In 2022 stieg die Zahl der Angriffe auf deutsche IT-Infrastrukturen stark an. Das Resultat ist ein enormer Kostenanstieg für deutsche Unternehmen und Organisationen – verursacht durch Cyberangriffe sowie entstandene Datenschutzverletzungen. Bislang zeigt dieser Trend keine Anzeichen einer Stagnation. Dennoch bietet dieser risikobehaftete Zustand die Chance, Muster zu identifizieren, um anhand dieser schwerwiegende Cyberangriffe in 2023 mit einer gewissen Wahrscheinlichkeit vorhersagen zu können.

IBM hat in seinem Cost of Data Breaches Report 2022 durchschnittliche Gesamtkosten von 4,5 Millionen US-Dollar angegeben. (Entstandene Kosten durch Ransomware wurden nicht gesondert erfasst.) Diese Kosten beziehen sich auf die Beseitigung und den Wiederaufbau nach Cyberangriffen. Dabei ist der Diebstahl von Anmeldeinformationen immer noch der häufigste Angriffsvektor (19 %), gefolgt von Phishing (16 %), falsch konfigurierten Clouds (15 %) und Schwachstellen in der Software von Drittanbietern (13 %).

Im gleichen Report wird die zur Identifikation und Eindämmung jeglicher Kompromittierungen benötigte Zeit im Mittel mit 327 Tagen angegeben.

Die Angriffsserie der Lapsus$-Gruppe

Die Gruppe Lapsus$ begann das Jahr 2022 mit einer Reihe hochkarätiger Angriffsziele, darunter Nvidia, Ubisoft, Samsung und Microsoft. In jedem einzelnen Fall wurden Daten gestohlen und in vielen Fällen online zur Verfügung gestellt. Das Betriebsmodell beruht auf der Erpressung der Unternehmen, die zuvor angegriffen wurden. Der Zugriff auf die Infrastruktur erfolgt meistens durch Phishing. Ransomware ist in der Regel kein Teil des Angriffs.

Mehr Datendiebstahl bei Gesundheitsdienstleistern

Im März wurde die Shields Health Care Group angegriffen, wobei rund 2 Millionen Patientendaten offengelegt wurden. Dabei wird angenommen, dass 53 verschiedene Einrichtungen und ihre Patient/-innen betroffen waren.
Im August erlitt ein Managed Service Provider (MSP) des UK National Health Service einen Ransomware-Angriff. Dabei wurde ein größerer Ausfall der Notdienste in ganz Großbritannien verursacht. Zur schnellen Beseitigung wurden Microsoft selbst als auch Mandiant zur Hilfe geholt. In der Vergangenheit war die Gruppe REvil dafür bekannt, solche MSP ins Visier zu nehmen und anzugreifen.

Kryptowährungen sind sicher, oder?

Der Boom und damit das Marktwachstum im Kryptobereich hat in den vergangenen Jahren einen großen Fokus auf diesen Bereich gelegt. Dieses schnelle Wachstum führt in der Regel zu unsicherer Software. So hat die Lazarus Gruppe 540 Millionen Dollar in Ethereum und USDC-Stablecoins von der Ronin-Blockchain-Bridge gestohlen (eine Blockchain Bridge ist ein Tool, das es Nutzenden ermöglicht, Krypto von einer Blockchain in eine andere zu verschieben.)
Im Februar wurden 321 Millionen Dollar der Wormhole Ethereum-Variante gestohlen und im April konnten Angreifende das Stablecoin-Protokoll „Beanstalk“ ausnutzen und so Krypto im Wert von 182 Millionen Dollar ergaunern.

Das Security Operation Center (SOC) ist die Basis der Cyber Security eines Unternehmens. Mittels eines SOAR-Tools kann das SOC Security-Vorfälle effizienter und schneller abarbeiten. Ein bedeutender Faktor, da Schnelligkeit in einem Security-Vorfall ein wichtiges Mittel der Abwehr ist.

Ein SOAR kann eine Kombination aus kompatiblen Programmen sein, die einem Unternehmen ermöglichen, aus unterschiedlichen Quellen Daten über Security Events einzusammeln. Diese Events können ohne menschliche Interaktion automatisch behandelt werden. Ein SOAR unterstützt bei der Verbesserung der Effizienz aller Sicherheitsoperationen. Das schafft die Software, indem sie dabei hilft, Vorfallsreaktionen zu priorisieren, zu standardisieren und zu automatisieren.

Bedrohungs- und Schwachstellenmanagement

Für einen groben und speziellen Überblick über die generelle Sicherheitslage in einem Unternehmen hat das SOC u. a. die Aufgabe, das Schwachstellenmanagement zu übernehmen. Ein SOAR unterstützt das SOC in diesem Zusammehang bei der Abarbeitung der Schwachstellen sowie bei der Priorisierung. Mittels standardisierter Workflow-, Berichts- und Kollaborationsfunktionen können alle relevanten Stellen auf dem Laufenden gehalten werden.

Reaktion auf Sicherheitsvorfälle

Eine SOAR-Lösung bietet den Analyst/-innen genau festgelegte Workflows (Playbooks), die in einem Sicherheitsvorfall ein mögliches Vorgehen definieren. Ein Beispiel hierfür ist die Infektion mit Malware. Das Playbook gibt hierbei Entscheidungsbäume vor. Sobald die Malware erfolgreich bereinigt worden ist, kann der Vorfall geschlossen werden. Wenn keine Bereinigung stattfinden kann, muss das System eventuell in Quarantäne verschoben und ein vollständiger AV-Scan vollzogen werden. Auf diese Weise geht es mit den Entscheidungsbäumen weiter, bis der Vorfall bereinigt wurde. Die Analyst/-innen können diesen definierten Workflows entweder folgen oder den standardisierten Pfad verlassen.

Gerade bei größeren Sicherheitsvorfällen gibt es keinen genau definierten Weg, um den Vorfall zu bearbeiten und im Anschluss zu beseitigen. Die SOAR-Lösung bietet durch die bidirektionale Anbindung an alle Security-Lösungen die Möglichkeit, mittels weniger Klicks, Clients in Quarantäne zu verschieben, um so das Netzwerk vor einer weiteren Ausbreitung zu bewahren.

Kundenunternehmen sowie Fachabteilungen können in die oben genannten Playbooks aufgenommen werden, um bei ihnen Freigaben für bestimmte Aktionen anzufordern. Erst mit der Freigabe werden die Aktionen weiter automatisiert umgesetzt. Im Fall der Infektion mit Malware würde eine entsprechende Rückfrage lauten, ob der Client dauerhaft vom Netz genommen werden solle und in die Forensik müsse, um eine Analyse der Malware vorzunehmen.

Automatisierung und Sicherheitsoperationen

Die definierten Workflows können mittels der bereits angesprochenen Verbindung zu den Sicherheitslösungen Automatisierungen vollziehen. Ein Beispiel: Ein Client meldet einen Virenfund. Daraufhin startet der Workflow und die AV- oder die EDR-Lösung beauftragen einen Fullscan auf diesem Client. Gleichzeitig wird der Client automatisiert in Quarantäne verschoben und erst wieder entlassen, wenn das Ergebnis des Fullscans negativ ausfällt. All das kann automatisiert und ohne Zutun von Analyst/-innen erfolgen. Erst, wenn die Wenn-Dann-Bedingung einen positiven Fund auf dem Client zurückmeldet, wird ein/-e Analyst/-in informiert.

Sowohl eine SOAR- als auch eine SIEM-Lösung aggregieren hierbei Daten aus den angeschlossenen Security-Lösungen. Erfolgen zum Beispiel mehrere Sicherheitsvorfälle mit der gleichen Person oder dem gleichen Hostname, dann werden diese Sicherheitsvorfälle in einem Case zusammengefügt und dem Team zur Verfügung gestellt. Im besten Fall sind dann bereits alle relevanten Daten wie z. B. aus Threat Intel Plattformen im Case aggregiert.

Kontakt: security-experts@oediv.de

Das Security Operation Center (SOC) oder auch die Line of Defense eines Unternehmens ist das Herzstück der Cyber Security. Ein SOC bedient sich dabei der drei Schutzziele (Verfügbarkeit, Vertraulichkeit und Integrität), um die Sicherheit in Unternehmen zu erhöhen und relevante Bedrohungen zu verringern oder zu lösen.

Das SOC ist die Sicherheitsleitstelle der IT-Infrastruktur von Unternehmen und Organisationen. Um die Aufgabe der Sicherheit gewährleisten zu können, integriert, überwacht und analysiert das SOC alle angeschlossenen Security-Lösungen, die ein Unternehmen in seiner Line of Defense aufgebaut hat. Im ersten Schritt erreichen Alarmmeldungen das SOC, die anschließend von zuständigen Analysten/innen untersucht werden. Falls notwendig folgen im Anschluss weitere Untersuchungen im Quellsystem der Alarmmeldung.

Aufbau und Prozesse

Ein etabliertes SOC besteht in der Regel aus Prozessen, die eine klar definierte Struktur umfassen und somit genaue Abläufe im Krisenfall ermöglichen. Das baut auf die technische Umsetzung von vorhandenen Security-Lösungen auf. Ohne ein SIEM kann ein SOC nicht funktionieren. Unternehmen setzen hierbei aber nicht nur auf SIEM, sondern auch auf andere Security-Lösungen, die in das SOC etabliert werden müssen. Die Analysten/innen benötigen Zugriff auf diese Lösungen, damit die etablierten Prozesse funktionieren. Die Königsklasse besteht darin, dass das SOC als Grundlage eine SOAR-Lösung besitzt. Dazu mehr im SOAR-Artikel (Erscheinungstermin: November 2022).

Automation in einem SOC

Mittlerweile werden alle Security-Lösungen bidirektional angebunden. Das bedeutet, dass SOC-Analysten/innen einen Client, der über eine Antivirenlösung einen Virenbefund meldet, mit nur einem Knopfdruck direkt vom Netzwerk in eine Quarantänezone verschieben können. Hierzu ist keine Anmeldung auf verschiedene Portale der einzelnen Security-Lösungen notwendig.

Den Analysten/innen stehen mit dem Alarm weitere Informationen aus einer Threat Intelligence Platform zur Verfügung, die den Alarm mit zusätzlichen Informationen anreichern. Zum Beispiel kann die gemeldete Malware eine Verbindung zu einem Server aufgebaut haben, um so Informationen aus dem gesicherten Netzwerk schleusen zu können. Solche Server sind in der Regel schnell bekannt und können mit Automationen vom internen Netz durch Firewall-Regeln abgeschottet werden.

Vorteile eines Security Operation Centers

Cyberangriffe werden laut Statistiken innerhalb von 315 bis 350 Tagen in einem Unternehmen bekannt. Ein SOC hat die Aufgabe, diese Dauer zu verringern und wenn möglich, auf null zu reduzieren. Erkennungsmaßnahmen werden dynamisch auf die Bedrohungslage angepasst. Die Bedrohungsszenarien werden somit im Vorfeld wirksam verhindert.

Da alle sicherheitsrelevanten Security-Lösungen im SOC zentral verwaltet werden, lässt sich das notwendige Budget einfach bestimmen. Gleichzeitig hat das Management zentrale Kontaktepersonen für Security-relevante Fragen. Hierbei werden kontinuierliche Informationen wie KPIs transparent dargestellt.

Ein weiterer Vorteil ergibt sich bei eventuell geforderten Compliance-Nachweisen. Ist ein Unternehmen zum Beispiel KRITIS-relevant, so hat dieses Unternehmen dafür zu sorgen, dass Bedrohungen überwacht und abgemildert werden.

Kontakt: security-experts@oediv.de