Sicherheitstraining auf Mitarbeiterpersönlichkeiten abstimmen

Originalartikel von Bharat Mistry

Nachdem in den letzten Monaten der Lockdown wegen der Corona-Pandemie Unternehmen gezwungen hatte, ihre Mitarbeiter ins Home Office zu schicken, könnte für viele diese Regelung permanent gelten und das verteilte Arbeiten zur Norm werden. Angestellte werden oft als schwächstes Glied in der Sicherheitskette eines Unternehmens bezeichnet, sie könnten also zu einer noch grösseren Belastung werden, wenn sie von zu Hause aus arbeiten. Eine neue Studie von Trend Micro stellt bedauerlicherweise fest, dass viele Mitarbeiter, obwohl während des Lockdowns sicherheitsbewusster geworden, schlechte Gewohnheiten beibehalten haben. CISOs, die die Schulung des Benutzerbewusstseins intensivieren wollen, können bessere Ergebnisse erzielen, wenn sie versuchen, ihre Strategien auf die jeweiligen Benutzer-Persönlichkeiten abzustimmen.

Ergebnisse der Studie

Für die Studie „Head in the Clouds“ wurden 13.200 Remote Worker in 27 Ländern befragt. Es zeigt sich, dass 72% die Cybersicherheits-Richtlinien ihrer Organisation seit dem Lockdown bewusster wahrnehmen. 85% geben an, die IT-Anweisungen ernst zu nehmen, und 81% sind der Ansicht, dass Cybersicherheit teilweise in ihrer Verantwortung liegt. Fast zwei Drittel (64%) geben sogar zu, dass die Verwendung von Anwendungen, die nicht für den Arbeitsplatz bestimmt sind, auf einem Firmengerät ein Risiko darstellt.

Doch trotz dieser Erfahrungen aufgrund des Lockdowns befassen sich viele Mitarbeiter mehr mit der Produktivität. Mehr als die Hälfte der Befragten (56%) gibt zu, eine arbeitsfremde App auf einem Firmengerät zu verwenden, und 66% haben Firmendaten auf dieses Gerät hochgeladen. 39% der Umfrageteilnehmer greifen „oft“ oder „immer“ von einem persönlichen Gerät auf Firmendaten zu, und 29% sind der Meinung, dass sie problemlos eine firmenfremde App nutzen können, da IT-gestützte Lösungen „Nonsens“ sind.

Vier Sicherheitspersönlichkeiten

In einem zweiten Teil der Untersuchung werden die vier verschiedenen Mitarbeiterpersönlichkeiten bezüglich deren Sicherheitsverhalten dargestellt. Mit diesem Teil hatte Trend Micro Dr Linda Kaye, Cyberpsychology Academic an der Edge Hill University beauftragt. Sie unterteilt die Persönlichkeiten in vier Kategorien: ängstlich, gewissenhaft, ignorant und tollkühn.

Ängstliche Mitarbeiter können von Schulungs- und Simulationswerkzeugen profitieren sowie von Echtzeit-Feedback über Sicherheitskontrollen und Mentoring.

Gewissenhafte Mitarbeiter brauchen nur sehr wenig Schulung, können aber als Vorbild für gutes Verhalten dienen und zur Zusammenarbeit mit „Kumpels“ aus den anderen Gruppen gut eingesetzt werden.

Ignorante Nutzer benötigen Spieltechniken und Simulationsübungen, um sie in der Ausbildung zu halten, und können auch zusätzliches Eingreifen erfordern, damit sie die Folgen riskanten Verhaltens wirklich verstehen.

Tollkühne Mitarbeiter stellen vielleicht die grösste Herausforderung dar, denn ihr Fehlverhalten ist nicht das Ergebnis von Unwissenheit, sondern einer wahrgenommenen Überlegenheit gegenüber anderen. Möglicherweise müssen Organisationen Prämienregelungen einsetzen, um die Einhaltung der Vorschriften zu fördern, und unter extremen Umständen DLP- und Sicherheitskontrollen verstärken, um ihr risikoreiches Verhalten zu entschärfen.

Wenn Sicherheitsmanager verstehen, dass kein Mitarbeiter dem anderen gleicht, können sie ihren Ansatz nuancierter gestalten. Die Aufteilung des Mitarbeiterstabs in vier Lager sollte eine persönlichere Herangehensweise gewährleisten als die Einheitsschulungen, die die meisten Organisationen heute durchführen. Die Mitarbeiter können die Vorteile von Schulungs- und Simulationsplattformen geniessen, wie Phish Insight von Trend Micro mit seiner vielfältigen Bibliothek von Schulungsinhalten, die auf die unterschiedlichen Unternehmenskulturen, Qualifikationsniveaus und Rollen der Mitarbeiter zugeschnitten sind.

Incident Response Playbook: Schnell und gezielt reagieren ist entscheidend

von Trend Micro

Um heutzutage wettbewerbsfähig zu sein, müssen Unternehmen mit den neuesten technologischen Trends Schritt halten. Ohne die parallele Entwicklung einer Sicherheitsinfrastruktur und einem klaren Prozess für eine Reaktion auf Angriffe könnten diese Technologien jedoch zum fatalen Vektor für Cyber-Bedrohungen werden. Im Falle eines Cyberangriffs kann ein starker Incident Response-Plan ein Unternehmen mit nur minimalem Schaden wieder zum Laufen bringen. Ein gutes Playbook stellt eine große Hilfe beim Aufsetzen des Incident Response-Ablaufs dar.

Laut einer von IBM und Ponemon durchgeführten Studie kostet ein Datendiebstahl das betroffene Unternehmen durchschnittlich 3,92 Millionen Dollar. Diese Kosten können variieren, je nachdem, wie schnell ein Unternehmen einen Datendiebstahl entdeckt und darauf reagiert.

Der 2020 Data Breach Investigations Report von Verizon kam zu dem Ergebnis, dass die meisten Datenschutzverletzungen im Jahr 2019 zwar nur Tage oder weniger dauerten, doch immerhin ein Viertel der Fälle zog sich über Monate oder länger hin. Die Eindämmung wiederum brauchte im Durchschnitt etwa gleich lang.

Insgesamt zeigen die Zahlen im Bericht im Vergleich zu den Vorjahren eine Verbesserung bei der Aufdeckung von Dateneinbrüchen und der Reaktion darauf. Der Bericht weist aber auch darauf hin, dass diese Verbesserung darauf zurückzuführen sein könnte, dass mehr von Managed Security Service Providern (MSSPs) entdeckte Verletzungen in ihre Untersuchungen einbezogen wurden.

Organisationen sollten natürlich danach streben, die Einbrüche zu verhindern. Gleichzeitig ist die Vorbereitung auf solche Vorfälle und die Erstellung von Abläufen zur Verkürzung der Dauer eines Dateneinbruchs jedoch ein wesentlicher und realistischer Ansatz für den Umgang mit aktuellen Bedrohungen.

Vorbereitung auf die Bedrohungen

Das Wissen darüber, womit ein Unternehmen zu rechnen hat, ist der erste Schritt bei der Vorbereitung und die Reaktion auf potenzielle Cyberangriffe. In der Vergangenheit waren die Bedrohungen viel einfacher gestrickt und weitgehend durch die von ihnen ausgenutzten Technologien definiert. Doch nun, da Unternehmen auf fortschrittlichere Netzwerk- und Dateninfrastrukturen zurückgreifen, ist die Angriffsfläche grösser, und die Auswirkungen der Bedrohungen haben sich verstärkt.

Der Sicherheitsbericht für 2019 von Trend Micro weist auf die Komplexität und Persistenz der heutigen Bedrohungen hin. Ransomware-Angriffe zielen immer häufiger auf hochkarätige Ziele, wobei die Kriminellen weniger neue Familien entwickeln. 2019 gab es mit 95 neuen Ransomware-Familien weniger als die Hälfte im Vergleich zu 2018 (222). Auch Phishing-bezogene Aktivitäten nahmen ab.

2019 gab es eine Reihe Aufsehen erregender Angriffe auf E-Commerce Sites wie Magecart Group 12 und FIN6, wobei tausende Online-Shops infiziert wurden, um Zahlungsinformationen der Kunden zu stehlen.

Bild 1: Angriffskampagne auf E-Commerce Site Magecart Group 12 und FIN6

Obige Bedrohungen verdeutlichen die Sicherheitslücken in den heute verwendeten Technologien. Sie zeigen auch, wie Trends und Schwächen von Branchen, Geräten oder Plattformen die Bedrohungslandschaft prägen. Organisationen haben eine Vielzahl von Grundlagen abzudecken, wenn sie neue Anwendungen und Software einführen, die Abläufe verbessern und Innovationen vorantreiben sollen. Neben der Kenntnis der aktuellen Bedrohungen sollten die Mitarbeiter auch alle von ihrer Organisation verwendeten Technologien genau verstehen lernen.

Während ein vielschichtiger Schutz bei der Erkennung und Verhinderung von Cyberattacken helfen kann, sollten alle Mitarbeiter, die für die Wartung der Unternehmensinfrastruktur zuständig sind, auch über Kenntnisse darüber verfügen, wie sie auf einen Einbruch und einen aktiven Angriff reagieren sollen.

Incident Response

Bedrohungen, die die Verteidigungslinien von Unternehmen angreifen, erfordern eine effektive Strategie zur Reaktion auf Vorfälle (Incident Response). Es ist der Prozess oder der Plan, den Organisationen als Leitfaden für die Handhabung und Eindämmung von Verstössen oder Cyberangriffen verwenden.

Das Ziel von Incident Response besteht darin, das Unternehmen nach einem Angriff wieder zum Laufen zu bringen. Dazu gehört die Identifizierung und Qualifizierung der Bedrohung, die ihre Verteidigungsmechanismen überwunden hat. Ein Störfall impliziert auch, dass die Präventionsmechanismen der Organisation versagt haben und verstärkt werden müssen.

Ein charakteristisches Merkmal von Incident Response ist, dass die Reaktion erfolgreich sein kann, ohne den Bedrohungsakteur hinter dem Angriff identifizieren zu müssen. Incident Response erfolgt „live“ oder während eines laufenden Angriffs mit der Absicht, diesen zu stoppen. Im Gegensatz dazu erfolgt etwa Computer-Forensik im Nachhinein und kann in die Tiefe gehen, weil die Bedrohung zurückgegangen ist.

Es gibt zwei weithin als Standard akzeptierte Incident Response Frameworks: NIST (National Institute of Standards and Technology) und SANS (SysAdmin, Audit, Network, and Security). Sie sind einander sehr ähnlich und decken eine breite Basis ab, von der Vorbereitung auf einen Angriff bis zum Sicherstellen, dass sich der Vorfall nicht wiederholt.

SANS

NIST

Bild 2: Incident Response-Schritte bei SANS und NIST

Der zweite Teil beschreibt ein Playbook mit den einzelnen konkreten Schritten, die ein Unternehmen beim Aufsetzen von Incident Response gehen muss.

Sicherheit für die digitale Transformation – Suite vs. Punktlösungen

Originalartikel von William Malik, CISA VP Infrastructure Strategies

Die digitale Transformation hat durch die Corona-Pandemie an Schwung gewonnen. Die jeweiligen Projekte sind wichtiger denn je, um mehr Effizienz zu erlangen, Kosten sparen zu können und die Geschäftsagilität zu erhöhen. Sicherheit bleibt aber für viele Organisationen ein großer Stolperstein, weshalb es von entscheidender Bedeutung ist, neue Sichtweisen darüber zu gewinnen, wie der Schutz von Anfang an in Pläne eingearbeitet werden sollte. Wo sind die Sichtbarkeits- und Kontrolllücken beim Schutz hybrider Cloud-Workloads? Hat Kompetenzmangel Fehler in der Cloud-Konfiguration wahrscheinlicher gemacht? Und wie sieht Cloud-Sicherheit aus, wenn Unternehmen in eine neue Normalität eintreten? In von Unsicherheit geprägten Zeiten haben die Experten Antworten gegeben, die CISOs benötigen, um besser informierte strategische Entscheidungen treffen zu können. Trend Micros virtuelle Veranstaltung „Perspectives“ wartete mit hochkarätigen Vorträgen auf, unter anderem von Trend Micro CEO Eva Chen, VP of Security Research, Rik Ferguson, AWS Principal Security Architect, Merritt Baer oder IDC VP, Frank Dickson.

Sehr aufschlussreich waren zudem die Antworten, die von den mehr als 5000 weltweiten Teilnehmern zu zwei Schlüsselfragen zur eigenen Strategie und der digitalen Transformation kamen.

Erstens: Wie sieht Ihre aktuelle Strategie für die Absicherung der Cloud aus?

33% der Befragten verlassen sich komplett auf die nativen Sicherheitsfähigkeiten der Cloud-Plattform (AWS, Azure, Google…), 13% ergänzen die Sicherheit mit auf bestimmte Bereiche (Schutz für Workloads und Container …) ausgerichteten Produkten, und 54% vertrauen auf eine Sicherheitsplattform mit mehrfachen Fähigkeiten, um die Komplexität zu verringern.

Diese Ergebnisse bestätigen die Feststellung von IDC-Analyst Frank Dickson, wonach die meisten Cloud-Kunden mit einer Suite, die eine Reihe von Sicherheitsfunktionen für mehrere Cloud-Umgebungen bietet, besser aufgestellt sind. Für die 15 bis 20 Prozent der Unternehmen, die sich auf nur einen Cloud-Anbieter verlassen, kann der Kauf einer Sicherheitslösung von diesem Hersteller eine ausreichende Abdeckung bieten. Die Suche nach Punktlösungen (die auch Best-of-Breed-Produkte sein können) führt zu zusätzlicher Komplexität über mehrere Cloud-Plattformen hinweg und kann Probleme überdecken, Cybersicherheitsanalysten und Geschäftsanwender irritieren, die Kosten erhöhen und die Effizienz. Die umfassende Suite-Strategie ergänzt den hybriden Multi-Cloud-Ansatz der meisten Organisationen.

Zweitens: Wie setzen Sie sichere digitale Transformation in der Cloud um (Multiple Choice)?

Die Antworten machen deutlich, dass Cloud-Benutzer für viele verfügbare Lösungen zur Verbesserung der Cloud-Sicherheit offen sind. Das Anwendungsmuster folgt den traditionellen Bereitstellungsmodellen für Sicherheit Onpremise. Die am häufigsten angeführte Lösung, Network Security/Cloud-IPS, zeigt, dass Kommunikation mit allem in der Cloud ein vertrauenswürdiges Netzwerk erfordert. Dies ist eine sehr vertraute Praxis, die in Onpremise-Umgebungen bis zur Einführung von Firewalls in den frühen 1990er Jahren von Anbietern wie CheckPoint zurückreicht und durch akademische Forschung unterstützt wird.

Die Häufigkeit der Gefährdung von Daten durch falsch konfigurierte Cloud-Instanzen ist sicherlich ausschlaggebend für das Cloud Security Posture Management. Und dies wird durch die einfache Bereitstellung von Tools wie Cloud One Conformity unterstützt. Die Neuartigkeit von Containern in der Produktionsumgebung erklärt den relativ geringen Einsatz von Container-Sicherheit heute. Doch müssen Unternehmen keine Vielzahl von Einzelprodukten zur Lösung eines Problems in einer Umgebung einsetzen und verwalten. Der Suite-Ansatz vereinfacht die heutige Realität und positioniert die Organisation für die Herausforderungen von morgen.

Die Vorträge können unter Perspectives auch im Nachhinein abgerufen werden.

Botnet Malware-Varianten zielen auf exponierte Docker Server

Originalbeitrag von Augusto Remillano II, Patrick Noel Collado und Karen Ivy Titiwa

Kürzlich entdeckten die Sicherheitsforscher Varianten von zwei existierenden Linux Botnet Malware-Arten, die exponierte Docker-Server im Visier hatten: XORDDoS (Backdoor.Linux.XORDDOS.AE) und Kaiji DDoS (DDoS.Linux.KAIJI.A). Für beide Malware-Arten sind Docker-Server als Ziel neu. XORDDoS war dafür bekannt, Linux Hosts in Cloud-Systemen anzugreifen, und die erst vor kurzem entdeckte Kaiji-Malware griff IoT-Geräte an. Die Hintermänner nutzten normalerweise Botnets für Brute-Force-Attacken, nachdem sie nach offenen Secure Shell (SSH)- und Telnet-Ports gescannt hatten. Jetzt suchen sie auch nach Docker-Servern mit exponierten Ports (2375). Dies ist einer der beiden Ports, die das Docker API nutzt, und dient der nicht verschlüsselten und nicht authentifizierten Kommunikation.

Es besteht jedoch ein bemerkenswerter Unterschied zwischen den Angriffsmethoden der beiden Malware-Varianten. Während der XORDDoS-Angriff den Docker-Server infiltrierte, um alle auf ihm gehosteten Container zu infizieren, setzt der Kaiji-Angriff einen eigenen Container ein, in dem die DDoS-Malware liegt.

Diese Malware-Varianten begünstigen Distributed Denial of Service (DDoS), einen Angriffstyp, der darauf abzielt, ein Netzwerk, eine Website oder einen Dienst zu deaktivieren, zu unterbrechen oder herunterzufahren. Dazu werden mehrere Systeme verwendet, um das Zielsystem mit Datenverkehr zu überlasten, bis es für andere Benutzer unzugänglich wird.

Analyse der beiden Varianten

Die XORDDoS-Infektion begann damit, dass die Angreifer nach Hosts mit exponierten Docker-API-Port suchten (2375). Dann sandten sie einen Befehl, der die auf dem Docker-Server gehosteten Container auflistete. Danach führten die Angreifer eine Befehlsfolge für alle Container aus und infizierten sie alle mit der Malware.

Ähnlich wie bei der XORDDoS-Malware zielt Kaiji auch auf exponierte Docker-Server zur Verbreitung. Der Betreiber scannte auch das Internet nach Hosts mit dem exponierten Port 2375. Nachdem er ein Ziel gefunden hatte, pingt er den Docker-Server an, bevor er einen bösartigen ARM-Container einsetzt, der das Kaiji-Binary ausführt. Die technischen Einzelheiten zu den beiden Angriffen finden Interessierte im Originalbeitrag.

Schutz für Docker-Server

Es zeigt sich, dass die Bedrohungsakteure ihre Werke ständig um neue Fähigkeiten erweitern, so dass sie ihre Angriffe auf andere Eintrittspunkte ausrichten können. Da sie relativ bequem in der Cloud eingesetzt werden können, sind Docker-Server eine immer beliebtere Option für Unternehmen. Sie sind jedoch auch ein attraktiven Ziel für Cyberkriminelle, die ständig auf der Suche nach Systemen sind, die sie ausnutzen können.

Einige Empfehlungen für die Absicherung von Docker-Servern:

Absichern des Container Hosts: Dafür eignen sich Monitoring Tools und Host Container in einem auf Container zugeschnittenen Betriebssystem.
Absichern der Netzwerkumgebung. Dafür sollte ein Intrusion Prevention System (IPS) und Webfiltering zum Einsatz kommen, um Übersicht zu bieten und den internen sowie externen Verkehr beobachten zu können.
Absichern des Management-Stacks. Hier sollte die Container Registry überwacht und gesichert werden sowie die Kubernetes-Installation abgesperrt sein.
Absichern der Build Pipeline. Implementieren eines gründlichen und konsistenten Zugangskontrollschemas sowie starker Endpunktkontrollmechanismen.
Befolgen der empfohlenen Best Practices.
Einsatz von Sicherheits-Tools, um Container zu scannen und zu schützen.

Trend Micro™ Hybrid Cloud Security bietet automatisierte Sicherheit und Schutz für physische, virtuelle und Cloud Workloads. Die Lösung umfasst folgendes:

Trend Micro Cloud One™ – für umfassende Sichtbarkeit und für den Schutz vor Bedrohungen
Trend Micro Cloud One – Container Security – für automatisiertes Container Image und Registry Scanning
Trend Micro Cloud One – Workload Security – für den Schutz neuer und bestehender Workloads vor selbst unbekannten Bedrohungen durch Techniken wie maschinelles Lernen und virtuelles Patching,
Für Security as Software: Trend Micro Deep Security™ Software (Workload- und Container-Sicherheit) und Trend Micro Deep Security Smart Check für das Scanning von Container Images und Verhindern weiterer Infektionen.

Ripple20-Schwachstellen gefährden Millionen von IoT-Geräten

Die israelische Sicherheitsfirma JSOF hat Informationen zu einer Reihe von Schwachstellen veröffentlicht, die sie Ripple20 nennt. Diese Schwachstellen haben das Potenzial, Millionen von Internet of Things (IoT)-Geräten in vielen verschiedenen Branchen zu schädigen. Wichtige Systeme in der Gesundheits-, Öl- und Gasindustrie, im Transportwesen, in der Energiewirtschaft und im verarbeitenden Gewerbe können von diesen Fehlern betroffen sein. Eine Liste bestimmter Hersteller mit anfälligen Geräten ist in dem technischen Bericht von JSOF zu finden.

Die Schwachstellen stammen von einer Software, die von der amerikanischen Firma Treck Inc. entwickelt und Ende der neunziger Jahre auf den Markt gebracht wurde. Die Software beinhaltet einen leichtgewichtigen TCP/IP-Stack und ermöglicht es Unternehmen, ihre Geräte oder Software über TCP/IP-Verbindungen mit dem Internet zu verbinden.

Angesichts der Tatsache, dass diese Software bereits seit vielen Jahren verfügbar und im Einsatz ist und Unternehmen aller Grössenordnungen immer mehr Geräte online bringen, ist es nicht verwunderlich, dass die Auswirkungen von Ripple20 so breit gestreut sind. Die betroffenen Firmen reichen von Ein-Personen- bis hin zu multinationalen Fortune-500-Unternehmen.

IoT- und industrielle Internet of Things (IIoT)-Geräte benötigen leichtgewichtige Netzwerkkomponenten, um Rechenleistung zu sparen. Aber Probleme mit Netzwerk-Kommunikationssoftware von Drittanbietern belasten die Landschaft seit Jahren. Im Jahr 2018 gefährdeten 13 Fehler im FreeRTOS-TCP/IP-Stack die IoT-Geräte in Privathaushalten und in kritischen Infrastrukturen, und 2019 wurden medizinische Geräte und Krankenhausnetzwerke durch eine Reihe von elf Schwachstellen namens Urgent/11 bedroht. Die Schwachstellen befanden sich im IPnet, einer Softwarekomponente eines Drittanbieters, die die Netzwerkkommunikation unterstützt. Ein Angreifer könnte diese Schwachstellen potenziell nutzen, um die Kontrolle über medizinische Geräte aus der Ferne zu übernehmen oder deren Funktionsfähigkeit zu behindern.

Die Schwachstellen

Die in der Software gefundenen Schwachstellen zeichnen sich durch die Breite ihrer Auswirkungen aus – die Software hat sich über die ganze Welt verbreitet und wurde direkt und indirekt von vielen verschiedenen Herstellern verwendet.

Konkret handelt es sich bei Ripple20 um eine Gruppe von 19 Fehlern, die bei erfolgreicher Ausnutzung einem Angreifer erlauben würden, willkürlich Code auf anfälligen Geräten auszuführen, mit denen er sich verbinden kann. Hacker können über lokale Netzwerke oder über das Internet auf anfällige Geräte zugreifen und die vollständige Kontrolle über diese Geräte übernehmen – ein kritisches Problem, wenn es sich dabei auch um solche in Stromnetzen, Produktionsstätten und Krankenhäusern handelt.

Einer dieser Bugs ist eine Schwachstelle im DNS-Protokoll, die von einem erfahrenen Hacker dazu benutzt werden kann, Geräte anzugreifen, die nicht mit dem Internet verbunden sind. JSOF hat weitere mögliche Angriffe skizziert, unter anderem die Nutzung angreifbarer Geräte, um andere Geräte in einem Netzwerk ins Visier zu nehmen oder um im Netzwerk verborgen zu bleiben, und die Verbreitung eines Angriffs, um die Kontrolle über alle betroffenen Geräte im Netzwerk gleichzeitig zu übernehmen. Treck hat ein Sicherheits-Update zur Behebung dieser Schwachstellen veröffentlicht.

Die Cybersecurity and Infrastructure Security Agency (CISA) hat fünf dieser Schwachstellen mit über acht bewertet, wobei zwei davon eine zehn erhielten (die höchste mögliche Bewertung). Sie empfehlen Benutzern auch, „Abwehrmassnahmen“ gegen diese Schwachstellen zu ergreifen – Installation der Updates von Treck, Minimierung der Exponierung des Netzwerks, Einsatz von Firewalls, Verwendung virtueller privater Netzwerke und interner DNS-Server.

Eindämmung und Lösungen

Entdeckung ist der erste Schritt zur Vermeidung von Angriffen, die diese Schwachstellen missbrauchen. In einigen Fällen sind sich die Eigentümer von Assets möglicherweise nicht bewusst, dass diese Schwachstellen in ihrer Umgebung existieren. Produkte wie EdgeIPS^TM und EdgeFire^TM können beim Entdecken von Ripple20-Schwachstellen unterstützen, indem sie den Netzwerkverkehr scannen.

Es gibt auch einige andere Taktiken, die bei der Eindämmung von Ripple20 helfen können:

Netzwerksegmentierung: Eine angemessene interne Segmentierung und Mikrosegmentierung sollte in der OT-Netzwerkumgebung durchgeführt werden. Verantwortliche können EdgeFireTM für die interne Segmentierung durch kommunikationsgesteuerte NAT- und ICS-Protokolle verwenden. EdgeIPSTM kann eine tiefgreifende Mikrosegmentierung durchführen.
Netzwerk-Policy für die Kontrolle: Ohne eine angemessene Lösung kann das Prinzip des Null-Vertrauens nicht erreicht werden. EdgeFireTM und EdgeIPSTM bieten Netzwerkzugriffs-Whitelists für M2M-Kommunikation über IP-Adressen, ICS-Protokolle und Befehle.
Vorbeugung: Bei Gefahren mit hohem Potenzial aktualisieren EdgeIPSTM und EdgeFireTM den 6/30-Regelsatz, um Schwachstellen zu verhindern.

Der Originalbeitrag beinhaltet auch die Indicators of Compromise und eine Auflistung der Ripple20-Schwachstellen.

PowerShell-basierte Malware und Angriffe aufspüren, erkennen und vereiteln

Während herkömmliche Malware und Angriffe auf eigens erstellte ausführbare Dateien angewiesen sind, liegt dateilose Malware im Speicher, um herkömmlichen Scannern und Erkennungsmethoden zu entgehen. PowerShell, ein legitimes Verwaltungstool für Systemadministratoren bietet eine ideale Tarnung für Bedrohungsakteure, bei der Erstellung von Payloads, die stark von einer tiefen Windows-Integration abhängen. Trend Micro hat mehrere Berichte über dieses Methoden veröffentlicht, dessen Verbreitung durch Telemetriedaten weiter validiert wurde.

PowerShell ist eine Skripting-Sprache und eine Befehlszeilen-Shell auf Basis von .NET-Klassen. Sie unterstützt Systemadmins dabei, Aufgaben im Management von Betriebssystemen zu automatisieren. PowerShell ermöglicht einen einfacheren und schnelleren Zugriff auf das Betriebssystem, sodass Administratoren sowohl lokal als auch aus der Ferne Managementaufgaben für ein System wahrnehmen können.

PowerShell als effizienter Angriffsvektor

Mit Viren infizierte Dateien und bösartige Trojaner sind etablierte Malware-Typen, und die Entwickler verfügen über verschiedene defensive Erkennungs- und Abwehrtechniken, um sich dagegen zu wehren. Browser überprüfen heruntergeladene Dateien, Anwendungen benötigen vor der Installation genehmigte Berechtigungen, und Sicherheitssoftware kann Dateien scannen, um sie auf bekannte Signaturen zu überprüfen. Sogar Malware, die über Microsoft Office-Makros kommt, wird durch Standardeinstellungen blockiert, die eine automatische Ausführung nicht mehr zulassen.

Angreifer können dateilose Malware verwenden, um diese Schutzmechanismen zu umgehen, indem sie Payloads in laufende Anwendungen einschleusen oder Skripting einsetzen. PowerShell ist ein idealer Kanal für die Durchführung dieser Angriffe, da die Shell weit verbreitet ist und über das .NET-Framework auf alle Teile eines Hosts zugreifen kann. Darüber hinaus ist es einfach, Skripts zu entwickeln für die Übermittlung von Payloads, und weil PowerShell eine vertrauenswürdige Anwendung ist, kann sie fast immer Skripts ungehindert ausführen.

Bekannte Angriffe und Infektionen mithilfe von PowerShell

Die Ressourcen für die Verwendung und den Missbrauch von PowerShell sind online einfach verfügbar, so dass böswillige Akteure mit mehr oder weniger raffinierten Methoden darauf zurückgreifen. Seit den ersten Berichten 2014 haben Cyberkriminelle verschiedene Kampagnen durchgeführt und dabei zur Infektion der Systeme Techniken des Social Engineering eingesetzt. Sie kombinierten PowerShell mit anderen Exploits oder replizierten offenbar andere Routinen.

Eine der berüchtigten Kompromittierungen über PowerShell stand im Zusammenhang mit der Veröffentlichung interner Emails des US-Demokratischen Nationalkomitees durch die mutmasslich russische Gruppe Pawn Storm im Jahr 2016. Der Equifax-Diebstahl 2017 zeigte deutlich das Ausmass des Schadens, den böswillige Akteure verursachen können, wenn sie PowerShell für den Missbrauch einer nicht gepatchten Schwachstelle nutzen. 2018 verschickte eine weitere Cyberspionagegruppe APT33 Spear Phishing-Mails an Ziele in der Luftfahrt- und Ölindustrie. Die Anhänge führten einen PowerShell-Befehl aus, der Malware herunterlud und Persistenz im Netzwerk des Opfers herstellte.

Eindämmung und Best Practices

Administratoren können lernen, Aktivitäten zu verfolgen, die enttarnten Events und Payloads zu finden, sie zu überwachen und sich mit ihrem Verhalten vertraut zu machen. PowerShell bietet viele Möglichkeiten zur Aktivitätsprotokollierung. Diese Funktionen lassen sich auch dafür nutzen, den Missbrauch dieses Tools zu erkennen, sich dagegen zu wappnen und die Wirkung zu entschärfen. Diese Protokollierungsfunktionen werden über die Active Directory Group Policy für eine unternehmensweite Implementierung aktiviert. Einzelheiten zu der Handhabung der Funktionen finden Interessierte im Originalbeitrag.

Bei Einbrüchen im Zusammenhang mit PowerShell bedarf es einer hohen Anzahl von Ereignissen, um den für die Analyse von Sicherheitsvorfällen erforderlichen Detaillierungsgrad zu erreichen. In einigen Fällen kann ein einzelner PowerShell-Befehl (Cmdlet) über 30 Events erzeugen. Ein Angriff kann grössere Befehle mit Skriptblöcken und Ausführungen beinhalten, die Ereignisse erzeugen, die jeden Sicherheitsanalysten überfordern können.

Bild 1. Beispiel eines PowerShell-Ereignisprotokolls

Das Log Inspection-Modul in Trend Micro™ Deep Security™ kann verschiedene Betriebssystem- und Anwendungs-Logs über die verschiedenen Hosts und Anwendungen im Netzwerk sammeln, analysieren und anreichern. Es ermöglicht die Korrelation zwischen ihnen, um bei der Aufdeckung von Problemen zu helfen. Auch gibt es von Trend Micro die Rule 1010002 – Microsoft PowerShell Command Execution, die der Analyse aller PowerShell-Ereignisse gewidmet ist.

Bedrohungsakteure versuchen auch immer wieder, PowerShell-Befehle zu verschleiern, indem sie sie codieren. Diese lassen sich jedoch aus den generierten Event decodieren, und die PowerShell Log Inspection-Regel entdeckt und charakterisiert das Event entsprechend.

MITRE ATT&CK

Das MITRE ATT&CK-Framework stellt ein unschätzbares Tool für Cybersicherheitsforscher dar. Durch die umfangreiche Datensammlung und Forschung dient das Framework als Verifizierungsmassnahme zur Bewertung von Techniken, die von den böswilligen Gruppen eingesetzt werden, sowie zur Verfolgung der dokumentierten Entwicklungen der Gruppen. PowerShell-Events, die von Deep Security generiert werden, helfen bei der Angriffsanalyse, indem sie eine Klassifizierung gemäss den entsprechenden ATT&CK-Techniken, die durch das Framework definiert sind, zugewiesen bekommen. Die Trend Micro PowerShell-Regel wurde anhand der MITRE 2019 APT 29 Evaluation geprüft und deckt eine grosse Anzahl der Kriterien ab.

Bild 2. Angebotene MITRE ATT&CK Techniken

Fazit

Die Bequemlichkeit, die das PowerShell-Framework bietet, erleichtert zwar die Aufgaben der Systemadministratoren, bietet aber Cyberkriminellen eine grosse Angriffsfläche. Der Missbrauch legitimer Tools und Funktionen wie PowerShell ist nicht neu, aber er wird sich als cyberkriminelle Taktik in Kombination mit anderen Techniken weiter entwickeln. Dateilose Bedrohungen über PowerShell sind zwar nicht so sichtbar wie herkömmliche Malware und Angriffe, aber sie lassen sich verhindern. Zu allen Themen liefert der Originalbeitrag weitere Einzelheiten sowie Anleitungen für Systemadministratoren.

Auch „traditionelle“ Best Practices, wie etwa Updaten und Patchen von Systemen, helfen gegen diese Angriffe. Aber die sich weiter entwickelnden Sicherheitstechnologien, die eine generationsübergreifende und vernetzte Verteidigung einsetzen, sowie die Entwicklung einer Kultur der Sicherheit und des Sicherheitsbewusstseins bei den Anwendern ermöglichen es IT-Managern und Administratoren, sich dagegen zu verteidigen.

Trend Micro-Lösungen

Trend Micro™ Deep Security™ kann Systeme und Nutzer vor Malware und Angriffen über PowerShell schützen. Die Lösung bietet Netzwerk- und Systemsicherheit, und in Kombination mit Vulnerability Protection kann die Lösung Nutzersysteme vor einer Vielfalt aufkommender Bedrohungen, die Schwachstellen missbrauchen, schützen.

Smart Protection Suites beinhaltet einige Fähigkeiten wie High-Fidelity Machine Learning und Webreputations-Services, die die Auswirkung von persistenten, dateilosen Bedrohungen minimieren. Trend Micro Apex One™ nutzt eine Vielfalt von Erkennungstechniken sowie Verhaltensanalyse, um gegen bösartige Skripts, Einschleusen, Ransomware, Memory- und Browser-Angriffe zu schützen.

Zusätzlich bietet Apex One Endpoint Sensor kontextspezifische Endpunkt-Erkennung und Reaktion (EDR), die Ereignisse überwacht und Prozesse oder Ereignisse mit böswilligen Aktivitäten schnell untersucht. Trend Micro Deep Discovery^™ umfasst einen Email Inspection-Layer, der bösartige Anhänge und URLs erkennen kann. Die Lösung entdeckt Remote-Skripts, auch wenn diese nicht auf den physischen Endpunkt heruntergeladen werden.

Trend Micro verleiht Channel Awards

In unserem Preisverleihungsbild finden Sie von oben links bis unten rechts folgende Personen:

André Koitzsch, Managing Director, Infinigate (Schweiz) AG
Daniel Schmutz, Head of Channel & Marketing, Trend Micro ALPS
Nils Amlehn, CTO & Mitglied der Geschäftsleitung, Lake Solutions AG
Stefan Peter, Geschäftsleiter, recretix systems AG
Roger Suter, Geschäftsführer, Bechtle Schweiz AG
Jean-Marc Baumann, Partner Business Manager, Trend Micro Schweiz

Trend Micro vergibt zum sechsten Mal seine Channel Awards. Mit den Preisen würdigt der japanische IT-Sicherheitsanbieter die Leistung seiner Business-Partner und Distributoren in der Schweiz im vergangenen Jahr.

In diesem Jahr werden Preise in vier unterschiedlichen Kategorien verliehen. Die Preisträger sind:

In der Kategorie „Bester Distributor 2019“ kann die Infinigate (Schweiz) AG den Preis entgegennehmen.

Als „Bester Partner 2019“ wird die LAKE Solutions AG ausgezeichnet.

„Mit Trend Micro verfügen wir über ein sehr umfangreiches Security-Portfolio, mit welchem wir die Bedürfnisse unserer Kunden vollumfänglich abdecken können. Auch führen wir eine tolle Partnerschaft und wir freuen uns auf weitere gemeinsame Erfolge“, führt Nils Amlehn, CTO bei Lake Solutions, aus.

Den Preis als „Bester Technischer Partner 2019“ sichert sich zum wiederholten Mal die recretix systems AG.

Über den Award „Rising Star 2019“ freut sich in diesem Jahr die Bechtle Schweiz AG.

„Es freut mich sehr, dass wir so engagierte und leistungsstarke Partner an unserer Seite haben“, sagt Daniel Schmutz, Head of Channel & Marketing bei Trend Micro ALPS. „Unsere Partner sind für Trend Micro unerlässlich und sie ermöglichen unseren Erfolg erst. Mit den Channel Awards möchten wir unsere Anerkennung und Dankbarkeit dafür zum Ausdruck bringen.“

Aufgrund der COVID-19-Pandemie und des damit verbundenen Ausfalls der jährlichen Partnerkonferenz „Partner Talk & Tech Day“ konnten die Awards in diesem Jahr leider nicht persönlich überreicht werden. Stattdessen fand die Übergabe im Rahmen einer kurzen gemeinsamen Videokonferenz mit den ausgezeichneten Partnern und dem Trend Micro Channel-Team statt.

Schlagabtausch: der unvermeidliche Cyber-Rüstungswettlauf

von Richard Werner, Business Consultant

Eine treibende Kraft bestimmt die cyberkriminelle Wirtschaft und die Bedrohungslandschaft: Gut gegen Böse, oder besser gesagt, Gesetzeshüter, Forscher, Anbieter und Cybersicherheits-Experten auf der einen Seite und Cyberkriminelle auf der anderen. Dieses Katz-und-Maus-Spiel wird seit fast zwei Jahrzehnten ausgetragen, aber im Zuge der technologischen Innovationen und des gesellschaftlichen Wandels im Allgemeinen scheint es sich in den letzten Jahren beschleunigt zu haben. Nach einer neuen eingehenden Analyse der Cyberkriminalität im Untergrund der letzten Jahre gelangen die Sicherheitsforscher zu dem Schluss, dass die Massnahmen der Strafverfolgungsbehörden die Gegner im Untergrund in Unruhe versetzen. Im Gegenzug aber entwickeln die Kriminellen jedoch ihre Werkzeuge und Taktiken weiter, um eine neue Art von Angriffen zu Geld zu machen.

Die guten Nachrichten zuerst: Die neue Analyse des kriminellen Untergrunds ergab, dass die Schliessung von Dark-Web-Marktplätzen durch die Polizei in den letzten Jahren definitiv Wirkung zeigt. Die Zerschlagung grosser Websites wie AlphaBay, Evolution und Hansa hat bei den Online-Händlern zu Unsicherheit und Paranoia geführt. Obwohl viele Sites noch immer in Betrieb sind, so z.B. Nulled, Joker’s Stash und Hackforums, gibt es keinen einzigen dominanten Anbieter mehr in der Spur der Silk Road. Darüber hinaus klagen die Nutzer über anhaltende Anmeldeprobleme und DDoS-Angriffe, die vermutlich das Werk von Strafverfolgungsbehörden sind.

Als Gesamteffekt dieser Bemühungen der Polizeibehörden hat sich Misstrauen in das Dark Web eingeschlichen. Händler sind nicht nur vor Betrügereien der Administratoren auf der Hut, sondern befürchten auch, dass die Polizei diese Seiten bereits infiltriert haben könnte. Es ist ermutigend zu sehen, dass die viele harte Arbeit und die jahrelange Zusammenarbeit zwischen Polizei und Unternehmen des privaten Sektors wie etwa Trend Micro Wirkung zeigt.

Die Kriminellen schlagen zurück

Cyberkriminelle sind jedoch bekanntermassen einfallsreich und agil. Als Reaktion auf diese Untergrabung des Vertrauens Online entstand eine neue Website namens DarkNet Trust, wo sich der Ruf von Anbietern verifizieren lässt, indem Profile auf verschiedenen Untergrundseiten durchsucht und Benutzernamen und PGP-Fingerabdrücke überprüft werden können. Des Weiteren stellte Joker’s Stash auf Blockchain-DNS um, um der polizeilichen Überwachung zu entgehen, und der P2P-Markt OpenBazaar wirbt mit einer Android- und iOS-App, die es den Benutzern erlaubt, privat zu chatten. Viele Cyberkriminelle nutzen inzwischen den vor allem bei Gamern beliebten Instant Messaging-Dienst Discord, um anonym zu kommunizieren, und viele Dark-Foren und -Marktplätze haben sogar ihre eigenen Discord-Server aufgebaut. Andere benutzen die legitime E-Commerce-Plattform Shoppy.gg, um ihre Waren zu verkaufen.

Cyberkriminelle sind wie eh und je anpassungsfähig und zielen auf Organisationen, die dank veränderter Arbeitsweisen neuen Bedrohungen ausgesetzt sind. Das aufgrund der COVID-bezogenen Beschränkungen weit verbreitete Home Office hat dazu geführt, dass viele Mitarbeiter Rechner benutzen, die nicht so gut geschützt sind wie ihre Pendants im Unternehmen. Zudem sind Nutzer zu Hause stärker abgelenkt, und IT-Sicherheitsteams haben Mühe, all diese neuen Endpunkte zu ermitteln und zu patchen, insbesondere da VPNs mit hoher Belastung zu kämpfen haben.

Es ist damit zu rechnen, dass es weiterhin Betrügereien mit staatlichen Konjunkturfonds geben wird und dass ein breites Interesse an neuen Informationen über das Virus besteht. VPN-Malware und insbesondere DDoS-Dienste werden in der Untergrundwirtschaft ebenfalls stark nachgefragt werden, und immer mehr Angebote von Botnets bestehend aus kompromittierten Heimnetzwerken als Service tauchen auf. Die Sicherheitsforscher gehen auch von der Zunahme gezielter Angriffe aus, die über potenziell ungesicherte Heimcomputer in Unternehmensnetzwerke einzudringen versuchen. Diese Bedrohungen stellen eine Art umgekehrtes BYOD-Szenario dar: Statt dass Nutzer ihre Geräte in den Unternehmensbereich mitbringen, wird das Unternehmensnetzwerk jetzt mit dem Heimnetzwerk zusammengeführt.

Weiterentwicklung der Tools

Wie sieht also die Zeit nach COVID-19 aus? Es ist interessant festzustellen, dass in den letzten fünf Jahren in vielen Bereichen die Preise erheblich gesunken sind: So ist beispielsweise der Preis für Kryptographie-Services von etwa 1000 $/Monat im Jahr 2015 auf heute nur noch 20 $ gesunken. In anderen Bereichen bleiben die Preise jedoch stabil und in einigen steigen sie gar. Fortnite Logins können heute im Durchschnitt für etwa 1.000 $ verkauft werden. Man kann davon ausgehen, dass relativ neue Entwicklungen wie IoT-Botnets und Cyber-Propaganda-Services den kriminellen Verkäufern auch in den kommenden Jahren viel Geld einbringen werden.

Im Moment machen Cyberkriminelle auch hohe Profite mit dem Verkauf von „Access-as-a-Service“. Dies hat sich von Angeboten im Zusammenhang mit dem Remote-Desktop-Protokoll (RDP) zum Verkauf von Zugang zu gehackten Geräten und Unternehmensnetzwerken entwickelt. Ein Bedrohungsakteur verscherbelte Zugriff auf eine US-Versicherungsgesellschaft für 1.999 $ und zu einer europäischen Softwarefirma für 2.999 $.

Der potenziell grösste Wachstumsbereich in der cyberkriminellen Wirtschaft liegt jedoch langfristig in der KI. Künstliche Intelligenz wird bereits in Bot-Services wie Luckybot eingesetzt, die behaupten, Würfel-Wurfmuster auf Glücksspiel-Websites vorhersagen und komplexe Roblox CAPTCHAs lösen zu können. Es wird auch ein potenziell lukrativer Markt für Sextorsions-Angriffe auf der Basis von Deep Fakes entstehen.

Fazit

Die gute Nachricht ist, dass gleichzeitig auch Sicherheitshersteller wie Trend Micro Neuerungen einführen, um nicht nur laufende Angriffe besser aufzudecken, sondern auch Wege zu finden, wie man die Hintermänner aufspüren und ausschalten kann. Es besteht kaum eine Chance, dass dieses Wettrüsten jemals enden wird, aber zumindest haben die letzten Jahre gezeigt, dass wir etwas bewirken und es den Bösewichten schwerer machen können, schnelles Geld zu verdienen.

Den gesamten Bericht finden Interessierte hier.

Gute Produkte und guter Partner – die Kombination ist entscheidend

Originalbeitrag von Greg Young, Vice President for Cybersecurity

Die Marktforscher von Canalys veröffentlichen jährlich ihre Cybersecurity Leadership Matrix. Während die meisten Analysten nur das Sicherheitsprodukt bewerten, betrachtet Canalys auch dessen Wert für Channel-Partner. In der aktuellen Matrix für 2020 führt Canalys Trend Micro im Champions-Quadranten, und würdigt damit die hohen Investitionen und Verbesserungen, die der Hersteller bezüglich seiner Channel-Partner im Laufe des letzten Jahres geleistet hat.

Die meisten Sicherheitsanbieter verkaufen kaum über eine eigene Sales-Mannschaft, und das hat gute Gründe. Channel-Partner haben normalerweise nicht nur ein einziges Produkt im Angebot, zudem kennen sie eine Region, vertikale oder spezifische Kunden am besten und stellen idealerweise den Defacto-Partner der Endanwender dar und einen vertrauenswürdigen Berater. Zudem verkaufen Channel-Partner an kleinere Kunden mehr als nur Cybersicherheit und können somit eine Erweiterung für das CIO-Team sein.

Channel-Partner suchen die Produkte für ihr Portfolio sorgfältig aus, denn in der Regel vertreiben sie diese über einen viel längeren Zeitraum und mit grösserer Verantwortung. Partner müssen ihre Mitarbeiter schulen, tätigen bedeutende Investitionen, arbeiten sich in das Produkt ein und stehen dafür mit ihrem guten Ruf gerade. Daher ist die Bewertung von Funktionen nicht ausreichend. Auch das beste Produkt, das nicht einen Channel-freundlichen Hersteller im Rücken hat, ist ein Albtraum für den Vertriebskanal.

Canalys leistet gute Arbeit bei der Beurteilung des Channel-Aspekts eines erfolgreichen Cybersicherheitsanbieters, vor allem weil sie die Qualitäten eines Produkts mit dem Wert für den Channel kombinieren.

Die neueste Canalys-Matrix sieht Trend Micro im Jahr 2020 von einer „Grower“- zu einer „Champion“-Position aufsteigen, wobei die besten Bewertungen in den Bereichen Produktverfügbarkeit und -lieferung (79,3 Prozent) und einfache Geschäftsabwicklung (75,4 Prozent) liegen. Auch die Nützlichkeit der von Trend Micro bereitgestellten Portale und Tools (72,6 Prozent) wurde von den Partnern hoch eingestuft.

Canalys lobt in seinem Bericht die Investitionen Trend Micros in sein Channel-Programm im letzten Jahr und hebt dabei insbesondere die erfolgten Verbesserungen des Partner-Portals hervor. Dazu zählen erweiterte Deal Registration, Sales Kits, Promotions und Schulungen. Zudem würdigen die Analysten besonders die Erweiterung des Managed Service Provider (MSP)-Programms um eine zentrale Lizenzverwaltungsplattform sowie das Angebot von SOCaaS (Security Operatios Center as a Service) zur Automatisierung von kunden- und produktübergreifenden Bedrohungsanalysen. Die engere Verzahnung mit dem CPPO-Programm (Consulting Partner Private Offer) von AWS wird ebenfalls als wichtiger Schritt hervorgehoben.

In den kommenden Monaten will Trend Micro weltweit Hunderte neuer MSPs (Managed Service Provider) gewinnen und das MSP-Geschäft bestehender Partner ausbauen. Dazu bietet der Hersteller Support-Services und eine höhere Rentabilität. Zudem sollen durch Lösungskampagnen, Promotions, Incentives und seine Self-Service-Plattform zur Nachfrageerzeugung mehr Leads mit Partnern generiert werden.

Wie Angreifer Gesichtserkennungsgeräte austricksen

Die Corona-Pandemie hat Unternehmen auf der ganzen Welt vor Fragen gestellt, wie sie die Arbeitsweise ihrer Büros ändern können, um auch im Zeitalter des Social Distancings eine sichere Zusammenarbeit zu gewährleisten. Eine Richtlinie dafür, die von vielen Unternehmen umgesetzt wird, ist die Installation von freihändigen Zugangskontrollen an den Firmeneingängen, um den Kontakt der Mitarbeiter mit unter Umständen kontaminierten Oberflächen zu reduzieren. Natürlich erfordert die Verwaltung der Zugangskontrollen leistungsfähige Werkzeuge, um die Authentifizierung schnell und effizient durchzuführen. Zu diesem Zweck greifen viele Unternehmen auf Edge-Computergeräte zurück.

Edge Computing ist ein relativ neuer Begriff und bedeutet, dass Ressourcen mit höherer Leistung näher an den Geräten am „Rand“ (Edge) des Netzwerks liegen (etwa IP-Kameras, die Bilder für die Zugangskontrolle aufnehmen), um Verzögerungen zu verringern und die Effizienz zu erhöhen. Im Gegensatz dazu sammeln in einem Cloud-orientierten Internet der Dinge (IoT)-System viele stromsparende Geräte am Edge des Netzwerks Daten und schicken sie an eine Cloud-Lösung, die die Daten verarbeitet und Befehle aufsetzt. Edge Computing-Geräte sind bereits in vielen verschiedenen Industriezweigen im Einsatz – Lastwagen sind mit Geräten ausgestattet, die Temperatur und Umgebung überwachen und aufrechterhalten, Automationssysteme in Fabriken beginnen, hochleistungsfähige Geräte einzusetzen, und sogar moderne Aufzüge haben Edge Computing-Lösungen installiert.

Wie sicher sind Zugangskontrollgeräte?

Zugangskontrollgeräte verwalten Ein- und Ausgänge für die Räumlichkeiten eines Unternehmens. Wie bereits erwähnt, suchen viele Unternehmen nach Lösungen für einen kontaktlosen Zutritt, vor allem Edge-Geräte für Gesichtserkennung oder kleine Geräte wie RFID-Karten. Diese Geräte dienen als erste Verteidigungslinie, um Eindringlinge von Büros fernzuhalten, die vielen verschiedenen Arten von Angriffen ausgesetzt sein können.

Doch es gibt verschiedene Möglichkeiten, wie ein Eindringling die Zugangskontrollgeräte mit Gesichtserkennung austricksen oder hacken kann:

Verwendung statischer Bilder. Einige dieser Zugangskontrollgeräte akzeptieren auch statische Aufnahmen, wie etwa ein Bild auf einem Handy. Dies ist eine kritische Schwäche, da persönliche Fotos in sozialen Medien verfügbar sind. Wenn ein Angreifer den Namen eines Mitarbeiters der anvisierten Firma kennt, kann er im Internet möglicherweise klare Fotos von dessen Gesicht finden.

Verwendung von Produktinformationen auf dem Gerät. Auf vielen Geräten sind wichtige Informationen direkt aufgedruckt, zum Beispiel Seriennummern oder Herstellerbezeichnungen. Hacker können diese Informationen nutzen, um sich weiteren Zugang zu den Geräten zu verschaffen, unter Umständen um das Passwort zu stehlen und die Türsteuerung zu manipulieren.

Nutzung exponierter Anschlüsse. Bei Zugangskontrollgeräten handelt es sich häufig um Tablets, die über Anschlüsse für die Übertragung von Informationen oder Strom verfügen. Viele haben solide Gehäuse, die die Geräte vor Eingriffen schützen, aber es gibt einige wenige, bei denen die Anschlüsse ungeschützt sind. Wenn ein USB-Port exponiert bleibt, könnten sich Hacker Zugang zu den Türkontrollen verschaffen. Sie wären auch in der Lage, tiefer in das Gerät einzudringen und Daten wie Bilder und Benutzernamen herunterzuladen oder einen neuen Benutzer zum Gerät hinzuzufügen und ihm Zugang zum Firmengelände zu gewähren.

Kommunikation belauschen. Die meisten Zugangskontrollgeräte werden über einen Server und kundenspezifische Software des Herstellers verbunden und verwaltet. Die Kommunikation zwischen Gerät und Server kann leicht abgefangen und manipuliert werden, wenn sie nicht verschlüsselt oder gesichert ist, so dass ein Bedrohungsakteur Daten wie Bilder und Informationen des Benutzers sammeln kann. Ausserdem kann sich ein Hacker als der Server ausgeben und Aktualisierungen auf den Geräten erzwingen und neue Benutzer hinzufügen oder neue Administratoren für das Gerät installieren.

Gerätesicherheit

Im Vergleich zu gewöhnlichen smarten Geräten sind Edge Computing-Geräte leistungsfähiger und können sogar wertvolle Daten enthalten. Vor allem Zugangskontrollgeräte spielen eine wichtige Rolle für die Unternehmenssicherheit, und ein erfolgreicher Angriff kann schwerwiegende Folgen haben. Um Unternehmen bei der Eindämmung solcher Angriffe zu unterstützen, hat Trend Micro einige Empfehlungen zur Sicherung dieser Geräte:

Prüfen, ob Anschlüsse exponiert sind, und darauf achten, dass die Kommunikation sicher abläuft. Die Cybersicherheit muss bei der Wahl eines Zugangskontrollgeräts im Vordergrund stehen.
Da viele dieser Geräte mit weit verbreiteter Hard- und Software ausgestattet sind, sollte ein Unternehmen die Schwachstellen, die ihre Geräte betreffen, immer im Griff haben und die neuesten Sicherheitsupdates installieren, sobald diese verfügbar sind.
Zugangskontrollgeräte werden normalerweise in öffentlichen Bereichen platziert. Es ist wichtig, das Gerät physisch zu sichern, um sicherzustellen, dass niemand auf Anschlüsse zugreifen oder sensible Informationen sehen kann, die auf dem Gerät aufgedruckt sind.
Unternehmen sollten auch Endpoint-Schutz auf Geräten installieren, um sie vor Schwachstellen und Cyberattacken zu schützen. Produkte mit Funktionen für Deep Packet Inspection wie Trend Micro Deep Discovery Inspector™ können verhindern, dass ein Angreifer versucht, sich als das Edge-Gerät oder Server auszugeben. Diese Netzwerk-Monitoring-Systeme können auch nicht autorisierten Netzwerkverkehr von unbekannten Netzwerkendpunkten erkennen und verhindern.