Phishing bleibt Hackers Liebling: Einem der ältesten Hacker-Tricks endlich einen Riegel vorschieben. Phishing gehört zu den ältesten Tricks im Arsenal von Cyberkriminellen. Mit dieser Taktik können Mitarbeiter mit nur einem Klick zum unwissenden Komplizen eines großen Cyberangriffs werden.
Da die Pandemie Mitarbeiter zusätzlich belastet, missbrauchen Angreifer die Situation, um mit einer Flut an Corona-bezogenen Phishing-Kampagnen aus der Krise Kapital zu schlagen. Besonders, wenn Cyberkriminelle durch Phishing-Angriffe Zugang zu legitimen Anmeldedaten erhalten, kann dies für Unternehmen verheerende Folgen haben. Forrester schätzt, dass 80 Prozent der Sicherheitsverletzungen mit kompromittierten privilegierten Zugangsdaten in Verbindung stehen.
Wenn Phishing erfolgreich ist
Erlangt ein Angreifer Zugriff auf ein privilegiertes Konto, hat er mehr oder weniger die Kontrolle über das gesamte Netzwerk in der Hand. So kann er unbemerkt operieren und beispielsweise sensible Datensätze exfiltrieren. Daher wundert es nicht, dass eine überwältigende Anzahl der Angreifer mittlerweile Phishing nutzt, um beispielsweise API-Schlüssel, AWS Identity & Access Management-Anmeldeinformationen oder IP-Adressen abzugreifen. Unternehmen sollten deshalb einen zweistufigen Ansatz aus Mitarbeitertraining und Technologien verfolgen, um sich gegen diese Angriffe zu schützen.
Phishing-resistente Unternehmenskultur
Fast 38 Prozent der Benutzer, die kein Cyber-Awareness-Training absolvieren, fallen bei Phishing-Tests durch. Die Schulung des Sicherheitsbewusstseins von Endanwendern ist deshalb entscheidend, um Phishing-Angriffe zu stoppen. Mitarbeiter – vor allem solche mit privilegiertem Zugang wie IT- und Netzwerkadministratoren und Mitglieder der Führungsebene – müssen sich bewusst sein, dass sie jederzeit zur Zielscheibe von Angreifern werden können. Grundlegende Schulungen sollten folgende Hinweise für Mitarbeiter beinhalten:
- Sorgfältige Prüfung der Absenderadresse auf vertauschte Buchstaben oder andere leichte Abweichungen zur Täuschung des Empfängers
- Möglichst nicht auf Links klicken. Stattdessen über den Browser die Authentizität der entsprechenden Webseite zu überprüfen
- Prüfung auf Rechtschreib- und Grammatikfehler sowie ungewöhnliche Formulierungen
Nach der theoretischen Schulung sollten Unternehmen das Wissen ihrer Mitarbeiter mit simulierten Phishing-Angriffen in der Praxis festigen, um sicheres Benutzerverhalten zu testen und zu stärken.
Aufbau einer mehrschichtigen Verteidigungsstrategie
Auch der bestgeschulte Mitarbeiter kann Opfer einer Phishing-Kampagne werden. Daher sollten Unternehmen eine tiefgreifende Verteidigungsstrategie einführen, die sich auf den Schutz von Identitäten und deren Zugriffsberechtigungen konzentriert, um ihren Sicherheitsperimeter zu härten. Diese Strategie sollte folgende Maßnahmen beinhalten:
Multi-Faktor-Authentifizierung (MFA)
Özkan Topal, Sales Director bei Centrify
MFA ist immer noch eine der zuverlässigsten Optionen, um die bestehenden Zugriffskontrollen einer Organisation zu erweitern. Die Ergänzung oder der Ersatz von Benutzername und Passwort durch MFA stellt eine massive Hürde für Angreifer dar und reduziert die Kompromittierungsrate auf nahezu null. Basierend auf Studien, die von Microsoft durchgeführt wurden, verringert sich bei Verwendung von MFA die Wahrscheinlichkeit, dass ein Konto kompromittiert wird, um mehr als 99,9 Prozent.
Zudem verlangen eine wachsende Anzahl staatlicher Vorschriften und Industriestandards wie beispielsweise PCI (Payment Card Industry Data Security Standard) nun den Einsatz von MFA. Beziehen Unternehmen MFA bereits jetzt in ihre Sicherheitsstrategie ein, kann sie dies davor bewahren, später wegen mangelnder Compliance mit Geldstrafen belegt zu werden.
Sichere Telearbeit
In der Vergangenheit haben sich Remote-Mitarbeiter, ausgelagerte IT-Abteilungen und Partner auf virtuelle private Netzwerke (VPNs) verlassen, um ihre Sicherheit zu gewährleisten. Wenn ein Hacker jedoch in ein VPN eindringt, hat er nun Zugriff auf das gesamte Netzwerk. Angreifer können so Malware in das Remote-System einschleusen und sich einfach als legitimer Benutzer ausgeben, an dessen Anmeldedaten sie über eine Phishing-Kampagne gelangt sind.
Proxy-basierte Technologien sind eine sicherere Alternative zu VPNs. Diese Technologien ermöglichen privilegierten internen IT-Administratoren den Zugriff auf die notwendige Infrastruktur. Sie beschränken auch den Zugriff von ausgelagerten Teams oder Remote-Mitarbeitern auf nur die Server und Hardware, die ihre Rolle erfordert, und verhindern so laterale Angriffe.
Implementierung von Least Privilege
Für IT-Administratoren ist der Least Privilege-Zugriff mit der Verwaltung benötigter und zeitlich begrenzter privilegierter Zugangsberechtigungen eine Best Practice. Indem Administratoren nur mit den für sie erforderlichen Privilegien ausgestattet werden, um eine bestimmte Aufgabe in einer kontrollierten Zeitspanne auszuführen, wird die Wahrscheinlichkeit von Sicherheitsvorfällen drastisch reduziert, da das Angriffsfenster eines Hackers zu einem bestimmten Zeitpunkt geschlossen wird.
Vor dem Hintergrund der Pandemie und der verstärkten Remote-Arbeit ist es für Unternehmen wichtiger denn je, die richtigen Schritte zur Bekämpfung von Phishing zu implementieren. Durch Security-Trainings gegen Phishing-Kampagnen sowie die Absicherung des Perimeters mit MFA, Proxy-basierten Technologien und Least Privilege können Unternehmen das Risiko erheblich verringern, Opfer eines Datenverstoßes zu werden.
Mehr dazu bei Centrify.com
Über Centrify
Centrify bietet moderne Privileged Access Management (PAM)-Lösungen, die auf Zero Trust-Prinzipien basieren, um die digitale Transformation in großem Maßstab zu ermöglichen. Centrify stellt modernen Least Privilege Access für menschliche und maschinelle Identitäten bereit, basierend auf der Überprüfung, wer den Zugriff anfordert, dem Kontext der Zugriffsanfrage und dem Risiko der Zugriffsumgebung. Centrify zentralisiert und orchestriert fragmentierte Identitäten, verbessert die Audit- und Compliance-Transparenz und reduziert Risiken, Komplexität und Kosten für moderne, hybride Unternehmen. Mehr als die Hälfte der Fortune 100 vertrauen auf Centrify, darunter die weltweit größten Finanzinstitute, Geheimdienste und Unternehmen mit kritischer Infrastruktur. Ob Mensch oder Maschine, in der Cloud oder vor Ort – mit Centrify ist der privilegierte Zugriff sicher.