Wie Datendiebstahl im Unternehmen erkannt werden kann

Die Rolle von Netzwerkdaten bei der Erkennung und Analyse von Cyberangriffen. [...]

Datendiebstähle durch Cyberangriffe sind mitunter nur schwer zu erkennen, da Angreifer oft einiges an Energie darauf verwenden, um ihre Spuren zu verbergen. Sie nutzen dazu etwa Verschleierungstechniken, um die tatsächliche Natur ihrer Aktivitäten zu kaschieren, oder missbrauchen legitime Tools und Prozesse, um Daten zu exfiltrieren. Das macht ihre Aktivitäten nur schwer von normalem Benutzerverhalten unterscheidbar – insbesondere in großen Netzwerken mit vielen Geräten und einer hohen Menge an Datenverkehr. Außerdem arbeiten Angreifer häufig mit zeitlicher Verzögerung. Statt Daten sofort zu exfiltrieren, warten sie oder versenden Daten in kleinen Mengen über einen längeren Zeitraum hinweg, um Erkennungsmechanismen zu umgehen.

Es sind also Lösungen gefragt, die trotz all dieser Hürden und Verschleierungstaktiken zuverlässige Ergebnisse liefern. Hier kommen die Netzwerkdaten ins Spiel. Sie eignen sich zur Erkennung von Daten-Exfiltrationen besonders gut und bieten einen Überblick über alle Systeme des Unternehmens. Zudem ermöglichen sie Korrelationen zwischen einzelnen Hosts. Es ist daher ein sinnvoller Ansatz, diese Netzwerkdaten bei der Erkennung und Analyse einzubeziehen.

Die Folgen von Daten-Exfiltration

Doch zunächst einmal gilt es sich vor Augen zu halten, was solch ein Datendiebstahl überhaupt bedeutet. Cyberangriffe führen häufig zu einem unbefugten Zugriff auf persönliche oder vertrauliche Daten. Werden die Daten dabei aus dem Unternehmensnetzwerk gestohlen, wird von einem Datenleck oder einer Daten-Exfiltration gesprochen. Die Motive des Datendiebstahls sind vielfältig und reichen von Industriespionage und Erpressung bis hin zum Weiterverkauf oder dem Identitätsdiebstahl. In letzter Zeit ist zudem ein Trend zur „Double Extorsion“ im Zusammenhang mit Ransomware-Angriffen zu beobachten. Dabei stehlen die Angreifer die sensiblen Daten des betroffenen Unternehmens, bevor sie diese verschlüsseln. Ziel ist es, das Unternehmen selbst dann erpressen zu können, wenn kein Lösegeld für die Entschlüsselung der Daten gezahlt wird.

Für betroffene Unternehmen kann sich eine erfolgreiche Daten-Exfiltration auf unterschiedliche Arten negativ auswirken. Dazu zählt zum einen der potenzielle finanzielle Schaden durch gestohlene Informationen. Zudem leidet die Reputation, wenn der Datenverlust öffentlich bekannt wird. Außerdem können Unternehmen – je nach Art und Schwere des Vorfalls – mit zusätzlichen rechtlichen Schritten, wie zum Beispiel der Meldung des Vorfalls bei einer Aufsichtsbehörde, konfrontiert werden.

Warum herkömmliche Schutzmaßnamen nicht ausreichen

Nicht alle Security-Tools oder Logquellen sind gleichermaßen für die Erkennung von Daten-Exfiltrationen geeignet. So bieten beispielsweise Antivirenprodukte oder klassische Firewalls keinen ausreichenden Schutz, da Angreifer zum Datendiebstahl möglicherweise legitime Anwendungen und Netzwerkverbindungen verwenden. Außerdem sollte man bedenken, dass Tools mit einer signaturbasierten Erkennung keinen ausreichenden Schutz bieten, da sie nur bekannte Angriffsmuster erkennen können. Des Weiteren ist es denkbar, dass die Daten vor der Übertragung verschlüsselt oder verändert werden, um sie vor der Erkennung durch ein Data Loss Prevention System (DLP) zu verbergen.

Bei der Auswahl des passenden Security-Tools ist zudem dessen „Sichtbarkeit“ innerhalb des Unternehmensnetzwerks sowie der Informationsgehalt der erzeugten Logdaten zu berücksichtigen. Beispielsweise bieten Endpoint Detection & Response (EDR) oder hostbasierte Intrusion Detection Systeme (H-IDS) lediglich Informationen eines einzelnen Hosts. Tools, die netzwerkbasiert arbeiten, wie beispielsweise Netzwerk Intrusion Detection Systeme (N-IDS), bieten einen Überblick über alle Systeme des Unternehmens und ermöglichen Korrelationen zwischen einzelnen Hosts.

Tiefere Einblicke durch Netzwerkanalyse

Zur Erkennung von Datenexfiltrationen innerhalb eines Unternehmens eignet sich die Nutzung von Netzwerkdaten besonders gut. Durch die Analyse dieser Daten können nicht nur alle Hosts des Netzwerks durch eine zentrale Komponente überwacht, sondern auch Korrelationen zwischen einzelnen Systemen hergestellt werden.

Im Detail erfolgt die Analyse des Netzwerkverkehrs mithilfe von Netzwerk Intrusion Detection Systemen oder einem Netzwerk Security Monitor (NSM). Die Tools erhalten eine Kopie des entsprechenden Netzwerkverkehrs und analysieren diesen passiv. Dadurch ist die Gefahr von Veränderungen an einzelnen Netzwerkpaketen ausgeschlossen und Produktivsysteme werden nicht gestört. Zur Analyse extrahieren die Tools zahlreiche Meta-Informationen aus den einzelnen Netzwerkverbindungen und bereiten diese zur Weiterverarbeitung auf. Dazu zählen unter anderem die Anzahl der übertragenen Bytes, die Dauer einzelner Verbindungen, die verwendeten Netzwerkprotokolle sowie deren spezifische Informationen. Je nach verwendetem Analyse-Tool fallen die bereitgestellten Daten mehr oder weniger umfassend aus. Neben der Aufbereitung der Daten bieten die meisten Security-Anwendungen verschiedene Komponenten zur Analyse der bereitgestellten Informationen. Als einfachstes Beispiel kann dies die Suche nach einem Indicator of Compromise (IoC) innerhalb der Meta-Informationen einer Netzwerkverbindung sein. Fortgeschrittenere Tools ermöglichen zudem eine Anomalie- oder Verhaltenserkennung bei denjenigen Netzwerkdaten, die sich für die Erkennung von Daten-Exfiltrationen eignen.

Security-Analysten könnten beispielsweise das Normalverhalten der Netzwerkverbindungen einzelner Hosts oder in Relation zu anderen Hosts über einen längeren Zeitraum analysieren. Kommt es durch einen Datendiebstahl zu Abweichungen im Verhalten, können sie dieses anhand der zuvor gesammelten Daten erkennen. Die Angabe der Abweichung zum Normalverhalten als dynamischen Wert ermöglicht zudem die Einstellung individueller Grenzwerte für eine Alarmierung und somit die Reduktion von Fehlalarmen. In einem weiteren Schritt könnten die gewonnenen Informationen sogar mit zusätzlichen Daten aus dem Bereich der User and Entity Behavior Analysis (UEBA) korreliert und analysiert werden.

Fazit: Netzwerkanalyse ist der Schlüssel

Oft ist es sehr schwierig, eine Daten-Exfiltration überhaupt zu erkennen. Es sind daher Methoden wie die Analyse des Netzwerkverkehrs gefragt, denn sie bieten tiefe Einblicke in die Kommunikation eines Unternehmens. Durch dessen Untersuchung können Angriffsverhalten erkannt werden, die durch eine ausschließliche Betrachtung von Host-Systemen ansonsten unentdeckt blieben. Weiterhin ermöglicht die Korrelation verschiedener Netzwerkdaten die Bildung zusätzlicher Indikatoren sowie die Analyse von Verhaltensmustern. Unternehmen, die Datendiebstahl frühzeitig und zuverlässig erkennen wollen, sollten daher die Netzwerkanalyse in ihre Sicherheitsarchitektur unbedingt einbeziehen.

*Der Autor Simon Hanke ist Cyber Defense Consultant bei SECUINFRA.