Cyber Security Compromise Assessments vs. Vulnerability Assessments
Auf der Internationalen Konferenz für Cybersicherheit und -intelligenz referierten Infosec-Führungskräfte - darunter CISOs mit umfassender Erfahrung in der Cyberabwehr und die führenden Vordenker in den Bereichen Cyber Threat Intelligence, Incident Response, Threat Hunting und Endpoint Detection - über die Bedeutung von Proaktivität gegenüber Reaktivität bei der Abwehr von Cyberangriffen.
Im Rahmen einer proaktiven Sicherheitsstrategie empfahl der Referent Nik Alleyne, Senior Manager für Cybersicherheit bei der Forsythe Solutions Group, Schwachstellenanalysen und regelmäßige Penetrationstests.
Diese Red-Team-Aktivitäten sind zwar wichtige Instrumente zur Bewertung der Cybersicherheit und des gesamten IT-Risikos, aber sie beantworten nur die Hälfte des Sicherheitsparadoxons: "Kann ich gehackt werden?" Sie beantworten nicht die viel wichtigere Frage: "Bin ich bereits gehackt worden?"
Angesichts der zunehmenden globalen Vorschriften zum Datenschutz in Unternehmen, von der GDPR in Europa bis zum neuen NIST-Framework in den USA, müssen Informationssicherheitsmanager in der Lage sein, Sicherheitsverletzungen, böswillige Aktivitäten und Indikatoren für eine Gefährdung (Indicators of Compromise, IOCs), die bereits in ihren IT-Umgebungen vorhanden sind, schnell zu erkennen und zu beheben.
Darüber hinaus müssen Sicherheitsanalysten in der Lage sein, schnell zu überprüfen, ob ihr Netzwerk und ihre Endpunkte tatsächlich frei von Malware, Bedrohungsakteuren, APTs, die zu lateralen Bewegungen fähig sind, und nicht autorisiertem oder Remote-Zugriff sind. Genau aus diesem Grund ist die Bewertung Ihres Cybersicherheitsrisikos mit einem Security Compromise Assessment wichtiger als ein Schwachstellen-Scan, Penetrationstests und/oder eine Analyse des Netzwerkverkehrs.
Was ist eine Bewertung von Cybersicherheitslücken?
Jede proaktive Cybersicherheitsstrategie muss eine Sicherheits-/Risikobewertung Ihres aktuellen Ökosystems und des Zustands Ihrer Netzwerkumgebung umfassen. Ausgefeilte Bedrohungsakteure, fortschrittliche persistente Bedrohungen und andere neue Arten von Malware (z. B. dateilose Malware und polymorphe Malware) sind oft monatelang, manchmal sogar jahrelang, in einer IT-Umgebung aktiv, bevor sie entdeckt und beseitigt werden.
Wie die wachsende Zahl von Datenschutzverletzungen zeigt, reichen die vorhandenen Technologien nicht mehr aus, um Bedrohungen (und Angreifer) daran zu hindern, in Ihr Unternehmen einzudringen. Schwachstellenbewertungen und Penetrationstests suchen zwar nach Sicherheitslücken und Schwachstellen, erkennen aber nicht die bestehenden Kompromittierungen und die zugrunde liegenden Angreiferaktivitäten. Die Unternehmen von heute müssen ihr Sicherheitsprogramm um Kompromissbewertungen erweitern, um proaktiv zu überprüfen, ob ein Netzwerk bereits angegriffen wurde, und um das Risiko effektiver zu mindern. Dies ermöglicht eine schnellere Reaktion auf Sicherheitsvorfälle und erlaubt es Netzwerkmanagern, schnell zu handeln und Cyberangriffe nahezu in Echtzeit zu beheben.
Da sich eine Sicherheitsbewertung auf die Identifizierung bisher unbekannter, erfolgreicher oder laufender Sicherheitsverletzungen konzentriert, müssen die für die Bewertung verwendeten Tools und Techniken in der Lage sein, Aktivitäten nach der Sicherheitsverletzung, ruhende und versteckte Malware, die böswillige Nutzung von Anmeldeinformationen sowie Command-and-Control-Datenverkehr (C2) zu erkennen.
Dies unterscheidet sich von herkömmlichen protokollbasierten EDR-Plattformen und Lösungen zur Analyse des Netzwerkverkehrs, die sich auf die Früherkennung von Cyberangriffen, Exploits und Malware-Installationen konzentrieren. Diese Plattformen und Techniken versuchen, den Erfolg eines Angriffs zu verhindern oder einen Angriff früh genug zu erkennen, um den Schaden (z. B. die Datenexfiltration) bei einer Datenverletzung zu verringern.
Bewertung Ihres Kompromissstatus
Wie bewerten Sie den gefährdeten Zustand Ihrer Umgebung? Es gibt zwar eine Handvoll benutzerdefinierter Methoden für die Bewertung von Cyber-Sicherheitskompromittierungen, aber diese sind oft mit Reaktionsdienstleistungen gebündelt, die hauptsächlich manuelle Prozesse verwenden, um Protokolle und Analysen von Sicherheitssystemen und Ereignisprotokollierungsplattformen zu durchkämmen - was manchmal Monate dauert und mit Rauschen, d. h. falsch positiven und falsch negativen Ergebnissen, behaftet ist.
Was jetzt (und in Zukunft) benötigt wird, ist ein Ansatz, der automatisches Scannen einsetzt, um den Prozess der Bewertung Ihrer Umgebung auf bösartige Cyber-Bedrohungen zu beschleunigen.
Wir haben festgestellt, dass unabhängige Scans der Endpunkte Ihres Netzwerks mit einer Methode namens Forensic State Analysis (FSA) der effektivste Ansatz sind. Ein FSA-basierter Ansatz ermöglicht es Ihnen,:
- Identifizieren Sie alle Endpunkte (Hosts, Systeme, Server und Workloads) innerhalb Ihrer Netzwerkumgebung
- Scannen Sie Endgeräte auf installierte Anwendungen und identifizieren Sie Schwachstellen
- Erkennen Sie unbekannte Bedrohungen - aktiv oder inaktiv - einschließlich Malware, verdächtigem Code, Skripten, Autostarts, Speicherinjektionen, Prozessen und mehr
- Prüfen Sie gesammelte Bedrohungsdaten und verwertbare Erkenntnisse für eine rasche Abhilfe und schnellere Reaktion auf Cybersecurity-Vorfälle
- Schnelle Identifizierung von Eintritts- und Austrittspunkten sowie Ursachenanalyse (RCA), damit die Einsatzkräfte den "Patient Zero" (den ersten infizierten Rechner, Host oder System) ausfindig machen und isolieren können
- Kosteneffiziente Durchführung einer vollständigen Cybersicherheits-Kompromittierung und Risikobewertung innerhalb weniger Tage, nicht Monate (wie bei den meisten CA-Lösungen)
- Führen Sie Kompromissbewertungen so oft wie nötig durch: täglich, monatlich, vierteljährlich, jährlich usw.
Ein ganzheitlicher Ansatz für Netzwerksicherheit, Endgerätesicherheit und allgemeine IT-Sicherheit
Alleyne sprach auch über die Bedeutung von "Cyber Threat Hunting" zur Unterstützung eines proaktiven Sicherheitsansatzes. Die Suche nach Cyber-Bedrohungen ähnelt einer Gefährdungsbeurteilung, doch anstatt Bedrohungen einfach nur aufzudecken, versuchen Bedrohungsjäger, sie zu isolieren, einzudämmen, zu beseitigen und eine Zertifizierung nach dem Vorfall durchzuführen (um zu überprüfen, ob die Bedrohungen tatsächlich entfernt wurden). Im Grunde genommen ist Threat Hunting eine Reaktion auf einen Cyber-Sicherheitsvorfall, ohne den Vorfall.
Die Ermittlung des anfänglichen Gefährdungsstatus Ihrer IT-Umgebung ist ein guter Anfang, aber Unternehmen müssen die laufende Erkennung von Bedrohungen nach einem Einbruch als proaktive Maßnahme in die Sicherheitsabläufe integrieren. Dieser Ansatz ermöglicht es den Sicherheits- und Betriebsteams, einen iterativen Prozess zur Erkennung von Infektionen zu entwickeln, die von defensiven Technologien (EDR, AV usw.) oft übersehen werden, und den Schaden zu begrenzen, der durch versteckte, anhaltende Kompromittierungen entstehen kann.
Datto macht es Unternehmen leicht, Bewertungen von Sicherheitsrisiken und die laufende Suche nach Cyber-Bedrohungen in eine proaktive Strategie für das Informations- und IT-Risikomanagement einzubinden.
Mit unserer zum Patent angemeldeten FSA-Methode werden alle Endpunkte in Ihrer Umgebung (Workstations, Server, Workloads und Geräte) gescannt. Die HUNT-Untersuchung validiert alles, was auf ihnen läuft, was möglicherweise zur Ausführung veranlasst wird (über einen Autostart- oder Persistenzmechanismus) und analysiert den flüchtigen Speicher jedes Systems, um Anzeichen für Manipulationen oder versteckte Prozesse zu entdecken. Datto verfügt über die einzigartige Fähigkeit, diese Inspektionen agentenlos durchzuführen. Das bedeutet, dass auf den zu überprüfenden Systemen keine Software vorinstalliert werden muss und dass Datto völlig unabhängig von der bestehenden Sicherheitsinfrastruktur des Netzwerks arbeitet, so dass die Ergebnisse nicht verfälscht werden.
Schlussfolgerung
Unsere Netzwerke werden immer ein gewisses Maß an Anfälligkeit aufweisen, da Unternehmen darum kämpfen, entschlossene Angreifer von ihren Netzwerken fernzuhalten, und erfahrene Angreifer können sich erfolgreich über Monate, manchmal sogar Jahre, verstecken, bevor sie entdeckt werden. Solange Sie den aktuellen Gefährdungsstatus Ihres Netzwerks nicht messen können, ist Ihr Cybersicherheits-Risikoprofil unvollständig.
