Achillesferse Servicekonto: der beliebteste Angriffspunkt von Hackern

Eine schlechte Passworthygiene in Unternehmen spielt Angreifern bei der Kompromittierung von Service-Accounts oft in die Hände. Passwörter für Servicekonten werden nicht regelmäßig geändert, obwohl eine vernachlässigte Passwortrotation eines der größten Sicherheitsrisiken darstellt. [...]

Obwohl eine vernachlässigte Passwortrotation eines der größten Sicherheitsrisiken in der Verwaltung von privilegierten Accounts darstellt, werden rund 35 Prozent der Passwörter für sensible Servicekonten niemals oder nur nach einem Sicherheitsvorfall geändert. Dies ist das Ergebnis des aktuellen Black Hat Hacker Surveys 2019 des PAM-Spezialisten Thycotic.

Für den Report befragte Thycotic im Rahmen der diesjährigen Security-Konferenz Black Hat in Las Vegas insgesamt 300 Hacker und Security-Professionals zu ihren bevorzugten Angriffszielen und effektiven Schutzmaßnahmen in Zusammenhang mit privilegierten Konten und verglich die Antworten der beiden Gruppen anschließend miteinander.

Servicekonten – die Achillesferse der Unternehmens-IT

Einigkeit herrschte dabei unter anderem in Sachen Angriffsziel: Sowohl Hacker als auch Sicherheitsprofis sehen demnach in Servicekonten einen beliebten Angriffspunkt. Das liegt nicht zuletzt daran, dass diese Accounts Zugriff auf sensible Informationen gewähren und zudem Möglichkeiten der Privilegien-Erhöhung bereithalten. Da Servicekonten selten von menschlichen Usern genutzt werden und ihre Aufgaben dementsprechend „hinter den Kulissen“ erfüllen, werden sie selten überprüft. Gleichzeitig zögern IT-Administratoren, Servicekonten zu deaktivieren, da sie ihre Abhängigkeiten oft nur schwer verstehen können und eine störende Betriebsunterbrechung unbedingt vermeiden wollen. Dabei sind Servicekonten in der Cloud, on-premises oder in hybriden Umgebungen gleichermaßen gefährdet, wie die befragten Hacker klarstellen.

Nachlässigkeit bei der Passworthygiene

Eine schlechte Passworthygiene in den Unternehmen spielt den Angreifern bei der Kompromittierung von Service-Accounts dabei oft in die Hände. Beide Gruppen monieren, dass Passwörter für Servicekonten nicht regelmäßig geändert werden, obwohl eine vernachlässigte Passwortrotation eines der größten Sicherheitsrisiken in der Verwaltung von privilegierten Accounts darstellt. In 44 Prozent der Fälle treffen die befragten Hacker bei ihren Angriffen demnach auf Accounts, deren Zugriffsdaten nie bzw. nur nach einem Security-Vorfall geändert werden. In immerhin 36 Prozent der Fälle rotieren die Passwörter einmal pro Monat, was den Hackern jedoch immer noch rund 30 Tage Zeit gibt, um ihren Angriff durchzuführen und sich lateral im Netzwerk zu bewegen. Diese Angaben decken sich mit den Antworten der befragten Security-Professionals, von denen 36 Prozent zugaben, Servicekonto-Passwörter nie bzw. nur nach einem Incident zu wechseln. Täglich werden die Passwörter laut Report nur in rund 3,5 Prozent der Fällen gewechselt.

„Die ordnungsgemäße Absicherung von Servicekonten stellt Unternehmen vor große Herausforderungen, insbesondere wenn mehrere Accounts für verschiedene Services, Aufgaben und Anwendungen betroffen sind“, so Joseph Carson, Chief Security Scientist bei Thycotic. „Die Passwortverwaltung ist bei Servicekonten ebenfalls kein Kinderspiel. So können Administratoren ein Servicekonto-Passwort nicht einfach ändern, solange sie nicht wissen, wo genau es verwendet wird. Tun sie es doch, besteht das Risiko, dass andere wichtige Anwendungen abstürzen.“

Servicekonten müssen konsequent verwaltet und überwacht werden

Um privilegierte Accounts wie Service-Konten vor Missbrauch zu schützen, bedarf es neben einer Passwortrotation weiterer Sicherheitsmaßnahmen, darin sind sich Hacker wie IT-Pros einig. Beide Gruppen empfehlen zum einen eine wirksame Identifizierung und Entfernung veralteter und entbehrlicher Accounts, da sie schnell übersehen werden können und ihr Missbrauch lange unentdeckt bleiben kann. Zum anderen sollten IT-Abteilungen alle Aktivitäten von privilegierten Konten streng überwachen, um verdächtiges Verhalten frühzeitig zu erkennen.

Uneinigkeit herrschte unter den Gruppen vor allem in Sachen Hacker-Ethik. Während fast 50 Prozent der befragten Sicherheitsprofis davon überzeugt sind, dass Hacker gestohlene sensible Daten aus Profitgründen auf jeden Fall verkaufen würden, widersprachen dem ebenso viele der befragten Hacker. Die Hälfte von ihnen gibt gehackte kritische Informationen demnach verantwortungsvoll weiter. An einen Verkauf der geleakten Informationen bzw. eine Lösegeldforderung denken weniger als fünf Prozent. Das dürfte nicht zuletzt daran liegen, dass sich rund 36 Prozent der befragten Hacker selbst als sogenannte White Hat-Hacker definieren.