicherung bei zerstörerischen Cyberangriffen tatsächlich die Reaktion auf Cybersecurity-Vorfälle unterstützen und einen Mehrwert bieten, der über die traditionelle Datensicherung und -wiederherstellung hinausgeht.

* Der Autor: James Blake, Global Head of Cyber Resiliency GTM Strategy bei Cohesity.

(ID:49980410)