NDR Archives - Forenova

Was ist eine Netzwerkverkehrsanalyse (NTA)?

Posted on 13. Dezember 202217. Dezember 2024 by ForeNova

In der heutigen Cyber-Bedrohungslandschaft können Bedrohungsakteure von überall her kommen und ein Unternehmen jederzeit angreifen. Eine wirksame Methode, diese Angreifer abzuwehren, ist die Überwachung des Unternehmens Netzwerk und analysieren Sie seinen Verkehr. Such Überwachung und Analyse ermöglicht Cybersicherheit Teams, anomale oder verdächtige Aktivitäten zu erkennen und frühzeitig zu handeln, um das Netzwerk zu schützen. Netzwerk zu schützen und Organisation. Hier ist es Netzwerk Verkehr Analyse (NTA) ins Spiel kommt.

Continue reading „Was ist eine Netzwerkverkehrsanalyse (NTA)?“

Was ist SecOps (Security Operations)?

Posted on 26. Juli 202217. Dezember 2024 by ForeNova

DevOps – eine Methodik, die Entwicklung (Dev) und Betrieb (Ops) zusammenführt – hat die Softwareentwicklung zum Besseren verändert. Softwareteams, die den DevOps-Ansatz verfolgen, können ihre Prioritäten koordinieren und miteinander kommunizieren, um qualitativ hochwertige Arbeit zu leisten und die Markteinführung zu beschleunigen.

Die Sicherheit war kein Schwerpunkt der DevOps-Idee. Aber da sich die Cyberbedrohungslandschaft zunehmend ausweitet und Cyberangriffe und Datenschutzverletzungen immer häufiger vorkommen, beziehen Softwareteams Sicherheitsaspekte inzwischen auch ihr DevOps-Ökosystem mit ein. SecOps ist ein neuer Ansatz der Softwareentwicklung, bei dem Sicherheits- und Betriebsteams zusammenarbeiten, um zu gewährleisten, dass die Sicherheit in den gesamten Lebenszyklus der Softwareentwicklung (SDLC) berücksichtigt wird. Der Ansatz „operationalisiert“ die Sicherheit, um die Softwareumgebung zu stärken, damit Unternehmen sowohl ihre Anwendungssicherheit als auch ihre Leistungsziele zu erreichen.

Was sind SecOps?

SecOps hat sich zum Teil als Folge der erheblichen Vorteile von DevOps entwickelt. Wie DevOps vereint auch SecOps zwei bisher getrennte Prozesse. Während DevOps die Entwicklung mit dem Betrieb verbindet, verbindet SecOps die Sicherheit mit dem Betrieb.

SecOps fördert die Zusammenarbeit zwischen diesen Teams während des gesamten SDLC. Ihr übergeordnetes Ziel ist es, ein sicherheitsbewusstes Team zusammen zu stellen und sicherzustellen, dass die Anwendungssicherheit nicht zugunsten von Entwicklungszeiten, Betriebszeit oder Leistung geopfert wird.

So funktioniert SecOps

Das Ziel von SecOps ist durch die Vereinigung von der Sicherheit mit dem Betrieb, Schwachstellen zu beseitigen und Risiken zu verringern und gleichzeitig die Flexibilität des Unternehmens beizubehalten. Um über diese Zusammenarbeit zu informieren und sicherzustellen, nutzt SecOps die Prozesse, Tools, Praktiken und das Personal des Security Operations Center (SOC).

Viele Unternehmen richten ein spezielles SOC ein, in dem die Teammitglieder zusammenarbeiten:

Überwachung der gesamten IT-Umgebung, einschließlich lokaler Anlagen und der Cloud-Infrastruktur
Sammeln von Bedrohungsdaten, d.h. evidenzbasiertes und kontextbezogenes Wissen über mögliche Bedrohungen und die Bedrohungswerkzeuge, Ziele, Motive und das Angriffsverhalten der Angreifer
Implementierung von Maßnahmen, um schädlichen Auswirkungen eines Sicherheitsvorfalls zu minimieren
Durchführung digitaler Forensik, um die Ursache eines Vorfalls zu finden, die Cyberabwehr des Unternehmens zu stärken und einen wiederholten Angriff zu verhindern

Das Ziel von SecOps ist es, Sicherheitsmaßnahmen frühzeitig und in jeder Phase des SDLC einzuführen, indem wichtige Sicherheitsaufgaben automatisiert werden. Dadurch können stärkere Sicherheitspraktiken entwickelt werden und alle SDLC-Prozesse von Anfang bis Ende sicher und geschützt ablaufen. Mit dem SecOps-Ansatz wird bei allen am SDLC beteiligten Personen eine sicherheitsorientierte Denkweise eingeführt. Der Grundgedanke ist, die Sicherheit bereits zu Beginn des SDLC zu berücksichtigen und nicht erst später während der Tests oder kurz vor der Freigabe. Ein „Big Bang“-Testansatz führt oft dazu, dass Schwachstellen nicht behoben werden und das Risiko eines Angriffs oder einer Sicherheitsverletzung steigt. Im Gegensatz dazu konzentriert sich SecOps auf die frühzeitige Erkennung, Priorisierung und Behebung von Schwachstellen. Aus diesem Grund warten die Teams nicht damit, das gesamte Programm auf einmal zu testen. Stattdessen überprüfen sie regelmäßig kleinere Arbeitseinheiten und beheben Probleme sofort – oft mit Hilfe von automatisierten Tools und Prozessen.

Warum Unternehmen SecOps brauchen

Bevor es SecOps gab, waren Sicherheit und Betrieb getrennt und sie haben entweder gar nicht oder nur wenig miteinander kommuniziert und zusammen gearbeitet. Das Entwicklungsteam erstellte die Systeme, das Betriebsteam betrieb und wartete sie, und das Sicherheitsteam sicherte sie ab. Dieser isolierte Ansatz hat sich in der Vergangenheit bewahrt, weil die Entwicklungszyklen länger waren, die Märkte weniger dynamisch und die Kunden weniger anspruchsvoll waren. Vor allem gab es kaum Sicherheitsbedenken. Die Zeiten haben sich jedoch geändert, sodass dieser veraltete Ansatz nicht mehr funktioniert.

Heutzutage gehören Cyber Vorfälle zu den größten Sorgen globaler Unternehmen, 44% der Unternehmen machen sich mehr Sorgen über mögliche Cybersecurity Angriffe als über Unterbrechungen des betrieblichen Ablaufs (42%) oder Naturkatastrophen (25%). Zudem können Cyber Kriminelle erfolgreich in 93% der Unternehmensnetwerke eindringen, um Zugriff zu internen Netzwerk Ressourcen zu erlangen. Diese Tatsachen zeigen, dass Unternehmen Sicherheit nicht länger als „nachträglichen“ Bestandteil des SDLC-Prozesses zu betrachten können.

Wenn man mit der Durchführung von Sicherheitstests viel später im SDLC wartet, entstehen Sicherheitslücken, die das Unternehmen anfällig für alle Arten von Cyberangriffen machen. Entwicklungsteams müssen diese Lücken schließen, um das Unternehmen zu schützen. Dies erfordert jedoch Zeit und dadurch verlängern sich wiederum die Veröffentlichungszyklen und die Markteinführung verzögert sich. Einige prüfen die Schwachstellen nicht und veröffentlichen die Anwendung so, wie sie ist, um die Zeit bis zur Markteinführung zu verkürzen. Dies führt jedoch zu einem unsicheren Produkt, das Kunden und dem Ruf des Unternehmens schaden kann.

Ein kombiniertes Sec+Ops-Team kann die Sicherheit in jeder Phase des SDLC überwachen und sicherstellen, dass das Endprodukt sicher ist. Der SecOps-Ansatz gewährleistet auch eine schnellere und proaktivere Sicherheitsreaktion und schützt so die Anwendung, das Unternehmen und seine Kunden.

Aus all diesen Gründen sollten alle modernen Unternehmen die Einführung von SecOps in Betracht ziehen.

Die Vorteile von SecOps

Durch die Beseitigung der Silos zwischen dem Betriebs- und dem Sicherheitsteam und durch die Einrichtung eines speziellen SOC, SecOps:

Sichere Technologie- und Entwicklungsumgebungen

Macht Sicherheitslücken schnell sichtbar
Teamübergreifende Zusammenarbeit: Sicherheitsrelevante Probleme können damit schnell gelöst werden
Weniger Konfigurationsfehler und weniger Unterbrechungen der Anwendung, da Codeänderungen mit Bereitstellungsregeln miteinander verknüpft werden
Informiert über Risikomanagement-Prozesse und trägt zur Stärkung der Unternehmenssicherheit bei

Durch SecOps wird die Sicherheit als auch den Betrieb optimiert, um ein Gleichgewicht zwischen Anwendungssicherheit, Leistung, Zuverlässigkeit und Integrität herzustellen. Dadurch wird der Betrieb effizienter und die Anzahl an Ausfallzeiten sowie Konformitätsfehler geringer. Somit wird eine sicherere Entwicklungsumgebung und einer verbesserten Erfahrung der User geschaffen.

Mit einem SecOps-Ansatz können Teams die Sicherheit von Anfang an in die Entwicklungsumgebung integrieren und so sicherstellen, dass das Endprodukt frei von den meisten – und wenn möglich allen – Schwachstellen ist. Außerdem können sie Sicherheitsrichtlinien proaktiv überprüfen und anwenden, um Sicherheitsvorfälle zu verhindern und Probleme schnell zu beheben. Darüber hinaus können diese Richtlinien als „policies-as-code“ definiert und automatisch und global auf jede IT-Ressource angewendet werden. Dieser Ansatz schützt das Unternehmen kontinuierlich vor Bedrohungen und trägt gleichzeitig dazu bei, das Innovationstempo beizubehalten.

SecOps verbessert die Kommunikation und den Informationsaustausch zwischen den Teams, so dass sie besser erkennen können, ob Schwachstellen vorhanden sind, Abhilfemaßnahmen in Echtzeit umsetzen können und anschließend auf Zwischenfälle reagieren können. Zudem wird die IT-Hygiene insgesamt verbessert. Außerdem können SecOps auch viele Sicherheitsprozesse automatisieren, um die Teams zu entlasten und gleichzeitig die Entwicklungsumgebung sicherer zu gestalten.

Schlüsselrollen in einem SecOps-Team

Bei SecOps sind die Sicherheitsabläufe in den gesamten SDLC des Unternehmens integriert.
Außerdem ist Jede/r für die Sicherheit verantwortlich, nicht nur das Sicherheitsteam. Jeder, der im SDLC eine Rolle spielt, ist in SecOps eingebunden und arbeitet bei jedem Schritt mit, um Schwachstellen so früh wie möglich zu finden und zu beheben.

Mehrere spezielle Rollen helfen bei der Umsetzung der SecOps-Prinzipien und helfen bei der Umsetzung von SecOps in Unternehmen. Diese Funktionen sind:

SOC Manager
Security Engineer
Security Analyst
Incident Responder
Security Investigator

Bewährte Praktiken zur Implementierung von SecOps

Wie bereits erwähnt, wurde beim traditionellen Entwicklungsansatz nicht viel Wert auf die Sicherheit gelegt, da die Teams nur dann darüber nachdachten, wenn sie ein Problem entdeckten. Im Gegensatz dazu ist die Sicherheit bei SecOps in den SDLC integriert und schützt zuverlässig vor Cyber-Bedrohungen. Da SecOps eine so wichtige Rolle im SDLC spielt, ist es hilfreich, diese Best Practices bei der Integration dieses Ansatzes zu berücksichtigen:

Definieren des SecOps-Bereichs

Unternehmen sollten ihre Sicherheitsanforderungen und bestehenden Sicherheitslücken bewerten, um festzustellen, welche Funktionen in den Anwendungsbereich der SecOps fallen. Das Scoping ist nützlich, um Prioritäten zu setzen und festzustellen, ob bestimmte Sicherheitsaufgaben an ein externes Team oder Unternehmen ausgelagert werden können.

SecOps-Schulungen anbieten

Effektive SecOps erfordern ein sachkundiges und qualifiziertes SecOps-Team, als ein einheitliches Team arbeiten kann und dessen Erfolg greifbar gemacht werden kann. Und dafür sind Schulungen unerlässlich. Für die Vermittlung dieser Schulungen kann das Unternehmen entweder externe Teams engagieren und Kurse von Dritten in Anspruch nehmen oder eigene SecOps-Kurse entwickeln.

In SecOps-Tools investieren

Die richtigen Arten von Sicherheitstools sind entscheidend für den Erfolg von SecOps. Diese Werkzeuge schützen die Organisation und stellen sicher, dass das SDLC reibungslos und sicher läuft.

Durchführung von Übungen des roten und des blauen Teams

Threat Intelligence ist ein wichtiger Bestandteil von SecOps. Die Fähigkeiten des SOC-Teams im Bereich der Bedrohungsanalyse können durch Übungen des roten und des blauen Team verbessert werden. Wenn diese Teams dann noch mit dem richtigen Werkzeugen ausgestattet sind, können sie das Unternehmen umfassend schützen.

Die Herausforderungen von SecOps

Da Sicherheitsrisiken immens zugenommen haben und Unternehmen gezwungen sind, in einer komplexen Bedrohungslandschaft zu operieren, bietet SecOps zahlreiche Vorteile für Unternehmen jeder Größe. Und doch versäumen es viele, diese Methodik zu implementieren, um die Sicherheit während des gesamten SDLC zu erhöhen. Der Grund dafür ist, dass SecOps leider gewisse Herausforderungen mit sich bringt. Zum Glück können Unternehmen diese Herausforderungen mit automatisierten und hochmodernen Tools und Lösungen wie ForeNova NovaCommand und Managed Detection and Response meistern.

Ausbreitung hochentwickelter Cyber-Gangs

Laut einer aktuellen Studie mit 500 CISOs und anderen Leitern im Security Bereich, gab die Mehrheit aller SecOps-Spezialisten an, dass Ransomware die größte Bedrohung für ihr Unternehmen darstellt. Dieses Ergebnis ist nicht überraschend, da 85 % von ihnen in den letzten 5 Jahren von einem Ransomware-Angriff betroffen waren und 98 % dieser Angriffe zu Betriebsausfällen, Datenverlusten und kostspieligen Geldstrafen führten.

Neben den Ransomware-Banden machen sich viele Unternehmen auch Sorgen über Phishing, Social Engineering, Datenexfiltration und Angriffe auf die Lieferkette. All diese Bedrohungen in Kombination mit mehreren aufsehenerregenden Angriffen im Jahr 2021 gehören zu den größten Herausforderungen für SecOps-Teams.

Fachkräftemangel

Unternehmen brauchen dringend erfahrenes SecOps Personal, um die zunehmenden, immer komplexer werdenden Sicherheitsbedrohungen abwehren zu können. Doch genau das schaffen viele Unternehmen nicht. Es besteht ein enormer Mangel an qualifiziertem Cybersicherheitspersonal, insbesondere in den Bereichen Endpunktsicherheit, Datensicherheit und Netzwerksicherheit.

Außerdem ist die Fluktuationsrate bei den SecOps aufgrund der geringen Arbeitszufriedenheit und des hohen Burnouts sehr hoch. Durch diese Probleme und dem daraus resultierenden, ernsthaften Mangel an erfahrenen Personal, können reale Sicherheitsbedrohungen und Schwachstellen nicht ausreichend analysiert werden. Solche Engpässe hindern Unternehmen daran, Sicherheitsoperationen effektiv durchzuführen. In einer SANS Umfrage aus dem Jahr 2021 gaben 61 % der Befragten an, dass der Mangel an Fachkräften ihr größtes SecOps-Problem ist. Durch diese Engpässe können Unternehmen Sicherheitsoperationen nicht effektiv durchgeführen.

Komplexe hybride Umgebungen

Moderne IT Umgebungen von Unternehmen sind nicht länger durch Perimeter-Firewalls und On-Premise Ressourcen eng definiert. Stattdessen verfügen viele Unternehmen heute über hybride Umgebungen, die sowohl lokale als auch Cloud-basierte Ressourcen sowie Remote-Mitarbeiter, mobile Geräte und sogar Schatten-IT umfassen.

Diese neuartigen Entwicklungen stellen Unternehmen weltweit vor zahlreiche Sicherheitsherausforderungen. Zum einen muss das Sicherheitspersonal darüber nachdenken, wie es sowohl lokale als auch Ressourcen in der Cloud schützen kann. Sie müssen auch die User schützen, von denen viele von außerhalb des Sicherheitsbereichs der Unternehmens arbeiten. Alle diese Faktoren sind leichter gesagt als getan.

Fehlende Automatisierung

Wenn die IT Infrastruktur größer und komplexer wird, wird es gleichzeitig schwieriger die Unternehmenssicherheit manuell abzusichern. Die Überprüfung und die Bearbeitung von Warnmeldungen, die von Sicherheitstools wie SIEM-Plattformen ausgelöst wurden, gehört zu dieser Absicherung. Alle scheinbar einfachen Aufgaben sind für die Durchführung von Cybersicherheitsmaßnahmen unerlässlich.

Automatisierte Lösungen können die Anzahl an manuellen Aufgaben verringern und die Effektivität von SecOps erhöhen. Mit guten, automatisierten Tools können SecOps-Teams auch mit großen Mengen an Ereignissen und Protokolleinträgen, die von überwachten Systemen erzeugt werden, Schritt halten. Diese Tools können ihnen zudem helfen, Warnungen zu sortieren und entsprechend zu handeln, um Bedrohungen abzuwehren und das Unternehmen kontinuierlich zu schützen.

Bewältigung dieser Herausforderungen mit der NovaCommand Security Plattform und Managed Detection and Response (MDR)

ForeNovas NovaCommand und MDR sind zwei leistungsfähige Möglichkeiten zur Überwindung von SecOps-Einschränkungen und zur Erzielung von SecOps-Vorteilen. NovaCommand kompensiert beschränkte Ressourcen von Unternehmen und reduziert die Arbeitsbelastung für SecOps-Teams. Diese einheitliche Sicherheitsplattform bietet eine RESTful API, mit der SecOps-Spezialisten effektive Playbooks erstellen und automatisch auf Bedrohungen reagieren können.

Unterstützt von Tausenden von Netzwerksignalen und über 800 KI-Modellen überwacht NovaCommand Bedrohungen – auch versteckte – im gesamten Netzwerk. Darüber hinaus werden die Datenerfassung und -verarbeitung automatisiert, und Warnmeldungen werden innerhalb von Minuten oder Stunden statt Tagen bearbeitet. Es lässt sich auch in bestehende Lösungen integrieren, um nahtlose SecOps zu gewährleisten. Damit bietet NovaCommand einen umfassenden und kontinuierlichen Schutz für alle Arten von Organisationen.

Organisationen, die nicht über die Ressourcen oder Mittel verfügen, um eine formelle SecOps-Funktion einzurichten, können auch von den Vorteilen des ForeNova’s Managed Detection and Response Services profitieren. MDR setzt erstklassige Sicherheitstechnologien und -experten ein, um eine kontinuierliche Überwachung von Unternehmensendpunkten, Netzwerken, Cloud und Identitäten rund um die Uhr zu gewährleisten.

Es erkennt und reagiert sogar auf versteckte und hoch komplexe Cyberangriffe, während es gleichzeitig die Arbeitsbelastung der IT-Teams verringert und den Mangel an Fachkenntnissen im Unternehmen ausgleicht. Unternehmen, die ForeNova MDR einsetzen, können ihre Sicherheitsabläufe stärken und ihre Assets vor einer sich ständig erweiternden Bedrohungslandschaft schützen.

Wichtige SecOps Tools

Ein „mehrschichtiger“ Sicherheitsansatz ist für den Erfolg von SecOps unerlässlich. Zusätzlich zu den Standard-Perimeter-Verteidigungssystemen wie Firewalls und VPNs benötigen die heutigen SecOps-geführten Unternehmen auch ausgefeiltere Tools, um die Verteidigung zu verstärken, Ressourcen zu schützen und proaktiv auf Cyber-Bedrohungen und Risiken zu reagieren.

Dazu gehören:

DNS Security Plattformen um zu verhindern, dass Angreifer die DNS des Unternehmens auszunutzen, um Unternehmensressourcen zu kompromittieren und Daten zu exfiltrieren oder darauf zuzugreifen
Anti-Phishing Tools zur Analyse und Entschärfung von E-Mail-basierten Bedrohungen
Plattformen zur Datenerfassung um sensible Daten zu entdecken und zu sichern
Network Detection and Response (NDR) um den typischen Netzwerkverkehr auf verdächtige Verhaltensweisen zu analysieren und zur Erkennung und Reaktion auf Bedrohungen im Netzwerk durch maschinelles Lernen und durch Datenanalysen
Tools zur Erfassung und Speicherung von Paketen um Datenpakete zu analysieren und das gesamte Ausmaßes eines Cyberangriffs oder einer Datenverletzung zu untersuchen
Netzwerkerkennung und -reaktion (Network Detection and Response, NDR) sollten neben SIEM-Plattformen (Security Information and Event Management) und EDR-Tools (Endpoint Detection and Response) ebenfalls ein Schlüsselelement des mehrschichtigen Sicherheitsansatzes in SecOps sein. Dadurch können Sicherheitsteams Bedrohungen nach einer ersten Kompromittierung, aber noch vor einem Einbruch, erkennen und beseitigen und so die Abwehr des Unternehmens – auch gegen fortgeschrittene Bedrohungen – stärken.

Unternehmen haben auch die Möglichkeit Sicherheitsrichtlinien als Code zu implementieren, um ihre Assets vor Bedrohungen zu schützen. Außerdem sollten sie Tools einführen, die die Verfolgung von Sicherheitsvorfällen standardisieren und die automatische Identifizierung, Priorisierung und Behebung von Vorfällen über eine einzige zentrale Plattform unterstützen.

Automatisierte Tools sind ein entscheidendes Element eines SecOps-Programms. Durch die Automatisierung werden menschliche Analysten von manuellen Aufgaben entlastet und können sich stattdessen auf wichtige SecOps-Strategien konzentrieren. Zudem können sie dadurch verschiedene Arten von Bedrohungen priorisieren und die bestmöglichen Abhilfestrategien für bestehende und neue Risiken umsetzen.

Zumindest sollte ein SecOps-Programm automatisierte Tools für die folgenden Punkte erhalten:

Erkennung, Reaktion und Analyse von Zwischenfällen
Analyse der Landschaft
Gamifizierung von Sicherheitsschulungen

Fazit

SecOps hat sich schnell zu einer wichtigen SDLC-Praxis in allen Arten von Unternehmen entwickelt. In den kommenden Jahren werden sich Unternehmen verstärkt auf das proaktive Threat Hunting konzentrieren, Erfolgsmetriken für ihre SOCs entwickeln sowie KI und maschinelles Lernen als Grundlage für ihre SecOps-Strategien nutzen. Sicherheits- und Betriebsteams werden diese Funktionen nutzen, um sich optimal untereinander abzustimmen und ihren Kunden sicherere Lösungen zu bieten.

Der Ransomware Angriff auf MediaMarkt

Posted on 27. Juni 202213. Dezember 2024 by ForeNova

Nach der beispiellosen Anzahl von Angriffen im letzten Jahr wütet Ransomware auch im Jahr 2022 weiter in öffentlichen und privaten Organisationen. Angriffe werden immer schneller, umfangreicher und komplexer, während die Zahl der Lösegeldforderungen stark ansteigt. Die Fähigkeit, Ransomware-Angriffe effektiv zu erkennen, ist in der aktuellen Bedrohungslandschaft von größter Bedeutung.

In der ersten Hälfte des Jahres 2022 wurden bis zum 10. Mai etwa 1.150 Ransomware-Angriffe laut dem Ransomware-Tracker The Record durchgeführt. Dazu gehören eine Reihe aufsehenerregender Ransomware-Angriffe, wie zwei Attacken gegen Costa Rica. Die Folge begann am 17. April durch ein Conti-Ransomware-Angriff gegen fast 30 Regierungseinrichtungen. Die zweite Attacke auf die Sozialversicherungskasse von Costa Rica folgte am 30. Mai durch die Ransomware-Bande Hive. Weitere prominente Opfer waren Nvidia, Bridgestone und die Regierung von Bernalillo County, New Mexico. Falls sich diese besorgniserregende Folge von Ransomware Angriffen weiter fortsetzt, müssen sich Unternehmen in der zweiten Jahreshälfte auf einen drastischen Anstieg von Ransomware-Angriffen gefasst machen, vergleichbar mit den letzten zwei Jahren.

Aufgrund dieser Bedrohung sollten Sie sich fragen:

Wie genau ist Ihr Unternehmen auf einen Ransomware-Angriff vorbereitet?
Können die Sicherheitsvorkehrungen in Ihrem Unternehmen Ransomware erkennen?

Die Größe einiger Ransomware-Opfer und ihre gut ausgestattete Cyber Security lassen vermuten, dass die Erkennung von Ransomware sehr schwierig ist. Deshalb analysieren den Ransomware Angriff auf MediaMarkt, eines der größten Opfer von Ransomware in der jüngeren Geschichte, sowie die Herausforderungen der Ransomware-Erkennung und Maßnahmen, durch die ein erfolgreicher Angriff verhindert werden können.

Der Ransomware Angriff auf MediaMarkt

MediaMarkt mit Hauptsitz in Ingolstadt, ist Europas größter Elektrofachmarkt mit über 1.000 Märkten in 14 Ländern, rund 52.000 Mitarbeitern und einem Umsatz von 21,4 Milliarden Euro. Zusammen mit der Vertriebsmarke Saturn bildet MediaMarkt die MediaMarkt Saturn-Gruppe, deren Eigentümer die Ceconomy AG ist.

Wie erfolgte die MediaMarkt-Ransomware-Attacke?

Am 7. November 2021 wurde MediaMarkt Opfer eines Hive-Ransomware-Angriffs, der Server und Workstations verschlüsselte und zunächst ein immenses Lösegeld in Höhe von 240 Millionen Dollar forderte. Der Angriff ereignete sich am späten Sonntagabend und dauerte bis zum nächsten Morgen an, wodurch die IT-Systeme des gesamten Unternehmens lahmgelegt wurden.
Weitere Systeme wurden von den Administratoren abgeschaltet, um die Ausbreitung der Infektion einzudämmen.

Der Angriff betraf MediaMarkt und Saturn in Deutschland, Belgien und vor allem in den Niederlanden. Obwohl die Geschäfte unmittelbar nach dem Anschlag geöffnet blieben, wurde das Personal aufgefordert, die Computer in den Geschäften nicht zu benutzen und die Registrierkassen abzuschalten. Dadurch konnten die Geschäfte weder Kartenzahlungen annehmen noch Quittungen ausstellen. Die Kunden konnten auch keine Geschenkgutscheine einlösen oder Produkte zurückgeben, da frühere Einkäufe nicht mehr einsehbar waren.

Insgesamt sollen 3.100 Server verschlüsselt worden sein, und nach Angaben des niederländischen Nachrichtensenders RTL erhielten die betroffenen Arbeitsplätze eine Lösegeldforderung mit dem Wortlaut „Ihr Netzwerk wurde gehackt, und alle Daten wurden verschlüsselt. Um wieder Zugriff auf alle Daten zu erhalten, müssen Sie unsere Entschlüsselungssoftware erwerben.“

Was waren die Auswirkungen des MediaMarkt-Angriffs?

Es war zu diesem Zeitpunkt unklar, ob Daten gestohlen wurden. Ransomware-Banden wie Hive praktizieren zunehmend Ransomware mit doppelter Erpressung, eine Taktik, bei der Daten nicht nur verschlüsselt, sondern auch aus dem Netzwerk exfiltriert werden. Die Angreifer behalten die Daten und drohen, sie weiterzugeben oder zu verkaufen, wenn der Lösegeldbetrag nicht gezahlt wird. Unklar ist auch, ob MediaMarkt das Lösegeld, das auf 50 Millionen Dollar heruntergehandelt worden sein soll, letztendlich bezahlt hat.

Durch den kürzlich veröffentlichte Finanzbericht H1 2021/22 von Ceconomy, der Muttergesellschaft von MediaMarkt können diese Fragen beantwortet werden. Dem Bericht zufolge wurden die betroffenen IT-Systeme innerhalb weniger Tage nach dem Angriff wiederhergestellt, und der Geschäftsbetrieb kehrte zur Normalität zurück. Vor allem aber wurden nur „Umsatz- und Gewinneinbußen“ erwähnt, ohne dass in der Finanzbuchhaltung ein Eintrag für eine Lösegeldzahlung erfolgte. Außerdem sind in dem Bericht keine Hinweise darauf zu finden, dass Mitarbeiter- und Kundendaten gestohlen wurden und dass es weitere Cyberangriffe gegeben hat. Wir können jedoch aus einem diesem Vorfall lernen: Wir müssen erkennen, warum es so schwierig ist, Ransomware zu erkennen, und Maßnahmen ergreifen, um solche Angriffe zu verhindern.

Die Herausforderungen bei der Erkennung von Ransomware-Angriffen

Die sich entwickelnden TTPs von Ransomware-Banden

Der Hive-Ransomware-Angriff auf MediaMarkt ist ein Beispiel dafür, dass Ransomware-Banden bei ihren Angriffen Taktiken, Techniken und Verfahren (TTP) im Stil der APT einsetzen. APTs (Advanced Persistent Threats) sind Angriffe, bei denen der Angreifer über einen längeren Zeitraum im Netzwerk des Opfers operiert und ausgeklügelte und schwer zu entdeckende Techniken einsetzt. Dadurch werden seine Privilegien erhöht, er verhindert es entdeckt zu werden und bewegt sich seitlich durch das Netzwerk. Auf diese Weise können Angreifer auf hochwertige Güter wie sensible Daten, hoch privilegierte User, kritische Systeme und Server, Datenbanken und Quellcodes zugreifen, um den Erfolg des Angriffs zu erhöhen.
Ransomware Banden verwenden dieselben fortschrittlichen Techniken, um eine doppelte Erpressung zu erreichen, d. h. die Verschlüsselung und die Exfiltration von Daten.

Die folgende Grafik zeigt die fortschrittlichen TTPs anhand der Infektionskette eines Hive-Ransomware-Angriffs.

(Bildquelle: Trend Micro)

Cobalt Strike ist einer der Hauptvermittler von Angriffen. Es wurde ursprünglich als Tool zur Simulation gegnerischer Angriffe in Red-Teaming-Übungen entwickelt, wurde jedoch von Bedrohungsakteuren wie APT-Gruppen und jetzt auch von Ransomware-Banden als Waffe eingesetzt. Das weit verbreitete Simulationstool kann für eine Vielzahl von Funktionen verwendet werden, darunter Keylogging, Befehlsausführung, Dumping von Anmeldeinformationen, Dateiübertragung, Port-Scanning und mehr. Zudem ist Cobalt Strike der Schlüssel, um die Eskalation eines Angriffs zu verhindern. Dies ist jedoch leichter gesagt als getan. Herkömmliche Sicherheitstools für Endgeräte, wie z. B. Antivirensoftware, basieren auf signaturbasierter Erkennung, d. h. auf der Erkennung von Malware anhand einer eindeutigen Kennung. Jedoch kann diese Erkennung umgangen werden, indem Angreifer die direkten Artefakte von Cobalt Strike verändern, indem sie eingebettete Funktionen wie Artifact Kit und Malleable C2 nutzen.

Legitime Windows-Systemtools und -Funktionen wie PsExec, BITSadmin, Windows Management Instrumentation (WMI) und Remote Desktop Protocol (RDP) werden ebenfalls für die laterale Bewegung im Netzwerk genutzt. Da es sich um systemeigene Windows-Programme handelt, werden sie in der Regel nicht von Endpunkt-Sicherheitslösungen erkannt.

Der Trojaner Spy.DATASPY wird auf den Endpunkt geladen, um nach laufenden Prozessen, einschließlich Antiviren- und Endpunktschutzsoftware, zu suchen. Tools wie PCHunter, GMER und KillAV werden anschließend eingesetzt, um AV-bezogene Prozesse zu beenden und den AV-Schutz zu deaktivieren, was den Angreifern mehr Freiheit bei der Durchführung des Angriffs gibt.

Was bedeutet das für die Cyberverteidigung?

Erkennen von Ransomware mithilfe von Network Detection and Response

Zurück zur Millionen-Dollar-Frage: Wie können Unternehmen Ransomware erkennen, wenn sie mit solch komplexen und schwer erkennbaren Tools und Techniken konfrontiert sind?

Dafür benötigen sie eine Technologie, die Sicherheitsteams eine beispiellose Transparenz bietet und das Unerkennbare aufspürt.

Das ist genau das, was Network Detection and Response bietet.

Nicht-signaturbasierte Ransomware-Erkennung mit NDR

Im Gegensatz zu herkömmlichen Sicherheitstools nutzt Network Detection and Response (NDR) nicht nur die Erkennung von Signaturen. Mithilfe fortschrittlicher Technologien wie maschinellem Lernen, KI und Verhaltensanalyse analysiert NDR den gesamten Netzwerkverkehr in Echtzeit, um Abweichungen von der normalen Netzwerkaktivität zu erkennen. Die Idee dahinter ist, dass anormale Aktivitäten ein guter Indikator für bösartiges Verhalten sind, da Angreifer auf eine Art und Weise agieren, die nicht den regulären Verhaltensmustern entspricht.

Der NDR zeigt jedoch nicht nur anormale Aktivitäten an. Dies würde zu einer unüberschaubaren Anzahl von Warnmeldungen und Fehlalarmen führen. Stattdessen korreliert NDR den Netzwerkverkehr im gesamten Netzwerk sowie innerhalb und außerhalb des Netzwerks, um anomalen Ereignissen in einem Kontext zu betrachten. Ein scheinbar harmloses Ereignis auf einem Endpunkt mag keinen Verdacht erregen, aber wenn es mit dem Netzwerkverkehr und den Aktivitäten auf anderen Endpunkten korreliert, kann NDR eine Kette verdächtiger Aktivitäten aufdecken.

Erkennung der seitlichen Bewegung des Kobaltstreiks mit NDR

Zur Veranschaulichung dieses Punktes wollen wir die Erkennung einer seitlichen Bewegung anhand des Cobalt Strike als Beispiel verwenden.

Die Analyse von Lateral Movements mit Cobalt Strike veranschaulicht, dass das kompromittierte Gerät einen Remote-Dienst erstellt und startet, um bösartigen Code auf einem anderen Netzwerkgerät auszuführen. Sobald der Dienst erfolgreich erstellt wurde, sendet er häufig ein Signal an Cobalt Strike Team Server, d. h. er kommuniziert mit dem Command-and-Control-Server (C2) des Angreifers.

Mit diesem Wissen kann NDR modelliert werden, um die Angriffskette zu erkennen. Das bedeutet, dass ein Gerät einen Remote-Dienst auf einem zweiten Gerät erstellt, woraufhin eine Kommunikation mit einer unbekannten Domäne auf dem zweiten Gerät folgt. Durch die Erstellung von Baselines für Aktivitäten auf allen Netzwerkgeräten erkennt NDR bösartiges Verhalten, das bei isolierter Betrachtung scheinbar harmloser Ereignisse nicht erkennbar ist. Dadurch kann Ransomware erkannt werden, bevor sie ernsthaften Schaden anrichtet.

Ein mehrschichtiges Sicherheitskonzept 

Verhaltens- und Anomalie basierte Schutztechnologien wie NDR werden nicht losgelöst von signaturbasierten Schutzmaßnahmen eingesetzt. Tatsächlich bieten signaturbasierte Schutzmechanismen eine robuste erste Verteidigungslinie, die die meisten Bedrohungen herausfiltert. Ohne würden die Netze links, rechts und in der Mitte von Bedrohungen überschwemmt werden.

NDR kann in Verbindung mit Netzwerk-Firewalls, Antivirenprogrammen und anderen Sicherheitstools eingesetzt werden, um Unternehmen einen mehrschichtigen, ganzheitlichen Schutz vor Ransomware, APTs und anderen Bedrohungen zu bieten.

Network Detection and Response (NDR)?

Posted on 28. Mai 202216. Dezember 2024 by ForeNova

Was ist Network Detection and Response (NDR)?

Vereinfacht ausgedrückt ist Network Detection and Response (NDR) eine Cyber Security Lösung, die den Netzwerkverkehr eines Unternehmens in Echtzeit und kontinuierlich überwacht und analysiert, um sowohl Malware als auch bösartige Aktivitäten im Netzwerk zu erkennen und darauf zu reagieren.

Cloud Expo Europe Frankfurt

Posted on 9. Mai 202217. Dezember 2024 by ForeNova

ForeNova Technologies, ein aufstrebender Hersteller im Bereich Cyber Security, ist stolz darauf, seine Teilnahme an der bevorstehenden Cloud Expo Europe Frankfurt, Deutschlands führender Veranstaltung für Cloud-Technologie, bekannt zu geben.

Continue reading „Cloud Expo Europe Frankfurt“

Ein Blueprint für die Sicherheit des Einzelhandels

Posted on 22. Oktober 202113. Dezember 2024 by ForeNova

Ransomware gilt derzeit laut des Präsidenten des Bundesamtes für Sicherheit in der Informationstechnik als eine der größten Bedrohungen für die IT-Systeme von Unternehmen und Organisationen. Doch wie groß ist die Problematik? Der deutsche IT-Branchenverband Bitkom geht davon aus, dass Cyberattacken einschließlich Ransomware im Jahr 2020/2021 einen Schaden von rund 223 Milliarden Euro verursachen werden.

Ein Wirtschaftszweig, der besonders stark betroffen ist, ist der Einzelhandel. Laut einer neuen globalen Studie haben die Ransomware-Angriffe auf den Einzelhandel in den ersten beiden Quartalen 2021 um 183% zugenommen. Dazu gehört ein Angriff auf den deutschen Bekleidungshändler Waschbar, der ihn dazu zwang sowohl seine E-Mail-Systeme, als auch sein Online- und Telefon-Bestellsysteme abzuschalten. Diese Vorfälle beunruhigen Einzelhändler, die unermüdlich daran arbeiten, die zunehmenden Probleme in der Lieferkette und den Arbeitskräftemangel in den Griff zu bekommen und sich auf eine erfolgreiche Weihnachtssaison 2021 vorzubereiten.

Der Einzelhandel befindet sich in einer kritischen Lage 

Einzelhändler setzen auf neue Innovationen, um die Effizienz zu steigern und bessere Kundenerlebnisse zu schaffen. Was viele jedoch nicht wissen, ist Folgendes: Viele dieser Innovationen bieten neue, attraktive Ziele für Cyberkriminelle.

Dazu gehören:

Digitale Transformation: Einzelhandelsunternehmen stehen an der Spitze des digitalen Wandels, zu dem auch die zunehmende Nutzung von kontaktlosen Transaktionen und mobilen Apps gehört. Dazu gehört der Einsatz von Internet-of-Things (IoT) – derzeit planen 80 Prozent der Unternehmen in der Einzelhandelsbranche die Einführung von IoT, einschließlich Innovationen wie Umgebungsüberwachung, In-Store-Navigation, Cloud-verbundene Kioske und digitale Beschilderungen. Durch jede dieser Maßnahmen wird die Angriffsfläche gesteigert.
Automatisierung im Einzelhandel: Alle Einzelhändler wollen ihre Effizienz steigern, und viele setzen dabei auf die Automatisierung. Das umfasst Selbstbedienungskassen, Lagerroboter, drahtlose Versandgeräte und automatische Bestandsverwaltungssysteme, die jeweils neue Schwachstellen aufweisen, die Kriminelle ausnutzen könnten.
Point of Sale (POS) Lösungen: Einzelhändler verwenden POS-Lösungen, um eine Vielzahl von Daten für Billionen von Transaktionen jeden Tag zu sammeln, darunter sensible Daten wie Kreditkartennummern und persönliche Identifikationsnummern (PIN), die für Kriminelle Gold wert sind.
Lieferkette: Innerhalb kürzester Zeit ist die Lieferkette zu einem Hauptziel für Cyberkriminelle geworden. Die europäische Union prognostiziert, dass es 2021 viermal mehr Angriffe auf Software-Lieferketten geben wird als im Jahr zuvor. Ein möglicher Grund ist, dass 62% der Angriffe das Vertrauen ausnutzen, das Einzelhändler in ihre Lieferkette setzen. Da sich Einzelhändler bei der Bestandsverwaltung, der Auftragsabwicklung und der Softwareverwaltung auf ihre Lieferketten verlassen, wird das Risiko einer Gefährdung nur noch weiter zunehmen.
Bedrohungen durch Insider: Heute sind 38% der Ransomware-Angriffe im Einzelhandel das Ergebnis von Bedrohungen durch Insider. Die Fluktuationsrate in dieser Branche ist höher als in anderen, deshalb ist die Gefahr von weiteren Vorfällen groß. Diese Anfälligkeit wird durch die Abhängigkeit von Saisonarbeitskräften und größeren Vertriebszentren noch verschärft.

Während sich die Einzelhändler weiterentwickeln und sich dieser Schwachstellen immer stärker bewusst werden, sind Ransomware-Banden ebenfalls nicht untätig. Sie erkennen die Chancen, durch Innovationen und nutzen sie – viele Einzelhändler sind wahrscheinlich bereits unwissentlich davon betroffen.

Der Attack Surface Blueprint  für den Einzelhandel

Angesichts eskalierender Bedrohungen und zunehmender Schwachstellen reicht Prävention nicht mehr aus. Einzelhändler bieten ihren Kunden routinemäßig Rabatte und Anreize, um den Absatz zu fördern. Um sich vor gefährlichen Ransomware-Angriffen zu schützen, ist es notwendig auch eine Ransomware-Routine einzuführen, die proaktiv nach versteckten Bedrohungen sucht. Hier kommt ForeNovas Attack Surface Blueprint, basierend auf NovaCommand, ins Spiel. 

Der Attack Surface Blueprint hilft Unternehmen aller Branchen zu vermeiden, das nächste Opfer von Ransomware-Angriffen zu werden, indem sie sehen, was die Kriminellen sehen. Es bietet einen vollständigen Überblick über die IT-Landschaft eines Unternehmens, einschließlich der häufigsten Schwachstellen – und leichter Ziele für Cyberkriminelle. 

Die von den Ransomware-Experten von ForeNova erstellten Attack Surface Blueprints basieren auf Daten, von Tausenden von Unternehmen, Ransomware-Angriffen und unentdeckten Bedrohungen, und stellen Sicherheitsexperten im Einzelhandel die nötigen Informationen zur Verfügung, um schnell und sicher auf Bedrohungen reagieren zu können. Mit der Network Detection and Response (NDR)-Lösung NovaCommand haben Sie Einblick in Ihre „Angriffsfläche“ und können sich wehren – und Ransomware-Banden mit ihren eigenen Waffen schlagen.

Network Detection and Response 

Durch eine Kombination aus maschinellem Lernen, fortschrittlichen Analysen und regelbasierter Erkennung beseitigt NovaCommand blinde Flecken im Netzwerk, um Bedrohungen schnell zu entschärfen.

NovaCommand bietet Einzelhändlern eine tiefe Einsicht in ihr Netzwerk entweder On-Premise oder als Cloud. NovaCommand nutzt ML, um das normale Verhalten des Netzwerkverkehrs zu erkennen, und kann dadurch Anomalien schnell erkennen und Fehlalarme vermeiden. So können sich die Teams ganz auf verdächtigen Netzwerkverkehr und Aktivitäten konzentrieren, die einen Cyberangriff darstellen könnten. Zu diesen Techniken gehören Signaturanalyse, Malware-Erkennung, Sandboxing, Indikatorenanalyse, E-Mail-Sicherheit, Web-Sicherheit, maschinelles Lernen, KI, Täuschung und Risikoanalyse von Assets.

 Wenn eine Bedrohung erkannt wird, priorisiert NovaCommand diese und löst die richtigen Maßnahmen aus. Diese Reaktionsmaßnahmen können manuell oder automatisch erfolgen und werden durch eine enge Integration mit Firewall-Anbietern, Anbietern von Endpoint Security und anderen Sicherheitsprodukten wie Netzwerkzugangskontrolllösungen ermöglicht. Aktionen zur Reaktion können Ports blockieren, einen Endpoint-Scan auslösen oder einen Port an einem physischen Switch blockieren. NovaCommand gibt den Einsatzkräften auch die Werkzeuge an die Hand, die sie benötigen, um risikobasierte Entscheidungen zu treffen und Angriffe nahezu in Echtzeit zu entschärfen.;

Es besteht kein Zweifel, dass die Bedrohung durch Ransomware erheblich ist und weiter zunimmt. Aber es ist noch nicht alles verloren. Durch ein proaktives Sicherheitskonzept und eine automatisierte Reaktion auf Bedrohungen können Einzelhändler versteckte und unbekannte Bedrohungen aufdecken, um Sicherheitslücken schnell zu schließen und die Belastung der internen Ressourcen erheblich zu reduzieren. Die Realität für alle Branchen ist, dass wir Ransomware nicht verhindern können, aber wir können Unternehmen vor diesen neuen und anhaltenden Cyber-Bedrohungen schützen.