Traditionelle Security-Ansätze nach dem Prinzip "Spray-and-Pray" sind nicht mehr zeitgemäß. Es gilt heute, Erkenntnisse aus erfolgten Angriffen zu siehen. Je mehr Details zu Sicherheitszwischenfällen sich extrahieren lassen, desto besser kann die Verteidigung aufgebaut werden, um ähnliche Attacken zu verhindern. [...]
Im ersten Szenario wurde das unmittelbare Problem behoben und eine Regel hinzugefügt, um genau die gleiche Aktivität in Zukunft zu vermeiden. Im zweiten Szenario aber, wurde nicht nur das unmittelbare Problem behoben. Es wurde auch ermittelt, wer es auf das Unternehmen abgesehen hat, wie die Angreifer vorgehen und welche konkreten Schritte über den Einsatz einer Signatur hinaus ergriffen werden können, um das Netzwerk zu schützen. Dies stößt eine Reihe von weiteren Erkennungsaktivitäten an, etwa zur Identifizierung zusätzlicher infizierter Rechner und Backdoors, die vom Gegner platziert worden sein könnten. Die Anwendung der gewonnenen Erkenntnisse ermöglicht es, nach den spezifischen Remote Access Tools (RATs), die von der Gruppe verwendet wurden, oder einer Reihe von anderen Indikatoren zu suchen, die anderenfalls keine Beachtung gefunden hätten.
MEHR EFFIZIENZ, RICHTIGE PRIORITÄTEN
Hinzu kommt eine effizientere Nutzung der begrenzten Zeit, die Sicherheitsteams für die Analyse von Ereignissen zur Verfügung steht. Zum Beispiel würde eine Low-Level-Cybercrime-Gruppe eine ganz andere Reaktion als staatlich geförderte Cyberspionage verlangen, da die Komplexitätsebenen zwischen den beiden Niveaus stark variieren. Das Sicherheitsteam wüsste dann, welche Prioritäten sinnvoll sind.
Das Gute ist, dass niemand allein ist in diesem Kampf. Es gibt eine Vielzahl von öffentlichen Quellen, Organisationen für Informationsaustausch, Forschungsergebnisse der Sicherheitsbranche und Analysedienste, um sich das nötige Wissen zur Abwehr der Gegner anzueignen. Je mehr Informationen gesammelt werden, desto besser ist die Analyse und desto detaillierter können die Sicherheitsrichtlinien angepasst werden, um die spezifischen Gegner, die es wahrscheinlich auf das jeweilige Unternehmen abgesehen haben, abzuwehren. Wenn es zu einem Sicherheitsvorfall kommt, sollte dies als Chance gesehen werden, einen Schritt zurück zu verfolgen und den weiteren Kontext unter die Lupe zu nehmen, das heißt: herauszufinden, wer versucht in das Netzwerk einzudringen und was getan werden kann, um dies in Zukunft zu verhindern.
* Thorsten Henning ist Senior Systems Engineering Manager Central & Eastern Europe bei Palo Alto Networks.
Be the first to comment