Die unbekannten Unbekannten in der Cybersicherheit erkennen

2002 sagte Donald Rumsfeld, der damalige US-Verteidigungsminister, sagte „Berichte, die besagen, dass etwas nicht passiert ist, sind für mich immer interessant, denn wie wir wissen, gibt es bekannte Bekannte; es gibt Dinge, von denen wir wissen, dass wir sie wissen.“

Er fügte jedoch hinzu: „Es gibt auch unbekannte Unbekannte – die Dinge, von denen wir nicht wissen, dass wir sie nicht wissen. Und wenn man die Geschichte unseres Landes und anderer freier Länder betrachtet, ist es diese letztgenannte Kategorie, die sich tendenziell als schwierig erweist.“

Dieser Mangel an Wissen besteht auch in der Cybersicherheitswelt. Sehen wir uns das an.

Siehe auch: Secure Access Service Edge: Große Vorteile, große Herausforderungen

Cyberbedrohungen: Eine kurze Geschichte

Die allererste Art von Cyberbedrohung war der berüchtigte Virus. Dabei handelte es sich um ein innovatives Computerprogramm, das Kopien von sich selbst erstellen und von einem Computer zum nächsten „springen“ konnte. Damals nutzten Angreifer Disketten, doch im Laufe der Zeit begannen sie, Computernetzwerke und das Internet zu verwenden.

Die erste Antivirensoftware erstellte Signaturdatenbanken – Teile des Binärcodes, die zahlreiche verschiedene Viren enthielten – und verglich jede Datei auf dem System mit dieser Datenbank. Damals reichte diese Strategie aus, weil die Entwicklung von Anwendungen komplex und vor allem zeitaufwendig war, insbesondere bei der Verwendung von Sprachen wie C/C++/Assembly.

Seitdem sind dynamische Sprachen wie Python aufgekommen, die den Softwareentwicklungsprozess erleichtern, indem sie es Benutzern ermöglichen, einfacher zusammenzuarbeiten und Codeteile wiederzuverwenden. Dies und der Aufstieg der Kryptowährung steigerten die Motivation der Angreifer und machten die Verwendung solcher Signaturdatenbanken unmöglich. Die Anzahl der bekannten Signaturen und die Geschwindigkeit, mit der diese Liste wächst, sind schlichtweg überwältigend.

Viele Sicherheitslösungen versuchen auch heute noch, verschiedene Arten von Signaturen zu verwenden, um schädliche Dateien, Netzwerkverkehr, menschliches Verhalten und vieles mehr zu erkennen. Selbst Tools, die die immense Macht großer Benutzergemeinschaften nutzen wollen, um umfangreiche Datenbanken mit Zehntausenden verschiedener Signaturen zu erstellen, sind nur in gewissem Umfang wirksam. Insgesamt reicht diese Strategie nicht aus, um einen guten Schutz vor den bekannten Bedrohungen zu bieten.

Und selbst wenn sie beim Schutz vor bekannten Bedrohungen wirksam wäre, würde sie dennoch keinen Schutz vor den bekannten Unbekannten bieten – und schon gar nicht vor den unbekannten Unbekannten. Diese Angriffsarten werden gerade irgendwo von Angreifern erdacht und entwickelt.

Siehe auch: Technologieprognosen für 2022: Cloud, Daten, Cybersicherheit, KI und mehr

Der Kampf gegen unbekannte Bedrohungen

Wie erwähnt, wird die signaturbasierte Verteidigungsstrategie, bei der wir umfangreiche Datenbanken mit IOCs (Indicators of Compromise – z. B. IP-Adressen, Domänennamen und Benutzer) erstellen, durch das Aufkommen neuer Computersprachen heute zunehmend unwirksam.

Ein weiterer Trend, der diesen Ansatz weniger wirksam macht, ist die Verwendung von DGAs, Domain Generation Algorithms. Bei dieser Technik bettet der Angreifer ein Stück Code in die

Malware

ein, das Variablen verwendet, die dem Angreifer und der Malware bekannt sind (beispielsweise das aktuelle Datum), um regelmäßig und dynamisch einen Domänennamen zu erstellen und darauf zuzugreifen.Wenn dies erfolgreich ist, wird er verwendet; andernfalls greift die Malware auf den zuletzt verwendeten Domänennamen zurück, der funktioniert hat. Solche Techniken machen Signaturen, die auf Domänennamen und IP-Adressen basieren, im Grunde nutzlos, da der Angreifer diese jederzeit problemlos ändern kann.Eine weitere Technik, die wir beobachten, umfasst verschiedene Arten der Netzwerksegmentierung und -trennung. Bei dieser Methode wird das Netzwerk mithilfe verschiedener Arten von

Firewalls

in mehrere Teilnetze aufgeteilt. Der Zugriff auf das Internet erfolgt dann nicht direkt, sondern über einen Proxy oder eine Art Terminalserver, der Tastaturanschläge und Mausbewegungen empfängt und Bilder (d. h. Screenshots) zurückgibt.

Dies kann wirksam vor bestimmten Bedrohungsarten schützen, bewahrt die Organisation jedoch nicht vor allen Arten von Angriffen. Darüber hinaus bieten solche Methoden der Organisation keine Tools, die dabei helfen, Angriffe zu erkennen oder Umgehungsmechanismen gegen diese Geräte oder Dienste einzusetzen. Außerdem verbessern sie nicht die allgemeine Beobachtbarkeit der Organisation.

Eine weitere Technik, die sehr wirksam ist, aber aus praktischen Gründen selten eingesetzt wird, ist das Whitelisting. Bei dieser Methode erstellt und pflegt die Organisation Signaturdatenbanken zugelassener ausführbarer Dateien, Websites, Zertifikatsaussteller, Datei-Hashes usw. Der Nachteil liegt auf der Hand: Die Datenmenge, die die Organisation erfassen muss, und der erforderliche manuelle Pflegeaufwand machen eine solche Lösung für die meisten Organisationen undurchführbar.

Technologien kombinieren, um Bedrohungen abzuwehrenWie in vielen anderen Fällen in der Technologie ist der beste Weg nach vorn – wenn man vor der Wahl zwischen zwei Optionen steht – normalerweise, beide zu kombinieren, die Vorteile beider Optionen zu nutzen und ihre Nachteile zu minimieren.Dasselbe gilt hier. Es empfiehlt sich, die aktuelle Netzwerksegmentierung und die Firewalls beizubehalten und weiter zu verbessern. Ergänzen Sie sie jedoch um eine passive Netzwerküberwachungslösung, die den Datenverkehr zwischen Computern im lokalen Netzwerk der Organisation sowie den Datenverkehr zwischen der Organisation und der Außenwelt kontinuierlich überwacht. Auch der Einsatz sogenannter

Honey Tokens

kann die Erkennungsfähigkeiten der passiven Überwachungslösung erheblich verbessern.

• Anschließend können Sie anhand der von all diesen Lösungen erfassten Daten Alarme erstellen, die immer dann ausgelöst werden, wenn in ausgewählten Feldern – bei ausgewählten Ereignissen – ein neuer Wert auftaucht, der ein guter Hinweis auf schädliche Aktivitäten wäre.
• Diese Felder umfassen:
• Ziel- und Quellländer
• Vom Root-/Administratorbenutzer gestartete Prozesse
• Von internen Rechnern aufgerufene externe DNS-Server, die nicht der interne DNS-Server sind
• RDP-/VNC-Benutzer
• SSH-Serveranwendungen

Anwendungstypen

Intern gehostete Dienste, die von externen Hosts genutzt werdenMöglicherweise können wir nach wie vor nicht alle „unbekannten Unbekannten“ abwehren, aber zumindest würden wir die derzeit besten verfügbaren Technologien kombinieren.

Siehe auch:

Der erfolgreiche CISO: So bauen Sie Vertrauen bei Stakeholdern aufÜber den Autor: