Im Jahr 2002 sagte Donald Rumsfeld, der damalige Verteidigungsminister der Vereinigten Staaten, sagte „Berichte, die besagen, dass etwas nicht geschehen ist, sind für mich immer interessant, denn wie wir wissen, gibt es bekannte Bekannte; es gibt Dinge, von denen wir wissen, dass wir sie wissen.“
Allerdings fügte er hinzu: „Es gibt auch unbekannte Unbekannte – die Dinge, von denen wir nicht wissen, dass wir sie nicht wissen. Und wenn man die Geschichte unseres Landes und anderer freier Länder betrachtet, ist es diese letzte Kategorie, die sich tendenziell als schwierig erweist.“
Dasselbe Unwissen gilt auch in der Cybersicherheitswelt. Werfen wir einen Blick darauf.
Auch lesen: Secure Access Service Edge: große Vorteile, große Herausforderungen
Cyberbedrohungen: Eine kurze Geschichte
Die allererste Art von Cyberbedrohung war der berüchtigte Virus. Dabei handelte es sich um ein innovatives Computerprogramm, das Kopien von sich selbst erstellen und von einem Computer zum nächsten „springen“ konnte. Damals nutzten Angreifer Disketten, doch im Laufe der Zeit begannen sie, Computernetzwerke und das Internet zu verwenden.
Die erste Antivirensoftware erstellte Signaturdatenbanken: Teile des Binärcodes, die viele verschiedene solcher Viren enthielten, und verglich jede Datei auf dem System mit dieser Datenbank. Damals war diese Strategie ausreichend, weil die Entwicklung von Anwendungen komplex und – noch wichtiger – zeitaufwendig war, insbesondere bei der Verwendung von Sprachen wie C/C++/Assembly.
Seitdem sind dynamische Sprachen wie Python aufgekommen, die den Softwareentwicklungsprozess erleichtern, indem sie Nutzern die einfachere Zusammenarbeit und Wiederverwendung von Codeteilen ermöglichen. Dies erhöhte zusammen mit dem Aufstieg der Kryptowährung die Motivation der Angreifer und machte die Verwendung solcher Signaturdatenbanken undurchführbar. Die Anzahl solcher bekannten Signaturen und die Geschwindigkeit, mit der diese Liste wächst, sind schlichtweg enorm.
Viele Sicherheitslösungen versuchen auch heute noch, verschiedene Arten von Signaturen zu verwenden, um schädliche Dateien, Netzwerkverkehr, menschliches Verhalten und vieles andere zu erkennen. Selbst Tools, die die immense Leistungsfähigkeit großer Nutzergemeinschaften nutzen wollen, um umfangreiche Datenbanken mit Zehntausenden verschiedener Signaturen zu erstellen, sind nur bis zu einem gewissen Grad wirksam. Insgesamt reicht diese Strategie nicht aus, um einen guten Schutz gegen die bekannten Bedrohungen zu bieten.
Und selbst wenn sie beim Schutz vor bekannten Bedrohungen wirksam wäre, würde sie immer noch keinen Schutz gegen die bekannten Unbekannten bieten – und schon gar nicht gegen die unbekannten Unbekannten. Diese Angriffsarten werden gerade irgendwo von Angreifern erdacht und entwickelt.
Auch lesen: Technologieprognosen für 2022: Cloud, Daten, Cybersicherheit, KI und mehr
Der Kampf gegen unbekannte Bedrohungen
Wie erwähnt, wird die signaturbasierte Verteidigungsstrategie, bei der wir umfangreiche Datenbanken mit IOCs (Indikatoren für eine Kompromittierung – z. B. IP-Adressen, Domänennamen, Benutzer) erstellen, durch das Aufkommen neuer Computersprachen heute zunehmend unwirksam.
Ein weiterer Trend, der diesen Ansatz weniger effektiv macht, ist die Verwendung von DGAs, also Algorithmen zur Generierung von Domänen. Bei dieser Technik bettet der Angreifer ein Stück Code in die Schadsoftware ein, das Variablen verwendet, die dem Angreifer und der Schadsoftware bekannt sind (z. B. das aktuelle Datum), um regelmäßig und dynamisch einen Domänennamen zu erzeugen und darauf zuzugreifen.
Wenn dies erfolgreich ist, wird der Domänenname verwendet; andernfalls greift die Schadsoftware auf den zuletzt verwendeten Domänennamen zurück, der funktioniert hat. Solche Techniken machen Signaturen, die auf Domänennamen und IP-Adressen basieren, im Wesentlichen nutzlos, da diese vom Angreifer jederzeit problemlos geändert werden können.
Eine weitere Technik, die wir beobachten, umfasst verschiedene Arten der Netzwerksegmentierung und -trennung. Bei dieser Methode wird das Netzwerk mithilfe verschiedener Arten von Firewalls in mehrere Teilnetze aufgeteilt. Der Zugriff auf das Internet erfolgt dann nicht direkt, sondern über einen Proxy oder eine Art Terminalserver, der Tastatureingaben und Mausbewegungen empfängt und Bilder (d. h. Screenshots) zurückgibt.
Dies kann zwar wirksam vor bestimmten Bedrohungsarten schützen, bewahrt die Organisation aber nicht vor allen Arten von Angriffen. Darüber hinaus bieten solche Methoden der Organisation keine Werkzeuge, die dabei helfen, Angriffe zu erkennen oder Umgehungsmechanismen gegen diese Geräte oder Dienste einzusetzen. Außerdem verbessern sie die allgemeine Beobachtbarkeit der Organisation nicht.
Eine weitere Technik, die sehr effektiv ist, aber aus praktischen Gründen nur selten eingesetzt wird, ist das Whitelisting. Bei dieser Methode erstellt und pflegt die Organisation Signaturdatenbanken zugelassener ausführbarer Dateien, Websites, Zertifikatsaussteller, Datei-Hashes usw. Der Nachteil liegt auf der Hand: Die Datenmenge, die die Organisation erfassen muss, sowie der erforderliche manuelle Pflegeaufwand machen eine solche Lösung für die meisten Organisationen undurchführbar.
Technologien kombinieren, um Bedrohungen abzuwehren
Wie in vielen anderen Bereichen der Technologie ist der beste Weg nach vorn – wenn man zwischen zwei Optionen wählen muss – in der Regel, beide miteinander zu kombinieren, die Vorteile beider Optionen zu nutzen und ihre Nachteile zu minimieren.
Dasselbe gilt auch hier. Es empfiehlt sich, Ihre derzeitige Netzwerksegmentierung und Ihre Firewalls beizubehalten und weiter zu verbessern. Ergänzen Sie sie jedoch um eine passive Netzwerküberwachungslösung, die den Datenverkehr zwischen Computern im lokalen Netzwerk der Organisation sowie den Datenverkehr zwischen der Organisation und der Außenwelt kontinuierlich überwacht. Auch die Verwendung sogenannter Honey Tokens kann die Erkennungsfunktionen der passiven Überwachungslösung erheblich verbessern.
Anschließend können Sie anhand der von all diesen Lösungen erfassten Daten Warnmeldungen erstellen, die immer dann ausgelöst werden, wenn in ausgewählten Feldern – bei ausgewählten Ereignissen – ein neuer Wert auftaucht, der ein guter Hinweis auf bösartige Aktivitäten wäre.
Diese Felder umfassen:
- Ziel- und Quellländer
- Prozesse, die vom Root-/Administratorbenutzer gestartet wurden
- Externe DNS-Server, auf die interne Rechner zugreifen und die nicht der interne DNS-Server sind
- RDP-/VNC-Benutzer
- SSH-Serveranwendungen
- Anwendungstypen
- Intern gehostete Dienste, die von externen Hosts genutzt werden
Wir können möglicherweise nach wie vor nicht alle „unbekannten Unbekannten“ abwehren, würden aber zumindest die derzeit besten verfügbaren Technologien kombinieren.
Auch lesen: Der erfolgreiche CISO: So baut man Vertrauen bei Stakeholdern auf
Über den Autor:
Yuval Khalifa, Security Solutions Architect, Coralogix