Wie Angreifer denken: 1. Schritt zur Erhöhung der IT-Sicherheit

Das Muster der Angreifer ist in aller Regel relativ ähnlich

[datensicherheit.de, 14.10.2020] Cyber-Angriffe können offensichtlich unterschiedlich motiviert sein – vom finanziellen Profit bis zur Spionage. Das Angriffsmuster sei aber in aller Regel relativ ähnlich: Angreifer nutzten privilegierte Benutzerkonten für ihre Aktivitäten. Deshalb müssten Unternehmen verstärkt präventive Maßnahmen zum Schutz der privilegierten Accounts ergreifen, rät CyberArk.

Cyber-Angreifer kaum noch mit Sicherheitsmaßnahmen am Perimeter wirksam zu stoppen

Viele Unternehmen – gerade auch im Mittelstand – seien immer noch der Meinung, dass sie Cyber-Angriffe mit Sicherheitsmaßnahmen am Perimeter wirksam stoppen könnten. Die Realität sehe aber anders aus:„Datenverluste, Integritätsprobleme oder Unterbrechungen von Services bei geschäftskritischen Anwendungen sind trotz elementarer Sicherheitsmaßnahmen wie eines Perimeter-Schutzes mit Firewalls und Antiviren (AV)-Lösungen an der Tagesordnung.“
Das Problem sei, dass ein Unternehmen mit solchen Maßnahmen Sicherheitsrisiken infolge von zielgerichteten Phishing-Attacken, Insider-Bedrohungen, verstärkter Nutzung von Cloud-Services oder Ransomware nicht restlos beseitigen könne.

Am Beispiel des Spear-Phishings hat CyberArk das Vorgehen der Angreifer analysiert

Um Gefahren sicher abwehren zu können, sollte ein Unternehmen zunächst das typische Muster von Cyber-Angriffen kennen. Am Beispiel des sogenannten Spear-Phishings hat CyberArk nach eigenen Angaben die zeitliche Abfolge eines Angriffs analysiert:

• Versand von Spear-Phishing-E-Mails aus vermeintlich vertrauenswürdiger Quelle an ausgewählte Mitarbeiter eines Unternehmens
• Öffnung von Spear-Phishing-E-Mails und präparierter Anhänge durch die Mitarbeiter
• Starten eines bösartigen Makros im Hintergrund und Installation von Malware auf dem Rechner des Mitarbeiters
• Diebstahl von Zugangsdaten und Passwörtern des lokalen, kompromittierten Rechners
• Nutzung der Zugangsdaten für den Zugriff auf verbundene Systeme in der Domain
• „Seitwärtsbewegung“ der Angreifer im Netz, bis sie Zugang zu einem administrativen Account erhalten
• Verwendung des administrativen Accounts, um sich Zugriff auf zusätzliche privilegierte Accounts zu verschaffen
• Nutzung der privilegierten Accounts und Zugangsdaten für den Zugang zu unternehmenskritischen Systemen, Applikationen und Daten.

Angreifer missbrauchen zumeist privilegierte Zugänge

„Bei nahezu allen Sicherheitsvorfällen ist die missbräuchliche Nutzung von privilegierten Zugängen integraler Bestandteil von Angriffen auf IT-Systeme und -Umgebungen“, berichtet Christian Götz, „Director of Presales – DACH“ bei CyberArk.
Ein hoher Schutz könne nur gewährleistet werden, „wenn die privilegierten Zugänge adäquat verwaltet, gesichert und überwacht werden“. Das heißt laut Götz, dass an der Einführung einer Privileged-Access-Management-Lösung kein Weg vorbeiführe: „Damit bleiben auch Angriffe, die den Perimeter überwinden, für Unternehmenssysteme, -applikationen und -daten folgenlos.“

Dynamischer Bedrohung begegnen: Denkweise der Angreifer verstehen!

Unternehmen dürften auch nicht außer Acht lassen, dass die Bedrohungslage durch die höhere Komplexität von IT-Systemlandschaften steige. Im Zuge der zunehmenden Digitalisierung fänden sich privilegierte Accounts und Zugangsdaten nicht mehr nur in der Infrastruktur vor Ort, sondern auch über Cloud- oder Hybrid-Umgebungen hinweg – umso größer seien auch die Sicherheitsgefahren.
„Wenn Unternehmen mit der dynamischen Bedrohungslandschaft Schritt halten wollen“, so Götz, „müssen sie zum einen die Denkweise eines Angreifers verstehen. Und zum anderen ist es unumgänglich, auch alle potenziellen Angriffspunkte zu kennen.“ Nur so könnten Unternehmen dann auch die geeigneten Gegenmaßnahmen einleiten.

Weitere Informationen zum Thema:

datensicherheit.de, 20.12.2018
Spear Phishing: Hilfsorganisation verlor eine Million US-Dollar / Angriff über kompromittiertes E-Mail-Konto eines Mitarbeiters

datensicherheit.de, 18.08.2016
CEO-Fraud, Whaling und Spearphishing bisher fast nicht zu unterbinden / „Hornetsecurity Advanced Threat Protection“ soll nun das Einfallstor E-Mail für hochkomplexe und ausgeklügelte Angriffe schließen