„Ost-West-Verkehr“: Unsichtbare Gefahr in Unternehmensnetzen

Im Zuge der Entwicklung der Bedrohungslandschaft werden in vielen Unternehmens Budgets für die Aufstockung von Sicherheitsteams und die Erweiterung der Verteidigungsmaßnahmen am Netzwerkperimeter erweitert. Ziel dabei ist es die Bedrohungserkennung zu verbessern und die Triage zu beschleunigen. Leider ist dies nach Meinung von Vectra, Experte für Cybersicherheit auf Basis künstlicher Intelligenz, eine falsche Prämisse.

In einem Blog macht etwa Gartner deutlich: „Seit Jahren ist die Idee der Erkennung von Netzwerkbedrohungen gleichbedeutend mit Intrusion Detection and Prevention Systems (IDPS).“ Weiter heißt es: „Die heutigen NTA-Systeme (NetFlow Traffic Analyzer; d. Red.) tragen etwas DNA von den frühen Anomalie-basierten IDS-Systemen, aber sie unterscheiden sich im Wesentlichen in ihrem Zweck und konzentrieren sich viel weniger auf das Erkennen der erstmaligen Versuche, ins Netzwerk einzudringen“, so Gartner. „Die Unterschiede im Einsatzzweck und den bevorzugten Ansätzen haben die Praxis der Nutzung von Netzwerkdaten zur Sicherheit auf andere moderne Tools wie die NTA ausgedehnt.“

Während es mehrere Gründe gibt zugunsten dieser Argumentation, ist die Fähigkeit, den Ost-West-Verkehr im Netzwerk sichtbar zu machen, grundlegend. Ein Unternehmen befindet sich in seinem verwundbarsten Zustand, sobald so eine Seitwärtsbewegung (Lateral Movement) eintritt. Die Schwachstellen wurden bereits ausgenutzt und der Perimeter wurde umgangen. „Angreifer sind schnell und breiten sich seitlich zu anderen strategischen Punkten im Netzwerk aus, sammeln Informationen und exfiltrieren oder zerstören Daten. Dies gilt auch dann, wenn dieselben Unternehmen auf Hinweise für Insider-Bedrohungsaktivitäten stoßen“, so Gérard Bauer, VP EMEA bei Vectra.

Dieser Ansatz ist nachvollziehbar, wirft aber zwei praktische Fragen auf: Nach welchem Verhalten sollte man überhaupt suchen und wie kann man dieses Verhalten effizient und genau identifizieren? Vectra beobachtet und identifiziert das Verhalten von Querbewegungen in den Netzwerken seiner Kunden, wenn sie sich dafür entscheiden, Metadaten mit Vectra zu teilen. Im jüngsten Attacker Behavior Industry Report, der auf der RSA-Konferenz 2019 veröffentlicht wurde, wurde dies als ein immer häufigeres Verhalten eingestuft.

Wie sollten Sicherheitsteams ausgestattet werden, um Querbewegungsverhalten zu identifizieren? Hierzu ist empfehlenswert, die Wirksamkeit der bestehenden Prozesse und Tools zu bewerten, um die folgenden Verhaltensweisen zu erkennen und schnell darauf zu reagieren:

  • Automatisierte Replikation. Ein internes Host-Gerät sendet ähnliche Nutzlasten an mehrere interne Ziele. Dies kann das Ergebnis sein, wenn ein infizierter Host einen oder mehrere Exploits an andere Hosts sendet, um zu versuchen, weitere Hosts zu infizieren.
  • Brute-Force-Bewegung. Ein interner Host führt übermäßige Anmeldeversuche auf einem internen System durch. Dieses Verhalten erfolgt über verschiedene Protokolle (zum Beispiel RDP, VNC, SSH) und könnte auf eine Speicherabsturzaktivität hinweisen.
  • Bösartige Aktivitäten in Kerberos-Konten. Ein Kerberos-Konto wird über das normale Maß verwendet und die meisten Anmeldeversuche scheitern.
  • Verdächtiges Administratorverhalten. Das Host-Gerät verwendet Protokolle, die mit administrativen Aktivitäten (zum Beispiel RDP, SSH) in einer Weise korrelieren, die als verdächtig angesehen wird.
  • Brute-Force-Bewegung über SMB (Server Message Block). Ein interner Host verwendet das SMB-Protokoll, um viele Anmeldeversuche mit den gleichen Konten durchzuführen. Dieses Verhalten steht im Einklang mit Brute-Force-Passwortangriffen.

„Natürlich variieren Schweregrad und Häufigkeit je nach Branche. Welches Verhalten in der jeweiligen Branche am häufigsten vorkommt, zeigt ebenfalls der Attacker Behavior Industry Report von Vectra auf“, erläutert Gérard Bauer. Mit KI-basierten Plattformen sei ein sehr breites Spektrum an Verhaltensweisen von Angreifern erfassbar, mit denen Unternehmen heute konfrontiert werden.

Bild: Pixabay