Ein Unternehmen im Bereich Security Operations hat seinen neuen Security Operations Report 2024 veröffentlicht. Dieser basiert auf den Daten und Beobachtungen, die im vergangenen Jahr weltweit von der Arctic Wolf Security Operations Plattform erfasst und analysiert wurden. Der Report wertet mehr als 250 Billionen Sicherheitsereignisse von mehr als 6.500 Unternehmen aus.
Der Report bietet tiefe Einblicke in die moderne Bedrohungslandschaft und teilt Best Practices. So können Unternehmen von der Expertise und Erfahrung eines der größten Security Operations Center (SOC) der Welt profitieren und bessere Sicherheitsergebnisse erzielen. Die Zahl der Cyberangriffe ist ungebrochen hoch und das, obwohl immer mehr Sicherheitstools eingesetzt werden – leider meist ohne ganzheitliche Präventions- und Detektionsstrategie. Angesichts der Bedrohungslage des letzten Jahres – mit großflächigen IT-Ausfällen, Tausenden neuen kritischen Schwachstellen, maliziösen Aktivitäten staatlicher Bedrohungsakteure und verstärktem KI-Einsatz der Angreifer – stehen viele Unternehmen vor der Herausforderung, ihr Cyber-Risiko effektiv zu managen.
Hacker haben keinen Feierabend
Die Auswertung des Arctic Wolf Security Operations Report 2024 ergab, dass fast die Hälfte aller Sicherheitsvorfälle (45 %) außerhalb der traditionellen Arbeitszeiten zwischen 20 Uhr und 8 Uhr stattfinden. Besonders ist das der Fall bei der finalen Ausführung der Verschlüsselung bei Ransomware. Außerdem wurden bis zu 20 % der Sicherheitsalerts am Wochenende zwischen Freitag, 20 Uhr und Montag, 8 Uhr erfasst. Cyberkriminelle scheinen ganz gezielt die Zeiten zu nutzen, in denen Sicherheitsteams nicht im Einsatz oder dünn besetzt sind, um Schaden anzurichten. In den ersten Angriffsphasen hingegen verstecken sich Angreifer oftmals in den Log-Daten legitimer User. So können sie das Risiko, entdeckt zu werden, verringern, ihre Verweildauer verlängern und die eingeschränkte Reaktionsfähigkeit der Unternehmen auszunutzen. Die breite Einführung von cloudbasierten Anwendungen lässt Unternehmen zusätzlich rund um die Uhr zu einem attraktiven Ziel werden.
24x7x365 statt Feierabend
„Die Ergebnisse des Reports verdeutlichen die Wichtigkeit einer 24x7x365-Sicherheitsüberwachung“, kommentiert Dr. Sebastian Schmerl, Regional Vice President Security Services EMEA bei Arctic Wolf. „Um Systeme zu infiltrieren und sich unbemerkt auszubreiten, bevorzugen Hacker Zeiten mit möglichst vielen aktiven Nutzern. So gelingt es ihnen eher, unter dem Radar zu fliegen. Vor allem dann ist es daher für Sicherheitsverantwortliche entscheidend, jeden eingehenden Alert gewissenhaft zu prüfen, auch wenn das für sie eine Sisyphusarbeit bedeutet. Leiten die Angreifer die eigentliche Schadensausführung ein, ist es für sie von Vorteil, wenn die IT-Teams, aufgrund einer ausgedünnten Besetzung – z.B. nachts, abends, während des Wochenendes – nicht schnell eingreifen können. Hacker halten sich nicht an gesetzliche Arbeitszeiten. Gleichzeitig ist für viele Unternehmen ein Rund-um-die-Uhr-Monitoring aufgrund von knappen personellen Ressourcen und aus finanziellen Gründen keine Option. Managed Security Services und die Zusammenarbeit mit einem externen Partner können helfen, diese zeitlich kritische Lücke zu schließen.“
Zentrale Geschäftsanwendungen im Visier
Die Auswertungen von Arctic Wolf zeigen die Softwareanwendungen, die im Auswertungszeitraum von Angreifern am häufigsten ausgenutzt wurden:
- 1. Windows 10 OS (ungepatchte oder fehlende sicherheitsrelevante Updates)
- 2. MS Outlook (2016 und 2013)
- 3. Cisco IOS XE WebUI
- 4. Office 365 (2016 Click-to-Run)
- 5. Apache ActiveMQ
Bei dieser Liste handelt es sich nicht um Nischenanwendungen oder Beispiele von Schatten-IT, sondern um kritische Geschäftsanwendungen, die in vielen modernen Unternehmen tagtäglich zum Einsatz kommen.
„Weil Unternehmen nicht auf diese Anwendungen verzichten können, ist ein gewisses Grund- oder Restrisiko für Cyberangriffe unvermeidlich“, so Dr. Schmerl. „Gleichzeitig unterstreichen die Auswertungen des Reports die Bedeutung eines Risikomanagementprogramms, um Schwachstellen zu identifizieren und zeitnah zu Patchen. Dies ist nach wie vor eines der wirksamsten Mittel zur Risikominderung und schützt effektiv vor bekannten Schwachstellen und häufig eingesetzten Exploits.“
Identity-Telemetrie für die Bedrohungserkennung
Telemetriedaten von Tools für das Identitäts- und Zugriffsmanagement (IAM) führten im Auswertungszeitraum die Liste der Bedrohungen und Indicators of Compromise (IOC) an, die die meisten Warnmeldungen auslösten. Darunter waren z. B. Login-Versuche aus gesperrten Ländern. An zweiter und dritter Stelle lagen ungewöhnliche Änderungen der Firewall und hinzugefügte Regeln zur E-Mail-Weiterleitung. Diese Liste ist branchenübergreifend konsistent, was zeigt, dass verschiedene Angriffe und Angreifer auf dieselben „Bausteine“ zurückgreifen. Eine Ausnahme bildet der Bankensektor, bei dem „ungewöhnliche Änderungen der Firewall“ auf Platz eins liegen. Die Auswertung unterstreicht die entscheidende Rolle von IAM im Rahmen einer starken Sicherheitsstrategie und als Element von Zero-Trust-Initiativen.
„Banken betreiben in der Regel gut segmentierte Netzwerke mit verschiedenen Vertrauens- und Fehlerdomänen, z. B. Anwender, Entwicklung, Testumgebung, Audit und Produktion. Angreifer versuchen über Änderungen an den Firewall-Konfigurationen zu privilegierten Netzwerksegmenten und zu den Systemen vorzudringen und so die Netzwerksegmentierung zu durchbrechen“, erläutert Dr. Schmerl die Abweichung bei der Reihenfolge der gemeldeten Bedrohungen im Bankwesen.
Vielzahl an Sicherheitstools überfordert IT-Teams
Security-Anwendungen unterstützen dabei, Angriffe schnellstmöglich zu erkennen und mögliche Schäden und Kosten zu begrenzen. In der Praxis sind IT-Teams jedoch häufig von der Vielzahl der Warnmeldungen der unterschiedlichen Sicherheitslösungen überfordert.
„In der Praxis sehen wir, dass die meisten Unternehmen über die nötigen Sicherheitstools verfügen. Die Herausforderung besteht in der korrekten Konfiguration und Überwachung der Tools. Teams haben nicht die Zeit, aus der Flut an Fehlalarmen die echten Warnhinweise herauszufiltern, die eine schnelle Reaktion erfordern. Im Rahmen einer Sicherheitsstrategie sollten daher nicht nur Sicherheitsanwendungen angeschafft, sondern auch überlegt werden, wie die Alerts effizient validiert werden können, um dann mit einem Notfallplan zu reagieren. Unternehmen, die auf Security Operations setzen, sind sicherer, widerstandsfähiger und besser in der Lage, sich an die sich ständig verändernde Bedrohungslandschaft anzupassen.“
Mehr bei ArcticWolf.com
Über Arctic Wolf Arctic Wolf ist ein weltweiter Marktführer im Bereich Security Operations und bietet die erste cloudnative Security-Operations-Plattform zur Abwehr von Cyber-Risiken. Basierend auf Threat Telemetry, die Endpunkt-, Netzwerk- und Cloud-Quellen umfasst, analysiert die Arctic Wolf® Security Operations Cloud weltweit mehr als 1,6 Billionen Security Events pro Woche. Sie liefert unternehmenskritische Erkenntnisse zu nahezu allen Security Use Cases und optimiert die heterogenen Sicherheitslösungen der Kunden. Die Arctic Wolf Plattform ist bei mehr als 2.000 Kunden weltweit im Einsatz. Sie bietet automatisierte Threat Detection und Response und ermöglicht es Unternehmen jeder Größe, auf Knopfdruck erstklassige Security Operations einzurichten.