Archiv für den Monat: November 2020

Cloud of Logs: Kriminelle nutzen die Cloud für ihre Prozesse

Originalartikel von Robert McArdle, Director Threat Research

Es wird viel Wirbel um die Cloud gemacht, und dies ist auch gerechtfertigt. Schliesslich lassen sich mithilfe des Konzepts Ressourcen optimieren, Zeit sparen, die Automatisierung erhöhen und einen Teil der Sicherheitsverantwortung abgeben. Aber auch Cyberkriminelle nutzen die Cloud: Gestohlene Zugangsinformationen und Infos über Nutzer werden in der Cloud vorgehalten und auf Abonnement- oder Einmalbasis vermietet. Trend Micro hat diesen Trend ausführlich untersucht. In einem Sample-Datenset von 1.000 Logs konnten die Sicherheitsforscher 67.712 URLs für kompromittierte Konten identifizieren. Der Zugang zu diesen so genannten „Cloud of Logs“ lässt sich über eine monatliche Gebühr von 350 – 1000 $ erwerben. Die Logs umfassen unter Umständen Millionen E-Mails und Passwörter für beliebte Sites wie Google, Amazon, Twitter, Facebook und PayPal.

Gestohlene Zugangsdaten führen zu kompromittierten Unternehmen, und die Cloud macht diesen Prozess effektiver denn je. Es geht nicht um Kriminelle, die die Cloud-Infrastruktur von Firmen angreifen, sondern darum, dass sie die Cloud-Technologie dafür verwenden, ihre Abläufe zu verbessern und zu erweitern.

Die Wiederverwendung von Zugangsdaten ist ein weit verbreitetes Problem in vielen Unternehmen. Deshalb ist es wichtig, die persönlichen Daten der Mitarbeiter bei einer Risikobewertung des Unternehmens ebenfalls zu berücksichtigen.

Neuer Markt für Cyberkriminalität entsteht

Der Diebstahl von Anmeldedaten hat in den letzten Jahren zugenommen, da Angreifer massenhaft Anmeldedaten und damit verbundene E-Mail-Adressen oder Domänennamen erbeuten. Dies ist eine der grundlegendsten und seit langem bestehenden Bedrohungen für Unternehmen weltweit.

Doch nutzt eine grosse Mehrheit der heutigen Angriffe immer noch die grundlegendsten Sicherheitsschwächen aus: die Wiederverwendung von Passwörtern als eine der häufigsten. So könnte zum Beispiel ein Mitarbeiter ein Passwort für sein persönliches Konto auch als Passwort für seine Unternehmensdomäne wiederverwenden. Und die Anmeldedaten für dieses persönliche Account können in diesen Cloud-basierten Logs landen, um von anderen Kriminellen für einen neuen Cyberangriff wiederverwendet zu werden. Allein in sechs der identifizierten Cloud-Logs fanden die Forscher insgesamt 5 TB Logs, also Millionen kompromittierter persönlicher Nutzerdaten.

Im Allgemeinen sieht ein „traditioneller“ Verlauf von Cyberverbrechen über den Diebstahl von Zugangsdaten folgendermassen aus:

  • Eine kriminelle Gruppe kompromittiert ihre Opfer mit verschiedenen Mitteln und setzt Malware zum Informationsdiebstahl ein, um an die Account-Daten der Opfer (Verbraucher und Unternehmen) zu gelangen. Aufgrund der Wiederverwendung von Passwörtern kann jedes kompromittierte persönliche Konto das Unternehmen in Gefahr bringen.
  • Die Kriminellen lagern diese Accounts an einen zentralen Ort aus, einen Server, den sie kontrollieren.
  • Angesichts des Datenvolumens ist eine manuelle Verarbeitung unmöglich – daher starten sie einige einfache Suchläufe über die Daten, um die erfolgversprechenden Konten und Daten (Kreditkarten, E-Mail, Netflix usw.) zu finden. Für jede dieser zielgerichteten Suchen sieht die Gruppe die Listen manuell durch, um herauszufinden, welche dieser Accounts einen effektiveren Zugriff auf ein hochwertiges Ziel ermöglicht. Das ist zeitaufwändig, wenn man Zehntausende Logs und ein Team von vielleicht einem halben Dutzend Personen zur Verfügung hat, die auch noch andere Rollen in der Gruppe haben – der Prozess kann also Tage bis Wochen dauern.
  • Die nicht genutzten Konten werden gebündelt und auf Untergrundmarktplätzen zum Verkauf angeboten. Dies sind die „Filetstücke“, die sich immer gut verkaufen und die leicht zu verarbeiten sind – aber es lässt sich viel mehr daraus machen. Die Zeit, bis zum Verkauf beträgt nicht mehr als ein paar Wochen, da die Daten mit der Zeit „abgestanden“ sind.
  • Der Rest der Daten wird weitgehend verworfen – obwohl sie für den passenden Käufer von Wert sein könnten.
  • Dann erfolgen die Einbrüche bei neuen Opfern, und der Zyklus geht weiter.

Der neue Ablauf beginnt wie der erste, doch gibt es einige Verbesserungen und Zusätze:

  • Die Gruppe transferiert die Logs nun kurz auf einen zentralen Server und nimmt Kürzungen vor, lädt den Rest dann aber sofort in eine „Cloud of Logs“ hoch. Die Rentabilität der „Cloud of Logs“ und das planbare monatliche Gebührenmodell (das für Streaming-Dienste so gut funktioniert) bedeuten, dass es in ihrem Interesse ist, dies als Haupteinnahmequelle zu betrachten. Dadurch verkürzt sich die Zeit von der ersten Kompromittierung bis zum Verkauf von ein paar Wochen auf Tage oder Stunden.
  • Statt einer Gruppe wird es so viele Gruppen geben, die die Daten durchsuchen, wie die Cloud of Logs-Plattform es erlaubt.
  • Als Ergebnis werden nicht nur mehr Accounts als früher zu Geld gemacht, sondern auch die Zeitspanne vom ursprünglichen Datendiebstahl bis zur Wiederverwendung gegen Unternehmen verkürzt sich von ein paar Wochen auf Tage oder gar Stunden.
  • Da die meisten Verstösse nicht sofort entdeckt werden, hat zum Zeitpunkt der Erkennung häufig bereits eine andere Gruppe von Angreifern den ersten Einbruch für den Zugang zum Netzwerk genutzt, um sich dort auf einem Unternehmensserver einzunisten, oder um Ziele für einen Angriff über Social Engineering, BEC-Betrug oder Ransomware zu finden.

Unabhängig vom Endziel nutzen Kriminelle Cloud-Ressourcen, um schneller zu werden und ihre Angriffe weiter zu streuen.

Neue Rollen in cyberkriminellen Gangs

Kriminelle Unternehmen werden Data-Mining-Spezialisten benötigen, um den grösstmöglichen Ertrag aus jedem Terabyte gestohlener Daten zu erzielen. Diese Rolle in der cyberkriminellen Organisation wird nicht darin bestehen, Zugangsdaten zu stehlen oder zu vermarkten, sondern diese Person wird die Daten nach ihrer Bedeutung trennen. Ein idealer Kandidat in diesem neuen Cloud-gesteuerten Geschäftsmodell wird maschinelles Lernen nutzen, um effizient jeden Datentyp zu identifizieren und den für verschiedene Käufer attraktiven zu bündeln. Datenanalysten und Experten für maschinelles Lernen sowie Cloud-Architekten sind in der Geschäftswelt sehr gefragt, und Cyberkriminelle schätzen deren Wissen genauso.

Folgen für die Verteidigungsstrategie von Unternehmen

Das kriminelle Potenzial der gestohlenen Daten wird in vollem Umfang genutzt, da die Informationen unter verschiedenen Cyberkriminellen verteilt werden, die auf verschiedene Verbrechen spezialisiert sind. Zudem nutzen sie Cloud-Technologien genau wie Unternehmen, um agiler zu agieren.

Für die Verteidigungsstrategie eines Unternehmens ist die Zeitspanne vom Diebstahl einer Information bis zu ihrer Verwendung in einem Angriff viel kürzer. Das bedeutet, Organisationen haben jetzt viel weniger Zeit, um den Vorfall des Diebstahls von Anmeldeinformationen zu erkennen und darauf zu reagieren.

Organisationen müssen die Grundlage ihrer Sicherheitshaltung stärken, um Verstösse schnell zu erkennen. Auch die Schulung von Mitarbeitern bezüglich der Basis der Cybersicherheit und wie ihre Sorgfalt zum Schutz des Unternehmens beitragen kann ist wichtig. .

Den vollständigen Bericht über diesen neuen Markt finden Interessierte hier.

COVID-19, immer noch ein begehrter Köder

Originalbeitrag von Trend Micro

Covid-19 füllte auch im dritten Quartal 2020 die Schlagzeilen, und das Monitoring von Trend Micro zeigte, dass die Cyber-Bedrohungen, die den Virus als Köder benutzen, im September exponentiell anstiegen. Diese Zunahme der böswilligen Aktivitäten fiel mit einer Veränderung der Social-Engineering-Taktiken zusammen – anstatt die Informationen von Covid-19 zu nutzen, um die Benutzer auszutricksen, setzten die Kriminellen auf Coronavirus-bezogene Schul-Updates und Jobangebote.

Ende Oktober fand die Sicherheitsfirma MalwareBytes Lab in einer gefälschten Gesundheitsumfrage unter den Mitarbeitern der University of British Columbia (UBC) versteckte Ransomware. Auch die in Phishing-Mails verwendeten Kopfzeilen haben sich geändert. Anstatt Covid-19 als Betreff zu verwenden, nutzen böswillige Akteure Jobtitel in Verbindung mit Stellenangeboten, um Benutzer zum Öffnen von Spam-Mails zu verleiten.

Die Bedrohungsakteure wissen, worauf die Benutzer klicken, und verwenden den offensichtlichsten Köder, um ihre Pläne effektiver zu gestalten. Weitere Einzelheiten bietet der Originalbeitrag.

Die folgende Grafik zeigt die Zahlen zu Coronavirus-bezogenen Bedrohungen im dritten Quartal 2020:

Neue Tricks der mobilen Joker-Malware: Github verbirgt die Payload

Originalartikel von Zhengyu Dong, Mobile Threats Analyst

Die Sicherheitsforscher von Trend Micro entdeckten kürzlich eine neue Version der persistenten mobilen Malware Joker. Das Sample in Google Play nutzte Github-Seiten und -Repositories, um der Entdeckung zu entgehen. Joker ist für eine ganze Reihe bösartiger Aktivitäten verantwortlich, angefangen vom ungewünschten Anmelden von Nutzern bei Bezahldiensten und Kompromittieren von SMS-Nachrichten bis zum Diebstahl von Kontakten.

Joker sucht seit seiner Entdeckung 2017 immer wieder mobile Nutzer heim. Im Januar 2020 entfernte Google 1700 infizierte Anwendungen aus dem Play Store. Und im September fand der Sicherheitsanbieter Zscaler 17 Samples, die in den Store hochgeladen worden waren.

Die Autoren der Malware haben ständig kleine Änderungen vorgenommen, um Schlupflöcher in Googles Verteidigung zu finden. Zu den früher ausprobierten Techniken gehört Verschlüsselung, um Strings vor den Analyse-Engines zu verstecken sowie „Versionierung“, das heisst das Hochladen einer sauberen Version der App, um dann bösartigen Code über Updates hinzuzufügen. Die neueste Technik nutzt Gibhub-Seiten und -Repositories, um der Entdeckung zu entgehen.

Die analysierte App verspricht Hintergrundmuster in HD- und 4K-Qualität. Sie wurde über tausendmal heruntergeladen, und Google hat sie mittlerweile aus dem Play Store entfernt.

Bild. Wallpaper-App, die die Joker-Malware ablegt.

Es ist die Version, die als neue Technik Github missbraucht, um die bösartige Payload zu speichern, im Gegensatz zu früher, als die Payload über eingefügten Code ausgeliefert wurde. Die Github-Seiten und –Repositories in Verbindung zur Malware sind alle abgeschaltet worden.

Eine ausführliche technische Analyse der neuen Joker-Version und des Infektionsablaufs liefert der Originalbeitrag.

Pwn2Own Tokio: Drei Tage erfolgreichen Hackings

Originalbeitrag von Dustin Childs

Der Sieger und Master des Pwn2Own Tokio Hacking-Wettbewerbs steht nun fest. Bereits zum zweiten Mal in diesem von COVID-19 bestimmten Jahr waren es ZDI-Schwachstellenforscher, die drei Tage lang auf Anweisungen der über Online-Plattformen zugeschalteten Teilnehmer virtuell die Hacking-Versuche vorführten. Insgesamt gab es 136.500$ Preisgeld für den erfolgreichen „Missbrauch“ 23 einzigartiger Bugs für sechs unterschiedliche Geräte. Gewinner des Wettbewerbs und neuer „Master of Pwn“ ist das Team Flashback gefolgt von DEVCORE.

Flashback, auch bekannt als Pedro Ribeiro (@pedrib1337) und Radek Domanski (@RabbitPro) hatten mit zwei verschiedenen Hacking-Versuchen Erfolg und erhielten dafür insgesamt 40.000$: Sie nahmen zuerst die WAN-Schnittstelle des Netgear Nighthawk R7800 Router ins Visier und verwendeten eine aus zwei Bugs bestehende Verbindung, um den Router zu kompromittieren und einen Backdoor dort abzulegen, der auch einem Fabriks-Reset widerstand. Beim zweiten Mal kompromittierten sie die WAN-Schnittstelle auf einem drahtlosen Router mithilfe von drei Bugs. Als Folge konnten sie beliebigen Code auf dem TP-Link AC1750 Smart WLAN-Router ausführen.

Die Zweitplatzierten, DEVCORE, nahmen sich das Synology DiskStation DS418Play NAS vor. Der erste Einbruchsversuch misslang, doch dann erlangten sie über einen Heap Overflow Root-Zugang zum Server. Am nächsten Tag konnten sie erfolgreich ihre Fehlerkombination zur Codeausführung auf einem Western Digital My Cloud Pro Series PR4100 NAS zeigen. Insgesamt erhielten sie 37.500$ für ihre Vorführungen.

Die endgültige Rangliste der Teilnehmer sieht folgendermassen aus:

Wie nach jedem Pwn2Own-Wettbewerb erhielten die Anbieter die Einzelheiten zu den Schwachstellen und haben nun 120 Tage Zeit, Sicherheits-Patches dafür zu erstellen.

Weitere Einzelheiten zu den Ereignissen der drei Tage finden Interessierte im ZDI-Blog.

XDR: Detection and Response über alle Ebenen zahlt sich aus

von Trend Micro

Mittlerweile ist klar: Angriffe vollständig zu verhindern, geht nicht. Umso wichtiger ist es, den Schwerpunkt der Verteidigung auf die effektive Erkennung und schnelle Reaktion auf Bedrohungen zu legen. Sicherheitsteams eröffnen sich mit dem Einsatz solch quellenübergreifender Sicherheitsmechanismen (bekannt als XDR) neue Möglichkeiten in ihrem täglichen Kampf um die Sicherheit der IT. Zudem können IT-Abteilungen mithilfe von XDR erhebliche Ressourcen sparen. Das bestätigt eine neue Untersuchung des Analystenhauses ESG.

Von den durch ESG befragten 500 IT- und IT-Sicherheitsverantwortlichen gaben rund 85 Prozent zu, dass die Erkennung von Cyberbedrohungen sowie die Reaktion darauf in den letzten zwei Jahren schwieriger geworden ist.

Bild 1. Die Mehrheit der Befragten ist der Meinung, dass Threat Detection and Response immer komplexer wird.

Die Gründe dafür liegen laut Studie in der immer anspruchsvoller werdenden Bedrohungslandschaft, der zunehmenden Komplexität der Sicherheitslösungen und dem Mangel an qualifizierten IT-Sicherheitsexperten.

Bild 2. Die drei grössten Defizite bei Threat Detection and Response-Tools: False Positives, fehlendes Know-How und Mängel bei der Automatisierung.

Der Einsatz einer XDR-Lösung zur automatischen Zusammenführung von Bedrohungsdaten aus unterschiedlichen Quellen kann genau diese Probleme lösen. Aufbauend auf den Erkenntnissen aus der Endpoint Detection und Reaktion (EDR) analysiert XDR die Sicherheits-Telemetriedaten über Endpoint-, Netzwerk-, E-Mail- und Cloud-Sicherheitskontrollen hinweg, und ermöglicht damit einen besseren Einblick in fortgeschrittene, komplexe Angriffe.

Bei heutigen Cyberangriffen entscheidet die Schnelligkeit der Erkennung und Reaktion darauf. Nur so können gesetzliche Meldepflichten (beispielsweise gemäss EU-Datenschutzgrundverordnung) eingehalten und Folgeschäden verhindert werden. 65 Prozent der befragten Unternehmen, die eine XDR-Lösung einsetzen, erkennen Datenschutzverletzungen innerhalb weniger Tage oder schneller. Firmen, die keine solchen Systeme einsetzen, brauchen hingegen zu 70 Prozent mindestens eine Woche dafür.

Bild 3. XDR-Nutzer gelingt es deutlich schneller, ihre Systeme nach einem Angriff  wiederherzustellen

Auch nach der Erkennung eines Angriffs bringt eine automatisierte Lösung deutliche Zeitgewinne: 83 Prozent der XDR-Nutzer können betroffene Systeme innerhalb von Stunden wiederherstellen. Bei den anderen Unternehmen gelingt dies nur 66 Prozent.

Fazit

Aus den Antworten der Studienteilnehmer geht hervor, dass ihre Unternehmen dank der intelligenten Nutzung von Daten aus mehreren vernetzten Sicherheitslösungen Bedrohungen schneller erkennen können und weniger durch Fehlalarme belastet werden. So sind 88 Prozent der Unternehmen, die eine solche Lösung einsetzen, „zuversichtlich“ oder „sehr zuversichtlich“, dass ihre Fähigkeiten zur Erkennung und Reaktion auf Bedrohungen in den nächsten zwölf bis 24 Monaten mit der erforderlichen Geschwindigkeit funktionieren, um mit den Bedrohungen Schritt zu halten. Auch den Fachkräftemangel kann XDR teilweise ausgleichen: Auf die Frage, wie viele Vollzeitäquivalente erforderlich wären, um ihre automatisierten Systeme zu ersetzen, gaben diese Unternehmen im Durchschnitt acht an.

„Organisationen, die Daten über mehrere Sicherheitskontrollen hinweg aggregieren, korrelieren und analysieren, erleiden weniger erfolgreiche Angriffe, haben eine bessere allgemeine Sicherheitsaufstellung und leben mit weniger täglichem Stress für ihre Teams.“, so fasst Dave Gruber, Senior Analyst bei ESG, die Ergebnisse zusammen.

Für die Studie „The XDR Payoff: Better Security Posture, September 2020“ befragte die Enterprise Strategy Group (ESG) im Juni 500 IT- und IT-Sicherheitsverantwortliche aus Unternehmen mit mindestens 500 Mitarbeitern. Die vollständige Studie steht zum kostenlosen Download zur Verfügung.

Trend Micro-Lösung

Trend Micro XDR erfasst und korreliert automatisch Daten auf verschiedenen Sicherheitsebenen – E-Mail, Endpunkt, Server, Cloud-Workloads und Netzwerk – und bietet damit eine breitere Perspektive und einen besseren Kontext dafür, Bedrohungen zu suchen, zu erkennen und einzudämmen. Bedrohungen werden früher erkannt. Sicherheitsanalysten können sie in kürzerer Zeit untersuchen und auf sie reagieren. Trend Micro XDR wurde kürzlich von Forrester als führend in der Erkennung und Reaktion für Unternehmen bezeichnet (1) und erreichte die höchste anfängliche Erkennungsrate im MITRE ATT&CK Framework.

Die Lösung steht auch als Managed Service (MDR) zur Verfügung, um häufig überlastete unternehmenseigene Teams durch Sicherheitsexperten von Trend Micro zu unterstützen. MDR bietet vollständige Bedrohungsanalysen, Threat Hunting, Reaktionspläne und Empfehlungen zur Beseitigung von Bedrohungen rund um die Uhr.

„XDR eröffnet durch die korrelierte Analyse über bisherige Silos hinweg ein neues Kapitel in der Security. Überlastete Security-Teams können damit ihre Reaktion auf Bedrohungen optimieren“, erklärt auch Richard Werner, Business Consultant bei Trend Micro. „Diese Lösung bietet Unternehmen klare Mehrwerte und hilft dabei, ihre drängendsten Security-Probleme zu lösen.“

Mehr als Extended Support: virtuelles Patching entscheidend für die Sicherheit von Windows Servern

Originalartikel von Mohamed Inshaff

Kürzlich gab die US National Security Agency (NSA) ein seltenes Security Advisory heraus, in dem die Behörde Unternehmen dringend aufforderte, eine Reihe kritischer Schwachstellen zu patchen. Die Top 25-Liste enthielt Softwarefehler, die am häufigsten von staatlich unterstützten chinesischen Hackern missbraucht wurden. Fast alle CVEs waren 2020 veröffentlicht worden. Das zeigt erneut, dass viele Organisationen ihre Systeme immer noch nicht zeitnah patchen, obwohl das Ergebnis staatlich gesponserter Sicherheitsvorfälle zur Katastrophe führen kann. Abhilfe kann hier virtuelles Patching schaffen.

In der Liste der NSA sind auch Fehler aus den Jahren 2015, 2017 und 2018 aufgeführt. Sie betreffen sehr unterschiedliche Systeme wie Oracle WebLogic Server, Adobe ColdFusion und Pulse Secure VPNs. Doch eines der am häufigsten genannten Produkte ist der Microsoft Windows Server. Unter den fünf kritischen CVEs in der NSA-Liste sticht die Sicherheitslücke namens Zerologon hervor. Es handelt sich um einen kritischen Elevation of Privilege-Fehler, der Windows 2008 und neuere Versionen betrifft und für den bereits im August ein Patch zur Verfügung stand. Angreifer könnten über die Lücke aus der Ferne die Kontrolle über eine Domäne übernehmen und damit ein gesamtes Netzwerk beschädigen.

Cyberkriminelle hatten schnell Exploits dafür entwickelt und diese in Angriffen eingesetzt, indem sie Zerologon mit VPN Exploits und Commodity Tools verbanden, um Ransomware und andere Payloads schnell abzulegen.

Das Problem beim Patchen

Die Gründe dafür, dass Organisationen häufig nicht umgehend patchen, sind vielfältig. Viele setzen möglicherweise ältere Betriebssysteme ein, die sie aufgrund von Kompatibilitätsproblemen mit unternehmenskritischen Anwendungen nicht aktualisieren. Andere können sich möglicherweise die Ausfallzeit nicht leisten, um Patches vor deren Aufspielen zu testen. Einige Firmen sind schlichtweg überfordert von der schieren Anzahl der Patches, die sie über mehrere Systeme hinweg anwenden und priorisieren müssen.

Andere wählen möglicherweise Extended Support-Optionen von Anbietern wie Microsoft, die versprechen, Sicherheits-Updates zu erheblichen Mehrkosten auch nach dem offiziellen End-of-Life-Datum zur Verfügung zu stellen. Trend Micros Nachforschungen haben jedoch ergeben, dass Organisationen selbst mit diesen umfangreichen Support-Paketen immer noch einigen Bedrohungen ausgesetzt sein können.

Wie wirkt Virtual Patching

Um potenziellen Bedrohungen zu begegnen und auch um Compliance-Anforderungen wie Cyber Essentials Plus, PCI DSS usw. in einem nicht mehr unterstützten System wie Windows Server 2008 zu erfüllen, sind zusätzlich zu Antimalware weitere Sicherheitsmechanismen erforderlich, um netzwerkgebundene Angriffe und verdächtige Aktivitäten zu erkennen und vor ihnen zu schützen. Die Lösung von Trend Micro ist virtuelles Patching: ein mehrschichtiger Schutz gegen bekannte und unbekannte Schwachstellen.

Die Host-basierten Intrusion Detection and Prevention (IDS/IPS)-Fähigkeiten von Deep Security und Cloud One – Workload Security können kritische Server vor Netzwerkangriffsvektoren schützen. Die Lösungen können auch die Integrität von Systemdateien, Registry-Einstellungen und anderen kritischen Anwendungsdateien überwachen, um nicht geplante oder verdächtige Änderungen anzuzeigen.

Mit einen einzigen modularen Agenten können die Server automatisch auf Schwachstellen sowohl im Betriebssystem als auch in Unternehmensanwendungen gescannt werden und die nicht gepatchten Server ohne Reboot schützen.

Virtual Patching bedeutet eine zusätzliche Schutzschicht, mit der Organisationen

  • Zeit erkaufen, bis der Hersteller-Patch aufgespielt ist,
  • Unnötige Ausfallzeiten verhindern,
  • Vorschriften einhalten können und
  • Schutz erhalten, auch über die erweiterten Support-Programme der Anbieter hinaus.

Kürzlich analysierte Trend Micro Windows Server 2008 R2, dessen Support im Januar 2020 eingestellt wurde. Seither hat Trend Micro nahezu 200 IPS-Regeln (also virtuelle Patches) in Deep Security veröffentlicht, von denen sich 67 auf Betriebssystemfehler bezogen. Unternehmen mit Extended Support für das Produkt wurden 23 virtuelle Patches empfohlen, 14 davon waren kritisch.

Supply Chain-Angriffe im Cloud Computing vermeiden

Originalartikel von Trend Micro

Sicherheit ist einer der wichtigen Aspekte, die Unternehmen berücksichtigen müssen, wenn sie auf Cloud-basierte Technologien setzen. Ganz oben auf der Liste der zu sichernden Ressourcen stehen Netzwerke, Endpunkte und Anwendungen. Um Betriebskosten zu optimieren, verlagern einige Organisationen ihre Backend-Infrastruktur in die Cloud oder betreiben ihre eigene firmeninterne private Cloud mit Cloud-basierten Lösungen. Doch wird dieser Ansatz vom Standpunkt der Architektur oder auch die Konfigurationen nicht korrekt durchgeführt, so kann das Backend Bedrohungen ausgesetzt werden und ein leichtes Ziel für Supply Chain-Angriffe darstellen. Die Folge sind der Verlust von Daten, Reputation und Vertrauen der Kunden.

In dem Whitepaper „Supply Chain Attacks in the Age of Cloud Computing: Risks, Mitigations, and the Importance of Securing Back Ends“ liefern die Sicherheitsforscher von Trend Micro einen Überblick über verschiedene Sicherheitsrisiken und Techniken zur Minimierung der Gefahren für DevOps.

Die Analysen beziehen sich auf konkrete Beispiele wie Jenkins (quelloffener Integrationsserver für Softwarekomponenten), Docker Container, Kubernetes (Orchestrierungs-Tool) und Cloud-basierten integrierten Entwicklungsumgebungen (IDE) wie AWS Cloud9 und Visual Studio Codespaces.

Authentifizierung und Access Control Lists (ACL)

Wird keine Authentifizierung aufgesetzt oder rollenbasierte Sicherheit mit ACL nicht angewendet, hat jeder, der in das System gelangen kann, Administratorzugriff. Diese Risiken werden anhand von Jenkins als Beispiel aufgezeigt.

Jenkins

Standardkonfigurationen in Backend-Systemen stellen selbst bei Anwendung der Authentifizierung ein erhebliches Sicherheitsrisiko dar. Jenkins Primary ist standardmässig in der Lage, Build-Aufgaben durchzuführen und erlaubt es Nutzern mit geringeren Privilegien, die Jenkins-Instanz vollständig zu übernehmen, einschliesslich der vertraulichen Daten, Job-Konfiguration und Source Code. Es ist kein Authentifizierungs- oder Access Control Lists (ACLs)-Modell vorhanden. Wird die Matrix-basierte Sicherheit von Jenkins angewendet, erhalten Nutzer irrtümlich den Eindruck, mit einer sicheren Konfiguration zu arbeiten. Um die Ausführung von Jobs auf dem Primary zu deaktivieren, könnte das Plug-In Authorize Project zusammen mit der Einstellung Shell executable in /bin/false auf der Seite „Configure System“ verwendet werden.

Des Weiteren sollten Entwicklerteams die Nutzung von Community Pug-Ins überdenken. Den Sicherheits-Advisories von Jenkins zufolge stehen die meisten Sicherheitslücken in der Plattform in Zusammenhang mit Plug-Ins, wobei es sich bei den meisten um die unsichere Speicherung von vertraulichen Daten sowie Sandbox-basierte Ausbruchmöglichkeiten handelt.

Einsatz von Docker Containern

Die Verwendung von Containern ist inzwischen sehr beliebt, da sie entweder Software bieten, die sofort einsatzbereit ist oder nur einer minimalen Konfiguration bedarf. Containerisierung hilft also bei schnellen Implementierungen und sorgt für eine stabile Umgebung.

Docker ist die bei Entwicklerteams am weitesten verbreitete Container Engine. Sie wird bei der Anwendungserstellung, beim Testen, Packaging sowie bei der Bereitstellung eingesetzt. Doch seit dem Siegeszug dieser Technologie fanden die Sicherheitsforscher viele Container Images auf Docker Hub, die bösartig waren oder für verschiedene Angriffe missbraucht wurden. Allein im Jahr 2020 wurden zahlreiche bösartige Container Images für Kryptowährungs-Mining genutzt. Diese Vorfälle unterstreichen die Empfehlung, nur offizielle Docker Images zu verwenden, um potenzielle Sicherheitsrisiken zu minimieren und Bedrohungen zu verhindern.

Bild 1. Infektionsablauf in einem Docker Image

Exponierte Docker-APIs erleichtern es zudem Angreifern, die Server zu nutzen, um Krypto-Miner zu installieren. Privilegierte Docker Container und exponierte Daemon-Ports könnten ebenfalls zu Angriffsflächen werden.

Kubernetes

Kubernetes ist ein Orchestrierungs-Tool zur für die skalierbare Bereitstellung und Verwaltung von Containern. Kubernetes-Dienste werden von vielen Cloud-Anbietern wie Microsoft Azure Kubernetes Service (AKS), Amazon Elastic Kubernetes Service (EKS) und Google Kubernetes Engine (GKE) angeboten. Solche Managed Services tragen dazu bei, das Risiko grösserer Fehlkonfigurationsprobleme zu verringern. Da dies jedoch für einige Umgebungen keine Option darstellt, können beim On-Premise Betrieb von Kubernetes-Clustern Risiken im Zusammenhang mit Fehlkonfigurationen auftreten.

Bild 2. Skizze eines Kubernetes Clusters und dessen Komponenten (Quelle: Kubernetes.io)

Die API spielt eine wichtige Rolle für die Kubernetes-Sicherheit. Kann eine Anwendung, die innerhalb eines Clusters eingesetzt wird, mit dem API-Server interferieren, muss dies als Sicherheitsrisiko betrachtet werden. Daher sollte die API nur den Geräten zur Verfügung gestellt werden, die sie benötigen, eine Massnahme, die durch die Implementierung einer rollenbasierten Zugriffskontrolle und durch die Gewährleistung des Prinzips der geringsten Privilegien erreicht werden kann.

In einem falsch konfigurierten Szenario kann eine einzige anfällige Anwendung als Einstiegspunkt für den gesamten Cluster dienen. Benutzer sollten sicherstellen, dass nur der kube-api-server-Zugriff auf den etcd (ein verteilter Schlüsselwert-Speicher für kritische Daten) hat, da sonst unbeabsichtigte Datenlecks oder unbefugte Änderungen auftreten könnten. Zudem sollte ein Pod (eine grundlegende Bereitstellungseinheit innerhalb eines Kubernetes-Clusters) mit weniger Privilegien betrieben werden, um eine Kompromittierung von Knoten oder des gesamten Clusters zu vermeiden.

Online IDEs

Die Online Cloud-Entwicklungsumgebungen stellen eine interessante Alternative zu den Desktop-Systemen dar.

Cloud IDEs bringen alle Fähigkeiten und Tools zusammen, die ein Softwareentwickler benötigt. Zu den beliebtesten IDEs gehören AWS Cloud9 und Microsofts Visual Studio Codespaces. Visual Studio Codespaces ist eine komplette Anwendung in einer vernetzten Umgebung, während AWS Cloud9 nur Backend Services auf einer verlinkten Maschine bietet, und zusätzlich Frontend Services innerhalb der AWS Cloud.

Die interne Backend-Implementierung variiert je nach Cloud-IDE-Anbieter, aber alle bieten eine Terminal-Schnittstelle zur Umgebung des Benutzers. In den meisten Fällen haben die Benutzer die volle Kontrolle über die Umgebung und sind gleichzeitig für die Gewährleistung einer sicheren Konfiguration verantwortlich. Fehlkonfigurationen können auftreten, wenn Ports für eine erweiterte Nutzung von Anwendungen exponiert werden, sollte der Cloud Provider Timeouts einsetzen, die das verlinkte Gerät bei längerer Inaktivität abschalten.

Im Gegensatz dazu stehen für Visual Studio Codespaces eine Reihe von Erweiterungen zur Verfügung. Diese eignen sich jedoch auch als potenzielle Angriffsfläche. Beispielsweise kann eine in mit einem Backdoor versehene Erweiterung zu einer Systemkompromittierung führen aufgrund fehlender Berechtigungsprüfungen während der Installation oder Nutzung. Um solche Risiken zu mindern, sollten Entwicklungsteams nur vertrauenswürdige Plug-Ins oder Erweiterungen installieren und ihre Umgebungen auf die neueste Version aktualisieren.

Auch sind die Fälle von bösartigen Browser Plug-Ins bekannt, und ihre Funktionalität lässt sich auf Online IDE-Entwicklung erweitern. Ein Proof-of-Concept hat gezeigt, wie ein Angreifer darüber Code stehlen kann. Auch ist bekannt, dass Banking-Trojaner Browser-Funktionen nutzen, um Zugangsdaten von Nutzern zu stehlen. Eine Alternative dazu könnte Code stehlen oder auf Tokens für die IDE zugreifen.

Empfehlungen

Mit zunehmender Komplexität der im Backend verwendeten Software steigt das Risiko von Fehlkonfigurationen. Deshalb sollten Entwicklerteams sich immer dessen bewusst sein, dass es keine sichere Umgebung gibt. Folgende Best Practices können die Backend-Sicherheit verbessern helfen:

  • Umsetzung des Prinzips der Mindestprivilegien: Beschränken der Kontoprivilegien in Cloud-Diensten, vor allem wenn diese an öffentliche Cloud-Anbieter gebunden sind. Darüber hinaus sollten die Berechtigungen und der Zugriff auf Tools limitiert sein, um zu verhindern, dass Angreifer in der Computerumgebung Fuss fassen.
  • Admin-Konten nicht für alltägliche Aufgaben nutzen: Der Admin sollte nur für Continuous Integration and Continuous Deployment (CI/CD)-Tools eingesetzt werden.
  • Checks durchführen auf veraltete oder angreifbare Bibliotheken im Code: Tools wie der OWASP Dependency-Check und Lösungen etwa von Snyk liefern kostenlose Drittanbieter-Überprüfung für quelloffene Projekte.
  • Compliance zu Industriestandards: So können etwa Kubernetes-Anwender die CIS Kubernetes Benchmark vom Center for Internet Security (CIS) checken, um kritische Dateien und Verzeichnisse zu monitoren. Container-Nutzer können das Gleiche mithilfe des Application Container Security Guide vom National Institute of Standards and Technology (NIST) erreichen.

Cloud-Sicherheitslösungen

Cloud-spezifische Sicherheitslösungen wie die Trend Micro™ Hybrid Cloud Security können zum Schutz von Cloud-nativen Systemen und ihren verschiedenen Schichten beitragen. Die Software bietet schlanke, automatisierte Sicherheit für die DevOps Pipeline mit mehreren XGenTM Threat Defense-Techniken. Unterstützt wird sie von Trend Micro Cloud One™ , einer Sicherheitsdienste-Plattform für Cloud-Entwickler. Sie bietet automatisierten Schutz für die CI/CD-Pipeline und Anwendungen. Sie trägt auch dazu bei, Sicherheitsprobleme früher zu erkennen und zu lösen und die Lieferzeit für die DevOps-Teams zu verkürzen. Die Plattform umfasst:

Der vollständige Report „Supply Chain Attacks in the Age of Cloud Computing: Risks, Mitigations, and the Importance of Securing Back Ends“ steht Interessierten zur Verfügung.

Zukunftsszenarien im Faktencheck

Originalbeitrag von Rik Ferguson, VP Security Research

Im Jahr 2012 durfte Trend Micro an einem sehr spannenden Forschungsprojekt teilnehmen, das unter der Schirmherrschaft der International Cyber Security Protection Alliance (ICSPA) durchgeführt wurde, und an dem der Autor zusammen mit Experten des European Cyber Crime Centre (EC3) von Europol unter der Leitung von Dr. Victoria Baines mitarbeitete.

Ziel des Projekts war es, ein Whitepaper zu erstellen, in dem die technologischen Fortschritte der kommenden acht Jahre vorgestellt werden, die gesellschaftlichen und verhaltensbedingten Veränderungen, die sie nach sich ziehen, sowie natürlich die sich daraus möglicherweise ergebenden Vergehen. Aufbauend auf einer Basissynthese aus damals aktuellen Technologien, Bedrohungen und Einjahres-Vorhersagen wurden die komplexen Zusammenhänge und Auswirkungen der aufkommenden Technologien in Szenarien für Regierungen, Unternehmen und Bürger herausgearbeitet. Das Projekt betrachtete eine kurz- bis mittelfristige Zukunft, in der technologische Entwicklungen sowohl neue Möglichkeiten als auch neue Bedrohungen schaffen.

Bereits nach dem ersten Entwurf des Whitepapers wussten wir, dass wir etwas tun mussten, um es einem breiteren Publikum als sonst üblich zugänglich zu machen. Um wirklich die Sicherheit einer künftigen Welt voranzubringen, ist es unerlässlich, das Interesse nicht nur der Unternehmen von morgen, sondern auch der Verbraucher und der Gesetzgeber zu wecken.

Deshalb gab Trend Micro eine Web-Serie von neun fünfminütigen Episoden in Auftrag, die in der im Dokument beschriebenen Welt spielt, und die von uns mitgestaltet wurde. Dieser Blade-Runner-ähnliche Krimi versuchte nicht nur, die im Whitepaper „Project 2020: Scenarios for the Future of Cybercrime“ gemachten Vorhersagen zu konkretisieren und zum Leben zu erwecken, sondern auch, kritisch die Inhalte einem viel breiteren Publikum zugänglich zu machen als es das ursprüngliche akademische Dokument konnte. Der Berichterstattung in den Massenmedien wie USA Today nach zu urteilen, war das Projekt seinerzeit ein Erfolg. Auch wurde es für verschiedene Preise nominiert und gewann sogar Gold bei mehreren grossen Medienfestivals, darunter die Shorty Awards und das World Media Festival.

2020 nun sollten wir die Gelegenheit nutzen, das Projekt anhand einer Reihe von Erfolgsfaktoren objektiv zu überprüfen. Was haben wir in Bezug auf technologische Entwicklungen und Auswirkungen auf die Cybersicherheit „richtig“ gemacht, und was haben wir verpasst?

https://youtube.com/watch?v=ykWgWsGW4aM%3Ffeature%3Doembed

Interessierte finden weitere Informationen auf der 2020 Website. Dort lässt sich die Web-Serie ansehen und nicht nur das ursprüngliche Whitepaper herunterladen, sondern auch eine gründliche Analyse „The Benefit of Foresight Project 2020 in Review“. Die Site gibt auch einen Vorgeschmack auf das, was vielleicht als Nächstes kommt!

„Docker Content Trust“: Sicherheit von Container Images mit Einschränkungen

Originalartikel von Brandon Niemczyk (Security Researcher

Eine der wichtigsten Sicherheitsfragen für eine Container-basierte Umgebung lautet: „Kann ich den Container Images trauen?“ Das bedeutet, als erstes müssen die Images auf ihre Korrektheit und die Echtheit der Quelle geprüft werden. Eine der Sicherheitsvorhersagen für 2020 von Trend Micro bezog sich auf die schädlichen Auswirkungen von bösartigen Container Images auf die Unternehmens-Pipeline. Es gab bereits Angriffe, die solche Images missbrauchten, so etwa für das Scannen nach angreifbaren Servern und Krypto-Mining. Für dieses Sicherheitsproblem liefert Docker eine Funktion namens „Content Trust“. Damit können Nutzer Images in einem Cluster oder Swarm zuverlässig bereitstellen und überprüfen, ob es sich tatsächlich um die von ihnen gewünschten Images handelt. Docker Content Trust (DCT) kann jedoch die Images nicht über den Swarm hinweg auf Veränderungen oder Ähnliches überwachen. Es geht ausschliesslich um eine einmalige Überprüfung durch den Docker-Client, nicht durch den Server.

Diese Tatsache hat Auswirkungen auf den Nutzen von DCT als vollwertiges Tool für Integritäts-Monitoring. Trend Micro berichtete bereits über Cloud-eigene Systeme wie Image-Signier-Tools (Notary), als Antwort auf die Vertrauensfrage. DCT stellt einen Versuch dar, Docker-Clients eingebaute Tools zur Verfügung zu stellen, die genau dies ermöglichen.

Im Kern ist Docker Content Trust ein sehr einfaches Tool. Es geht um Logik innerhalb des Docker-Clients, die Images verifizieren kann, die Anwender von einem Registry-Server beziehen oder bereitstellen und die auf einem Docker Notary Server der Wahl signiert sind.

Mit dem Docker Notary-Tool können Publisher ihre Sammlungen digital signieren, während die Nutzer die Integrität der von ihnen abgerufenen Inhalte überprüfen. Mit Hilfe des Update-Frameworks (TUF) schaffen Notary-Benutzer Vertrauen in beliebige Datensammlungen und managen die für die Gewährleistung der Aktualität der Inhalte erforderlichen Vorgänge. Einzelheiten dazu umfasst der Docker-Guide.

Bild. Bereitstellung eines Docker-Swarms oder –Build. DerClient kann mit dem Registry-Server und Notary-Server kommunizieren.

Der Originalartikel zeigt im Detail, wie DCT aktiviert wird, über welche Schritte die Vertrauensvalidierung und Integration in die CI/CD-Pipeline automatisiert werden kann und auch wo die Grenzen dieser Anwendung liegen, nämlich in der Tatsache, dass DCT lediglich eine Client-Implementierung ist.

Lösungen

Trend Micro™ Deep Security kann Hosts schützen und bietet Integrity Monitoring für Docker- und Kubernetes-Konfigurationsdateien, die auf demselben Host laufen. Trend Micro Cloud One™ – Container Security verfügt über eine Funktion, die einen eigenen Admission-Controller verwendet, um die Bereitstellung von Containern auf der Grundlage von Erkenntnissen aus Deep Security Smart Check oder anderen Container-Konfigurationen (wie einem privilegierten Container oder einem, der als Root läuft) zu stoppen.

Hybrid Cloud Security liefert schlanke, starke und automatisierte Sicherheit für die DevOps Pipeline mit mehrfachen XGen™ Threat Defense-Techniken zum Schutz von physischen, virtuellen, serverlosen und Cloud-Workloads zur Laufzeit.