
Compromise Assessment kann ein wertvolles Tool darstellen, um die IT-Security von Unternehmen neben traditionellen Maßnahmen wie Vulnerability Management oder Penetrations-Test zu erweitern. Damit können laufende oder vergangene Angriffe detektiert werden. Dennoch müssen sich Unternehmen darüber klar sein, dass nur ein ganzheitlicher Ansatz, der auf dem Zusammenspiel von Tools und Knowhow basiert, das Security Maturity Level dauerhaft anheben kann.
Unternehmen setzen in der Regel traditionelle Schutzmaßnahmen wie Vulnerability Management oder Penetrations-Tests gegen Cyberangriffe ein; diese sind allerdings immer schwieriger zu detektieren. Advanced Persistant Threats (APT) zum Beispiel nutzen eigene Tools mit unbekannten Signaturen, die ein IPS (Intrusion Prevention System) oder IDS (Intrusion Detection System) nicht erkennt.
Vulnerability Management oder Penetrations-Tests stellen Momentaufnahmen von der Sicherheit des Systems und der Konfiguration dar. Die Ergebnisse basieren beim Vulnerability Management überwiegend auf den Datenbeständen und beim Penetrations-Test auf dem Fachwissen der Tester. Ohne breites Knowhow und Qualität können die Ursachen von Angriffen nicht ermittelt werden. Penetrations-Test sind zudem invasiv. Da es zu Ausfällen und Mehrkosten kommen kann, sind sie mit hohen Risiken verbunden.
Beide Methoden zeigen nicht auf, ob vorhandene Schwachstellen bereits ausgenutzt wurden. Oft werden Zero-Day-Lücken übersehen: unbekannte Sicherheitslücken, die ausgenutzt werden können, um Schaden anzurichten. Auch einfache Konfigurationsfehler wie zu großzügige Berechtigungsmaßnahmen fallen durch das Raster: Im Active Directory von Windows finden sich häufig Accounts oder Gruppen mit diversen Berechtigungen und schlechten Passwörtern. Im Ernstfall kann darüber die komplette Infrastruktur kompromittiert werden.
Traditionelle oder präventive Maßnahmen reichen also nicht aus, um das Maturity-Level der IT-Security-Infrastruktur zu heben, Angriffe und akute Bedrohungen zu erkennen und darauf zu reagieren. Compromise Assessment kann hier eine wertvolle Ergänzung darstellen: Es ist darauf ausgelegt, Spuren von Angriffen zu finden, die sogenannten IOCs – Indicators of Compromise. Durch ihre Analyse und Bewertung werden kompromittierte Systeme und die zugrunde liegenden Schwachstellen entdeckt und daraus klare Handlungsempfehlungen abgeleitet. Die Ursachen werden in der Remediationsphase behoben und der gewünschte Soll-Zustand hergestellt, um laufende Angriffe zu beenden und künftige zu verhindern. Compromise Assessment ist dabei eine bewertende, keine präventive Disziplin in der IT-Security. Sie betrachtet die gesamte Infrastruktur und ermöglicht einen Blick in die Vergangenheit.
Die Spuren von laufenden und vergangenen Angriffen finden
Ein Angreifer hinterlässt zwangsläufig forensische Artefakte, die für die Auswertung herangezogen werden können. Dies können beispielsweise Log- und Dumpdateien von Angriffswerkzeugen, Dateien mit ungewöhnlichem obfuskiertem Inhalt, Werkzeuge zur Persistenzerzeugung oder schlicht Tools in untypischen Verzeichnissen oder spezifische Konfigurationsschlüssel sein. Es kann sich ebenso um ungewöhnliche Netzwerkverbindungen zu verdächtigen Servern, IP-Adressen und Ports handeln oder um Logdateien von Interaktionen, Anmeldungen und Prozessstarts. Die Anzahl und Vielfalt der in der Praxis detektierbaren IOCs ist dabei durchaus erschreckend.
Alleine das Tool THOR APT Scanner der Nextron Systems GmbH beinhaltet aktuell im Basisregelsatz beispielsweise ca. 18.000 IOCs in 26 verschiedenen Detektionsmodulen. Es wird weltweit von Threat Huntern und Incident Respondern geschätzt.
Gute Tools und breites Wissen um Angriffe schnell zu erkennen
Studien belegen, dass es in der Regel zwei bis drei Monate dauert, bis ein Angriff überhaupt entdeckt wird. Der Schaden wird mit jedem Tag, an welchem der Angreifer unentdeckt bleibt, größer. Über Compromise Assessment kann die Zeit zur Erkennung eines erfolgreichen Angriffs im besten Fall auf wenige Tage reduziert werden. Üblicherweise werden Angriffe kurz nach Beginn der Analyse entdeckt, weil mit den Events der höchsten Hitrate begonnen wird. Maßgeblich dafür ist eine Summe an Tagen, welche sich aus der Scandauer und dem Beginn der Analyse zusammensetzt. Dieser Zeitraum kann je nach Scankonfiguration, Größe des Systems und Anzahl zurückgelieferter Events stark variieren. Eine ungefähre Kenngröße ist eine Woche, da die Scandauer zwischen wenigen Minuten und mehreren Tagen betragen kann und im Anschluss direkt mit der Analyse begonnen wird. Man sortiert die Events nach Schweregrad und beginnt mit den schwerwiegendsten. Allerdings können auch Events mit einem niedrigen Schweregrad Indikatoren für einen Angriff darstellen. Deswegen ist es wichtig, dass die Analysten ein breites Wissen über den Aufbau und die Funktionsweise der Systeme besitzen: Das Ergebnis der Analyse kann nur so gut sein, wie es das Know-How der Analysten zulässt. Die Tools und das zugrundeliegende Regelwerk der IOC-Scanner geben die richtige Richtung vor, die Hinweise müssen dann richtig gedeutet und in Zusammenhang gebracht werden.
Die Notwendigkeit von Continuous Compromise Assessment
Auch wenn ein Compromise Assessment Scan Klarheit über laufende und vergangene Angriffe bringt und einen tiefen Einblick liefert – er bleibt eine Momentaufnahme. Jede Änderung an den Systemen kann Angriffsvektoren beheben, aber eben auch neue schaffen. Deswegen ist ein Continuous Compromise Assessment sinnvoll: Das Scannen nach Angriffsspuren und Analysen auf wiederkehrender Basis. Der initiale Scan ist dabei recht aufwändig, da eventuell Millionen forensischer Artefakte untersucht werden müssen, was mehrere Tage in Anspruch nehmen kann. Die Folgescans und -auswertungen sind bedeutend einfacher, da nur die Änderungen durchleuchtet werden müssen.
Ein Compromise Assessment Scan allein verkürzt nicht die Zeit, bis ein Angriff erkannt wird. Das geschieht nur, wenn alle Maßnahmen aus vorhergehenden Scans umgesetzt und in regelmäßigen Abständen die Systeme erneut gescannt werden. Diese Maßnahmen müssen priorisiert, zeitnah umgesetzt und verfolgt werden, damit das Sicherheitslevel langfristig steigt. Dabei kann es sich zum Beispiel um das Einführen eines zentralisierten Log-Managements oder gar SIEM handeln, das Abändern der Domain Policy und das Einführen eines Berechtigungsmanagements. Es ist auch sinnvoll, Systeme auszutauschen, wenn diese zu alt sind oder der Hersteller den Support eingestellt hat. So können Unternehmen ihre Prozesse optimieren und ein Sicherheitslevel erreichen, welches dazu beiträgt, dass neue Angriffe schneller behandelt oder verhindert werden können.
Fazit
Compromise Assessment ist eine exzellente Disziplin, um laufende oder vergangene Angriffe, zu erkennen, zu bewerten und durch entsprechende Maßnahmen in Zukunft zu verhindern. Es kann die IT-Security sinnvoll erweitern, ist alleine aber nicht ausreichend, um das Security Maturity Level zu erhöhen. Denn Compromise Assessment ist eine passive Disziplin und muss manuell durchgeführt werden. Erst in Kombination mit anderen Tools und Maßnahmen entsteht ein Kosmos, welcher das gesamte Sicherheitslevel widerspiegelt.
Autoren: Christoph Lemke, Security Consultant SECUINFRA / Ramon Weil, Gründer und Geschäftsführer SECUINFRA
Weitere Informationen: www.secuinfra.com/de
Fachartikel

ChatGPT bei der Arbeit nutzen? Nicht immer eine gute Idee

Das Aktualisieren von Software-Agenten als wichtige Praktik der Cyberhygiene auf MSP-Seite

Kosteneinsparungen und Optimierung der Cloud-Ressourcen in AWS

CVE-2023-23397: Der Benachrichtigungston, den Sie nicht hören wollen

Wie sich kleine und mittlere Unternehmen proaktiv gegen Ransomware-Angriffe wappnen
Studien

Studie zeigt 193 Millionen Malware-Angriffe auf Mobilgeräte von Verbrauchern im EMEA-Raum

2023 State of the Cloud Report

Trotz angespannter Wirtschaftslage: die Security-Budgets steigen, doch der IT-Fachkräftemangel bleibt größte Hürde bei Erreichung von Security-Zielen

BSI-Studie: Viele Software-Produkte für Onlineshops sind unsicher

Wie Cloud-Technologie die Versicherungsbranche revolutioniert
Whitepaper

Arctic Wolf Labs Threat Report: Deutlicher Anstieg der erfolgreichen Fälle von Business-E-Mail-Compromise

Aufkommende Trends in der externen Cyberabwehr

Cyber-Sicherheit für das Management – Handbuch erhöht Sicherheitsniveau von Unternehmen

Aktueller Datenschutzbericht: Risiko XXL am Horizont

Vertrauen in die Lieferkette durch Cyber-Resilienz aufbauen
Unter4Ohren

Optimierung der Cloud-Ressourcen und Kosteneinsparungen in AWS

DDoS – der stille Killer

Continuous Adaptive Trust – mehr Sicherheit und gleichzeitig weniger mühsame Interaktionen

Datenschutz und -kontrolle in jeder beliebigen Cloud bei gleichzeitiger Kostensenkung, Reduzierung der Komplexität, Verbesserung der Datenverfügbarkeit und Ausfallsicherheit
