Verteidigung in der Tiefe gefragt

Schon in der Antike waren bei Belagerungen mehrere Verteidigungslinien nötig. Ein Wassergraben verhinderte, dass die Stadtmauer untertunnelt wurde und in der besonders stark befestigten Zitadelle wurden die Kronjuwelen aufbewahrt.

Ähnliches gilt bei Cyberattacken heutzutage. Bei den meisten Angriffen – unabhängig davon, wer dahintersteckt – ist die Identitätsebene der erste Einstiegspunkt in das Netzwerk eines Unternehmens. Dabei hat sich in vielen Fällen gezeigt, dass Angreifer in der Lage sind, in kompromittierten Umgebungen einen dauerhaften, unentdeckten und langfristigen Zugang aufrechtzuerhalten, indem sie unter anderem legitime Anmeldedaten verwenden.

Zur Gefahrenabwehr auf Endgeräten sollte ein Unternehmen zum einen auf bewährte Praktiken zurückgreifen. Es betrifft etwa die Implementierung einer MFA (Multi-Faktor-Authentifizierung), die Einführung von EDR (Endpoint Detection and Response)- und AV (Anti-Virus)-Lösungen, die Nutzung einer Firewall, die regelmäßige Installation von Patches und – soweit erforderlich – die Verwendung von sicheren Passwörtern.

Zum anderen sind aber zusätzliche Schritte zur Erhöhung der Cybersicherheit im Rahmen eines Defense-in-Depth-Ansatzes erforderlich. Dazu gehören folgende Maßnahmen:

1. Einsatz von Lösungen für die Applikationskontrolle: Unternehmen müssen die Ausführung unbekannter EXE-Dateien blockieren, da sie potenziell gefährliche Befehle enthalten können. Das Nachladen von Schadcode und dessen Ausführung auf dem kompromittierten Endgerät ist bei nahezu allen Einbrüchen in IT-Systeme Bestandteil einer Attacke.

2. Beschränkung von Zugriffsrechten: Unverzichtbar sind die konsequente Umsetzung eines Least-Privilege-Konzepts und die Deaktivierung nicht benötigter Konten. Die Begrenzung von Privilegien ist von entscheidender Bedeutung, da Angreifer durch den Diebstahl von Anmeldeinformationen auf kritische Informationen zugreifen können. Dabei sollte auch eine Just-in-Time-Ausweitung von Berechtigungen unterstützt werden. Das heißt: Wenn ein Anwender erhöhte oder höchste Rechte für das Arbeiten auf dem System oder die Ausführung bestimmter Arbeitsschritte benötigt, dürfen diese Rechte nur temporär und zweckbezogen – auf das Binary oder die Aktion – vergeben werden. Threat-Detection-Funktionen können dabei die Erkennung und Unterbindung von Angriffsversuchen beschleunigen.

3. Erkennung von Schatten-Admins: Schatten-Admins sind oft mit sensiblen Berechtigungen ausgestattet, die ihnen die Möglichkeit bieten, die Rechte in Cloud-Umgebungen zu erweitern. Diese Identitäten, die oft aus Fehlkonfigurationen oder mangelndem Bewusstsein entstehen, können von Angreifern ins Visier genommen werden, wodurch die gesamte Umgebung gefährdet wird. Für die Erkennung von Schatten-Admins gibt es verschiedene Lösungen wie das Open-Source-Tool zBang.

4. Sicherung von Backups: Unternehmen sollten Backups von Domänencontrollern zuverlässig sichern, da Angreifer versuchen könnten, auf die Active-Directory-Domain-Datenbank zuzugreifen oder eine Kopie davon zu erstellen, um Anmeldeinformationen oder andere Informationen zu Geräten, Benutzern oder Zugriffsrechten zu entwenden. Für die Sicherung kommen Tools mit Threat-Detection-Funktionen in Betracht, die das NTDS-File schützen, in dem vertrauliche Active-Directory-Daten gespeichert sind. 

5. Verwendung der AES-Kerberos-Verschlüsselung: Mit der Nutzung der AES-Kerberos-Verschlüsselung anstelle von RC4 kann verhindert werden, dass ein Angreifer ein gültiges Kerberos-Ticket-Granting-Ticket (TGT) missbräuchlich nutzt oder Netzwerk-Traffic ausspäht, um einen Ticket-Granting-Service (TGS) zu erhalten, der durch Brute-Force-Methoden verwundbar sein könnte. Das RiskySPN-Modul des zBang-Tools etwa kann verwendet werden, um ein Kerberoasting zu erkennen.

6. Schutz von Credential-Zertifikaten: Gespeicherte Zertifikate der User für eine Anmeldung an Zielsystemen müssen zuverlässig gesichert werden, um Versuche von Angreifern zu unterbinden, Zertifikate mit Token zu signieren. So können auch Bedrohungen wie eine Golden-SAML-Attacke entschärft werden, bei der Angreifer einen gültigen SAML-Token erhalten, also ein gefälschtes Authentifizierungselement. Damit verfügen sie über nahezu jede Berechtigung für fast alle Services eines Unternehmens – abhängig davon, welche Services SAML als Authentifizierungsprotokoll verwenden.

„Isolierte Sicherheitsmaßnahmen reichen in einer Zeit der zunehmenden Cyberkriminalität nicht mehr aus. Das Gebot der Stunde lautet: Defense-in-Depth – und zwar jetzt. Das heißt, ein Unternehmen muss mehrstufige Sicherheitsmaßnahmen ergreifen, um vertrauliche Systeme, Applikationen und Daten zu schützen und die möglichen negativen Auswirkungen eines Angriffs auf ein Minimum zu beschränken“, erklärt Christian Götz, Solutions Engineering Director DACH bei CyberArk. „Ein guter Ausgangspunkt dafür ist ein Identitäts-basierter Sicherheitsansatz, also ein Sicherheitskonzept, das die Identität als zentrale Verteidigungslinie eines Unternehmens einstuft – und zwar unabhängig davon, ob es sich um eine Person, eine Applikation oder eine Maschine handelt.“