Ivanti Blog: Beiträge von

Drei Gründe, warum Patches bei der Endpunktsicherheit nicht ausreichen

Wed, 14 Jun 2023 20:56:25 Z

Da Remote-Arbeit heute alltäglich ist, ist ein gutes Cyber-Hygieneprogramm für Unternehmen, die in der heutigen Bedrohungslandschaft überleben wollen, von entscheidender Bedeutung. Dazu gehört die Förderung einer Kultur des individuellen Cybersecurity-Bewusstseins und der Einsatz der richtigen Sicherheitstools, die beide für den Erfolg des Programms entscheidend sind.

Einige dieser Tools umfassen Endpunkt-Patching, Endpunkt-Erkennungs- und Reaktionslösungen (EDR) und Antivirus-Software. Aber wenn man sich die jüngsten Berichte zur Cybersicherheit ansieht, reichen sie nicht mehr aus, um die externe Angriffsfläche Ihres Unternehmens zu reduzieren.

Hier sind drei handfeste Gründe und reale Situationen, die Unternehmen widerfahren sind, die diese Bedrohung nicht ernst genommen haben.

KI-generierte polymorphe Exploits können führende Sicherheitstools umgehen
Patching-Fehlschläge und Patching-Müdigkeit erdrücken Sicherheitsteams
Endpunkt-Patching funktioniert nur für bekannte Geräte und Anwendungen
Wie können Unternehmen ihre externe Angriffsfläche reduzieren?

1. KI-generierte polymorphe Exploits können führende Sicherheitstools umgehen

In letzter Zeit wurde polymorphe KI-Malware entwickelt, um EDR und Antivirenprogramme zu umgehen, so dass Sicherheitsteams blinde Flecken in Bezug auf Bedrohungen und Sicherheitslücken haben.

Beispiel aus der Praxis: Polymorphe ChatGPT-Malware umgeht „führende“ EDR- und Antivirus-Lösungen

In einem Bericht erstellten Forscher polymorphe Malware, indem sie ChatGPT-Eingaben missbrauchten, die von Antiviren-Software nicht erkannt wurden. In einem ähnlichen Bericht haben Forscher eine polymorphe Keylogging-Malware entwickelt, die eine branchenführende automatisierte EDR-Lösung umgeht.

Diese Exploits erreichten dies, indem sie ihren Code bei jeder Iteration leicht veränderten und ihren bösartigen Code ohne einen Command-and-Control (C2)-Kommunikationskanal verschlüsselten.

Diese Mutation kann von herkömmlichen signaturbasierten und heuristischen Erkennungsprogrammen nicht erkannt werden. Das bedeutet, dass Sicherheitslücken entstehen, bis ein Patch entwickelt und veröffentlicht ist, bis der Patch auf seine Wirksamkeit getestet ist, bis das Sicherheitsteam Sicherheitslücken priorisiert hat und bis das IT-Team (Informationstechnologie) die Patches auf die betroffenen Systeme aufspielt.

Alles in allem kann dies mehrere Wochen oder Monate bedeuten, in denen ein Unternehmen auf andere Sicherheitstools zurückgreifen muss, um kritische Assets zu schützen, bis der Patching-Prozess erfolgreich abgeschlossen ist.

2. Patching-Fehlschläge und Patching-Müdigkeit erdrücken Sicherheitsteams

Leider kommt es immer wieder vor, dass Updates Systeme beschädigen, weil Patches nicht gründlich getestet wurden. Außerdem beheben einige Updates nicht alle Sicherheitslücken vollständig, so dass die Systeme anfällig für weitere Angriffe sind und zusätzliche Patches erforderlich sind, um sie vollständig zu beheben.

Beispiel aus der realen Welt: Der Ransomware-Angriff von Suffolk County

Die Regierung von Suffolk County in New York hat vor kurzem die Ergebnisse der forensischen Untersuchung der Datenpanne und des Ransomware-Angriffs veröffentlicht, bei dem die Sicherheitslücke in Log4j der Einstiegspunkt für den Angreifer war, um in ihre Systeme einzudringen. Der Angriff begann im Dezember 2021, also zur gleichen Zeit, als Apache Sicherheitspatches für diese Sicherheitslücken veröffentlichte.

Obwohl Updates zur Verfügung standen, wurden diese nie gepatcht, was dazu führte, dass 400 Gigabyte an Daten gestohlen wurden, darunter Tausende von Sozialversicherungsnummern und eine anfängliche Lösegeldforderung von 2,5 Millionen Dollar.

Das Lösegeld wurde nie gezahlt, aber der Verlust persönlicher Daten und der Produktivität der Mitarbeitenden sowie die anschließenden Ermittlungen überwogen die Kosten für aktualisierte Cyber-Hygienegeräte und -tools und eine endgültige Lösegeldforderung von 500.000 Dollar. Der Bezirk versucht noch heute, alle Systeme wiederherzustellen, nachdem er bereits 5,5 Millionen Dollar ausgegeben hat.

Ein Beispiel aus der Praxis: Ein fehlerhaftes Windows-Server-Update führte dazu, dass ich 24 Stunden am Stück arbeiten musste.

Aus eigener Erfahrung weiß ich, dass ich einmal 24 Stunden am Stück gearbeitet habe, weil an einem Patch Tuesday ein Microsoft Windows Server-Update automatisch heruntergeladen und installiert wurde, das die Authentifizierungsdienste zwischen den IoT-Clients (Internet of Things) und den AAA-Servern (Authentifizierung, Autorisierung und Abrechnung) unterbrochen hat und die Produktion zum Stillstand brachte.

Das interne Kundenreferenznetzwerk unseres Unternehmens, das von unseren größten Kunden implementiert wurde, setzte Microsoft-Server für Active Directory Certificate Services (ADCS) und Network Policy Servers (NPS) ein, die für die 802.1x EAP-TLS-Authentifizierung für unsere über Funk verwalteten IoT-Netzwerkgeräte verwendet wurden.

Dies geschah vor zehn Jahren, aber ähnliche Vorfälle wiederholten sich auch in den folgenden Jahren, einschließlich dieses Updates vom Juli 2017, bei dem die NPS-Authentifizierung für drahtlose Clients nicht mehr funktionierte und im Mai letzten Jahres wiederholt wurde.

Zu diesem Zeitpunkt war noch keine sofortige Lösung für den fehlerhaften Patch verfügbar, so dass ich die nächsten 22 Stunden damit verbrachte, die Microsoft-Server für die Public-Key-Infrastruktur (PKI) und die AAA-Dienste des Unternehmens neu aufzubauen, um den normalen Betrieb wiederherzustellen. Die Rettung bestand darin, dass wir die ursprüngliche Stammzertifizierungsstelle offline genommen haben und der Server nicht von dem fehlerhaften Update betroffen war.

Am Ende mussten wir jedoch alle Identitätszertifikate widerrufen, die von den untergeordneten Zertifizierungsstellen für Tausende von Geräten, darunter Router, Switches, Firewalls und Access Points, ausgestellt worden waren, und sie mit neuen Identitätszertifikaten wieder in den AAA-Dienst einbinden.

Wir haben aus dieser Erfahrung gelernt und die automatischen Updates für alle Windows-Server deaktiviert und häufiger Backups von wichtigen Diensten und Daten erstellt.

3. Endpunkt-Patching funktioniert nur für bekannte Geräte und Anwendungen

Mit der Pandemie kam die Verlagerung zum Arbeiten von jedem Ort, bei dem die Mitarbeitenden von zu Hause aus arbeiteten und oft ihre persönlichen Geräte mit dem Netzwerk ihres Unternehmens verbanden. Dadurch hatten die Sicherheitsteams einen blinden Fleck im Bereeich Schatten-IT. Bei der Schatten-IT werden Assets nicht verwaltet, sind möglicherweise veraltet und verursachen unsichere persönliche Geräte und undichte Anwendungen.

Das Wiederaufleben von BYOD-Richtlinien (Bring Your Own Device) und das Fehlen eines vom Unternehmen genehmigten sicheren Fernzugriffs haben die externe Angriffsfläche des Unternehmens schnell vergrößert und weitere Angriffsvektoren für Angreifer eröffnet.

Ein Beispiel aus der Praxis: Die jüngste Sicherheitsverletzung bei LastPass

LastPass ist ein sehr beliebter Passwortmanager, der Ihre Passwörter in einem Online-Tresor speichert. Es hat mehr als 25 Millionen Nutzer und 100.000 Unternehmenskunden. Letztes Jahr gab es bei LastPass eine massive Datenschutzverletzung mit zwei Sicherheitsvorfällen.

Der zweite Vorfall nutzte die beim ersten Einbruch gestohlenen Daten, um vier DevOps-Entwickler ins Visier zu nehmen, genauer gesagt, ihre Heimcomputer. Ein leitender Softwareentwickler nutzte seinen persönlichen Windows-Desktop für den Zugriff auf die Entwicklungs-Sandbox des Unternehmens. Auf dem Desktop war auch eine ungepatchte Version von Plex Media Server (CVE-2020-5741) installiert.

Plex hat bereits vor drei Jahren einen Patch für diese Sicherheitslücke bereitgestellt. Angreifer nutzten diese Sicherheitslücke, um Malware auszuliefern, eine Privilegienerweiterung (PE) durchzuführen, dann eine Remotecodeausführung (RCE), um auf den Cloud-basierten LastPass-Speicher zuzugreifen und DevOps-Geheimnisse sowie Multi-Faktor- (MFA) und Federation-Datenbanken zu stehlen.

„Leider hat der Mitarbeiter von LastPass seine Software nicht aktualisiert, um den Patch zu aktivieren“, so Plex in einer Erklärung. „Die Version, die diese Schwachstelle behebt, ist etwa 75 Versionen alt.“

Wenn Patches nicht ausreichen, wie können Unternehmen dann ihre externe Angriffsfläche reduzieren?

Cyber-Hygiene

Die Mitarbeitenden sind das schwächste Glied im Cyber-Hygieneprogramm eines Unternehmens. Unweigerlich vergessen sie, ihre persönlichen Geräte zu aktualisieren, verwenden dasselbe schwache Passwort für verschiedene Internet-Websites, installieren undichte Anwendungen und klicken oder tippen auf Phishing-Links in einer E-Mail, einem Anhang oder einer Textnachricht.

Bekämpfen Sie dies, indem Sie in Ihrem Unternehmen eine Kultur des Bewusstseins für Cybersicherheit fördern und Wachsamkeit praktizieren, die Folgendes beinhaltet:

- Sicherstellen, dass die neuesten Software-Updates auf ihren persönlichen und Firmengeräten installiert sind.

- Erkennen von Social Engineering-Angriffstechniken, einschließlich der verschiedenen Arten von Phishing-Angriffen.

- Einsatz einer Multi-Faktor-Authentifizierung, wann immer möglich.

- Installation und automatische Aktualisierung der Datenbanken von Antiviren-Software für Desktops und mobiler Bedrohungsabwehr für mobile Geräte;

Kontinuierliche Weiterbildung ist der Schlüssel zur Förderung einer guten Cyber-Hygiene in Ihrem Unternehmen, insbesondere für Anti-Phishing-Kampagnen.

Empfehlungen für Cyber-Hygiene-Tools

Im Bereich der Cybersicherheit gilt das Sprichwort: „Man kann nicht schützen, was man nicht sieht!“ Eine vollständige Erkennung und genaue Bestandsaufnahme aller mit dem Netzwerk verbundenen Hardware, Software und Daten, einschließlich der Schatten-IT-Assets, ist der erste wichtige Schritt zur Bewertung des Risikoprofils der Sicherheitslücken eines Unternehmens. Die Asset-Daten sollten in ein unternehmensweites Endpunkt-Patch-Management-System einfließen.

Ziehen Sie auch die Einführung einer Risiko-basierten Verwaltung von Sicherheitslücken in Betracht, um die überwältigende Anzahl von Sicherheitslücken auf diejenigen zu beschränken, die das größte Risiko für Ihr Unternehmen darstellen. Die risikobasierte Verwaltung von Sicherheitslücken beinhaltet häufig eine Bedrohungsanalyse, die in das Patch-Management-System einfließt.

Bedrohungsdaten sind Informationen über bekannte oder potenzielle Bedrohungen für ein Unternehmen. Diese Bedrohungen können aus einer Vielzahl von Quellen stammen, z.B. von Sicherheitsforschern, Behörden, Scannern für Sicherheitslücken in Infrastrukturen und Anwendungen, internen und externen Penetrationstests und sogar von Angreifern selbst.

Diese Informationen, einschließlich spezifischer Patch-Fehler und Zuverlässigkeit, die von verschiedenen Crowdsourced Feeds gemeldet werden, können Unternehmen dabei helfen, interne Patch-Testanforderungen zu beseitigen und die Zeitspanne bis zur Bereitstellung von Patches für kritische Assets zu verkürzen.

Eine vereinheitlichte Endpunktverwaltung (UEM) ist notwendig, um mobile Geräte, einschließlich Schatten-IT und BYOD-Assets, aus der Ferne zu verwalten und Endpunktsicherheit zu bieten.

Die Lösung kann Patches auf das neueste mobile Betriebssystem (OS) und Anwendungen erzwingen, E-Mail und sichere Fernzugriffsprofile bereitstellen, einschließlich Identitätsnachweisen und Multifaktor-Authentifizierungsmethoden (MFA) wie Biometrie, Smart Cards, Sicherheitsschlüssel, zertifikatsbasierte oder tokenbasierte Authentifizierung.

Die UEM-Lösung sollte auch eine auf KI und maschinellem Lernen basierende Lösung zur Abwehr mobiler Bedrohungen (MTD) für mobile Geräte integrieren, während für Desktops ein Antivirenprogramm der nächsten Generation (NGAV) mit robuster Heuristik erforderlich ist, um Bedrohungen für Geräte, Netzwerke und Apps zu erkennen und zu beseitigen und einen Echtzeitschutz gegen Phishing zu bieten.

Und schließlich müssen Cyber-Hygiene-Tools schnell weiterentwickelt werden, damit sie mit den immer ausgefeilteren polymorphen Angriffen mithalten können, die sich am Horizont abzeichnen, um gegen KI-generierte Malware bestehen zu können.

Die oben beschriebenen Lösungen werden dazu beitragen, Cyberangriffe abzuschrecken, indem sie Angreifern Steine in den Weg legen, so dass sie frustriert sind und sich leichtere Ziele suchen, die sie angreifen können.

9 Arten von Phishing- und Ransomware-Angriffen – und wie Sie sie erkennen

Wed, 19 Jan 2022 18:54:07 Z

Cyberangriffe sind weltweit immer weiter verbreitet, entwickeln sich in Komplexität und Umfang rasant weiter und sind für Cyberkriminelle heute lukrativer denn je. The Everywhere Workplace hat nicht nur die Cyberrisiko- und Bedrohungslandschaft erweitert – insbesondere im Hinblick auf Datenschutz und dessen Schutz –, sondern auch viele agile Softwareentwickler, von denen zahlreiche keinen DevSecOps-Prozess nutzen, veröffentlichen ungetestete oder unzureichend getestete Software, die von kriminellen Gruppen als Zero-Days ausgenutzt werden kann.

Die von Cyberkriminellen am häufigsten eingesetzten Techniken sind in den vergangenen Jahren weitgehend gleich geblieben, wobei Phishing und Ransomware weiterhin zwei der drei Spitzenplätze belegen. Laut dem Verizon 2021 Data Breach Investigations Report war Phishing die am häufigsten verwendete Methode bei Datenpannen und stieg von 25 % aller Datenpannen im Jahr 2020 auf 36 % im Jahr 2021. Ransomware hingegen war für die meisten durch Malware verursachten Datenpannen verantwortlich.

Noch problematischer ist, dass sich diese Angriffsarten weiterentwickeln und inzwischen den Einsatz von Machine Learning und künstlicher Intelligenz (KI), Automatisierung, verketteten Exploits gegen bekannte und Zero-Day-Schwachstellen, von der NSO Group entwickelten Zero-Click-Exploit-Kits, dateiloser Malware sowie die Nutzung des „As-a-Service“-Geschäftsmodells umfassen. Diese Entwicklungen helfen Cyberkriminellen, ihren Zielen stets einen Schritt voraus zu sein.

Was ist Phishing?

Phishing ist eine Social-Engineering-Taktik, die Täuschung nutzt, um Anmeldedaten und andere personenbezogene Informationen von Endnutzern zu stehlen. Die häufigsten Verbreitungswege für Phishing sind E-Mails und Anhänge, Text- und Multimedianachrichten, Telefonanrufe sowie schädliche Werbenetzwerke. Diese Mittel verleiten Endnutzer dazu, auf einen Hyperlink zu einer speziell erstellten gefälschten Website oder Internetdomain zu tippen. Durch aufmerksamkeitsstarke Überschriften und authentisch wirkende, verschleierte oder gekürzte Hyperlinks lassen sich Endnutzer leicht dazu bringen, ihre wertvollen personenbezogenen Informationen preiszugeben. Wenn der Endnutzer dann auf der Website landet, kann unbemerkt ein schädliches Exploit-Kit oder ein Keylogger auf das Gerät oder den Desktop heruntergeladen werden, um personenbezogene Informationen zu stehlen, einschließlich Anmeldedaten oder Kreditkartennummern. Angreifer können diese anschließend nutzen, um Geräte zu kompromittieren und weitere hochwertige Informationen zu entwenden. Phishing ist auch heute noch die häufigste Form der Cyberkriminalität. Da Remote- und Hybridarbeit zur Norm werden, sind Unternehmen und Mitarbeitende bei ihrer Cybersecurity-Hygiene nachlässiger geworden. Das liegt in der menschlichen Natur.

Arten von Phishing-Techniken:

Phishing-as-a-Service ist ein Geschäftsmodell, bei dem die effektivsten Phishing-Tools gebündelt und als Ware an jeden verkauft werden, der bereit ist zu zahlen.
Cloning dupliziert legitim wirkende geschäftliche E-Mails und Websites, die Zielpersonen dazu verleiten, auf einen Hyperlink zu klicken, der durch einen Link zu einer schädlichen Website ersetzt wurde.
Deepfake nutzt künstliche Intelligenz (KI), um irreführende Informationen zu verbreiten oder Endnutzer zu beeinflussen, indem die ursprünglich als Audio oder Video aufgezeichneten gesprochenen Worte, Verhaltensweisen und Gesichtsausdrücke einer Person manipuliert werden.
E-Mails und Anhänge können so gestaltet werden, dass sie legitim wirken, aber eine Person dazu verleiten, auf einen Hyperlink zu klicken, über den sie unwissentlich personenbezogene Informationen oder Anmeldedaten preisgibt.
Pharming nutzt authentisch wirkende Hyperlinks in Phishing-E-Mails, die Endnutzer von einer bestimmten legitimen Website auf eine schädliche Website umleiten, indem die Domain-Name-System-Tabelle (DNS) auf dem Host-Webserver geändert wird.
Smishing (SMS-Phishing) nutzt Textkommunikation, bei der Linkverkürzer eingesetzt werden, um schädliche Links innerhalb einer Textnachricht zu verbergen.
Spear-Phishing zielt in der Regel auf Personen oder Gruppen auf administrativer Ebene ab. Dabei wird ein personalisierter Vorwand genutzt, um die Erfolgswahrscheinlichkeit zu erhöhen und Anmeldedaten zu stehlen, die umfassendere Berechtigungen für den Zugriff auf sensiblere Unternehmensdaten gewähren.
Vishing oder Voice-Phishing nutzt herkömmliche telefonische Sprachkommunikation, um Opfer dazu zu bringen, sensible Informationen preiszugeben oder Geld an den Cyberkriminellen zu senden.
Whaling täuscht Führungskräfte der C-Suite, indem es sie dazu verleitet, auf einen Hyperlink oder Anhang zu klicken, der ein Exploit-Kit oder Malware auf ihrem Gerät installiert, um sensible Unternehmens- oder personenbezogene Informationen zu stehlen.

Was ist Ransomware?

Ransomware ist Malware, deren einziger Zweck darin besteht, Geld vom Endnutzer zu erpressen. Sobald die Anmeldedaten des Endnutzers durch einen Phishing-Angriff bekannt sind, können Cyberkriminelle auf weitere wertvolle Daten auf dem Mobilgerät oder Laptop des Nutzers zugreifen, sich anschließend vom Gerät aus weiterbewegen und lateral in verbundene Netzwerke vordringen, um dort nach weiteren wertvollen Daten zu suchen, die sie stehlen können. Cyberkriminelle können den Zugriff auf kritische Informationen blockieren, häufig durch Verschlüsselung der Daten, bevor sie eine Lösegeldforderung senden und eine Zahlung in nicht nachverfolgbaren Kryptowährungen wie Bitcoin oder Monero erwarten. Wenn die Daten äußerst sensibel sind, können Ransomware-Gruppen ihre Opfer durch „doppelte Erpressung“ unter Druck setzen, indem sie damit drohen, die Informationen öffentlich zu machen, sofern kein zusätzliches Lösegeld gezahlt wird.

Ransomware wird auch über Trojaner, Spam-E-Mails mit schädlichen Anhängen, gefälschte Software-Update-Tools, App-Stores für Drittanbieter-Software und Distributionsquellen verbreitet, die Apps und Tools bereitstellen, die Malware, Spyware oder Exploit-Kits enthalten.

2021 war ein Rekordjahr für Datenpannen und Ransomware. Erfolgreiche, aufsehenerregende Ransomware-Angriffe wurden im März gegen die CNA Financial Corporation, Ende April gegen Colonial Pipeline, im Mai gegen den Computerhersteller Acer und ebenfalls im Mai gegen eines der größten Fleischverarbeitungsunternehmen, JBS Foods, durchgeführt. Ein weiterer Angriff betraf im Juli Kaseya VSA (Virtual System Administrator), wobei nie ein Lösegeld gezahlt wurde, da das FBI (Federal Bureau of Investigation) die Entschlüsselungsschlüssel von den Servern der Ransomware-Gruppe beschaffen konnte, um die IT-Infrastruktur (Informationstechnologie) seiner Kunden wiederherzustellen.

Phishing und Ransomware bekämpfen

Cyberkriminelle Gruppen sind deutlich raffinierter und besser finanziert geworden und verfügen über ein wirksames Arsenal an Angriffswerkzeugen und -taktiken. Es wirkt, als würde das Internet permanent von einem perfekten Sturm getroffen, während einige Unternehmen glauben, ein Rettungsring reiche aus, um diesem Hurrikan der Kategorie 5 standzuhalten.

Im Everywhere Workplace ist es unerlässlich, diesen Cyberkriminellen so viele robuste Hürden wie möglich in den Weg zu legen, um Ihre wertvollen Daten bestmöglich zu schützen. Ivanti entwickelt Cybersicherheitslösungen, mit denen Sie Ihre Daten erkennen, verwalten und schützen können, die sich auf Mobilgeräten, Desktops, Servern, in Anwendungen, Netzwerken und Cloud-Speichern befinden, und sie vor einer Kompromittierung bewahren.

Mehr erfahren

Entdecken Sie Best Practices zur Abwehr von Phishing. Sehen Sie sich das On-Demand-Webinar an: Ein mehrschichtiger Ansatz zum Schutz vor Phishing.