Unsichtbare Gefahren in UnternehmensnetzenFünf zentrale Verhaltensweisen gegen Cyber-Bedrohungen

Im Zuge der Entwicklung der Bedrohungslandschaft werden in vielen Unternehmens Budgets für die Aufstockung von Sicherheitsteams und die Erweiterung der Verteidigungsmaßnahmen am Netzwerkperimeter erweitert. Ziel dabei ist es die Bedrohungserkennung zu verbessern und die Triage zu beschleunigen. Leider ist dies nach Meinung von Experten für Cyber-Sicherheit eine falsche Prämisse.

In der Praxis ist diese Einschätzung bereits bekannt, angefangen mit einer aktuellen technischen Empfehlung von Gartner. In einem Blog macht Gartner deutlich: „Seit Jahren ist die Idee der Erkennung von Netzwerkbedrohungen gleichbedeutend mit Intrusion Detection and Prevention Systems (IDPS).“ Weiter heißt es: „Die heutigen NTA-Systeme tragen etwas DNA von den frühen Anomalie-basierten IDS-Systemen, aber sie unterscheiden sich im Wesentlichen in ihrem Zweck und konzentrieren sich viel weniger auf das Erkennen der erstmaligen Versuche, ins Netzwerk einzudringen“, so Gartner. „Die Unterschiede im Einsatzzweck und den bevorzugten Ansätzen haben die Praxis der Nutzung von Netzwerkdaten zur Sicherheit auf andere moderne Tools wie die NTA ausgedehnt.“

Während es mehrere Gründe gibt zugunsten dieser Argumentation, ist die Fähigkeit, den „Ost-West-Verkehr“ im Netzwerk sichtbar zu machen, grundlegend. Ein Unternehmen befindet sich in seinem verwundbarsten Zustand, sobald eine Seitwärtsbewegung (Lateral Movement) eintritt. Die Schwachstellen wurden bereits ausgenutzt und der Perimeter wurde umgangen.

„Angreifer sind schnell und breiten sich seitlich zu anderen strategischen Punkten im Netzwerk aus, sammeln Informationen und exfiltrieren oder zerstören Daten. Dies gilt auch dann, wenn dieselben Unternehmen auf Hinweise für Insider-Bedrohungsaktivitäten stoßen“, so Gérard Bauer, VP EMEA bei Vectra. Dieser Ansatz ist nachvollziehbar, aber wirft zwei praktische Fragen auf:

• Nach welchem Verhalten sollte man überhaupt suchen und wie kann man dieses Verhalten effizient und genau identifizieren?
• Bei Vectra beobachtet und identifiziert man das Verhalten von Querbewegungen in den Netzwerken seiner Anwender, wenn sie sich dafür entscheiden, Metadaten mit Vectra zu teilen. Im jüngsten Attacker Behavior Industry Report, der auf der RSA-Konferenz 2019 veröffentlicht wurde, wurde dies als ein immer häufigeres Verhalten eingestuft.
• Wie sollten Sicherheitsteams ausgestattet werden, um Querbewegungsverhalten zu identifizieren?

Hierzu ist empfehlenswert, die Wirksamkeit der bestehenden Prozesse und Tools zu bewerten, um die folgenden Verhaltensweisen zu erkennen und schnell darauf zu reagieren:

• Automatisierte Replikation: Ein internes Host-Gerät sendet ähnliche Nutzlasten an mehrere interne Ziele. Dies kann das Ergebnis sein, wenn ein infizierter Host einen oder mehrere Exploits an andere Hosts sendet, um zu versuchen, weitere Hosts zu infizieren.
• Brute-Force-Bewegung: Ein interner Host führt übermäßige Anmeldeversuche auf einem internen System durch. Dieses Verhalten erfolgt über verschiedene Protokolle (z.B. RDP, VNC, SSH) und könnte auf eine Speicherabsturzaktivität hinweisen.
• Bösartige Aktivitäten in Kerberos-Konten: Ein Kerberos-Konto wird über das normale Maß verwendet und die meisten Anmeldeversuche scheitern.
• Verdächtiges Administratorverhalten: Das Host-Gerät verwendet Protokolle, die mit administrativen Aktivitäten (z.B. RDP, SSH) in einer Weise korrelieren, die als verdächtig angesehen wird.
• Brute-Force-Bewegung über SMB (Server Message Block): Ein interner Host verwendet das SMB-Protokoll, um viele Anmeldeversuche mit den gleichen Konten durchzuführen. Dieses Verhalten steht im Einklang mit Brute-Force-Passwortangriffen.

„Natürlich variieren Schweregrad und Häufigkeit je nach Branche. Welches Verhalten in der jeweiligen Branche am häufigsten vorkommt, zeigt ebenfalls der Attacker Behavior Industry Report von Vectra auf“, erläutert Gérard Bauer. „Mit unserer KI-basierten Plattform Cognito erfassen wir ein sehr breites Spektrum von Angreifer-Verhaltensweisen, mit denen Unternehmen heute konfrontiert werden.“ (rhh)

Vectra