Deutsch
Menü

Cyberangriffe und Abwehr in der Praxis

Die 2011 von Lockheed Martin vorgestellte Cyber Kill Chain teilt den Ablauf eines gezielten Angriffs in sieben Phasen ein. Welche Reihenfolge der Phasen ist richtig?

  1. AZustellung → Aufklärung → Bewaffnung → Exploit → Installation → C2 (Fernsteuerung) → Ausführung der Ziele
  2. BAufklärung → Bewaffnung → Zustellung → Exploit → Installation → C2 (Fernsteuerung) → Ausführung der Ziele
  3. CAufklärung → Zustellung → Bewaffnung → Installation → Exploit → Ausführung der Ziele → C2 (Fernsteuerung)
Antwort und Erläuterung anzeigen

Antwort: B. Aufklärung → Bewaffnung → Zustellung → Exploit → Installation → C2 (Fernsteuerung) → Ausführung der Ziele

Die Cyber Kill Chain beschreibt einen Angriff in sieben Phasen: Aufklärung (Erkundung des Ziels), Bewaffnung (Vorbereitung etwa einer Datei mit eingebettetem Angriffscode), Zustellung (Übermittlung an das Ziel per E-Mail-Anhang oder Website), Exploit (Ausnutzen einer Schwachstelle, um Code auszuführen), Installation (dauerhaftes Einnisten der Malware), C2 (Aufbau eines Kommunikationskanals zu einem externen Steuerungsserver) und Ausführung der Ziele (Diebstahl oder Zerstörung von Informationen). Die Verteidigung überlegt, in welcher Phase sich der Angriff unterbrechen lässt, und ordnet ihre Maßnahmen entsprechend an; je früher er unterbrochen wird, desto geringer ist der Schaden. Wird zum Beispiel ein verdächtiger Anhang schon bei der E-Mail gestoppt, endet der Angriff in der Phase Zustellung. Innentäter und Angriffe mit langer Aktivität nach dem Eindringen lassen sich jedoch schlecht abbilden; daher wird das Modell zusammen mit dem feiner gegliederten MITRE ATT&CK verwendet.

Dieses Thema üben Zur Themenseite

Weitere Fragen zu Cyberangriffe und Abwehr in der Praxis

  1. MITRE ATT&CK ist eine Wissensbasis, die in realen Angriffen beobachtete Vorgehensweisen in „Taktiken“ (Tactics), die das Ziel des Angreifers beschreiben, und „Techniken“ (Techniques), die die konkreten Methoden zum Erreichen dieses Ziels beschreiben, gliedert. Welche Zuordnung eines beobachteten Verhaltens zu einer Taktik ist richtig?
  2. Welche Methode gehört zum „Erstzugriff“, mit dem ein Angreifer erstmals in das Netzwerk einer Organisation gelangt?
  3. Bei der Untersuchung der Verbindungsaufzeichnungen im internen Netzwerk wurden die folgenden Verbindungen gefunden. Bei welcher ist der Verdacht am stärksten, dass Malware mit einem externen Steuerungsserver (C2-Server) kommuniziert?
  4. Ein Angreifer hat eine Schwachstelle einer Webanwendung ausgenutzt und kann nun mit denselben Rechten eines gewöhnlichen Benutzers wie das Webserverprogramm Befehle ausführen. Welches Beispiel für die anschließende „Rechteausweitung“ durch den Angreifer ist richtig?
  5. Welche Maßnahme ist am besten geeignet, um „Lateral Movement“ zu erschweren, also dass sich eine Kompromittierung von einem übernommenen Mitarbeiter-PC auf andere interne PCs und Server ausbreitet?