Threat Hunting: Proaktiv nach Angreifern suchenHypothesen kommen Cyber-Attacken auf die Spur
29. März 2022
Sie umgehen Erkennungs- und Überwachungssysteme, nisten sich im ganzen Netzwerk mit lateralen Bewegungen ein und ziehen systematisch Daten und Informationen ab: Gezielt gesteuerte, komplexe und oft effektive Advanced Persistent Threat (APT) Angriffe haben ein hohes Schadenspotenzial. Threat Hunting stellt eine proaktive Möglichkeit dar, Angreifer im System auch ohne initiale Trigger aufzuspüren und die Zeit bis zur Entdeckung zu reduzieren. Durch Erkenntnisgewinn erlaubt Threat Hunting eine stetige Verbesserung der Cyber-Security.
Vulnerability Management, Security Information und Event Management (SIEM) oder Advanced Persistent Threat Scanner: Unternehmen überwachen ihre IT-Infrastruktur mit verschiedenen Tools und Schwerpunkten. Threat Hunting stellt dabei eine sinnvolle Ergänzung dar: die proaktive Suche nach Angreifer-Aktivität im System ohne das Wissen, dass sich tatsächlich ein Eindringling im Netz befindet. Es erfolgt also meist ohne initialen Trigger.
IT-Sicherheitsspezialist Steve Anson vergleicht Threat Hunting mit Polizeistreifen: Die Polizei wartet nicht nur auf die Meldung von Vorfällen, auf die sie reagiert, sondern patrouilliert aktiv in ihrem Zuständigkeitsgebiet. Wer mit der Cyber Defense beauftragt ist, sollte deswegen ebenfalls nicht bloß auf einen Alarm warten, sondern aktiv und kontinuierlich nach Angriffsspuren Ausschau halten.
Gerade Advanced Persistent Threat (APT) Angreifer legen es darauf an, möglichst lange unentdeckt zu bleiben. Sie umgehen Abwehrmechanismen, infiltrieren das Netzwerk und greifen unerkannt Wissen und Daten ab. Mit Lateral Movement gelingt es ihnen, sich immer mehr Zugriff auf Systeme zu verschaffen.
Gerade bei aufwändigen Attacken sind Angreifer oft sogenannte Nation State Actors, Geheimdienste oder staatliche Akteure. Nicht das Erpressen von Geld über Ransomware ist ihr Ziel, sondern Wirtschaftsspionage: Bei einer Firma in Skandinavien suchte eine APT Gruppe im Netzwerk zum Beispiel nach Verbindungen zum US-Verteidigungsministerium. Diese Art der Angriffe können mit Threat Hunting entdeckt und ihre Einfallstore geschlossen werden.
Die Voraussetzungen für Threat Hunting
Der Mensch und seine Kompetenz spielen im Threat Hunting die Schlüsselrolle: Die Jäger benötigen einen umfassenden Erfahrungsschatz. Sie müssen sich in potenzielle Angreifer hineinversetzen, ihre Angriffsvektoren und Taktiken kennen bzw. nachvollziehen können. Wichtig ist ebenso das Wissen über aktuelle Bedrohungslagen, auch branchenspezifisch, also wer konkret angreift und wie man dabei vorgeht. Hilfreich ist auch, Vorgehensweisen und Taktiken von vergangenen Angriffen und deren Urhebern zu untersuchen und sie auf die aktuelle Situation anzuwenden.
Gleichzeitig müssen sich Threat Hunter mit System, Netzwerk und Infrastruktur auskennen: Threat Hunting erfolgt auf Basis eines SIEM-Systems, wo Meldungen und Logfiles der Systeme gebündelt und ausgewertet werden – es ermöglicht einen ganzheitlichen Blick auf die Cyber-Security. Deswegen muss im Unternehmen eine entsprechende Datenbasis durch SIEM und Logmanagement geschaffen worden sein: Sind nicht alle Informationen angebunden, können nicht alle Taktiken im Threat Hunting angewandt werden. Es ist also eine reife Architektur erforderlich – sie ist meist in Firmen ab einer gewissen Größe gegeben, die die Grundlagen für Cyber Security geschaffen haben: Incident Response Prozesse wurden zum Beispiel bereits etabliert und werden gelebt.
Threat Hunting ist im Security Operation Center (SOC) angesiedelt. Liegen keine Alerts und Detections im System vor und muss keinem Angriff aktiv nachgegangen werden, kann in den Leerlaufzeiten Threat Hunting betrieben werden. Der Einsatz von Cyber-Security-Personal in Vollzeit ist genauso denkbar wie der von Dienstleistern: Der Trend geht dorthin, die Dienstleistung als Managed Service einzukaufen, gerade große Konzerne greifen darauf zurück.
Der Prozess des Threat Hunting
Im von Steve Anson definierten Prozess des Threat Hunting wird zunächst eine Hypothese formuliert und dann definiert, welche Beweise es geben müsste, wenn sie korrekt ist. Die Jäger haben also keinen konkreten Use-Case, sondern starten in der Regel frei. Auf Basis der vorhandenen Daten wird nach Taktiken, Techniken und Verfahren (TTP) der potenziellen Angreifer gesucht.
Tools wie UEBA (user and entity behavior analytics) oder die MITRE ATT&CK Matrix unterstützen Threat Hunter dabei, die möglichen Varianten im Blick zu behalten; bekannte Angreifergruppen werden von Institutionen mit Eigennamen versehen und kategorisiert; Firmen und Dienstleister, etwa Entwickler von Antiviren-Software, stellen das Wissen weltweit öffentlich zur Verfügung. So kann zum Beispiel die MITRE ATT&CK Matrix dazu genutzt werden, Hypothesen auf verschiedene Taktiken für die unterschiedlichen Phasen des Angriffs einzugrenzen.
Eine Hypothese kann lauten, dass sich ein schadhaftes Programm als legitime Windows-Systemdatei svchost.exe tarnt. Ein Beweis könnte darin bestehen, dass die Datei in ungewöhnlichen Ordnern liegt. Ein anderer Verdacht kann Anomalien in einem Netzbereich nahelegen – etwa, dass sich ein Client neuerdings zu ungewöhnlichen Zeiten anmeldet oder dass Login-Versuche aus atypischen Regionen erfolgen. Threat Hunter suchen also keine Indicators of Compromise (IOC), sondern Indicators of Attacks (IOA).
Steht die Hypothese, wird in der Folge nach den erwarteten Beweisen gesucht und die Hypothese entweder validiert, nachgeschärft und weiterentwickelt oder widerlegt. Dabei werden Schwachstellen der Sicherheitsinfrastruktur aufgedeckt, Log-Gaps oder Tech-Gaps erkannt und festgestellt, ob die Erkennungsmechanismen gut genug sind oder wo die Grenzen der Endpoint-Protection liegen.
Die Ergebnisse können rückgespiegelt und die Cyber-Security mit dem neuen Wissen verbessert werden – so kann der Reifegrad der Systeme, etwa der Log Collection, erhöht werden. In einem weiteren Schritt können die Ergebnisse des Threat Hunting in die Automatisierung weiterer Erkennung und Prävention einfließen, sodass Angreifer automatisiert erkannt werden und keine aufwändige manuelle Suche mehr notwendig ist. Damit ermöglicht Threat Hunting die Optimierung der Prävention und die Erhöhung des Automatisierungsgrads. Werden Zugriffe entdeckt oder bösartige Dateien im System erkannt, stößt es zudem den Incident Response Prozess an.
Insgesamt reduziert Threat Hunting die Zeit, die Angreifer im System verbringen, also jenen Zeitraum zwischen Eindringen und Entdeckung. Gerade in der initialen Phase ist ein Angriff meist schwer zu erkennen – er kann mit Threat Hunting detektiert werden.
Die drei Ansätze im Threat Hunting
Es gibt drei Threat Hunting Ansätze:
- Analyse-gesteuert (Analytics-Driven),
- Situations-gesteuert (Situational-Awareness Driven) und
- Intelligence-gesteuert (Intelligence-Driven).
Im ersten Fall kommen Tools wie Maschinelles Lernen und UEBA zum Einsatz, um die vorliegenden Daten zu durchsuchen und Anomalien zu erkennen. Auf deren Ergebnisse bauen die Jäger ihre Hypothesen auf. Beim Situational-Awareness Driven Ansatz geht man von den Kronjuwelen der Infrastruktur aus: Man definiert, welche Assets und Daten für Angreifer besonders interessant und damit schützenswert sind, was sie genau zur Verfügung stellen und leitet daraus Angriffspfade ab.
Der Intelligence-Driven-Ansatz basiert nicht nur auf der zur Verfügung stehenden Threat Intelligence. Auch das Know-How um Indicators of Compromise (IOC), um Tactics, Techniques and Procedures (TTP) sowie das Wissen, welche Angriffe aktuell durchgeführt werden und welche Gruppen in Frage kommen, spielen dabei eine gewichtige Rolle.
Diese Hunt-Trigger sind zum Beispiel Meldungen des Threat Intelligence Reports oder ein Cyberbrief des Verfassungsschutzes zu Angriffskampagnen gegen deutsche Unternehmen. Darauf kann eine aktive Suche mit einer entsprechenden Hypothese aufbauen: Dieselben Angreifergruppen greifen oft auf ähnliche Vorgehensweisen zurück.
Threat Hunting stellt für Unternehmen eine produktive Methode dar, die Cybersicherheit zu erhöhen und ergänzt Erkennungs- und Überwachungssysteme wie Compromise Assessment oder Vulnerability Management. Es kann Angriffe bereits in einer frühen Phase erkennen und Sicherheitslücken im System offenlegen. Auf Basis der daraus gewonnenen Erkenntnisse ist eine Optimierung und Automatisierung der Cyber-Security möglich.
Leon Hormel, ist Cyber Defense Consultant im Secuinfra Falcon Team und Maximilian Zahn ist Cyber Defense Analyst im Secuinfra Falcon Team.
