Oftmals werden Cyberangriffe heutzutage als sogenannte Blended Attacks durchgeführt, die maschinelle und menschliche Angriffstechniken kombinieren. Threat Hunter und Analysten enthüllen diese verborgenen Gegner, indem sie sich an verdächtigen Anomalien und Aktivitätsmustern orientieren. Solche Managend-Threat-Response-Services werden immer wichtiger für eine effiziente IT-Security-Strategie.
Das Managed-Threat-Response sowie das Rapid-Response-Team von Sophos hat Telemetriedaten solcher Attacken ausgewertet und ist dabei zu erstaunlichen Ergebnissen gekommen, die die Wichtigkeiten eines kommunizierenden und adaptiven Cybersecurity-Ökosystems noch einmal betonen. In dem Bericht zeigt sich unter anderem, dass die Angreifer vor der Entdeckung durchschnittlich 14 Tage in einem gekaperten Netzwerk verweilten, der längste unentdeckte Einbruch dauerte sogar 15 Monate.
Remote Desktop Protocol ist Einfallstor Nummer 1
Dabei nutzen die Kriminellen in 69 Prozent aller Fälle Remote Desktop Protocol (RDP) als Einstieg für ihre Schleichfahrten durch Netzwerke. Sicherheitsmassnahmen für RDP wie VPNs oder Multifaktor-Authentifizierung konzentrieren sich in der Regel auf den Schutz des externen Zugriffs. Sie funktionieren jedoch nicht, wenn sich der Angreifer bereits innerhalb des Netzwerks befindet. In der Folge setzen Angreifer bei aktiven, tastaturgesteuerten Angriffen, z. B. mit Ransomware, RDP zur Infiltrierung eines Systems immer häufiger ein. Ebenfalls eine beliebte Strategie der Kriminellen ist die Nutzung von im Unternehmen offiziell verwendeten Admin-Tools als Deckmantel für ihre Aktivitäten. Da viele dieser Tools von IT-Administratoren und Sicherheitsexperten für ihre täglichen Aufgaben verwendet werden, ist es eine Herausforderung, rechtzeitig den Unterschied zwischen gutartigen und bösartigen Aktivitäten auszumachen – oftmals ein Fall für menschliche Experten.
Ransomware ist in 81 Prozent der untersuchten Angriffe involviert
Erst die tatsächliche Ransomware-Aktivierung ist oft der Moment, an dem ein Angriff für ein IT-Sicherheitsteam erstmals sichtbar wird. Wenig überraschend ist also, dass die überwiegende Mehrheit der durch Sophos dokumentierten Vorfälle Ransomware betraf. Zu den anderen Angriffstypen gehörten u. a. reine Datenexfiltration, Cryptominer, Banking-Trojaner sowie Pen-Test-Attacken. Die Bedrohungslandschaft wird immer unübersichtlicher und komplexer. Die Cyberkriminellen starten ihre Angriffe mit den unterschiedlichsten Fähigkeiten und Ressourcen, von Skript-Kiddies bis hin zu staatlich unterstützten Hackergruppen. Das macht die Arbeit für Verteidiger schwierig. Im letzten Jahr hat das Sophos Rapid-Response-Team geholfen, Angriffe zu neutralisieren, die von verschiedensten Angriffsgruppen mit mehr als 400 verschiedenen Tools durchgeführt wurden. Wenn Ransomware und Co. zugeschlagen haben, lässt sich in den allermeisten Fällen nur noch eine sehr begrenzte Schadensbegrenzung realisieren. Primäres Ziel einer modernen IT-Cybersecurity.-Strategie muss deshalb das proaktive Aufspüren und Prüfen von potenziellen Bedrohungen und Vorfällen sein, um mögliche Cyberattacken im Idealfall bereits im Keim zu ersticken. Und genau hier kommt Managed Detection and Response (MDR) ins Spiel: Sophos hat diese Technologie weiter aufgebohrt und bietet mit Manged Threat Respone (MTR) einen ganzheitlichen Ansatz an, der über den Endpoint hinaus geht und auch Telemetriedaten aus dem Netzwerk und der Cloud-Daten einfliessen lässt. Die Analyse erfolgt durch ein hoch qualifiziertes Team von Bedrohungsexperten, wobei die Unternehmen die Entscheidungsgewalt behalten und kontrollieren, wie und wann potenzielle Vorfälle eskaliert und welche Massnahmen eingeleitet werden sollen. Das Adaptive Cybersecurity Ecosystem basiert auf den gesammelten Bedrohungsdaten der Sophos Labs, Sophos Security Operations (menschliche Analysten, die über das Sophos Managed Threat Response-Programm in Tausenden von Kundenumgebungen eingebunden sind) und der künstlichen Intelligenz (KI) von Sophos. Ein einziger, integrierter Data Lake fasst Informationen aus allen Lösungen und Threat Intelligence-Quellen zusammen. Echtzeit-Analysen ermöglichen es Verteidigern, Einbrüche zu verhindern, indem sie verdächtige Signale finden. Parallel dazu ermöglichen offene APIs Kunden, Partnern und Entwickler, Tools und Lösungen zu entwickeln, die mit dem System interagieren. Alles wird zentral verwaltet über die Sophos Central Management-Plattform.
