Chief Security Officer unter Zugzwang

Annähernd jede Woche tauchen Meldungen über neue Schadprogramme oder erfolgreiche Angriffe auf Daten und Netzwerke von Behörden, Organisationen oder Unternehmen in den Schlagzeilen auf. Hinsichtlich ihrer Vorgehensweise scheint der Einfallsreichtum der Cyberkriminellen fast unerschöpflich zu sein. Längst gibt man sich nicht mehr mit verseuchten E-Mail-Anhängen zufrieden, sondern nutzt Methoden wie Spear Phishing, Drive-by-Infektion oder Social Engineering.

Nach wie vor hoch im Kurs stehen die sogenannten Botnet-Attacken. „Botnets bestehen meist aus einer großen Anzahl privater PCs, die von den Angreifern mit Schadsoftware infiziert wurden. Dadurch können sie professionell gemanagt und zeitweise sogar an andere weitervermietet werden“, erläutert Dr. Frank Kedziur, Head of Business Continuity, Security and Governance Practice bei BT Germany. Diese „Infrastruktur“ nutzen Angreifer, um beispielsweise DDoS-Attacken (Distributed Denial of Service) zu starten, bei denen eine Website oder Handelsplattform so intensiv mit Anfragen beschäftigt wird, dass die Seiten der angegriffenen Organisation hierdurch für andere Nutzer nicht mehr erreichbar sind.

Eine weitere Methode, vor allem um Privatanwender oder kleinere Firmen zu schädigen, sind die sogenannten Drive-by-Exploits bzw. Drive-by-Infektionen. „In diesem Fall wird ein Schadcode beim Surfen auf infizierten Websites übertragen“, so Dr. Frank Kedziur. Meist geschehe dies durch die Ausnutzung von Schwachstellen im Browser, was für den Nutzer oft nicht erkennbar ist. Auf diese Weise wird der PC des ahnungslosen Nutzers mitunter Teil eines Botnets. „In vielen anderen Fällen geht es den Angreifern um Identitätsdiebstahl im Zusammenhang mit Zugangsdaten- oder Kreditkartenmissbrauch“, betont Dr. Kedziur.

Daneben gibt es Angriffe von „Hacktivisten“ wie beispielsweise Anonymus oder LulzSec auf überwiegend große Organisationen. Laut Dr. Frank Kedziur verfolgen sie meist politische Ziele und suchen die mediale  Aufmerksamkeit, beispielsweise indem sie etwa (Kunden-)Zugangsdaten (wie z.B. von Sony) oder andere vertrauliche Daten mit dem Ziel der Rufschädigung veröffentlichen.

Die Einfallstore schließen

Die Methoden und Technologien, derer sich die Angreifer bedienen, sind höchst unterschiedlich. Mit hohem Aufwand wird etwa zunehmend das Social Engineering betrieben. „Oft werden im Vorfeld Informationen über die Firma und ihre Mitarbeiter aus sozialen Netzwerken wie Facebook, Linkedin, Xing etc. zusammengetragen“, berichtet Ralf Benzmüller, Leiter der G Data SecurityLabs. Die entsprechenden Mitarbeiter erhalten anschließend Bewerbungen, Angebote oder Mahnungen, die im Hintergrund Sicherheitslücken ausnutzen, um Spionageprogramme zu installieren. „Diese Programme durchsuchen das gesamte Netzwerk nach interessanten Informationen, installieren sogenannte Keylogger und tarnen sich mit Rootkits, die sich immer tiefer im System festsetzen – neuerdings sogar im Bios“, so Benzmüller.

Befragt nach weiteren Einfallstoren in den Unternehmen nennt Marcus Hock, Consultant für Sicherheitslösungen bei der Darmstädter Profi AG: „Web, E-Mail und Wechseldatenträger – in dieser Reihenfolge. In der jüngsten Vergangenheit verzeichneten wir zudem einen Trend zu Drive-by-Attacken auf Sicherheitslücken im Browser.“ Eine Einschätzung, die auch von anderen Experten geteilt wird. Dazu ergänzt Ralf Benzmüller: „Momentan sind Webseiten der häufigste Infektionsweg. Außerdem stehen URLs, die auf mit Schadcode verseuchte Webseiten verweisen, im Fokus der Täter.“ Immer häufiger würden zudem die Autostartmechanismen von USB-Sticks und anderen USB-Datenträgern zur Verbreitung von Schadprogrammen genutzt.

Um vor solchen Angriffen gefeit zu sein, hat Benzmüller einige Tipps zur Hand: „Die Autostartfunktion von Windows sollte möglichst deaktiviert sein und eine Software zur Gerätekontrolle für USB-Sticks genutzt werden.“ Gegen schädliche Webseiten helfen Webfilter und Sicherheitslösungen, die den HTTP-Datenverkehr überwachen. Nicht zuletzt sollten Unternehmen ihre Mitarbeiter schulen und sie so für die Thematik sensibilisieren – am besten über eine wohldefinierte Sicherheits-Policy. „Diese muss neben organisatorischen Maßnahmen (Nutzungsrichtlinien) auch technische Vorgaben beinhalten“, so Marcus Hock. Hier kommen zu klassischen Maßnahmen – wie Web-/Mail-Proxy, Patchmanagement, Endpoint-Virenscanner – noch ein Intrusion-Detection- und Intrusion-Prevention-System am Gateway sowie Endpoint-Sicherheitsmanagement für die Verschlüsselung und Schnittstellenkontrolle hinzu.

Sofortige Gegenmaßnahmen

Angesichts dieser unzähligen Bedrohungen sind Unternehmen gut beraten, ihre Sicherheitslösungen und Strategie stets auf dem neuesten Stand zu halten. „Wachsamkeit ist oberstes Gebot“, weiß Dr. Frank Kedziur. Denn die Angreifer ändern ihre Angriffsarten, -strategien und -wege ständig. Standen unlängst die Schwachstellen von Betriebssystemen im Fokus, sind es inzwischen eher die Applikationen. „Phishing geschieht nicht mehr über E-Mails mit plumpen Abfragen von PIN und TAN, sondern per Trojaner, der unbemerkt die gewünschten Informationen übermittelt“, erklärt Dr. Frank Kedziur.

Doch wie kann man auf Nummer sicher gehen? Zum einen hilft es, die eingesetzten Schutzmechanismen sowie die Schutzsoftware (Firewalls, Intrusion-Detection-Systeme, Webfilter, Antivirenlösung) stets aktuell zu halten. Permanentes Patchen lautet hier die Devise. „Zum anderen sollten die Netzübergänge auf unbefugte Zugriffe hin überwacht werden“, fordert Tillman Werner, Senior Virus Analyst bei Kaspersky Lab.

Eine zusätzliche Maßnahme stellt laut Dr. Frank Kedziur das Security Monitoring dar. Hierbei werden Firewalls, Intrusion-Detection-Systeme, sicherheitsrelevante Router und auch Datenbanken in Echtzeit rund um die Uhr von einem Spezialistenteam überwacht und bei einer entdeckten Attacke sofortige Gegenmaßnahmen empfohlen. Sollten Unternehmen diesen Aufwand nicht mit eigenen Ressourcen stemmen können, bietet sich der Bezug dieser Dienstleistung auch als Managed Service an.

Ein weiterer Schritt kann die Etablierung eines Chief Security Officer, kurz CSO, im Unternehmen sein. „Dieser muss sich allein auf die Sicherheit der IT-Infrastruktur und sonstige Sicherheitsaspekte des Unternehmens konzentrieren können“, rät Christian Wirsig, Corporate Communications Manager bei Kaspersky Lab. Um Unabhängigkeit zu gewährleisten, sollte der CSO immer direkt an die Geschäftsleitung berichten und keiner anderen Abteilung untergeordnet sein.

Die Aufgabengebiete des Sicherheitschefs reichen dabei laut Consultant Marcus Hock von der Federführung bei der Entwicklung, Umsetzung, Überprüfung und Pflege eines Information Security Management System (ISMS) bis hin zur permanenten Unterrichtung des Vorstandes über die Sicherheitslage des Unternehmens. Weitere Punkte auf der Aufgabenliste können interne Audits, eine regelmäßige Risikoanalyse aus Sicht des Business sowie das Aufsetzen von Sicherheitsschulungen für die Mitarbeiter sein.

Sollte trotz dieser Maßnahmen ein Angriff auf Unternehmensdaten gelingen, tut schnelles Handeln not. Wichtig ist, zunächst alle infizierten Systeme zu isolieren. „Vermutet man allerdings eine gezielte Attacke gegen das Unternehmen, müssen die Strafverfolgungsbehörden eingeschaltet werden“, erklärt Marcus Hock. Wichtig an dieser Stelle: Bereinigungen dürfen erst nach der Sicherstellung des forensischen Materials vorgenommen werden. Tillman Werner rät dazu, zuerst den Zweck des Angriffs und den Umfang des Schadens zu ermitteln. „Desweiteren müssen die ausgenutzten Sicherheitslücken umgehend geschlossen und Passwörter gegebenenfalls geändert werden“, ergänzt Werner. Sind Dritte mittelbar oder unmittelbar betroffen, sollten diese direkt informiert oder gewarnt werden.

Aktuelle Sicherheitsbedrohungen

Spear Phishing: Unter dieser neueren Variante des Phishing versteht man gezielte Attacken, bei denen sich der Angreifer z.B. über die Studentenvertretung einer Hochschule die Mailadressen der eingeschriebenen Studenten beschafft und an diese Phishing-Mails eines lokalen Finanzinstituts sendet. Die „Trefferquote“ bei dieser Art von Phishing-Attacken ist dabei höher als bei normalen Angriffen, da wahrscheinlich mehrere Studenten ihre Bankverbindung bei diesem Institut unterhalten. Handelt es sich beim Spear Phishing um gezielte Angriffe auf hohe Führungskräfte, spricht man auch von Whaling.
Drive-by-Infektion: Bei Drive-by-Infektionen handelt es sich um Angriffe, bei denen ein Computer – quasi im Vorbeifahren – durch das Besuchen einer Website mit Schadcode (meist ein Bot/Trojaner) infiziert wird. Dabei werden zumeist Sicherheitslücken eines Browsers ausgenutzt
Social Engineering oder Social Hacking: Damit verfolgen die Angreifer das Ziel, unberechtigt an Daten oder Dinge zu gelangen. Sie spionieren das berufliche oder persönliche Umfeld ihrer Opfer aus, täuschen falsche Identitäten vor oder nutzen Verhaltensweisen wie Autoritätshörigkeit aus, um geheime Informationen oder unbezahlte Dienstleistungen zu erlangen.

Häufige Sicherheitslücken in Unternehmen:

- Ungepatchte Standardsoftware und -applikationen
- Mitteilungsfreudige und/oder arglose Mitarbeiter
- Social Networks
- Unzureichend geschützter Remote Access
- Physikalisch unzureichend geschützte Zugänge in Verbindung mit Social Engineering

Tipps für eine schnelle Schadensbegrenzung:

- Schnellstmögliches Stoppen des Angriffs
- Möglichst wenig Veränderungen an und in den betroffenen Systemen, um bei forensischen Untersuchungen eine Chance zu haben
- Information der Polizei und anderer Behörden zwecks Identifizierung und Verfolgung der Täter
- Beseitigung von Schadcode, Viren etc. sowie Wiederherstellung eines sicheren Betriebes
- Unverzüglich nach Klärung des Schadens: Information der Betroffenen und Beteiligten, alle Erfahrungen erfassen und dokumentieren, verbesserte Sicherheitsmaßnahmen implementieren, ein Security Monitoring in Betrieb nehmen

Quelle: Dr. Frank Kedziur, BT Germany

Bildquelle: © iStockphoto.com/inkit