Cybergegner und ihre Motivationen

Um zu ermitteln, wer hinter einem Sicherheitsvorfall steckt, gilt es die Motivation und die grundlegenden Eigenschaften eines Angreifers zu analysieren. Die Erkenntnisse dienen dazu, proaktive Abwehrmaßnahmen zu verfeinern und zu fokussieren. [...]

Nimmt man den Begriff „Cyber“ aus diesen Motivationen heraus, wird deutlich, dass es diese Beweggründe schon lange vor ihrer Anwendung in Bezug auf Computernetze und -systeme gegeben hat. Kurz gesagt, ist „Cyber“ nur ein weiteres Medium, über das böswillige Akteure ihre Ziele zu erreichen versuchen. Angriffe können auch auf der Basis von mehreren Motivationen ausgehen und auch mehrere Angriffskampagnen umfassen. Zusätzlich können dynamische Faktoren die Motivation der Akteure für einen bestimmten Angriff beeinflussen, wie etwa die kurzfristige Nutzung gewonnener Informationen und Identifizierung von Gelegenheitszielen. Fortschrittlichere und/oder kreativere Widersacher setzen oft auch auf Irreführung, während in Wirklichkeit ihre Aktivitäten anders motiviert sind.

Auch wenn die Motivationen unterschiedlich sind, verwenden die meisten Akteure oft die gleichen Taktiken, Techniken und Prozeduren (TGP), Malware-Tools und/oder andere Ressourcen (z.B. Infrastrukturanbieter) für alle ihre Operationen. Die Mehrheit entfernt sich nicht weit von einem Kernsatz von Funktionen und Methoden. Allerdings tragen die folgenden Trends zur Komplexität bei, die eine Erkennung der Akteure und deren Motivation erschwert:

• Ist eine Gruppe von böswilligen Akteuren erfolgreich bei einem Angriff, werden andere ermutigt und inspiriert, ähnliche oder weiterentwickelte Methoden zu nutzen
• Nutzung und Anpassung von öffentlich verfügbarer Malware und Tools, die unter Akteuren aus verschiedenen Gruppen und mit unterschiedlichen Motivationen geteilt werden
• Closed-Source-Sharing von Malware, Tools und Infrastruktur

ATTRIBUTIONSEBENEN

Wenn es darum geht, zu ermitteln, wer hinter einem Sicherheitsvorfall steckt, gilt es die grundlegenden Eigenschaften eines Angreifers zu analysieren. Die Attribution kann in unterschiedlichen Granularität erfolgen und gilt für jede Motivation, die ein Gegner zu einem bestimmten Zeitpunkt haben könnte. Die konzeptionellen Ebenen (von der geringsten zu der am höchsten granularen) sind:

• High-Level-Motivation: Zuvor oben beschrieben und in der Regel die am einfachsten zu etablierende Ebene
• Qualifikationen: Zusammenfügen von Aspekten wie bevorzugte Ziele (z.B. Branche, Zugehörigkeit, Arten von Informationen, etc.), Sponsoring-Aktivität (d.h. Umfang und Finanzierung) und mögliche Korrelation/Beziehung zu anderen Gruppen von Bedrohungsakteuren oder Ereignissen (z.B. in der echten Welt oder virtuelle, bezogen auf ein Sicherheitsereignis oder sonstige Ereignisse aus Politik oder Rechtsprechung)
• Gruppe: Beinhaltet Isolierung von TTPs, Unterscheidung der Malware und/oder Tools, Angriffsinfrastruktur und Kohäsionsgrad (d.h. formelle Organisation oder Gruppe)
• Individuell: Die am schwierigsten zu etablierende Ebene, vor allem für fortschrittliche/ anspruchsvolle Gegner; Zuordnung tiefergehender Bedrohungsaspekte für sehr spezielle Betreiber von Angriffen

ALLES ZUSAMMENBRINGEN

Bei ganzheitlicher Betrachtung in Verbindung mit anderen Informations- und Sicherheitsdiensten (z.B. breitere Risikobewertung), kann auch nur das Erkennen einer High-Level-Motivation bei der Anpassung der Abwehrmaßnahmen hilfreich sein. Jeder Kontakt mit dem Gegner bietet eine Gelegenheit, diesen weiter zu verfolgen und die Zuordnung von Attributen zu verfeinern. Eine immer feinere Granularität der Zuordnung ermöglicht eine zunehmende Fokussierung der Verteidigungsoperationen. Dies wiederum reduziert die für eine Reaktion auf Vorfälle benötigten Ressourcen verringert und verschafft den Verteidigern genügend Luft, um ihre proaktiven Abwehrmaßnahmen zu erweitern.

* Thorsten Henning ist Senior Systems Engineering Manager Central & Eastern Europe bei Palo Alto Networks.

Dies ist der erste Artikel einer dreiteiligen Serie über die Motivation von Angreifern. Teil 2 handelt von Cyberspionage, Cyberkriminalität und ​​Hacktivismus und Teil 3 von Cyberkriegsführung, Cyberterrorismus und „Cyber Mischief“.