Abwehr im Zeitalter von Advanced Persistent Threats (Teil 2)
Die erste Verteidigungslinie: Mitarbeiter und Administratoren
Das Sonderziel: der Administrator
Administratoren haben deutlich umfangreichere Rechte als Benutzer. Deshalb sind gerade IT-Administratoren ein beliebtes Angriffsziel. Als Menschen sind sie ebenso anfällig für Social Engineering durch Spear Phishing oder USB-Sticks.
Die größte Gefahrenquelle ist allerdings die tägliche Routine. Viele APT-Angriffe benötigen gar kein Social Engineering, da in der täglichen Arbeit fundamentale Sicherheitsaufgaben "vergessen" werden.
Die Pflicht: Hardening und Patching
Viele Angreifer dringen über banale Schwachstellen ins Unternehmen ein, wie zum Beispiel:
ein nicht geändertes Standardpasswort auf einem Webserver.
eine nicht entfernte Webshell-Anwendung.
eine nicht gepatchte kritische Sicherheitslücke, obwohl die Lücke lange bekannt ist und der Hersteller bereits Updates anbietet.
Die Härtung neu aufgesetzter Systeme ist elementarer Bestandteil der Defense-in-Depth-Strategie, ebenso wie das zeitnahe Patchen von kritischen Sicherheitslücken.
Bequemlichkeit und Routine sind die größten Feinde
Cyber-Angreifer sind mit den täglichen Arbeitsabläufen eines Administrators bestens vertraut und nutzen das mit entsprechenden Angriffsszenarien aus. Haben sie einen Account gekapert, versuchen sie dasselbe Passwort bei anderen Admin-Accounts. Und sie haben damit oft Erfolg.
Extrem gefährlich ist auch die Nutzung hoch privilegierter Admin-Accounts auf Clients oder Webservern. Cyber-Angreifer können beispielsweise Windows-Passwörter mit entsprechenden Tools im Klartext aus dem RAM eines Servers auslesen. Häufig finden sie bereits auf einem einfachen Web- oder Backup-Server die Zugangsdaten des Domänenadministrators. Denn für Administratoren ist es eben viel bequemer, immer den "Super-Admin" zu benutzen anstelle eines eigenen Accounts für jedes System. Deshalb lautet eine wichtige Regel: Jeder Administrator sollte nur mit den Rechten arbeiten, die er für die Erledigung der Aufgabe benötigt. Dieses "Prinzip der minimalen Rechte" ist ein weiterer elementarer Bestandteil einer erfolgreichen IT-Sicherheitsstrategie.
Mittelfristig sollten Admin-Accounts zusätzlich durch technische Maßnahmen wie Zwei-Faktor-Authentisierung, Jump-Server oder den Einsatz von Privileged-Identity-Management-Tools abgesichert werden.
- Woran Sie einen Angriff erkennen
Nach Analysen von McAfee weisen vor allem acht Indikatoren darauf hin, dass ein Unternehmensnetz in die Schusslinie von Hackern geraten ist. Hans-Peter Bauer, Vice President Zentraleuropa bei McAfee, stellt sie vor. - Interne Hosts kommunizieren mit bösartigen oder unbekannten Zieladressen
In jedem Fall verdächtig ist, wenn ein Host-Rechner auf externe Systeme zugreift, deren IP-Adressen auf "Schwarzen Listen" von IT-Sicherheitsfirmen zu finden sind. Vorsicht ist auch dann geboten, wenn Rechner häufig Verbindungen zu Systemen in Ländern aufbauen, zu denen ein Unternehmen keine geschäftlichen Beziehungen unterhält. Dabei kann es sich um den Versuch handeln, Daten aus dem Unternehmen hinauszuschmuggeln. - Interne Hosts kommunizieren mit externen Hosts über ungewöhnliche Ports
Auffällig ist beispielsweise, wenn interne Rechner über Port 80 eine SSH-Verbindung (Secure Shell) zu einem System außerhalb des Firmennetzes aufbauen. SSH nutzt normalerweise Port 22 (TCP). Port 80 ist dagegen die Standardschnittstelle für HTTP-Datenverkehr, also den Zugriff auf das Internet. Wenn ein Host einen ungewöhnlichen Port verwendet, kann dies ein Indiz dafür sein, dass ein Angreifer das System unter seine Kontrolle gebracht hat. Um IT-Sicherheitssysteme zu täuschen, tarnt ein Hacker dann die Kommunikation mit seinem Command-and-Control-Server (C&C) als Anwendung, die jedoch nicht den Standard-Port verwendet. - Öffentlich zugängliche Hosts oder Hosts in entmilitarisierten Zonen (DMZ) kommunizieren mit internen Hosts
Mithilfe solcher Hosts kann es Angreifern gelingen, gewissermaßen "huckepack" in ein Unternehmensnetz einzudringen, Daten zu stehlen oder IT-Systeme zu infizieren. - Warnungen von Malware-Scannern außerhalb der Geschäftszeiten
Verdächtig ist, wenn Antiviren-Programme in der Nacht oder am Wochenende Alarm schlagen, also außerhalb der normalen Arbeitszeiten. Solche Vorkommnisse deuten auf einen Angriff auf einen Host-Rechner hin. - Verdächtige Netzwerk-Scans
Führt ein interner Host-Rechner Scans des Netzwerks durch und nimmt er anschließend Verbindung zu anderen Rechnern im Firmennetz auf, sollten bei Administratoren die Alarmglocken schrillen. Denn dieses Verhalten deutet auf einen Angreifer hin, der sich durch das Netzwerk "hangelt". Vielen Firewalls und Intrusion-Prevention-Systemen (IPS) entgehen solche Aktionen, wie sie nicht entsprechend konfiguriert sind. - Häufung identischer verdächtiger Ereignisse
Ein klassischer Hinweis auf Angriffe ist, wenn mehrere sicherheitsrelevante Events innerhalb kurzer Zeit auftreten. Das können mehrere Alarmereignisse auf einem einzelnen Host sein, aber auch Events auf mehreren Rechnern im selben Subnetz. Ein Beispiel sind Fehler beim Authentifizieren. - Schnelle Re-Infektion mit Malware
Nach dem Scannen mit einer Antiviren-Software und dem Beseitigen eventuell vorhandener Schadsoftware sollte ein IT-System eigentlich längere Zeit "sauber" bleiben. Wird ein System jedoch innerhalb weniger Minuten erneut von Malware befallen, deutet dies beispielsweise auf die Aktivitäten eines Rootkit hin. - Dubiose Log-in-Versuche eines Nutzers
Eigenartig ist, wenn derselbe User innerhalb kurzer Zeit von unterschiedlichen Orten aus Log-in-Versuche in ein Firmennetz startet oder wenn solche Aktionen von Systemen mit unterschiedlichen IP-Adressen aus erfolgen. Eine Erklärung ist, dass die Account-Daten des Nutzers in falsche Hände gefallen sind. Denkbar ist allerdings auch, dass sich ein illoyaler oder ehemaliger Mitarbeiter Zugang zu verwertbaren Daten verschaffen will.
Sichere Softwareentwicklung
Selbstverständlich sind auch Softwareentwickler eine wichtige Zielgruppe für Security-Awareness-Maßnahmen. Nach wie vor sind hausgemachte Schwachstellen wie unzureichende Validierung der Benutzereingabe oder fehlende Verschlüsselung gängige Einfallstore für Cyber-Angreifer. Sicherheit sollte deshalb ein integraler Bestandteil des gesamten Softwarelebenszyklus werden - von der Risikoanalyse über Code Reviews bis hin zu Penetrationstests.
Fazit: Fortlaufende Sensibilisierung ist entscheidend
Menschliches Verhalten beeinflusst entscheidend die Widerstandsfähigkeit (Resilience) eines Unternehmens gegen Cyber-Angriffe. Die Schulung und Sensibilisierung der verschiedenen Gruppen ist ein "Quick Win", eine schnell umsetzbare, messbare und kosteneffiziente Maßnahme für eine funktionierende Sicherheitsstrategie. Ohne geschultes Personal bleiben Investitionen in Security-Technologien ineffizient. (bw)
Teil 1: Wenn Virenscans und Firewalls nicht mehr ausreichen.
Teil 3: Professionelle Hacker-Angriffe schnell erkennen und analysieren