Deutsch
Menü

Cyberangriffe und Abwehr in der Praxis

Bei der Untersuchung der Verbindungsaufzeichnungen im internen Netzwerk wurden die folgenden Verbindungen gefunden. Bei welcher ist der Verdacht am stärksten, dass Malware mit einem externen Steuerungsserver (C2-Server) kommuniziert?

  1. AWährend der Arbeitszeit verbinden sich die PCs vieler Mitarbeitender mit einem internen Dateiserver und lesen und schreiben gemeinsam genutzte Dateien
  2. BAn einem festen Tag jedes Monats laden viele PCs große Update-Dateien vom offiziellen Update-Server des Betriebssystemherstellers herunter
  3. CNur ein einzelner PC wiederholt auch nachts und an Feiertagen etwa alle 60 Sekunden kleine Verbindungen zu einer unbekannten, neuen Domain
Antwort und Erläuterung anzeigen

Antwort: C. Nur ein einzelner PC wiederholt auch nachts und an Feiertagen etwa alle 60 Sekunden kleine Verbindungen zu einer unbekannten, neuen Domain

Malware verbindet sich vom infizierten Endgerät regelmäßig mit einem externen C2-Server (Command and Control), um Befehle zu empfangen oder Ergebnisse zu senden. Diese regelmäßigen Verbindungen heißen Beacons; typisch ist, dass unabhängig von menschlicher Bedienung in nahezu konstanten Abständen kleine Verbindungen stattfinden. Auch ein Ziel, das eine erst kürzlich registrierte Domain ist oder für das keine Reputationsdaten vorliegen, verstärkt den Verdacht. Angreifer versuchen der Erkennung allerdings zu entgehen, indem sie die Abstände schwanken lassen (Jitter) oder legitime Cloud-Dienste als Relais nutzen; daher werden die Verbindungsaufzeichnungen mit den per EDR gesammelten Informationen der Endgeräte kombiniert.

Dieses Thema üben Zur Themenseite

Weitere Fragen zu Cyberangriffe und Abwehr in der Praxis

  1. Ein Angreifer hat eine Schwachstelle einer Webanwendung ausgenutzt und kann nun mit denselben Rechten eines gewöhnlichen Benutzers wie das Webserverprogramm Befehle ausführen. Welches Beispiel für die anschließende „Rechteausweitung“ durch den Angreifer ist richtig?
  2. Welche Maßnahme ist am besten geeignet, um „Lateral Movement“ zu erschweren, also dass sich eine Kompromittierung von einem übernommenen Mitarbeiter-PC auf andere interne PCs und Server ausbreitet?
  3. Wenn ein eingedrungener Angreifer möglichst keine eigene Malware verwendet, sondern mit bereits im Betriebssystem vorhandenen legitimen Werkzeugen wie PowerShell, WMI oder den Standardfunktionen zur Fernverwaltung arbeitet, spricht man von „Living off the Land“. Welcher Ansatz zur Abwehr dieser Methode ist am besten geeignet?
  4. Welche Aussage beschreibt eine Zugriffskontrolle nach dem Ansatz von Zero Trust richtig?
  5. In der Zero-Trust-Architektur nach NIST SP 800-207 werden der „Policy Decision Point (PDP)“, der entscheidet, ob ein Zugriff erlaubt wird, und der „Policy Enforcement Point (PEP)“, der die Entscheidung umsetzt, getrennt betrachtet. Welche Beschreibung ihrer Aufgaben beim Zugriff eines Mitarbeitenden auf eine Geschäftsanwendung ist richtig?