Foto: Rawpixel, Shutterstock.com
Seit einiger Zeit beobachten Sicherheitsexperten, dass verschiedenste cyberkriminelle Gruppierungen aus allen Teilen der Welt zunehmend Gebrauch von fortschrittlichen Vorgehensweisen machen. Dabei ist es keineswegs entscheidend, ob sie zu einem größeren Netzwerk gehören oder alleine agieren. Und auch die Herkunft der Angreifer spielt heute kaum mehr eine Rolle. Unabhängig von solchen Faktoren werden moderne Angriffsmethoden für eine rasant wachsende Zahl an Cyberkriminellen zur Routine.
In vielen Fällen verwenden sie Tools und Strategien, auf die Unternehmen nur selten vorbereitet sind. Dazu gehören gezielt zugeschnittene Malware - beispielsweise speziell für Android-Geräte oder auch Methoden des Social Engineering.
Folgen für Wettbewerbsfähigkeit, Wirtschaftlichkeit und Ruf
Urheber von Bedrohungen für die Cybersicherheit nutzen vermehrt Computernetzwerke, um ihre Ziele zu verfolgen. Dabei können ganz unterschiedliche Motive - ob politischer, wirtschaftlicher oder finanzieller Natur - im Vordergrund stehen. Jüngste Entwicklungen zeigen, dass Dienstleister aus dem Bereich Business & Professional Services sowie Händler und Finanzdienstleiters am häufigsten angegriffen werden. Immer wieder zeigen Sicherheitsvorfälle in den unterschiedlichsten Branchen, dass potenziell jedes Unternehmen von einem Angriff auf sein Netzwerk getroffen werden kann. Vorfälle wie diese können immense Folgen für Wettbewerbsfähigkeit, Wirtschaftlichkeit und den Ruf des betroffenen Unternehmens haben.
Unabhängig von der Branche besitzt ein Unternehmen immer Informationen, die für andere von Interesse sind. Dabei kann es sich beispielsweise um Entwürfe für neue Produkte - also um geistiges Eigentum - oder um Finanzinformationen handeln. Laut Mandiant, einem Unternehmen von FireEye, konnten im vergangenen Jahr nur 31 Prozent der Unternehmen Sicherheitsverletzungen selbst aufdecken. Nicht bei jedem Angriff waren die betroffenen Firmen selbst das Ziel. Angreifer nutzen die Netzwerke von unzureichend geschützten Unternehmen auch, um an wichtige Informationen von Geschäftspartnern oder Kunden zu gelangen. Dabei verwenden sie das primär angegriffene Netzwerk als Sprungbrett.
- Woran Sie einen Angriff erkennen
Nach Analysen von McAfee weisen vor allem acht Indikatoren darauf hin, dass ein Unternehmensnetz in die Schusslinie von Hackern geraten ist. Hans-Peter Bauer, Vice President Zentraleuropa bei McAfee, stellt sie vor. - Interne Hosts kommunizieren mit bösartigen oder unbekannten Zieladressen
In jedem Fall verdächtig ist, wenn ein Host-Rechner auf externe Systeme zugreift, deren IP-Adressen auf "Schwarzen Listen" von IT-Sicherheitsfirmen zu finden sind. Vorsicht ist auch dann geboten, wenn Rechner häufig Verbindungen zu Systemen in Ländern aufbauen, zu denen ein Unternehmen keine geschäftlichen Beziehungen unterhält. Dabei kann es sich um den Versuch handeln, Daten aus dem Unternehmen hinauszuschmuggeln. - Interne Hosts kommunizieren mit externen Hosts über ungewöhnliche Ports
Auffällig ist beispielsweise, wenn interne Rechner über Port 80 eine SSH-Verbindung (Secure Shell) zu einem System außerhalb des Firmennetzes aufbauen. SSH nutzt normalerweise Port 22 (TCP). Port 80 ist dagegen die Standardschnittstelle für HTTP-Datenverkehr, also den Zugriff auf das Internet. Wenn ein Host einen ungewöhnlichen Port verwendet, kann dies ein Indiz dafür sein, dass ein Angreifer das System unter seine Kontrolle gebracht hat. Um IT-Sicherheitssysteme zu täuschen, tarnt ein Hacker dann die Kommunikation mit seinem Command-and-Control-Server (C&C) als Anwendung, die jedoch nicht den Standard-Port verwendet. - Öffentlich zugängliche Hosts oder Hosts in entmilitarisierten Zonen (DMZ) kommunizieren mit internen Hosts
Mithilfe solcher Hosts kann es Angreifern gelingen, gewissermaßen "huckepack" in ein Unternehmensnetz einzudringen, Daten zu stehlen oder IT-Systeme zu infizieren. - Warnungen von Malware-Scannern außerhalb der Geschäftszeiten
Verdächtig ist, wenn Antiviren-Programme in der Nacht oder am Wochenende Alarm schlagen, also außerhalb der normalen Arbeitszeiten. Solche Vorkommnisse deuten auf einen Angriff auf einen Host-Rechner hin. - Verdächtige Netzwerk-Scans
Führt ein interner Host-Rechner Scans des Netzwerks durch und nimmt er anschließend Verbindung zu anderen Rechnern im Firmennetz auf, sollten bei Administratoren die Alarmglocken schrillen. Denn dieses Verhalten deutet auf einen Angreifer hin, der sich durch das Netzwerk "hangelt". Vielen Firewalls und Intrusion-Prevention-Systemen (IPS) entgehen solche Aktionen, wie sie nicht entsprechend konfiguriert sind. - Häufung identischer verdächtiger Ereignisse
Ein klassischer Hinweis auf Angriffe ist, wenn mehrere sicherheitsrelevante Events innerhalb kurzer Zeit auftreten. Das können mehrere Alarmereignisse auf einem einzelnen Host sein, aber auch Events auf mehreren Rechnern im selben Subnetz. Ein Beispiel sind Fehler beim Authentifizieren. - Schnelle Re-Infektion mit Malware
Nach dem Scannen mit einer Antiviren-Software und dem Beseitigen eventuell vorhandener Schadsoftware sollte ein IT-System eigentlich längere Zeit "sauber" bleiben. Wird ein System jedoch innerhalb weniger Minuten erneut von Malware befallen, deutet dies beispielsweise auf die Aktivitäten eines Rootkit hin. - Dubiose Log-in-Versuche eines Nutzers
Eigenartig ist, wenn derselbe User innerhalb kurzer Zeit von unterschiedlichen Orten aus Log-in-Versuche in ein Firmennetz startet oder wenn solche Aktionen von Systemen mit unterschiedlichen IP-Adressen aus erfolgen. Eine Erklärung ist, dass die Account-Daten des Nutzers in falsche Hände gefallen sind. Denkbar ist allerdings auch, dass sich ein illoyaler oder ehemaliger Mitarbeiter Zugang zu verwertbaren Daten verschaffen will.
Zugang zur Cyberkriminalität so einfach wie nie zuvor
Das typische Bild eines Cyberkriminellen hat sich in den letzten Jahren stark gewandelt. Während Angreifer in der Vergangenheit vor allem aus technologisch weitentwickelten Regionen stammten, beobachten wir heute immer häufiger fortschrittliche Angriffsmethoden in entlegenen Gebieten. Möglich macht es die zunehmende Digitalisierung, die auch in extrem dünn besiedelten Gegenden weiter zunimmt. Weite Teile der Welt verfügen heute über kabellose oder mobile Netzinfrastrukturen. Selbst in krisengeschüttelten Staaten finden entschlossene Angreifer dadurch die Möglichkeit, Netzwerke auf der ganzen Welt unter Beschuss zu nehmen. Dazu reichen ihnen eine funktionierende Internetverbindung und ein ausreichend leistungsfähiger Computer.
Der Zugang zur Cyberkriminalität ist heute zudem so einfach wie nie zuvor. Die Anschaffung von Computern oder anderen internetfähigen Geräten wird immer günstiger. So wird eine wichtige Hürde marginalisiert, die Bedrohungsurheber nehmen müssen. Darüber hinaus vernetzen sich cyberkriminelle Gruppierungen aus der ganzen Welt stärker denn je und tauschen Erfahrungen, Informationen und Tools regelmäßig untereinander aus. Aus diesen Gründen ist das Verwenden fortschrittlicher Angriffstaktiken heute kostengünstiger und einfacher als je zuvor.
Neue Möglichkeiten bei Angriffen auf Mobilgeräte und Social Engineering
Die Sicherheit mobiler Endgeräte wird in Unternehmen selten hinterfragt. Und doch sind Android- oder iOS-Geräte ebenso angreifbar wie herkömmliche Computer. Immer mehr Mitarbeiter verwenden ihre privaten Smartphones und Tablets, um auf unternehmensinterne Daten und Anwendungen zuzugreifen. In jüngerer Vergangenheit häufen sich zielgerichtete Angriffe auf die Smartphones von wichtigen Unternehmensangehörigen. Es gibt zudem immer mehr Malware-Familien, die speziell für Angriffe auf mobile Plattformen programmiert wurden. Für Cyberkriminelle stellen internetfähige Mobilgeräte nur einen weiteren Endpunkt dar. Durch das gleichzeitig heute noch recht niedrige Sicherheitsbewusstsein bei der Mobilnutzung sind diese Geräte ein vergleichsweise leichtes Ziel. Es ist daher zu erwarten, dass dieser Angriffstyp weiter an Bedeutung zunehmen wird.
Ein weiterer aktueller Trend, der nicht nur Angriffe auf Mobilgeräte betrifft, ist das Social Engineering. Dabei werden Einzelpersonen durch digitale Kommunikation von Angreifern in eine Falle gelockt und eröffnen sich dadurch Angriffsmöglichkeiten. Dabei ist Social Engineering an sich nichts Neues. Schon vor Jahren machten E-Mails die Runde, in denen infizierte Anhänge oder schädliche Links enthalten waren. Besonders häufig geben sich Angreifer als Mitarbeiter der firmeneigenen IT-Abteilung aus und haben großen Erfolg mit diesem Vorgehen. 78 Prozent der 2014 von Mandiant beobachteten Phishing-E-Mails hatten IT- oder sicherheitsbezogenen Inhalt. Durch neue, beliebte Kommunikationskanäle haben sich die Möglichkeiten jedoch vervielfacht. Im Zeitalter von Skype, Twitter, Facebook und Co. reicht es nicht mehr aus, nur den E-Mail-Verkehr zu überwachen.
- McKinsey über Cyber-Kriminalität
In dem Papier "Risk and responsibilty in a hyperconnected world: implications for enterprises" analysiert McKinsey die Auswirkungen von Cyber-Kriminalität. Der Report entstand in Zusammenarbeit mit dem World Economic Forum. - Drei Visionen für das Jahr 2020
McKinsey entwirft drei Visionen über Cyber-Kriminalität im Jahr 2020. Im günstigsten Fall kann sogenannte Cyber-Resilienz der Digitalisierung des Business einen Schub geben und zur Wertschöpfung beitragen. Im schlimmsten Fall hemmt Cyber-Kriminalität die Innovationskraft der Unternehmen. - Mögliche finanzielle Folgen
Zwingen Cyber-Kriminelle Unternehmen und Behörden in die Knie, kann das erhebliche finanzielle Folgen haben. McKinsey spricht von Einbußen bis zu drei Billionen US-Dollar für die Weltwirtschaft bis 2020. - Günstiger Impuls: Cloud
Bekommen die Unternehmen Cyber-Kriminalität in den Griff, kann das der globalen Wirtschaft positive Impulse geben. McKinsey nennt hier insbesondere Cloud Computing. - Günstiger Impuls: Internet der Dinge
McKinsey traut auch dem Internet der Dinge positiven Einfluss auf die Wertschöpfung zu. Voraussetzung ist, dass die Cyber-Sicherheit funktioniert. - Günstiger Einfluss: mobiles Internet
Können Entscheider ihr Unternehmen effektiv gegen Cyber-Attacken sichern, wird das mobile Internet zur Wertschöpfung beitragen, so eine These von McKinsey. - Günstiger Einfluss: Advanced Robotics
McKinsey schreibt Advanced Robotics viel Innovationspotenzial zu - sofern die Sicherheit stimmt.
Neue Normalität als Ansporn
Angesichts der großen Zahl an zielgerichteten Angriffen und Urhebern von Advanced Cyber Attacks, die in diesem Jahr weiter steigen wird, sollten Unternehmen ihre Sicherheitsmaßnahmen an die aktuelle Bedrohungslandschaft anpassen. Absolute Sicherheit gibt es nicht, da Angreifer immer wieder neue Wege finden, Sicherheitsvorkehrungen zu umgehen. Die neue Normalität moderner Angriffsmethoden sollte Sicherheitsverantwortliche weltweit dazu anspornen, ebenso Wege zu finden, um ständig auf Augenhöhe mit den Angreifern zu sein. (bw)