Betrachtet man die allgemeine Bedrohungslage, die Anzahl der Cyberangriffe auf Unternehmen und die Meldungen erfolgreicher Hacks, so scheinen Cyberkriminelle der IT-Sicherheit mit ihren innovativen Angriffen immer einen Schritt voraus zu sein. Ein Plädoyer für den Aufbau einer langfristigen Strategie für Cybersicherheit.
Kein Wunder – sind viele CISOs und CIOs hauptsächlich damit beschäftigt, die im jeweiligen Moment stattfindenden Angriffe abzuwehren, anstatt sich die permanent weiterentwickelnde Bedrohungslandschaft auf lange Sicht hin anzusehen. Mit einer umfassenden und langfristigen Cybersicherheitsstrategie wären Unternehmen deutlich effektiver gegen künftige Attacken gerüstet. Dies ist trotz der Vielzahl von Angriffen in der Gegenwart durchaus möglich – denn die Zukunft ist keinesfalls so ungewiss, wie man vermuten mag. Viele neue Bedrohungen sind anspruchsvolle Weiterentwicklungen bereits bestehender Angriffsvektoren.
Neue Bedrohungen, alte Angriffsvektoren
In vielerlei Hinsicht hat die Security-Branche selbst Schuld an der derzeitigen „kurzsichtigen Strategie“. Viele Technologieanbieter nutzen die Angst und Unsicherheit von Kunden als Verkaufsinstrument und behaupten, dass sich die Cybersicherheit so schnell entwickele, dass man nicht vorhersagen könnte, was als nächstes kommt. Dieser Angstmacher-Ansatz in der Praxis der Entscheidungsfindung mag zwar helfen, die neuesten Sicherheitsprodukte zu verkaufen, aber er fördert auch aktiv eine kurzfristige Denkweise. Denn es stimmt zwar, dass ständig neue Bedrohungen auftauchen, aber viele der Angriffsvektoren, auf die sie sich stützen, haben sich in den letzten Jahrzehnten kaum verändert. Griffen kriminelle Organisationen in den achtziger und neunziger Jahren noch Großrechner an, greifen sie heute eben Cloud-Plattformen an – verwenden dabei aber sehr ähnliche Taktiken und Techniken.
So sind beispielsweise fast alle Angriffe auf moderne Unternehmensnetzwerke das Ergebnis von erfolgreichem Spear Phishing. Die Technik gibt es schon seit mindestens zehn Jahren, während Phishing schon seit den 90er Jahren existiert. Darüber hinaus ist Social Engineering ein Schlüsselfaktor bei fast allen Cyber-Angriffen. Diese Angriffsmethoden sind keineswegs neu, ebenso wenig wie die wichtigsten Abwehrstrategien gegen sie: regelmäßiges Cybersicherheitstraining und die rasche Erkennung von „abnormalem“ Benutzerverhalten im Netzwerk.
Cybersicherheit mit Automatisierung und ML
Der vielleicht größte Unterschied zwischen damals und heute ist sicherlich Maßstab. Im Laufe der Zeit haben sich Gigabytes in Terabytes und Petabytes verwandelt. Auch die Art und Weise, wie Menschen in einer globalisierten Welt in weit verteilten Organisationen arbeiten, oft von unterwegs oder aus dem Home-Office, hat sich im letzten Jahrzehnt stark geändert. All dies macht es für Sicherheitsteams viel schwieriger, sensible Daten im Auge zu behalten und anormale Verhaltensmuster zu erkennen.
Glücklicherweise sind die Datenanalyse und die Erkennung von Anomalien ein Bereich, in dem neue entwickelte Technologien wirklich einen Unterschied machen können. Fortschritte in der Automatisierung und im Maschinellen Lernen bedeuten beispielsweise, dass Unternehmen jetzt Plattformen aufbauen und die den Sicherheitsteams viel manuelle Arbeit abnehmen können. Die Kosten für diese Technologien sinken ebenfalls. Während sie früher den größten Unternehmen vorbehalten waren, können Unternehmen jeder Größe heute von den Vorteilen dieser neuen Technologien profitieren.
Die Zukunft ist nicht so ungewiss wie mancher denkt
Trotz dieser Fortschritte werben viele Anbieter in der Cybersicherheits-Branche weiterhin mit dem Angstfaktor: Sie behaupten, dass Quantencomputer der nächste Meilenstein für Cyberkriminelle sein werden, weil man damit Verschlüsselungen und Passwörter viel leichter knacken könne. Auch erhöhen Cyberkriminelle die Schlagzahl ihrer Angriffe dank Automatisierung und arbeiten zum Beispiel über „Hacking as a Service“ viel effektiver zusammen, indem sie Zero-Day-Tools und Benutzername/Passwort-Daten gemeinsam nutzen und so die Abhängigkeit von Social Engineering-Techniken deutlich verringern.
Das mag zwar zutreffen, aber es besteht dennoch kein Grund zur Panik. Denn selbst wenn es Kriminellen gelänge, sich ohne den Einsatz von Social Engineering Zugang zu Netzwerken zu verschaffen, gibt es bereits Technologien wie User & Entity Behavior Analytics (UEBA), die dem entgegenwirken können. UEBA wirkt, indem es das Verhalten legitimer Nutzer und Geräten (Entitäten) im Netzwerk über einen bestimmten Zeitraum hinweg vergleicht und die Parameter der „normalen Aktivität“ auf der Grundlage von Schlüsselkriterien wie geografische Lage, Anmeldezeiten und Dateizugriffe festlegt. Weicht das Verhalten eines Benutzers zu weit vom bekannten normalen Verhalten ab, wie zum Beispiel das Einloggen aus China um zwei Uhr morgens, wenn er sich normalerweise von München aus während der normalen Arbeitszeiten im Netzwerk anmeldet, wird dieses Verhalten dem Sicherheitsteam automatisch als verdächtig gemeldet.
Verhaltensanalyse statt Technologiekampf
Selbst wenn Kriminelle Quantencomputer statt Social Engineering verwendet haben sollten, um die Zugangsdaten eines Benutzers zu knacken, wird er durch sein Verhalten im Netzwerk schnell auffallen. Der andere bedeutende Vorteil der Verwendung von Verhaltensanalysen besteht darin, dass alle relevanten Aktivitätsdaten aus anderen Aktivitätsströmen automatisch zu Vorfallwarnungen zusammengefügt werden können. So erhalten Sicherheitsteams sofort einen Kontext über den Risikograd eines Ereignisses, was eine viel effektivere Reaktion und Abschwächung der Folgen des Angriffs unterstützt.
Fazit: Planung der Cybersecurity ausdehnen
Ungeachtet dessen, was bestimmte Ecken der Cybersicherheitsbranche sagen mögen, ist es möglich, viel längerfristig zu planen, als es viele Organisationen realisieren. Neue Bedrohungen tauchen zwar ständig auf, aber wenn man sich diese genauer ansieht, wird offensichtlich, wie verblüffend ähnlich sie zu älteren Angriffen sind. Gleichzeitig haben sich die Technologien zur Abwehr dieser sehr ähnlich gebliebenen Angriffe dank Fortschritten in Maschinellem Lernen und Automation stark weiterentwickelt. Es gibt also keinen Grund mehr, sich weder vor der Zukunft zu sorgen, noch nicht für sie zu planen. Vor diesem Hintergrund ist es an der Zeit, nicht mehr über Cybersicherheit in Standard-Budgetzyklen von drei bis fünf Jahren nachzudenken, sondern zu überlegen, wie man die Planung effektiv auf Zeiträume von mehr als zehn Jahren ausdehnen kann. Wir wissen zwar nicht im Detail, was auf uns zukommen wird, aber die Chancen stehen gut, dass es viel vertrauter aussehen wird, als wir denken.
Mehr dazu bei Exabeam.com
Exabeam steht für Smarter SIEM™. Exabeam ermöglicht es Unternehmen, Cyberangriffe effizienter zu erkennen, zu untersuchen und darauf zu reagieren, damit ihre Security- und Insider-Bedrohungsteams effizienter arbeiten können. Sicherheitsorganisationen müssen so nicht mehr mit überhöhten Preisen, verpassten Distributed Attacks und unbekannten Bedrohungen oder manuellen Untersuchungen und Gegenmaßnahmen leben. Mit der Exabeam Security Management Plattform können Sicherheitsanalysten unbegrenzt Log-Daten sammeln, Verhaltensanalysen zur Erkennung von Angriffen einsetzen und die Reaktion auf Vorfälle automatisieren, sowohl vor Ort als auch in der Cloud. Exabeam Smart Timelines, Sequenzen des Benutzer- und Entityverhaltens, die durch maschinelles Lernen erstellt wurden, reduzieren den Zeit- und Spezialisierungsaufwand für die Erkennung von Angreifertaktiken, Techniken und Verfahren weiter. Exabeam wird privat finanziert von Aspect Ventures, Cisco Investments, Icon Ventures, Lightspeed Venture Partners, Norwest Venture Partners, Sapphire Ventures und dem bekannten Sicherheitsinvestor Shlomo Kramer. www.exabeam.com
