Cyberangriffe erkennen und abwehren

Um Cyberattacken wirksam abwehren zu können, sollten Unternehmen Lösungen einsetzen, mit denen sich Schwachstellen aufdecken lassen, so dass sich Risiken ihrer Infrastruktur verringern lassen. Um sicherheitsrelevante Angriffe frühzeitig zu erkennen, sollten diese Ereignisse gesammelt und gegebenenfalls Gegenmaßnahmen ergriffen werden. Letztere, sogenannte SIEM-Lösungen (Security Information and Event Management), ermöglichen dies basierend auf den zusammengeführten Informationen von Log-Dateien.

Jedoch sind SIEM-Systeme meist sehr umfassend und komplex, weil sie für Anforderungen von sehr großen Unternehmen entwickelt wurden. Diese beschäftigen intern oder extern mehrere Dutzend Experten in Security Operation Centern. Gerade mittelständische Unternehmen stehen vor einem dreiseitigen Problem: eine hohe Bedrohungslage, strenge Vorschriften und knappe Ressourcen. Gesetzlich sind sie oftmals gezwungen, den Mindeststandard für Informationssicherheit zu erfüllen und ein System zur Erkennung und Protokollierung von Log-Einträgen einzusetzen; was implizit bedeutet, so etwas Ähnliches wie SIEM nutzen zu müssen. Zudem können die meisten Mittelständler schlichtweg weder die personellen noch die finanziellen Ressourcen aufbringen, um umfassende Lösungen zu installieren. Dabei ist es wichtig, dass die Unternehmen wissen, was überhaupt auf ihren Systemen passiert.

Zentrale Alarmanlage zum Aufspüren von Anomalien

Es gilt, Anomalien zu erkennen, diese Informationen zu komprimieren, und innerhalb von Sekunden auf verdächtige Ereignisse zu reagieren. Ein typisches Beispiel für sicherheitsrelevante Ereignisse, auf die ein Unternehmen aktiv reagieren muss, ist das Einloggen an einem Rechner um 22 Uhr, mit einer Anmeldung als Admin sowie zehn Versuche in weniger als 20 Sekunden, das Passwort einzugeben. Darauf kann das Herunterfahren des File-Servers eine geeignete Gegenmaßnahme sein, um etwa einen Verschlüsselungstrojaner zu verhindern.

In der Praxis bietet sich für mittelständische Unternehmen an, sofern der Ressourcenaufwand gering bleiben soll, schlanke SIEM-Lösungen zu nutzen und den Schwerpunkt der Abwehr zunächst auf die kritischen, geschäftsentscheidenden Systeme zu legen. Je nach Branche können dies beispielsweise ERP-, CRM- oder Produktionssysteme von Firmen sein oder etwa in Krankenhäusern die KIS- und daran angeschlossene Systeme. Ein Vorteil ist, dass die eigene IT-Abteilung solche Systeme einfacher bedienen kann, weil sie einzelne Events nicht zu überwachen braucht und somit nicht überlastet wird. Außerdem vermeiden die Unternehmen Betriebsunterbrechungen, die von Cyberangriffen verursacht werden. Diese sind meist sehr kostspielig und können weitere Folgekosten aufgrund von Produktionsausfällen, des Diebstahls geistigen Eigentums oder Reputationsverlusten nach sich ziehen.

Ein praktikabler Ansatz sind etwa Lösungen, mit dem sich Unternehmen auf der Basis von Standardvorlagen ein SIEM-System konfigurieren können, das sich um zusätzliche Regeln für die Anomalie-Erkennung ergänzen lässt. Die Vorgehensweise besteht darin, kritische Systeme (z.B. ERP) im Zusammenhang mit anderen Systemen zu verstehen und durch Mapping zusammenbringen und umfasst drei Schritte: Historische Daten ansehen, Standard-Templates nutzen, wie beispielsweise User Logon Failures und Regeln aufstellen, sofern kein Template existiert.

Zum Beispiel bietet ein Tool wie der Security Event Manager (SEM) – beispielsweise der Solarwinds SEM – eine Lösung. Mit vorgefertigten Log-Filter, Threat Detections und Templates für Active Response steht ein leistungsstarker Security Event Manager in kurzer Zeit zur Verfügung. Dabei bietet die Connectware Distributions GmbH Unterstützung remote oder vor Ort. Dank einer speziellen Protokollkomprimierungsrate können Unternehmen mehr Daten mit weniger Ressourcen speichern.

Bildquelle: Getty Images / iStock / Getty Images Plus