Der privilegierte Zugang zu Konten/Accounts ist ein attraktiver Einstiegspunkt für Cyberkriminelle und ermöglicht es ihnen, sich fast ungestört in einem Netzwerk zu bewegen. Cyberkriminelle können dadurch so viele sensible Daten erforschen und extrahieren, wie sie wollen. [...]
Laut Forrester sind privilegierte Konten an 80 Prozent der Sicherheitsverletzungen beteiligt und Gartner empfiehlt, den privilegierten Zugang als Sicherheitsprojekt Nummer eins anzugehen.
Trotzdem wissen viele Unternehmen immer noch nicht, wie ihre privilegierten Konten genutzt werden. Dadurch entsteht ein erheblicher blinder Fleck, der von Angreifern ausgenutzt werden kann. Dazu gehört die Fähigkeit, wichtige Risikofaktoren zu erkennen, z.B. ob auf das privilegierte Konto über einen ungewöhnlichen Host oder Dienst zugegriffen wurde oder nicht.
Um dieses Problem zu lösen, müssen Sicherheitsteams Zugang zu verwertbaren Informationen erhalten, die durch die Überwachung von Cloud-nativen und hybriden Cloud-Umgebungen generiert werden. Andernfalls könnten Unternehmen Opfer eines Cyberangriffs werden, wie im Fall von Capital One, wo die Daten von 100 Millionen Kunden kompromittiert wurden.
Latentes Risiko des privilegierten Zugangs
Anomalien beim privilegierten Zugang sind häufiger, als den meisten Unternehmen bewusst ist. Dies bestätigen Analysen mittels der NDR-Plattform (Network Detection and Reaction) Cognito von Vectra. In den letzten sechs Monaten des Jahres 2019 hat Vectra 57 Anomalien beim privilegierten Zugriff pro 10.000 Hosts beobachtet. Hierbei machten die Finanz-, Gesundheits- und Bildungsbranche sowie die Fertigungsindustrie fast die Hälfte aller Anomalien aus.
Betrachtet man die Zahlen genauer, so ist der weitaus größte Teil dieser Anomalien durch privilegierten Zugang von einem ungewöhnlichen Host verursacht worden, was fast drei Viertel derartiger Vorfälle ausmacht. Bei den festgestellten Anomalien handelte es sich entweder um einen ungewöhnlichen Dienst, ein ungewöhnliches Konto oder einen ungewöhnlichen Host – oder eine Kombination davon.
Häufig gibt es für viele dieser ungewöhnlichen Host-Anomalien eine völlig harmlose Erklärung, nämlich, dass ein berechtigter Benutzer von einem neuen oder anderen Host auf das System zugreift. Dies könnte ebenso jedoch auch ein Hinweis darauf sein, dass ein Angreifer einen Account gekapert hat. Somit stellt der privilegierte Zugang weiterhin ein Risiko für Unternehmen dar, insbesondere, wenn er nicht korrekt verwaltet wird.
Lektionen aus dem Vorfall bei Capital One
Capital One war ein spektakulärer Fall, bei dem ein ungewöhnlicher Host für eine erhebliche Datenschutzverletzung verantwortlich war, wie Vectra erklärt. Diese war darauf zurückzuführen, dass eine unbefugte Person aufgrund einer Fehlkonfiguration der Web Application Firewall (WAF) an temporäre Zugriffstoken gelangte. WAFs sollen den unbefugten Zugang zu einem Netzwerk eigentlich verhindern, aber in diesem Fall konnte der Bedrohungsakteur damit eine Anfrage von einem externen unbekannten Host an die internen Server stellen.
Dann rief der Angreifer Token ab, um sich selbst vollen Zugang zu Web-Servern zu gewähren. Tokens können für den temporären Zugriff ausgegeben werden, um vertrauenswürdigen Benutzern zeitlich begrenzte Sicherheitszugangsdaten zu geben, damit sie bestimmte Ressourcen nutzen können. Unternehmen verwenden Tokens, um die Notwendigkeit der Verwaltung des Zugriffs auf bestimmte Konten zu reduzieren und dennoch den Benutzern die Möglichkeit zu geben, sie für kurze Zeiträume zu nutzen.
Sobald der Angreifer uneingeschränkten Zugriff hatte, nutzte er den List-Bucket-Befehl in AWS Simple Storage Service (S3), um alle AWS S3-Bucket-Namen anzuzeigen. Mit diesen Informationen führte er einen Synchronisationsbefehl aus, um 700 Ordner und Bereiche mit Kundeninformationen an ein externes Ziel zu kopieren.
Das Erkennen eines solchen Angriffs ist eine Herausforderung, da sich der Angreifer in die Art von Aktivität einfügt, die normalerweise als Teil der normalen Managementoperationen angesehen wird. Es gab keine Malware oder verdächtiges Verhalten zu entdecken, welches diese Aktivitäten verraten hätte. Die Alarmglocken hätten jedoch läuten müssen, weil zur Ausführung der Befehle privilegierte Anmeldedaten eines ungewöhnlichen Hosts verwendet wurden, wie Vectra erklärt.
Leider war in diesem Fall das Shared-Responsibility-Modell der „geteilten Verantwortung“ das Problem. Hierbei ist die Verantwortung für den Schutz eines IT-Netzwerks zwischen dem Kunden und dem Cloud Service Provider aufgeteilt. In solchen Fällen ist es nicht ungewöhnlich, dass Sicherheitsprobleme durch die Maschen fallen, da jede Seite davon ausgeht, dass die andere Seite dafür verantwortlich ist.
Privilegierter Zugriff ist nicht gleichbedeutend mit vertrauenswürdigem Zugriff
Anstatt sich auf die Privilegien einer Entität zu verlassen oder von Privilegien unabhängig zu sein, müssen sich Sicherheitsoperationen darauf konzentrieren, wie die Entitäten ihre Privilegien innerhalb des Netzwerks nutzen. Dies bedeutet nicht nur die Überwachung der Hosts und des Netzwerks, sondern auch das Verständnis, wie der privilegierte Zugang innerhalb eines Unternehmens zwischen lokalen Netzwerken, privaten Datenzentren und Cloud-Instanzen genutzt wird.
Dies kann erreicht werden, indem Unternehmen zunächst beobachten, wie die Entitäten miteinander interagieren. Mithilfe von künstlicher Intelligenz und maschinellem Lernen kann die Privilegstufe jeder Entität anhand ihres Verhaltens und der Sensibilität der Assets, auf die sie zuzugreifen versucht, bewertet werden. Sobald dies feststeht, lassen sich eventuelle Anomalien in diesem Verhalten bestimmen. Auf diejenigen Anomalien, die Auswirkungen auf die Sicherheit haben, gilt es nach Meinung von Vectra dringend zu reagieren.
Wenn Unternehmen verstehen, wie ein privilegierter Zugriff zwischen Cloud-Instanzen, Rechenzentren und lokalen Netzwerken erfolgt, können sie leichter eine Kompromittierung im Netzwerk erkennen. Dies bedeutet, sie können handeln, bevor es zu einem katastrophalen Datenabfluss, wie bei Capital One, kommen kann.
Be the first to comment