Top 20 der häufigsten Hacker-Verhaltensweisen
Als die „OWASP Top 20“-Sicherheitslücken erstmals veröffentlicht wurden, revolutionierten sie den Ansatz unserer Branche im Bereich des Schwachstellenmanagements. Anstatt jedes Mal, wenn eine neue Schwachstelle entdeckt wurde, „Whack-a-Mole“ mit Tausenden einzelner Schwachstellen zu spielen, gingen wir das Schwachstellenmanagement so an, dass wir uns in erster Linie auf diese 20 wichtigsten Techniken konzentrierten.
Die immer noch als "fortschrittlich" geltende Verhaltenserkennung hat gerade erst begonnen, den Mainstream zu erreichen. Doch wie die von uns unterstützten Incident-Response-Fälle (IR) immer wieder bestätigen, liegt die Akzeptanz bei 90 % der mittleren und kleinen Unternehmen noch immer im Rückstand. Es ist nicht mehr unumstritten, dass Unternehmen, um moderne Angriffe zu erkennen und zu stoppen, über Verhaltensüberwachungsfunktionen verfügen müssen, insbesondere auf dem Endpunkt.
Ein Problem besteht darin, dass uns suggeriert wurde, dass wir bei der Einführung von Verhaltenserkennung hohe Kosten in Kauf nehmen müssen, um alle möglichen Angreiferverhalten möglichst umfassend abzudecken. Das ist irreführend.
Unsere Absicht bei der Erkennung in den meisten Unternehmen (d. h. in denjenigen, die kein Vollzeit-Bedrohungsanalyse-Team haben) sollte darin bestehen, sich nicht mehr auf einzelne, neuartige Angriffstechniken zu konzentrieren, sondern auf die Verteidigung gegen die 20 am häufigsten beobachteten ATT&CK-Techniken, die sich auch überwachen lassen. Das sind die Techniken, auf die es wirklich ankommt, und mit denen sich mehr Bösewichte häufiger erwischen lassen.
Die folgende Liste wurde aus unseren eigenen Daten zusammengestellt und mit verschiedenen forensischen Berichten über beobachtete Angriffe in den letzten Jahren abgeglichen:
TOP 20 DER GEGNERISCHEN TECHNIKEN:
| Rang | Taktik | Id | Technik |
| 1 | Ausführung | T1059 | Befehlszeilenschnittstelle / Powershell |
| 2 | Erster Zugang | T1078 | Gültiger Kontomissbrauch |
| 3 | Entdeckung | T1082 | Ermittlung von Systeminformationen |
| 4 | Persistenz | T1060 | Registry Run Keys |
| 5 | Zugang zu Anmeldeinformationen | T1003 | Berechtigungsnachweis-Dumping |
| 6 | Seitliche Bewegung | T1021 | Entfernte Dienste |
| 7 | Ausführung | T1055 | Prozess-Injektion |
| 8 | Persistenz | T1053 | Geplante Tasks |
| 9 | Defensives Ausweichen | T1218 | Signierte binäre Proxy-Ausführung |
| 10 | Persistenz | T1547 | Boot-/Logon-Autostart-Ausführung (insb. Verknüpfungsänderung) |
| 11 | Ausführung | T1047 | Windows-Verwaltungsinstrumentierung (WMI) |
| 12 | Umgehung der Verteidigung | T1036 | Maskerade |
| 13 | Privilegien-Eskalation | T1574 | Hijack-Ausführungsablauf |
| 14 | Umgehung der Verteidigung | T1027 | Verdeckte Dateien oder Informationen |
| 15 | Umgehung der Verteidigung | T1497 | Virtualisierung/Sandbox-Umgehung |
| 16 | Seitliche Bewegung | T1544 | Entfernte Dateikopie |
| 17 | Umgehung der Verteidigung | T1089 | Deaktivieren von Sicherheitstools |
| 18 | Erster Zugang | T1190 | Öffentlich zugängliche Anwendung ausnutzen |
| 19 | C2 | T1219 | Fernzugriffssoftware (z. B. RDP) |
| 20 | C2 | T1505 | Webshells |
Wenn es um diese Verhaltensweisen geht, bedeutet "üblich" nicht "Standard" oder "weniger fortschrittlich", sondern sie sind üblich, weil erfolgreiche Angreifer sie nutzen, um den bestehenden Schutz und die Vorbeugung zu umgehen. Dies sind die Techniken, die die fortgeschrittenen Akteure verwenden, und sie sind in den Händen der Standardakteure durch Frameworks wie Cobalt Strike.
Wenn Sie also Ihre Erkennungsfunktionen gegen diese 20 Techniken robust machen, erhalten Sie mehr für Ihr Geld als bei jedem anderen Ansatz und sparen gleichzeitig Zeit und Geld für die Suche nach "Bluebird"-Techniken und Verhaltensweisen, die Sie in Ihrem Netzwerk höchstwahrscheinlich nicht sehen werden.
Ist Top 20 genug?
Ja!
Wir reagieren auf zahlreiche Angriffe und beschäftigen uns seit über einem Jahrzehnt mit der Aufspürung und Abwehr von Bedrohungen in großen und kleinen Unternehmen. In dieser Zeit gab es nur sehr wenige Angriffe, deren Verhaltensmuster sich nicht mit der oben genannten Liste der 20 Merkmale überschnitten, auf die Sie heute achten sollten.
Als SolarWinds Solarigate alias SUNBURST im Dezember 2020 auf den Markt kam, sagten alle, dass dies eine Neuheit sei; und der Einstiegsvektor war es sicherlich auch. Sobald man sich jedoch näher damit befasste, konnte man die gleichen Top-20-Verhaltensweisen beobachten: Die neuartige Schwachstelle in der Versorgungskette wurde genutzt, um böswillige Powershell (T1059), Skripte (T1059), Speicherinjektionen (T1055), Techniken für laterale Bewegungen (T1544) und Anmeldedaten-Dumping (T1003) zu verbreiten.
Als Hafnium Exchange-Server mit den neuesten Exchange-Zero-Days angriff, sahen wir dasselbe: neue, neuartige Eintrittsvektoren, die zu vielen der 20 häufigsten Verhaltensweisen führen, wie WebShells (T1505), die PowerShell-Befehle erzeugen (T1059) und Cobalt Strike in den Speicher injizieren (T1055).
Jeder, der die 20 wichtigsten Verhaltensweisen von Angreifern effektiv überwacht, konnte die Entwicklung dieser Angriffe beobachten, und ich gehe davon aus, dass die nächste große Schwachstelle ebenfalls durch Überwachung dieser Verhaltensweisen gefunden wird.
Schlussfolgerung
Letztendlich ist der „Top-20“-Ansatz eine Anerkennung der Tatsache, dass nicht alle Techniken zur Erkennung von Angriffen überwacht oder als Warnsignal genutzt werden müssen. „Defense in Depth“ funktioniert nach wie vor: Jede Taktik und Technik, die Sie im Blick haben, ist eine Erkennungsmöglichkeit in der Angriffskette, und die Top 20 sind umfassend genug, um Sie selbst vor einigen der raffiniertesten Angreifer zu schützen. Wir alle haben nur begrenzte Ressourcen; streben Sie nicht nach maximaler Abdeckung, sondern konzentrieren Sie sich auf die „Top 20“. Mit diesen 20 gibt es nur äußerst wenige Angriffe, die jemals unbemerkt bleiben könnten.
