Angriffspfadanalyse stärkt Business-Resilienz

Angriffspfadanalyse stärkt Business-Resilienz

In den meisten Unternehmen setzt laut einer Analyse von Zero Networks ein einziger kompromittierter Endpunkt 85 Prozent der Umgebung direkt einem Risiko aus. So ergab der 2026 Lateral Movement Exposure Report, dass 12,2 Prozent der Enterprise-Umgebungen mindestens einen administrativen Pfad vom Benutzer zum Server offenlegen. Damit können Angreifer einen direkten Weg vom kompromittierten Endpunkt zu den „Kronjuwelen“ nutzen.

Zusammenfassung (TL; DR):

• Eine Angriffspfadanalyse bewertet die tatsächliche Cyber-Risikoexposition von Unternehmen, indem sie potenzielle Routen von einem Einstiegspunkt zu kritischen Ressourcen aufdeckt.
• In Kombination mit einer Business Impact Analysis ermöglicht sie es Sicherheitsverantwortlichen, Schutzmaßnahmen gezielt zu priorisieren und die Business-Resilienz zu stärken.
• Sie können sich weiter über die Analyse von Angriffspfaden informieren.

Verständnis über Cyber-Risikoexposition fehlt oft

Zwar wissen die meisten Unternehmen, welche Ressourcen für sie kritisch sind, doch weitaus weniger haben ein klares Verständnis ihrer tatsächlichen Cyber-Risikoexposition – oder wissen, was sie dagegen tun können. Die meisten Unternehmen sind noch dabei, die externen und internen KI-Bedrohungen zu verstehen, geschweige denn einen Weg zu finden, diese unter Kontrolle zu bringen.

Eine Angriffspfadanalyse verfolgt den Weg, den ein Angreifer vom ersten Kompromittierungspunkt bis zu einer kritischen Ressource nehmen könnte. Sie bewertet auch die Kontrollmaßnahmen, die dem im Wege stehen, um das tatsächliche Ausmaß der Gefährdung aufzudecken. Dies lässt sich schrittweise mit Erfassung, Modellierung und Angriffspfadanalyse durchführen oder mithilfe kostenloser Tools wie Breach Map von Zero Networks automatisieren.

Die Analyse von Angriffspfaden als Teil einer Business Impact Analysis (BIA) ermöglicht es Sicherheitsverantwortlichen, eine Strategie zur Cyber-Resilienz zu entwickeln, die direkt auf die Geschäftsergebnisse ausgerichtet ist. Eine BIA ermittelt, welche Ressourcen kritisch sind und welche Kosten Ausfallzeiten verursachen würden. Die Angriffspfadanalyse verdeutlicht, wie stark diese kritischen Ressourcen gefährdet sind, und identifiziert vorrangige Maßnahmen für Sicherheitsverantwortliche, die Ziele im Bereich der Cyber-Resilienz verfolgen.

Angriffspfadanalyse, Angriffsvektor und Angriffsfläche

Sicherheitsteams haben es bei der Erfassung und Bewertung von Angriffspfaden im Rahmen einer BIA mit drei miteinander verbundenen, aber dennoch unterschiedlichen Begriffen zu tun:

• Angriffsfläche ist die Summe aller Punkte in der Umgebung, an denen ein Angreifer potenziell Zugang erlangen oder eine Schwachstelle ausnutzen könnte – jeder exponierte Port, jede Identität, jeder Endpunkt, jede Cloud-Workload und jede Integration von Drittanbietern. Je größer und komplexer die Umgebung ist, desto größer ist die Angriffsfläche.
• Ein Angriffsvektor ist die spezifische Methode, mit der ein Angreifer einen Punkt der Angriffsfläche ausnutzt und sich einen ersten Zugang verschafft. Beispielsweise sind kompromittierte Anmeldedaten oder die Ausnutzung von Schwachstellen gängige Angriffsvektoren.
• Ein Angriffspfad ist die Route, die ein Angreifer nach dem ersten Zugriff durch die Umgebung zurücklegt, um kritische Ressourcen zu erreichen – der Umfang des Schadens, den er dabei anrichten könnte, bildet den Ausbreitungsradius in einem Unternehmen.

Mit anderen Worten: Die Angriffsfläche beschreibt, was kompromittiert werden kann, ein Angriffsvektor ist, wie Kompromittierungen erfolgen können, und Angriffspfade veranschaulichen, wohin Angreifer nach dem Erlangen des ersten Zugriffs gelangen können, um schließlich kritische Systeme zu erreichen.

Kartierung von vier Angriffsvektoren für jedes kritische Asset

Ausgehend von den geschäftskritischsten Assets sollten Sicherheitsteams Angriffspfade anhand von Szenarien analysieren, die die heutige Bedrohungslandschaft widerspiegeln:

• Kompromittierter Benutzer: Ein Standardbenutzerkonto, das durch Phishing, Diebstahl von Anmeldedaten oder Malware kompromittiert wurde.
• Kompromittierte Cloud-Identität oder KI-Agent: Gestohlene Anmeldedaten oder Sitzungstoken für eine SaaS-, IaaS- oder agentenbasierte Identität, die häufig ausgenutzt werden, um über Verbundmechanismen, Single-Sign-On-Vertrauensbeziehungen oder den ständigen Zugriff eines KI-Agenten in lokale Ressourcen vorzudringen.
• Eindringen über den technischen Perimeter: Ausnutzung eines mit dem Internet verbundenen Geräts oder Dienstes, wie z. B. eines VPN-Konzentrators, einer Edge-Firewall oder einer öffentlich zugänglichen Webanwendung, um Codeausführung zu erlangen und einen Fuß in die Tür für weitere laterale Bewegungen zu gewinnen.
• Zugriff durch vertrauenswürdige Anbieter/Drittparteien: Eine kompromittierte oder böswillige Drittpartei, die bereits bestehenden privilegierten Zugriff nutzt, wie z. B. eine VPN-Verbindung eines Anbieters oder eine API-Integration, um interne Systeme zu erreichen.

Erfassung, Modellierung und Pfadfindung

Nachdem Sicherheitsteams kritische Assets und relevante Angriffsvektoren identifiziert haben, können sie damit beginnen, die Angriffspfade zu kartieren, anhand derer sie die Gefährdung analysieren. Manuell erfolgt dies in der Regel in drei Phasen:

Erfassung: Bestandsaufnahme von Systemen, Identitäten und Verbindungen

Das Aufdecken von Angriffspfaden beginnt mit einem genauen Überblick über alle Netzwerkressourcen, Identitäten und Verbindungen – einschließlich Dienstkonten, KI-Agenten und anderer oft nur unzureichend überwachter Teile des Netzwerks. Ziel ist es, effektiv nachzuverfolgen, wie diese zu einem ausnutzbaren Pfad beitragen könnten.

Modellierung: Kommunikationswege aufdecken

Die Bestandsaufnahme lässt sich in eine grafische Darstellung umwandeln, was über On-Premises-Umgebungen, die Cloud, IoT/OT und Kubernetes erreichbar ist: welche Systeme und Identitäten auf welche Ressourcen zugreifen können, über welche Vertrauensbeziehungen und ob dieser Zugriff im Routinedatenverkehr sichtbar ist oder nicht.

Pfadfindung: Ausnutzbare Schritte miteinander verknüpfen

Ausgehend von einem vordefinierten Einstiegspunkt gilt es die Routen zu verfolgen, die ein Angreifer ausnutzen könnte und die zu einer kritischen Ressource führen. Im Enterprise-Maßstab erfordert dies in der Regel Algorithmen zur Graphdurchquerung, um jeden Pfad aufzulisten, der von einem Einstiegspunkt zu einer bestimmten Ressource erreichbar ist.

Die wichtigsten Prioritäten und Investitionen für die Business-Resilienz

Nach der Analyse der Angriffspfade benötigen Sicherheitsverantwortliche eine Bestandsaufnahme geschäftskritischer Ressourcen und deren Kritikalität sowie einen Überblick über alle Pfade von gängigen Einstiegspunkten zu diesen kritischen Ressourcen. Ebenso erforderlich ist eine Aufschlüsselung, wie anfällig die ausnutzbaren Pfade tatsächlich sind, gemessen an den Eindämmungsmaßnahmen.

Das Ziel besteht darin, die Stellen zu ermitteln, an denen geschäftliche Auswirkungen und Abwehrbereitschaft am stärksten zusammenlaufen. Ein Beispiel wäre ein Abrechnungssystem, das aufgrund seiner hohen Auswirkungen auf den Umsatz eine extrem niedrige Ausfallschwelle aufweist, aber über kompromittierte Zugangsdaten innerhalb von zwei Schritten der lateralen Bewegung direkt zugänglich ist. Ein solcher Fall sollte als hohe Priorität eingestuft werden.

Cyber-Resilienz direkt mit den geschäftlichen Auswirkungen verknüpfen

Sind die Prioritäten definiert, verfügen Sicherheitsverantwortliche über einen Plan, um Cyber-Resilienz direkt mit den geschäftlichen Auswirkungen zu verknüpfen. Resilienzstrategien sollten dabei helfen, Risikobelastungen aufzudecken und die Dringlichkeit zu definieren mittels folgender Maßnahmen:

• Erhöhung der Pfadlänge oder vollständige Beseitigung von Pfaden zu kritischen Ressourcen: Granulare Netzwerksegmentierung, zusätzliche Authentifizierungsgrenzen und Kontrollpunkte können komplette Kompromittierungsszenarien vereiteln.
• Privilegienrisiken reduzieren: Dies erfordert es, persistente privilegierte Zugriffe zu beseitigen, den Geltungsbereich von Dienstkonten einzuschränken und eine Just-in-Time-Reauthentifizierung oder zusätzliche Authentifizierungsanforderungen für kritische Ressourcen einzuführen.
• Kontrollen auf Datenebene durchsetzen: Die Implementierung granularer identitätsbasierter Zugriffskontrollen und Verschlüsselung ruhender Daten begrenzt den Schaden, den ein Angreifer anrichten kann, falls es ihm gelingt, kritische Systeme zu erreichen.

Business-Resilienz von Grund auf

Bei der Priorisierung von Investitionen in die Business-Resilienz sollten Unternehmen die Verfügbarkeit durch automatisierte, identitätsgesteuerte Mikrosegmentierung sicherstellen. Dazu müssen sie die Angriffspfade mit den größten geschäftlichen Auswirkungen im Verhältnis zur Eindämmungsfähigkeit identifizieren. Anschließend lassen sich Kontrollen implementieren, die die Länge der Angriffspfade vergrößern oder ganze Angriffsszenarien ausschalten. Ebenso gilt es, die Gefährdung durch Zugriffsrechte zu minimieren und den potenziellen Schaden an Schlüsselressourcen zu begrenzen.

Häufige Fragen (FAQ)