Moderne Hackerangriffe werden immer komplexer und überfordern damit herkömmliche Lösungen für Endpoint- und Netzwerksicherheit. Zwar ist Ransomware die Wahl für Cyberkriminelle die schnellen Bitcoins hinterherjagen, Sicherheitsverantwortliche fürchten heute jedoch viel mehr Advanced-Persistent-Threats (APTs). Denn diese bleiben im schlimmsten Fall jahrelang unentdeckt und ermöglichen Cyberkriminellen über lange Zeit hinweg umfangreiche Datenmengen zu stehlen und geben ihnen dauerhaft Zugriff auf sensible Dateien wie Produktionspläne, Entwicklungsberichte, Kommunikationsdaten oder Sitzungsprotokolle. Eine ständige Analyse des Datenverkehrs im Netzwerk kann jedoch auch solche Angriffe aufdecken.
Kriminelle, die APTs lancieren, verwenden höchsten Aufwand darauf, dass die entscheidenden Vorgänge beim digitalen Einbruch einen legitimen Anschein haben. Dies gelingt ihnen zum Beispiel, indem sie reale Nutzernamen und Passworte von Administratoren oder Topmanagern phishen oder indem sie noch unbekannte Schwachpunkte legitimer Anwendungen missbrauchen und ihre Spuren nach gelungenem Einbruch in die IT-Systeme wieder löschen.
Derzeit gängige Sicherheitslösungen erkennen solcherart getarnte Angriffe nicht oder erst viel zu spät. Nur durch eine intelligente Analyse des Netzwerk-Traffics (Network Traffic Security Analytics, NTSA), die typisches Verhalten erlernt und dadurch Abweichungen erkennt, lassen sich APTs identifizieren. NTSA ergänzt die in den meisten Unternehmen bestehenden Abwehrmaßnahmen wie Firewalling und Endpoint-Security, weil sie etwas hat, das kein anderes Sicherheitstool hat: Detaillierte Kenntnisse über das typische Verhalten jedes Endpunkts im Netzwerk.
Der Security-GAU: Advanced-Persistent-Threats
Gegen welche Art von Angriffen schützt NTSA? Zum Beispiel um diesen, der Ende 2018 die weltweit größte Hotelkette Marriott erwischte: Ein APT kompromittierte rund 500 Millionen Daten von Kunden. Es handelte sich um einen mehrschichtigen Angriff. Die Cyberkriminellen verfolgten den Ansatz, langfristig Zugang auf die Daten zu erhalten und große Mengen an wertvollen, sensiblen Informationen zu sammeln. Dies stellt die ressourcenintensivste Form der Cyberkriminalität dar. Die Angreifer arbeiten in Kooperation oder im Auftrag staatlicher Stellen oder sind Teil der organisierten Kriminalität und haben in der Regel ein klar definiertes Ziel. Und obwohl sie dieses teilweise über geradezu plumpe Angriffswaffen wie Phishing anvisieren, ist das Wirkung des Angriffs oft verheerend.
Was APTs von anderen Angriffen unterscheidet, ist ihre Fähigkeit langfristig von Sicherheitslösungen unentdeckt zu bleiben, während sie unbemerkt sensible Daten exfiltrieren. Zu einigen Angriffsmethoden gehört es, die eingesetzten Sicherheitslösungen genauestens zu studieren, um erst dann Malware einzusetzen, wenn man sich sicher ist, dass sie unerkannt bleibt.
Alle Angriffe hinterlassen Spuren
Um solche ausgeklügelte Angriffe zu erkennen, ist eine Kombination verschiedener Sicherheitstechnologien erforderlich – aber vor allem die Analyse des Netzwerk-Traffics. Denn APTs, so gründlich sie auch konzipiert sein mögen, hinterlassen Spuren im Netzwerk, die sich anhand von Netzwerk-Metadaten nachverfolgen lassen. NTSA nutzt diese Metadaten, um detaillierte Kenntnisse über das Verhalten jedes Endpunkts im Netzwerk zu liefern und anomales Verhalten zu entlarven. Aus sicherheitstechnischer Sicht schließt die Netzwerk-Traffic-Analyse die Lücke zwischen Next-Gen-Firewalls und IDS/IPS und ergänzt Netzwerküberwachung und EDR (Endpoint Detection&Response).
So funktioniert die Analyse des Netzwerk-Traffics
Die wichtigste Stärke von NTSA ist es, aus den verfügbaren Netzwerk-Metadaten eine normale Verhaltensbasis für alle Geräte und Anwendungen in einem Netzwerk zu modellieren. Die Lösung nutzt dann diese Basis, um das aktuelle Verhalten abzugleichen. Weicht dieses zu sehr von der Basis ab, erkennt die Lösung eine potenziell bedrohliche Netzwerkaktivität und erzeugt einen Alarm. So kann NTSA neue Bedrohungen erkennen, die von bisherigen Lösungen nicht erkannt wurden. NTSA nutzt Künstliche Intelligenz sowie Verhaltens- und Bedrohungsanalyse, um ausgefeilte Bedrohungen zu erkennen. Sie speichert Metadaten für zur nachträglichen Erkennung von Bedrohungen, also Forensik und Compliance.
Die Analyse von verschlüsseltem Datenverkehr
Ein großer Teil des Datenverkehrs ist heute aus Gründen der Datensicherheit und des Datenschutzes verschlüsselt. Ein wesentlicher Vorteil der NTSA ist die Fähigkeit, Metadaten von verschlüsseltem Datenverkehr zu untersuchen, ohne die Sicherheit der Daten oder die Privatsphäre des Dateninhabers zu beeinträchtigen.
Weitere Vorteile von Network-Traffic-Analytics
NTA bietet die agentenlose Überwachung aller Ereignisse im Netzwerk jedes einzelnen Endpunkts in Echtzeit, samt detaillierter Netzwerkprotokolle. Diese detaillierte Einsicht hilft nicht nur bei der forensischen Analyse, sondern schafft auch komplette Transparenz, da jedes Gerät im Netzwerk inbegriffen ist. Somit erweitert NTSA seine Schutzwirkung auch auf Geräte , deren eigene, integrierte Sicherheit mangelhaft ist, wie es etwa oft bei BYOD- oder IoT-Szenarien vorkommt.
NTSA hilft auch in Hinsicht auf Compliance. Die DSGVO verlangt von Unternehmen, die Opfer von Datenschutzverletzungen wurden, schnell detaillierte Informationen über böswillige Aktivitäten nach einem Verstoß bereitzustellen. Auf NTSA aufbauende Lösungen unterstützen Unternehmen bei der Einhaltung von Compliance-Standards, indem sie Informationen über den Netzwerkdatenverkehr über einen längeren Zeitraum aufzeichnen. Die Aufzeichnung enthält nur Metadaten und der Zugriff lässt sich auf Berechtigte, wie den Datenschutzbeauftragten, beschränken.
Fortschrittliche Lösungen, welche die Analyse des Netzwerkverkehrs nutzen, kombinieren das Wissen über bekannte Bedrohungen außerdem mit fortgeschrittenem maschinellem Lernen und Heuristiken, um die Netzwerk-Metadaten in Echtzeit zu analysieren und Bedrohungsaktivitäten und verdächtige Verkehrsmuster genau zu erkennen. Die Analysen und Warnmeldungen können automatisiert werden. Dies vermeidet Fehlalarme und stellt einen für Menschen lesbaren Kontext her. So verkürzen die Lösungen die Zeit für Untersuchungen und die Effektivität der Security-Teams.
NTSA – Der Netzwerk-Detektiv im Sicherheitsportfolio
Die immer komplexer werdenden IT-Umgebungen in Unternehmen stehen heute vor vielen Bedrohungen. Erfolgreiche Angriffe können Unternehmen finanziell schwer treffen. Um diese Bedrohungen abzuwenden, benötigen Unternehmen eine proaktivere Sicherheitsarchitektur, die über Endpoint-Security hinausgeht und die Erkennung von Bedrohungen in der gesamten IT-Umgebung verbessert. Die Bekämpfung ausgeklügelter, mehrstufiger Angriffe, wie etwa APTs, erfordert auch eine mehrschichtige Verteidigung. Die Netzwerk Traffic Security Analyse kann eine bestehende Sicherheitsarchitektur um eine spezialisierte, netzwerkbasierte Verteidigungslinie ergänzen. Sie analysiert das Verhalten auf Netzwerkebene und liefert Daten, die potenziell kompromittierte Systeme und riskantes oder bösartiges Nutzerverhalten aufzeigen. Wer Daten exfiltrieren will, muss sie zu guter Letzt irgendwann im Netzwerk bewegen. Wenn ein Unternehmen diese Bewegung registriert, kann es sich schützen.
Von Liviu Arsene, Bitdefender
#Netzpalaver #Bitdefender
