Ricoh setzt auf Vectra um Netzwerk aus 100.000 Rechnern zur frühzeitigen Erkennung von Bedrohungen zu überwachen

Vectra AI, Anbieter KI-basierter Sicherheitslösungen für Unternehmen, stellt mit Ricoh einen internationalen Großkunden vor, der seine Cyberabwehr mit NDR verstärkt. [...]

Für die Ricoh Group in Japan waren die WannaCry-Angriffe ein finaler Weckruf in Sachen Cybersicherheit , da auch deren Systeme angegriffen wurden. Zum damaligen  Zeitpunkt wusste das Computer Security Incident Response Team (CSIRT) von Ricoh, dass es schnell handeln musste, damit der Angriff nicht auf die Kunden übergreifen konnte.

Atsushi Sato, Mitglied des CSIRT-Teams des Unternehmens, erklärt die Situation zum Zeitpunkt des Angriffs: „Der Ransomware-Angriff wurde auf dem Endpoint erkannt, aber mit der Zeit stieg die Anzahl der Warnungen, die uns über den Angriff informierten, sehr schnell an. Als wir die Log-Protokolle der an der Netzwerkgrenze installierten Sicherheitsgeräte analysierten, stellten wir fest, dass der Datenverkehr, der ins Internet ging, deutlich zugenommen hatte.“

Um herauszufinden, was vor sich ging, verglichen die CSIRT-Mitglieder die Informationen vom Endpoint mit den Logs von den Netzwerkgrenzen und analysierten sie. Sato erinnert sich: „Ich habe es versucht, aber ich konnte aus diesen beiden Informationsquellen nicht herausfinden, was im Netzwerk vor sich ging. Daher hat es viel Zeit gekostet, zu erkennen, was tatsächlich passierte. Diese Erfahrung hat mich darin bestärkt, wie wichtig die Transparenz des internen Netzwerks ist.“

Priorisierte Warnungen und einfache Berichte weisen den Weg

Nach dem Vorfall erhielt die Ricoh Group Hilfe von den Sicherheitsexperten von Nissho Electronics, die den Einsatz der Vectra-Technologie vorschlugen, der führenden AI-gesteuerten Plattform von Threat Detection and Response. Vectra sollte dabei helfen, Daten über die Workloads von Ricoh zu erfassen und dann sicherheitsgesteuerte AI anzuwenden, um vorhandene Bedrohungen zu erkennen und Prioritäten zu setzen.

Sato berichtet: „Mein erster Eindruck war, dass meine Report-Möglichkeiten hervorragend waren. Ich konnte Bedrohungen priorisieren, ohne Regeln zu erstellen. Das funktionierte besonders bei der Aufklärung nach dem Eindringen von Malware. Ich schätzte auch sehr die Fähigkeit, Bewegungen in jeder Angriffsphase zu erkennen und zu visualisieren, insbesondere bei ihrer internen Ausbreitung.“

Und Kazuki Ohara von dem Security Strategy Group and Security Management Department, ergänzt: „Ich fand das Dashboard sehr klar und übersichtlich. Erkannte Ereignisse werden auf zwei Achsen dargestellt, der Sicherheit und der Bedrohungsstufe, und wenn sie erkannt werden, sind ihre Prioritäten klar. Es funktioniert für mehrere Analysten“.

Nach einer dreimonatigen Testphase entschied sich die Ricoh Group für Vectra AI als ihr Tool für Network Detection and Response. Ohara merkt an. „Im Laufe eines halben Jahres haben wir ein System aufgebaut, mit dem wir das Netzwerk, das mit etwa 20.000 Terminals an den fünf wichtigsten Standorten verbunden ist, in Echtzeit überwachen können.“

Ein proaktiver Ansatz für unternehmensinterne IT-Bedrohungen, CSIRT-Aktivitäten und Schatten-IT sowie virtuelle PCs

Mit dem Einsatz der Vectra-Plattform wurden die Aktivitäten des CSIRT, die zuvor im Verborgenen stattfanden, nun leicht im Unternehmensnetzwerk sichtbar. Das liegt daran, dass Vectra in der Lage ist, die richtigen Daten mit dem richtigen Kontext zu erfassen und so einen Überblick über die Aktivitäten im gesamten Unternehmen zu schaffen.

Sato erklärt, dass „in der Vergangenheit viele Reaktionen erst nach einem Vorfall erfolgten, aber jetzt, da das interne Netzwerk sichtbar ist, sind wir proaktiv, wenn wir Anzeichen, die zu Vorfällen führen, in einem frühen Stadium erkennen und Gegenmaßnahmen in Betracht ziehen.“ Auf diese Weise kamen einige unerwartete Probleme zum Vorschein, darunter Shadow IT und virtuelle PCs.

Ein wichtiges Detail, da die Ricoh Group die Nutzung von Cloud-Diensten für individuelle Arbeitsplätze oder Verträge untersagt. Was virtuelle PCs angeht, werden in der Entwicklungsabteilung der Ricoh Group mehrere virtuelle PCs erstellt, die dann auf physischen PCs zur Überprüfung der entwickelten Software verwendet werden. Ohne die Vectra-Plattform wäre es nie zur Nutzung dieser Cloud Services und virtuellen PCs gekommen.

Als Reaktion auf diese Probleme führt Ohara aus: „Derzeit klären wir die tatsächlichen Bedingungen der Shadow IT und der virtuellen PCs und erwägen Gegenmaßnahmen wie detaillierte CASB-Einstellungen (Cloud Access Security Broker) und eine Neufassung der internen Regeln.“

Stärkung der Sicherheit mit Vectra AI

„Cybersecurity-Teams wollen sich auf Aktivitäten konzentrieren, die Informationen über Vorfälle, die innerhalb und außerhalb des Unternehmens aufgetreten sind, zusammenfassen und interpretieren, und sie wollen umfassende Maßnahmen implementieren. Daher ist eine effiziente Detection and Response für die Zukunft wichtig“, ergänzt Sato.

Nach einer erfolgreichen Installation der Vectra-Technologie hat Ohara die nächsten Schritte geplant: „Wir erwägen auch, unser eigenes Dashboard zu erstellen, indem wir mehrere Lösungen über die in Vectra bereitgestellte API (Application Programming Interface) verknüpfen. Die von den einzelnen Sicherheitsprodukten wie IPS (Intrusion Prevention Systems) und Endpoint erkannten Ereignisse werden miteinander verknüpft. Wir denken daran, eine vielschichtige Analyse von Bedrohungen durchzuführen.“

Mit den effektiven Funktionen, der Transparenz und der AI-gesteuerten Erkennung von Bedrohungen, um Angriffe wie die von Ransomware zu stoppen, bevor sie entstehen, ist die Ricoh Group jetzt gut gerüstet, um gegen die heutigen und zukünftigen Angriffe gewappnet zu sein.