Schutz vor Social-Engineering-Attacken: 5 einfache Maßnahmen

Social Engineering gegenwärtig eine der zentralen Bedrohungen der IT-Sicherheit

[datensicherheit.de, 25.08.2020] „Social Engineering gehört aktuell zu den zentralen Bedrohungen für die IT-Sicherheit“ – die kürzliche Attacke auf Twitter habe es erneut deutlich gezeigt, so CyberArk in einer aktuellen Stellungnahme und nennt fünf einfache Maßnahmen, welche die Social-Engineering-Gefahr deutlich reduzieren könnten.

Attacke auf Twitter auf Social Engineering zurückzuführen

„Die Hacker-Attacke auf Twitter, von der unter anderem Präsidentschaftskandidat Joe Biden, Ex-Präsident Barack Obama oder amazon-Chef Jeff Bezos betroffen waren, zählt zu den bisher größten Angriffen auf eine Social-Media-Plattform.“
Laut Twitter sei sie auf „Social Engineering“ zurückzuführen. Die Angreifer hätten sich damit privilegierte Zugangsdaten zu einem administrativen Tool verschaffen können, welches normalerweise nur internen Support-Teams zur Verfügung stehe.

Social-Engineering-Angriffe nie gänzlich ausschließen

Menschen machten Fehler, deshalb würden Unternehmen erfolgreiche Social-Engineering-Angriffe nie gänzlich ausschließen können. Aber es gebe fünf Maßnahmen, mit denen ein Unternehmen die Erfolgsquote der Angreifer massiv senken könne:

1. Awareness-Aufbau
   Die regelmäßige Sensibilisierung der Mitarbeiter für Sicherheitsgefahren und kontinuierliche Schulungen zu „Cybersecurity Best Practices“ seien unverzichtbar. Dabei sollte vor allem auf die Risiken im Zusammenhang mit Zahlungsanweisungen oder mit der Weiterleitung vertraulicher und persönlicher Informationen aufmerksam gemacht werden.
2. Nutzung von „Privileged Access Management“
   „Eine der besten proaktiven Möglichkeiten zur Risikominimierung bei privilegierten Zugriffen ist die Umsetzung des Least-Privilege-Prinzips im Rahmen eines Privileged-Access-Managements.“ Das heißt demnach, die Zugriffsrechte von Benutzern sollten auf das für die jeweilige Rolle erforderliche Minimum beschränkt werden. Damit könnten seitliche Bewegungen eines Angreifers im Unternehmensnetz verhindert werden – auch nach einer erfolgreichen Social-Engineering-Attacke.
3. Einsatz von Multi-Faktor-Authentifizierung
   Eine Ein-Faktor-Authentifizierung etwa mit einem Passwort sei immer ein Single-Point-of-Failure. Deshalb sollte für den Zugriff auf kritische Systeme zwingend eine Multi-Faktor-Authentifizierung erforderlich sein. Damit laufe jede Social-Engineering-Attacke ins Leere.
4. Verwendung dualer Kontrollsysteme
   Kein Mitarbeiter sollte ohne mehrfache Sicherheitsebenen einen vollen Zugriff auf vertrauliche Plattformen haben. Es müsse zumindest ein Vier-Augen-Prinzip gelten, das heißt: „Ein Mitarbeiter erhält nur dann einen Zugriff auf ein kritisches System, wenn er dafür von einem zweiten autorisierten Benutzer oder einer zusätzlichen Systemlogik (beispielsweise einem Ticket-Management-System) die Freigabe erhält.“
5. Überwachung privilegierter Aktivitäten
   Die kontinuierliche Überwachung privilegierter Sitzungen und der Einsatz von Analyse-Tools ermöglichten die automatische Erkennung riskanten Verhaltens oder ungewöhnlicher Tätigkeiten. Auf dieser Informationsbasis könne ein Unternehmen dann schnell erforderliche Maßnahmen einleiten.

Privilegierte Accounts und Aktivitäten managen, um Social-Engineering-Attacken abzuwehren

„Der Twitter-Angriff verdeutlicht einmal mehr die Gefahren, die von einem ungesicherten privilegierten Zugriff auf kritische Anwendungen ausgehen“, so Michael Kleist, „Regional Director DACH“ bei CyberArk.
Gelangten externe Angreifer in den Besitz privilegierter Zugriffsrechte, erhielten sie relativ problemlos Zugang zu den wichtigsten Systemen und Ressourcen eines Unternehmens – vom Geistigen Eigentum bis bin zu vertraulichen Kundendaten. Umso wichtiger sei die Nutzung einer umfassenden Lösung im Bereich „Privileged Access Management“, mit der alle privilegierten Accounts und Aktivitäten verwaltet, gesichert und überwacht werden könnten.

Weitere Informationen zum Thema:

datensicherheit.de, 19.07.2020
Twitter: Absicherung der Benutzerkonten Gebot der Stunde / Ben Carr kommentiert die jüngsten Angriffe Cyber-Krimineller gegen Twitter

datensicherheit.de, 19.07.2020
Promi-Phishing auf Twitter: Mögliche Angriffswege / Am 15. Juli 2020 wurde die Welt zum Zeugen einer groß angelegten Phishing-Kampagne auf Twitter

datensicherheit.de, 16.07.2020
Twitter: Promi-Konten gehackt / Tim Berghoff erläutert Schutzmaßnahmen für Twitter-Anwender und Nutzer anderer Sozialer Medien