- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Anbieter regelmäßig zur Datennutzung befragen


ExtraHop warnt in neuer Sicherheitsempfehlung vor "Call Home"-Aktivitäten
Anbieter von Cyberanalyse-Tools zur Erkennung und Abwehr von Netzwerkbedrohungen deckt unautorisierte Ausschleusung von Daten im Terabyte-Bereich auf



ExtraHop warnt in einer Sicherheitsempfehlung vor Anbietern, die bei "Call Home"-Aktivitäten vertrauliche Daten ihrer Kunden ohne deren Wissen oder Zustimmung exfiltrieren. Mit dieser Sicherheitsempfehlung will ExtraHop Unternehmen dazu anregen, ihre Anbieter bei der Nutzung von Kundendaten strenger zu kontrollieren und sie bei Fehlverhalten zur Verantwortung zu ziehen.

In dieser neuen Empfehlung wird "Call Home" als Aktivität beschrieben, bei der Daten von einem Host aus über eine speziell dafür etablierte Verbindung an einen Server weitergeleitet werden. Dies gilt als die "White Hat"-Version der Datenausschleusung. Dem Bericht zufolge ist "Call Home" eine gängige Praxis, die völlig legitim und sehr nützlich sein kann – wenn die Kunden ihr Einverständnis erteilt haben. Wenn nicht, werden ohne das Wissen des Kunden personenbezogene oder andere vertrauliche Daten außerhalb des Unternehmens übertragen, gespeichert und dabei möglicherweise großen Gefahren ausgesetzt. Damit verstoßen die Anbieter wahrscheinlich auch gegen die immer strenger werdenden Datenschutzbestimmungen.

Jeff Costlow, CISO bei ExtraHop, sagt: "Wir haben uns entschieden, diese Sicherheitsempfehlung zu veröffentlichen, weil wir einen besorgniserregenden Aufwärtstrend bei ‚Call Home‘-Aktivitäten beobachtet haben, die von Drittanbietern initiiert wurden, ohne die Kunden darüber zu informieren. Am meisten beunruhigt uns, dass diese Aktivitäten in zwei der vier in unserer Empfehlung beschriebenen Fälle von renommierten Anbietern aus der Cybersicherheitsbranche durchgeführt wurden. Viele Unternehmen verlassen sich beim Schutz ihrer Daten auf diese Anbieter. Daher raten wir allen Unternehmen dringend, für mehr Transparenz in ihren Netzwerken zu sorgen, um solchem Missbrauch frühzeitig einen Riegel vorzuschieben."

In der Sicherheitsempfehlung werden vier Praxisbeispiele aus dem Finanzwesen, der Lebensmittelindustrie und dem Gesundheitswesen analysiert, in denen Experten von ExtraHop die unautorisierte Ausschleusung von Kundendaten beobachtet haben:

● Datendiebstahl bei einem Finanzdienstleister: Während einer Schulung bei einem Kunden im Finanzwesen bemerkte ExtraHop, dass einige der Domain Controller Daten an eine Public-Cloud-Instanz schickten. Genauere Untersuchungen ergaben, dass diese Domain Controller den SSL-Datenverkehr des Kunden sogar an 50 verschiedene Endpunkte in öffentlichen Clouds weiterleiteten, die vom Anbieter des Kunden genutzt wurden. Alles ohne Kenntnis des Finanzdienstleisters. In unserer Sicherheitsempfehlung erläutern wir, wie dieser renommierte Cybersicherheitsanbieter mindestens zwei Monate lang unerkannt Daten ausschleuste.

● Datenmissbrauch im Krankenhaus: An einem amerikanischen Krankenhaus wurde ein neues Produkt zur Verwaltung medizinischer Geräte getestet. Um den Schutz der Patientendaten und HIPAA-Compliance zu gewährleisten, sollte dieses Produkt ausschließlich die WLAN-Verbindung des Krankenhauses nutzen. Doch Experten bei ExtraHop fiel auf, dass die Daten auch über zusätzliche, mit dem Cloud-Speicher des Anbieters verknüpfte und verschlüsselte SSL:443-Verbindungen geleitet wurden. Dies stellte eine klare Verletzung der HIPAA-Vorschriften dar.

● Schatten-IT schickt Daten nach China: Während eines Besuchs bei einem großen, internationalen Kunden in der Lebensmittelindustrie entdeckte ExtraHop, dass ungefähr alle 30 Minuten UDP-Datenverkehr über ein an das Netzwerk des Kunden angeschlossenes Gerät an eine dubiose IP-Adresse verschickt wurde. Bei dem Gerät handelte es sich um eine in China hergestellte Überwachungskamera, die mithilfe von "Call Home"-Aktivitäten Daten an eine chinesische IP-Adresse weiterleitete, die mit mehreren Malware-Angriffen assoziiert worden war.

● Legt Ihr Anbieter alle Karten auf den Tisch? Bei der Durchführung eines Konzeptnachweises (Proof-of-Concept, POC) bei einem Finanzdienstleister bemerkte ExtraHop, dass große Datenvolumen vom Rechenzentrum des Kunden in den USA nach Großbritannien geschickt wurden. Nach einigen Untersuchungen stellte sich heraus, dass ein Sicherheitsanbieter des Dienstleisters, der am gleichen POC beteiligt war, innerhalb von zweieinhalb Tagen mehr als ein Terabyte Daten ausgeschleust hatte (also über 400 GB pro Tag). Der Kunde war überrascht, denn der Anbieter hatte ihm versichert, dass sämtliche Analysen und alle auf maschinellem Lernen basierten Vorgänge auf einer dafür bereitgestellten Appliance in der Umgebung des Finanzdienstleisters stattfinden würden.

ExtraHop rät Unternehmen in seiner Sicherheitsempfehlung daher zu folgenden Maßnahmen, um das Risiko zu mindern, selbst solchen "Call Home"-Aktivitäten zum Opfer zu fallen:

● Verschaffen Sie sich einen Überblick: Halten Sie Ausschau nach unerwarteten Anbieteraktivitäten in Ihrem Netzwerk. Suchen Sie gezielt nach Aktivitäten Ihrer aktiven Anbieter, Ihrer ehemaligen Anbieter und anderer Firmen, deren Angebote Sie in Ihrer Umgebung getestet haben.

● Überwachen Sie den ausgehenden Datenverkehr: Prüfen Sie insbesondere die Daten, die von geschäftskritischen Ressourcen wie Domain Controllern verschickt werden. Verfolgen Sie allen ausgehenden Datenverkehr bis zu der Anwendung bzw. dem Service zurück, von dem er stammt.

● Behalten Sie Software-Agenten im Auge: Dies ist besonders in der Testphase wichtig.

● Informieren Sie sich über die Vorschriften: Machen Sie sich mit den Richtlinien und Gesetzen zum grenzüberschreitenden Datenverkehr vertraut. Das gilt sowohl für politische als auch für geografische Grenzen.

● Kennen Sie die Vertragsvereinbarungen: Kontrollieren Sie, ob Anbieter Ihre Daten in Übereinstimmung mit Ihren Vertragsvereinbarungen verwenden.

ExtraHop empfiehlt Unternehmen zudem, ihre Anbieter regelmäßig zur Datennutzung zu befragen: wie gehen sie mit den Daten um, wohin werden sie geschickt und sind die "Call Home"-Aktivitäten des Anbieters legitim? Dadurch verschaffen sich Unternehmen den nötigen Überblick, können Drittanbieter bei Verstößen zur Verantwortung ziehen und sorgen letztendlich für einen besseren Schutz vertraulicher und geschäftskritischer Daten.
(ExtraHop: ra)

eingetragen: 24.08.19
Newsletterlauf: 20.09.19

Extrahop: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Tipps & Hinweise

  • Sicherheitsmaßnahmen gegenüber Bedrohungen

    Steigende Compliance-Anforderungen und europäische Richtlinien wie die DSGVO oder die NIS-Richtlinie für kritische Infrastrukturen haben die Umsetzung von Cybersecurity-Maßnahmen in Unternehmen bereits wesentlich vorangetrieben. Jedoch erfüllen Unternehmen häufig lediglich die Mindestanforderungen - während Angreifer über umfassende und ausgefeilte Möglichkeiten verfügen, sich Zugang zu Unternehmensnetzwerken zu verschaffen. Mittelständische Unternehmen, beispielsweise in der produzierenden Industrie oder im Gesundheitswesen, stehen im Fokus von Hackern: Mittels Ransomware-Angriffen können Cyber-Akteure ganze Produktionsstraßen lahm legen oder Krankenhäuser vom Netz nehmen. Insbesondere in diesen Branchen ist der Schaden nach einer Attacke besonders groß, da sie enorme wirtschaftliche Auswirkungen zur Folge haben und eine Vielzahl von Menschen betreffen. Für Hacker sind zudem vor allem mittelständische Unternehmen interessant, die wirtschaftlich erfolgreich sind, aber gleichzeitig nicht über die gleichen umfassenden Sicherheitsmaßnahmen verfügen wie große, börsennotierte Konzerne.

  • Nahezu kein Expertenwissen mehr benötigt

    Cyberkriminelle greifen mit gefälschten Rechnungen vermehrt Unternehmen des produzierenden Gewerbes in Deutschland an. Das hat Proofpoint herausgefunden. Die Angreifer versenden dabei gefälschte Rechnungen, die als Köder verwendet werden oder aber die E-Mail beinhaltet einen Link zu einer Website, auf der das gefälschte Dokument zum Download zur Verfügung steht. Die Dokumente sind mit dem Remote Access Trojaner NanoCore infiziert. Laut Proofpoint enthalten Anhänge eine komprimierte ausführbare Datei (mit der Erweiterung ".Z"), während bösartige Links den Empfänger veranlassen, die auf onedrive.live.com gehostete Malware herunterzuladen.

  • Fünf Sofortmaßnahmen zur Systemhärtung

    Guardicore gibt Sicherheitsempfehlungen für das Support-Ende von Windows Server R2, Windows Server 2008 und Windows 7. Ab 14. Januar 2020 werden Nutzer dieser Microsoft-Betriebssysteme keine kostenlosen Sicherheitsupdates und Online-Aktualisierungen mehr erhalten. Ohne sicherheitsrelevante Updates sind die betroffenen IT-Systeme gegen neu entdeckte Schwachstellen nicht mehr geschützt. Zwar sind die genannten Betriebssysteme teilweise bereits über ein Jahrzehnt alt, aber Schätzungen zufolge ist allein Windows Server 2008/2008 R2 immer noch auf fast jedem dritten Server weltweit im Betrieb. Viele Organisationen können nicht auf aktuelle Betriebssystemversionen wechseln, weil sie komplizierten Gesetzes- und Zertifizierungsanforderungen unterliegen, oder einfach nicht das erforderliche Budget zur Verfügung haben. Gefragt sind deshalb Überbrückungslösungen - auch um zeitaufwendige Migrationsprozesse begleiten zu können.

  • Abfangen und Manipulieren von E-Mails

    Die E-Mail ist das Kommunikationsmittel Nummer eins. Unternehmen sind in der Pflicht, sich mit der E-Mail-Sicherheit zu beschäftigen, kommunizieren sie doch sowohl intern als auch extern. Nahezu täglich ist von Datenpannen und Datendiebstählen zu hören: Fremde verschaffen sich - zum Teil leider kinderleicht - Zugang zum internen Unternehmenssystem und greifen Daten ab oder manipulieren diese. Einfache, unverschlüsselte E-Mails stellen deshalb grundsätzlich eine Gefahr dar: Sie ähneln einer Postkarte, deren Inhalt jeder lesen kann. "Denn gehen E-Mails weder digital signiert noch verschlüsselt auf die Reise, können die Inhalte nicht nur ausspioniert, sondern auch manipuliert werden. Da Angriffe dieser Art in aller Regel nicht sicht- und nachweisbar sind, wird die E-Mail-Sicherheit leider nach wie vor oft stiefmütterlich behandelt. Wie oft und von wem E-Mails gelesen werden, kann ihnen niemand ansehen", warnt Patrycja Tulinska, Geschäftsführerin der PSW Group.

  • Neuer Standort und neue BC/DR-Strategie?

    Die Entfernung zwischen georedundanten Rechenzentren soll mindestens 200km betragen. So empfiehlt es das BSI seit diesem Jahr. Dies stellt viele Unternehmen vor Probleme, betrug die bisher empfohlene Distanz in der Vergangenheit doch gerade einmal fünf Kilometer. Diese geringe Distanz erlaubte es den Betreibern bisher, ihre Rechenzentren über HA-Systeme synchron zu spiegeln. Dies ist bei einem Abstand von 200km jedoch nicht mehr möglich: Die Latenz zwischen den Standorten ist einfach zu hoch, um Organisationen mit traditionellen Hochverfügbarkeits- und Backup-Lösungen gegen Systemausfälle zu schützen. Was können Unternehmen nun tun, um ihre IT etwa gegen logische Fehler oder Ransomware-Attacken abzusichern, um minimalen Datenverlust und kurze Ausfallzeiten zu garantieren? Der neue Mindestabstand, den das BSI (Bundesamt für Sicherheit in der Informationstechnik) seit Dezember 2018 zwischen sich Georedundanz gebenden Rechenzentren empfiehlt, stellt in vieler Hinsicht eine Zäsur dar. Er stellt die Nutzung synchroner Spiegelung grundsätzlich infrage und hat damit einen direkten Einfluss darauf, wie Rechenzentren hierzulande betrieben werden. Wer eine "kritische Infrastruktur" betreibt, wird vom Gesetzgeber sogar dazu gezwungen der Empfehlung zu folgen. Und wer das Pech hat Teil eines Branchenverbandes zu sein, der den Empfehlungen des BSI folgt, wie etwa Mitglieder der Bankenbranche Bafin, haben ebenfalls keine Wahl. All diese Organisationen müssen auf die Entscheidung reagieren und den Abstand ihrer Rechenzentren auf mindestens 200km bringen.

Sicherheitsfalle: Schadcode via Formular Trend in Richtung Plattformlogik