Sicherheitsverantwortliche stehen vor der ständigen Herausforderung, ihre Fähigkeiten zur Bedrohungserkennung mit der zunehmenden Raffinesse von Malware. Leider bietet herkömmliche Technologie zur Bedrohungserkennung, die Malware-Signaturen und Regeln verwendet, nicht mehr den effektivsten Ansatz zum Schutz von Unternehmen vor moderner Malware.
Die signaturbasierte Erkennung – die den Datenverkehr auf eindeutige Codemuster untersucht, die auf Malware hindeuten, oder auf den Hashwert einer bekannten schädlichen Datei – eignet sich zwar zum Aufspüren weniger ausgefeilter Malware, erkennt aber keine neuen oder unbekannten Bedrohungen, für die keine Signatur existiert. Außerdem können Angreifer Malware leicht umpacken, sodass sie nicht mit bekannten Signaturen übereinstimmt.
Ein gutes Beispiel dafür ist die Ransomware, die erstmals 2013 entdeckt wurde. Varianten wie CryptoWall und TorrentLocker verwenden denselben grundlegenden Cryptolocker-Code und sind auch heute noch weit verbreitet. Plattformen zur signaturbasierten Bedrohungserkennung haben weitere Einschränkungen – sie sind berüchtigt für Fehlalarme und dafür, Sicherheitsteams mit mehr Warnmeldungen zu überfluten, als diese untersuchen können.
Die herkömmliche Bedrohungserkennung kann außerdem keine Insiderangriffe identifizieren, die von Mitarbeitern oder von einem Angreifer durchgeführt werden, der durch einen Phishing-Angriff oder eine Datenschutzverletzung an legitime Zugangsdaten gelangt ist.
Daher stellen viele Unternehmen auf die Analyse verhaltensbasierter Risiken um. Sie verwendet einen völlig anderen Prozess, der eine große Menge an Eingabedaten benötigt, um effektiv zu sein. In diesem Artikel möchte ich näher darauf eingehen, wie die Analyse verhaltensbasierter Risiken dazu beiträgt, die mit der herkömmlichen Bedrohungserkennung verbundenen Herausforderungen zu bewältigen.
Siehe auch: Der erfolgreiche CISO: So schaffen Sie Vertrauen bei Stakeholdern
Umstellung auf die Analyse verhaltensbasierter Risiken
Die Analyse verhaltensbasierter Risiken untersucht Netzwerkaktivitäten auf Verhaltensweisen, die sowohl ungewöhnlich als auch risikoreich sind. Dazu sind Machine-Learning-Modelle erforderlich, die das normale Netzwerkverhalten als Referenz erfassen und nach Anomalien suchen.
Doch nicht jede ungewöhnliche Aktivität ist riskant. Stellen Sie sich zum Beispiel vor, ein Mitarbeiter aus dem Marketing greift zum ersten Mal seit mehreren Monaten auf Marketingmaterialien in einem SharePoint-Laufwerk zu. Verglichen mit dem normalen Verhalten dieser Person ist das ungewöhnlich, aber wahrscheinlich relativ risikoarm. Greift derselbe Mitarbeiter jedoch mitten in der Nacht, wenn die meisten Beschäftigten offline sind, von einem unbekannten Standort aus auf Code-Repositories zu, ist das deutlich riskanter und sollte markiert werden.
Die Risikoanalyse umfasst die Bestimmung des Risikoniveaus von Verhaltensweisen. Dafür müssen große Mengen kontextbezogener Daten zusammengetragen werden (in der Regel in einem Data Lake), auf Grundlage dieser Daten ein Risikowert berechnet, die Anomalie im Licht dieses Risikowerts betrachtet und entsprechend priorisiert werden.
Dies trägt dazu bei, Fehlalarme zu reduzieren (ungewöhnliches, aber risikoarmes Verhalten löst bei weniger ausgereiften Lösungen häufig einen Fehlalarm aus) und die Arbeitslast der Sicherheitsteams durch eine bessere Priorisierung auf ein besser zu bewältigendes Maß zu senken. Diese Kontextinformationen sind der Schlüssel dazu, riskantes von nicht riskantem Verhalten zu unterscheiden.
5 Techniken für die Analyse verhaltensbasierter Risiken
Die Analyse verhaltensbasierter Risiken umfasst mehrere Techniken. Dazu gehören die folgenden (bitte beachten Sie, dass die Details je nach konkreter Lösung variieren können):
- Modellierung von Ausreißern: Verwendet Machine-Learning-Referenzmodelle und Anomalieerkennung, um ungewöhnliches Verhalten zu identifizieren, etwa wenn Benutzer über nicht erkannte IP-Adressen auf das Netzwerk zugreifen, große Mengen an geistigem Eigentum aus sensiblen Dokumentenablagen herunterladen, die nicht mit ihrer Rolle verbunden sind, oder wenn Serverdatenverkehr aus Ländern stammt, in denen das Unternehmen keine Geschäfte tätigt.
- Bedrohungsmodellierung: Verwendet Daten aus Threat-Intelligence-Feeds sowie Regel- und Richtlinienverstöße, um nach bekanntem bösartigem Verhalten zu suchen. Damit lässt sich weniger ausgefeilte Malware schnell und einfach herausfiltern.
- Modellierung von Zugriffs-Ausreißern: Ermittelt, ob ein Benutzer auf etwas Ungewöhnliches oder auf etwas zugreift, worauf er nicht zugreifen sollte. Dafür müssen Daten zu Benutzerrollen, Zugriffsberechtigungen und/oder Ausweisen einbezogen werden.
- Identitätsrisikoprofil: Ermittelt anhand von HR-Daten, Beobachtungslisten oder externen Risikoindikatoren, wie riskant die an einem Vorfall beteiligten Benutzer sind. Mitarbeiter, die beispielsweise kürzlich bei einer Beförderung übergangen wurden, hegen möglicherweise eher einen Groll gegen das Unternehmen und wollen sich rächen.
- Datenklassifizierung: Kennzeichnet alle relevanten Daten, die mit einem Vorfall verbunden sind, etwa die beteiligten Ereignisse, Netzwerksegmente, Ressourcen oder Konten, um dem Sicherheitsteam, das die Warnmeldungen untersucht, Kontext zu geben.
Siehe auch: Secure Access Service Edge: Große Vorteile, große Herausforderungen
Komplex und mehrfaktoriell
Wie diese Schritte zeigen, ist die Risikobewertung komplex und erfordert die Betrachtung vieler verschiedener Faktoren. Die Analyse verhaltensbasierter Risiken benötigt Eingabedaten aus einer Vielzahl von Quellen.
Zu diesen Quellen gehören HR- und Identitätsdaten aus Microsoft Active Directory oder einer IAM-Lösung, Protokolle von Sicherheitslösungen wie Firewalls, IDS/IPS, SIEM, DLP und Endpoint-Management-Lösungen, sowie Daten aus der Cloud, aus Anwendungen und Datenbanken.
Auch externe Datenquellen wie öffentliche Social-Media-Beiträge von Mitarbeitern (um festzustellen, bei welchen Mitarbeitern ein erhöhtes Risiko für böswilliges Verhalten besteht) oder Threat-Feeds wie VirusTotal sind nützlich. Aufgrund der schieren Menge an erforderlichen Kontextdaten benötigen erfolgreiche Lösungen für Verhaltensanalysen zahlreiche Integrationen von Drittanbietern sowie die Möglichkeit, eine breite Palette von Daten-Feeds in eine Datenbank oder einen Data Lake zu übernehmen. Je mehr Daten, desto besser.
Bei erfolgreicher Umsetzung kann die Analyse verhaltensbasierter Risiken die Effizienz steigern, Fehlalarme reduzieren sowie Insiderbedrohungen und Zero-Day-Angriffe erkennen, die andere Methoden der Bedrohungserkennung nicht aufspüren können. Als zusätzlicher Vorteil kann die damit verbundene ML-Analyse auch wertvolle Daten darüber liefern, wie Systeme und Geräte genutzt werden (die Untersuchung der normalen Nutzungsmuster eines Systems oder einer Gruppe von Geräten könnte dem IT-Team beispielsweise dabei helfen, den besten Zeitpunkt für das Herunterfahren zwecks Aktualisierungen zu bestimmen).
Die Analyse verhaltensbasierter Risiken kann außerdem automatisierte Reaktionen auf Bedrohungen ermöglichen. Moderne Malware kann innerhalb von Sekunden Dutzende Systeme herunterfahren. Menschliche Bediener können nicht schnell genug reagieren, um dies zu verhindern.
Richtig umgesetzt kann die Verhaltensanalyse Warnmeldungen erzeugen, die präzise genug sind, um Reaktionen zu automatisieren. Der Umfang des Kontexts, den dieser Ansatz liefert, ermöglicht äußerst gezielte Maßnahmen zur automatisierten Behebung, etwa den Entzug des Zugriffs auf ein einziges System für einen einzigen Benutzer. Dadurch sinkt die Wahrscheinlichkeit, versehentlich in legitime Geschäftsprozesse einzugreifen. Das wiederum könnte risikoaverse CIOs oder CISOs davon überzeugen, dass automatisierte Reaktionen umsetzbar sind.
Die Analyse verhaltensbasierter Risiken birgt großes Potenzial, die Bedrohungserkennung effizienter zu machen und Unternehmen besser zu schützen. Der Aufbau robuster ML-Analysen auf Grundlage ausreichender Eingabedaten wird in den kommenden Jahren entscheidend für den Erfolg dieses Ansatzes sein, da diese Technologie in Sicherheitsplattformen wie dem SIEM der nächsten Generation zunehmend zum Standard wird.
Siehe auch: Technologieprognosen für 2022: Cloud, Daten, Cybersicherheit, KI und mehr
Über den Autor:
Saryu Nayyar, CEO bei Gurucul