- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Penetrationstests: Kalkuliertes Risiko


Eine Risikoanalyse ist deutlich mehr als ein Punkt auf der To-do-Liste, den man nach einem Gespräch mit dem IT-Administrator abhaken kann
Identifizieren Sie wichtiges geistiges Eigentum, personenbezogene Kundendaten, Router, Server und Anwendungen sowie sonstige Software, die für die Geschäftsprozesse essenziell sind

(09.11.15) - Die weitaus meisten Sicherheitsstandards und -vorschriften enthalten einen Part zum Thema Risikoanalyse. Diese Anforderung findet sich beispielsweise in HIPAA, PCI-DSS, der Datenschutz-Grundverordnung der EU, NIST und SANS, um nur einige zu nennen. Was genau ist eine Risikoanalyse? In diesem Prozess untersuchen Sie, wo ein System Schwachstellen aufweist, wie wahrscheinlich es ist, dass diese ausgenutzt werden und welche möglichen Konsequenzen einem Unternehmen dadurch drohen.

Die Kunst der Risikoanalyse
Das PCI-Team (Payment Card Industry) liefert dazu eine formellere Definition:

Ein Prozess, bei dem wichtige Systemressourcen und Bedrohungen identifiziert, Verlustrisiken (d. h. das Verlustpotenzial) basierend auf der geschätzten Auftrittshäufigkeit und den Kosten quantifiziert und (optional) Empfehlungen ausgesprochen werden, wie Ressourcen für Gegenmaßnahmen verteilt werden sollten, um das Gesamtrisiko zu minimieren.

Die Risikoanalyse ist allerdings deutlich mehr als ein Punkt auf der To-do-Liste, den man nach einem Gespräch mit dem IT-Administrator abhaken kann. Es gibt formale Methoden, die Sie zugrunde legen können, um einen eigenen Risikoanalyseplan zu erstellen – wie zum Beispiel Octave.

Die Methodologie sieht in der Regel so oder so ähnlich aus:

>> Inventarisieren Sie digitale Bestände: Identifizieren Sie wichtiges geistiges Eigentum, personenbezogene Kundendaten, Router, Server und Anwendungen sowie sonstige Software, die für die Geschäftsprozesse essenziell sind.

>> Identifizieren Sie Bedrohungen oder potenziell bedrohliche Personen in Bezug auf digitale Bestände: Regierungen anderer Staaten, kriminelle Cyber-Gangs, Hacktivisten, verärgerte Mitarbeiter und Führungskräfte, die Ihr geistiges Eigentum stehlen und es vielleicht bei der Gründung eines eigenen Unternehmens einsetzen wollen.

>> Testen Sie das System auf Schwachstellen und Sicherheitslücken, die ausgenutzt werden können: schwache Passwörter, unsichere Webanwendungen, zu locker gefasste BYOD-Richtlinien usw.

Bei Punkt 3 des Analyseprozesses heißt es: die Ärmel hochkrempeln! Bis vor nicht allzu langer Zeit haben Unternehmen sich bei ihren Sicherheitsmaßnahmen auf eine statische Liste von Risikoprüfungen verlassen: "Wir haben einen Portscan-Test bestanden, die Antiviren-Signaturen sind aktuell, und die Passwörter der Mitarbeiter mindestens sechs Zeichen lang. Mehr können wir nicht tun!"

Hier kommen Penetrationstester ins Spiel. Angesichts einer dynamischen Bedrohungsumgebung mit raffiniert vorgehenden potenziellen Angreifern benötigen Sie für die Risikoanalyse einen Profi mit viel Praxiserfahrung.

Ein Penetrationstester muss her
IT-Sicherheitsteams haben schon kaum die Zeit, sich über veröffentlichte CVEs (Common Vulnerabilities and Exposures) auf dem Laufenden zu halten – geschweige denn über neue Zero-Day-Exploits und Phishing-Techniken, von denen vielleicht derzeit nur gemunkelt wird. Sie brauchen also jemanden, der sich einzig und allein darauf konzentriert, Ihr System zu knacken.

Auch die Autoren von Standards, haben das mittlerweile eingesehen. In PCI-DSS 3.0 wurden die Anforderungen in Bezug auf Penetrationstests deutlich erhöht. Das US-amerikanische National Institute of Standards and Technology (NIST), das kürzlich mit der Entwicklung des Cybersecurity Framework beauftragt wurde, hat sich ebenfalls mehrfach deutlich für Penetrationstests und kontinuierliche Risikoanalysen ausgesprochen.

Was tun Penetrationstester eigentlich?
Das ist ein weites Feld, IT-Sicherheitsforscher haben die Aktivitäten eines Penetrationstesters aber in die folgenden vier Phasen eingeteilt: Planung, Informationsbeschaffung, Angriff und Bericht.

Penetrationstester suchen übrigens nicht nur in einer Software nach Schwachstellen. Sie denken wie ein Hacker: Wenn sie sich im System befinden geht die eigentliche Arbeit erst richtig los. Sie durchforsten weiter die Ordnerhierarchien und starten auf dieser Grundlage neue Angriffe.

Und genau das unterscheidet einen Penetrationstester von jemandem, der schlicht und einfach Sicherheitslücken finden soll, zum Beispiel mithilfe von Portscannern oder Virensuch-Software.

Angreifer sind heutzutage Spezialisten darin, den Perimeterschutz mit Phishing oder anderen Social-Engineering-Techniken zu umgehen. Sie haben es also möglicherweise gar nicht auf Software-Schwachstellen abgesehen, um in Ihr System zu gelangen.

Schlüsselwort: Post-Exploitation
In den folgenden Beiträgen dieser Serie wollen wir Ihnen die Angriffsphase nach dem Eindringen ins System näher erläutern. Penetrationstester nennen das die "Post-Exploitation-Phase" – also alles was Hacker dann sehen und potenziell tun, wenn sie bereits durch die Tür hereinspaziert sind.

Einige dieser Tricks sind: Pass-the-Hash, das Knacken von Passwörtern und das Exfiltrieren von Daten.
(Varonis: ra)

Varonis Systems: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Hintergrund

  • Hybride aus Daten-Diebstahl und Ransomware

    SophosLabs und Sophos Managed Threat Response haben einen Bericht über eine neue Ransomware veröffentlicht, die eine bisher noch nicht bekannte Angriffsmethode verwendet: Die sogenannte Snatch-Ransomware geht mit variierenden Techniken vor und veranlasst unter anderem einen Neustart übernommener Computer im abgesicherten Modus, um verhaltensorientierte Schutzmaßnahmen, die speziell nach Ransomware-Aktivitäten wie das Verschlüsseln von Dateien Ausschau halten, zu umgehen. Sophos geht davon aus, dass Cyberkriminelle damit eine neue Angriffstechnik etabliert haben, um fortschrittliche Schutzmechanismen auszuhebeln. Neben der neuen Angriffstaktik belegt ein weiterer interessanter Fund, dass sich ein anderer Trend fortzusetzen scheint: Kriminelle filtern immer häufiger Daten heraus, bevor die eigentliche Ransomware-Attacke startet. Die entwendeten Daten könnten zu einem späteren Zeitpunkt für Erpressungen, auch in Zusammenhang mit der DSGVO, verwendet werden. Ähnliches Verhalten konnten die SophosLabs zum Beispiel bei Ransomware-Gruppen wie Bitpaymer feststellen.

  • Windows-Zero-Day-Exploit zur Rechteausweitung

    Kaspersky-Technologien haben eine Zero-Day-Schwachstelle im Windows-Betriebssystem gefunden. Der darauf basierende Exploit ermöglichte es Angreifern, höhere Privilegien auf dem attackierten Gerät zu erlangen und Schutzmechanismen im Google Chrome Browser zu umgehen - wie es in der WizardOpium-Kampagne geschah. Ein Patch wurde bereits veröffentlicht. Die neue Windows-Schwachstelle wurde von Kaspersky-Forschern aufgrund eines anderen Zero-Day-Exploits gefunden. Bereits im vergangenen November hatten die Exploit-Prevention-Technologien, die in den meisten Produkten des Unternehmens integriert sind, einen Zero-Day-Exploit in Google Chrome gefunden. Dieser Exploit ermöglichte es den Angreifern, beliebigen Code auf dem Computer des Opfers ausführen. Im Rahmen weiterer Untersuchungen dieser Kampagne, die die Experten WizardOpium tauften, wurde nun der Exploit im Windows-Betriebssystem gefunden.

  • Phishing ist ein langfristiges Problem

    Akamai Technologies hat den "State of the Internet"-Sicherheitsbericht 2019 "Phishing - Baiting the hook" veröffentlicht. Die Forschungsergebnisse zeigen, dass Cyberkriminelle unternehmensbasierte Entwicklungs- und Bereitstellungsstrategien wie Phishing-as-a-Service nutzen, um die größten Technologiekonzerne der Welt anzugreifen. Knapp 43 Prozent der beobachteten Domains zielten auf Microsoft, PayPal, DHL und Dropbox ab. Der Bericht legt offen, dass Phishing nicht mehr nur eine E-Mail-basierte Bedrohung ist, sondern auch Social Media und mobile Geräte umfasst. Es handelt sich um ein weitreichendes Problem, das alle Branchen betrifft. Da sich die Angriffsmethoden weiterentwickeln, entstehen neue Techniken, etwa für Attacken auf geschäftliche E?Mails (Business E?Mail Compromise, BEC). Laut dem FBI führten BEC-Angriffe zwischen Oktober 2013 und Mai 2018 zu weltweiten Verlusten von mehr als 12 Milliarden US-Dollar.

  • Ziel des Angriffs kann sogar geblacklisted werden

    Im Laufe des Jahres 2019 haben das Threat Research Center (TRC) und das Emergency Response Team (ERT) von Radware eine zunehmende Anzahl von TCP-Reflection-Angriffen überwacht und verteidigt. Bei solchen Angriffen werden nicht nur die eigentlichen Ziele in Mitleidenschaft gezogen, sondern auch nichts ahnende Netzwerkbetreiber, deren Ressourcen benutzt werden, um die Attacke zu verstärken. Im Extremfall wird das Ziel des Angriffs als vermeintlicher Urheber der Attacke sogar von den einschlägigen Service-Anbietern auf deren Blacklists gesetzt. TCP-Reflection-Angriffe wie die SYN-ACK Reflection waren bis vor kurzem bei Angreifern weniger beliebt. Der Mangel an Popularität war hauptsächlich auf die falsche Annahme zurückzuführen, dass TCP-Reflection-Angriffe im Vergleich zu UDP-basierten Reflexionen nicht genügend Verstärkung erzeugen können. Im Allgemeinen haben TCP-Angriffe eine geringe Bandbreite und die Wahrscheinlichkeit ist geringer, dass eine Internetverbindung gesättigt wird. Stattdessen werden TCP-Angriffe genutzt, um durch hohe Paketraten (Packets Per Second - PPS) viele Ressourcen von Netzwerkgeräten zu binden und so Ausfälle zu provozieren.

  • Sicherheitsprognosen für 2020

    Die Sicherheitsforscher von Malwarebytes geben ihre Sicherheitsprognosen für das Jahr 2020 bekannt. Dabei prognostizieren die Experten zunehmende Gefahren für Unternehmen durch Ransomware-Angriffe, erwarten vermehrt Exploit-Kit-Aktivitäten und VPN-Skandale. Im Folgenden werden sechs Sicherheitsprognosen vorgestellt und in die Entwicklungen der jüngsten Zeit eingeordnet. Ransomware-Angriffe auf Unternehmen und Regierungen werden dank neu gefundener Schwachstellen zunehmen. Bereits in den vergangenen beiden Jahren konnte im Business-Umfeld ein Anstieg von Schwachstellen festgestellt werden und gerade in diesem Jahr wurde immer mehr Malware entwickelt, die sich auf Unternehmen konzentriert anstatt auf Verbraucher.

Anzeigen & unerwünschte Anwendungen (PUA) Dridex-Malware schlägt zurück