Cyberangriffe und Abwehr in der Praxis

Cyberangriffe und Abwehr in der Praxis: Kernpunkte

Ein Cyberangriff endet nicht damit, dass eine einzelne Schwachstelle ausgenutzt wird, sondern verläuft in Stufen: Eindringen, Aufbau eines Brückenkopfs, Ausweitung der Rechte, Bewegung im Inneren und Ausführung des eigentlichen Ziels. Auch die Verteidigung darf nicht nur daran denken, am Eingang zu stoppen; von einer Organisation wird erwartet, dass sie unter der Annahme, dass Angreifer eindringen, Mechanismen hat, um Angriffe früh zu entdecken, ihre Ausbreitung zu stoppen, Beweise zu sichern, die Ursache zu beseitigen und daraus zu lernen. Hier wird aus Sicht der Verteidigung behandelt, wie Organisationen tatsächlich angegriffen werden und wie sie sich schützen.

Zuerst wird der Ablauf eines Angriffs mit der Cyber Kill Chain und MITRE ATT&CK geordnet; dann geht es um die Methoden des Erstzugriffs, Hinweise auf C2-Kommunikation, Rechteausweitung, Lateral Movement und Living-off-the-Land-Angriffe, die legitime Werkzeuge missbrauchen. Danach folgen die Abwehrmechanismen: die Prinzipien von Zero Trust und Policy Decision Point und Policy Enforcement Point nach NIST SP 800-207, der Unterschied zwischen VPN und ZTNA, EDR, die Rollen von SIEM, SOAR und SOC, IDS und IPS, signaturbasierte und anomaliebasierte Erkennung, WAF und die Erkennung mit Ködern. Zur Incident Response werden die Phasen nach NIST SP 800-61, die Reihenfolge der Flüchtigkeit und die Chain of Custody, IoC und IoA, CSIRT und PSIRT sowie die Korrektur von Zeitabweichungen in Logs geprüft. Die zweite Hälfte behandelt die Priorisierung von Korrekturen anhand von CVSS und tatsächlicher Ausnutzung, Penetrationstests und Red-Team-Übungen, die koordinierte Offenlegung von Schwachstellen, SBOMs sowie Lieferkettenangriffe über Dependency Confusion oder legitime Updates; im Bereich Cloud und Identitäten geht es um falsch konfigurierte öffentliche Freigaben von Speicher, zu weit gefasste Berechtigungen, MFA-Fatigue-Angriffe, warum Passkeys gegen Phishing resistent sind, den Diebstahl von Session-Cookies, Privileged Access Management und in Repositorys abgelegte Geheimnisse. Zum Schluss werden die mittlere Zeit bis zur Erkennung, das Kosten-Nutzen-Verhältnis von Maßnahmen (ROSI), der Anteil echter Angriffe an den IDS-Warnungen und die benötigte Zahl von Analysten berechnet. Das hilft auch bei der Vorbereitung auf IT-Zertifizierungsprüfungen im Bereich Sicherheit. Die Werte der Rechenaufgaben, auch die der falschen Antwortmöglichkeiten, wurden mit Python nachgerechnet. Normen und Ereignisse mit Jahres- oder Versionsangabe geben den Stand zu diesem Zeitpunkt wieder. Die drei Schutzziele der Informationssicherheit, der Umgang mit Risiken, Malware und Phishing, Schwachstellen von Webanwendungen, die Grundlagen von CVE und CVSS sowie die erste Reaktion bei einer Ransomware-Infektion werden in „Grundlagen der Informationssicherheit“ behandelt, Kryptografie und Zertifikate in „Grundlagen und Anwendungen der Kryptografie“, mehrschichtige Hardwareabwehr und Secure Boot in „Hardwaresicherheit“, die Grundlagen von Firewalls und VPNs in „Grundlagen der Computernetzwerke“, das Modell der geteilten Verantwortung in „Grundlagen von Cloud und Containern“ und das Incident-Management nach ITIL in „IT-Service-Management und IT-Audit“.