So erkennen Sie Datenexfiltration (bevor es zu spät ist)

Bei einem Datenexfiltrationsangriff werden sensible Daten wie personenbezogene Daten und geistiges Eigentum unbefugt aus einem Zielsystem an einen separaten Ort übertragen.

Diese Übertragungen können entweder intern durch Insider-Bedrohungen oder extern über Remote-Command-and-Control-Server erfolgen.

Jeder Cyberangriff mit dem Ziel eines Datendiebstahls kann als Datenexfiltrationsangriff eingestuft werden.

Datenexfiltration findet in der Regel in Phase 6 der Kill Chain für Cyberangriffe statt, wenn eine Verbindung zwischen einem kompromittierten System und den Servern von Cyberkriminellen hergestellt wird.

Das Verständnis der bösartigen Prozesse, die der Datenexfiltration in der Regel vorausgehen, ist der Schlüssel zur Eindämmung dieser Angriffe. Sie bieten die Möglichkeit, Sicherheitskontrollen zu implementieren, die zu einem endgültigen Datenverlust führen, um die Angriffssequenz erheblich zu verschleiern.

Obwohl Datenexfiltration in der Regel mit einer Datenschutzverletzung einhergeht, hat Datendiebstahl eine höhere Einstufung als Sicherheitsschwere, da wertvolle Daten bereits übertragen werden.

Einige Intrusion Detection- und Threat-Intelligence-Systeme können Hacker abfangen, nachdem sie sensible Ressourcen verletzt haben und bevor es zu einem Datenverlust kommt.

Ein solches Abfangen müsste vor der Berechtigungsausweitung erfolgen, einer Phase, die dem Zugriff auf vertrauliche Ressourcen und damit der Datenexfiltration vorausgeht.

So erkennen Sie Datenexfiltration

Datenexfiltration ist nicht leicht zu erkennen, da sich die Ereignisse in der Regel hinter legitimen täglichen Prozessen verstecken.

Jede der folgenden Erkennungsoptionen bietet einen einzigartigen Blickwinkel für die Analyse des Netzwerkdatenverkehrs. Bei gemeinsamer Anwendung kann eine mehrdimensionale Analyse erreicht werden, um die Wirksamkeit von Sicherheitsmaßnahmen zu erhöhen.

1. Verwenden Sie ein SIEM

Ein Security Information and Event Management System (SIEM) kann den Netzwerkverkehr in Echtzeit überwachen. Einige SIEM-Lösungen können sogar Malware erkennen, die zur Kommunikation mit Command-and-Control-Servern verwendet wird.

2. Überwachen Sie alle Netzwerkprotokolle

Überwachen Sie den gesamten Datenverkehr offener Ports, um verdächtige Datenverkehrsmengen zu erkennen, in der Regel in der Größenordnung von 50 GB+.

Solche Entdeckungen sollten zu einer gezielteren Analyse führen, da es sich nur um legitime geschäftsbezogene Verbindungen handeln kann.

Sehen Sie sich unsere Liste der 5 besten kostenlosen Tools zur Überprüfung offener Ports an.

3. Überwachen Sie auf fremde IP-Adressverbindungen

Unternehmensverbindungen zu ungewöhnlichen IP-Adressen könnten auf Datenexfiltration hinweisen. Sicherheitsteams sollten ein aktuelles Protokoll aller genehmigten IP-Adressverbindungen führen, um sie mit allen neuen Verbindungen vergleichen zu können.

4. Überwachen Sie ausgehende Datenverkehrsmuster

Malware muss regelmäßig mit C&C-Servern kommunizieren, um eine konsistente Verbindung aufrechtzuerhalten. Diese regelmäßigen Kommunikationsspitzen, die als Beaconing bezeichnet werden, bieten die Möglichkeit, Datenexfiltration innerhalb häufig verwendeter Ports wie HTTP:80 und HTTPS:443 zu erkennen.

Denken Sie daran, dass einige fortschrittliche Malware- und Ransomware-Stämme, wie z. B. SUNBURST, die Verzögerungen zwischen der C&C-Kommunikation zufällig verteilen.

Erfahren Sie, wie Sie den Ransomware-Angriffspfad > unterbinden können

So verhindern Sie Datenexfiltration im Jahr 2023

Der Schlüssel zur Verhinderung von Datenexfiltration liegt in der Implementierung von Sicherheitslösungen, die alle gängigen Vektoren bei Datenexfiltrationsangriffen abdecken.

Dies kann mit der folgenden Liste von Steuerelementen erreicht werden.

1. Implementieren Sie eine Next-Generation Firewall (NGFW)

Ohne Firewall werden ausgehende Verbindungen nicht überwacht, so dass C&C-Verbindungen nahtlos aufgebaut werden können.

Firewalls der nächsten Generation moderieren den gesamten ausgehenden Datenverkehr über alle Datenverkehrsprotokolle hinweg. Diese Filter integrieren manchmal auch eine signaturbasierte Malware-Erkennung von einem Antivirenprogramm, wodurch bekanntes C&C-Malware-Verhalten abgefangen und blockiert werden kann.

Der Nachteil der signaturbasierten Bedrohungserkennung besteht jedoch darin, dass Antivirensoftware auf dem neuesten Stand gehalten werden muss. Wird ein Update verpasst oder verzögert, könnte sich in dieser Zeit eine neue Malware-Variante durchschleichen und unentdeckt eine C2-Serververbindung aufbauen.

Aus diesem Grund sollte die Erkennung von Signaturbedrohungen nur als zusätzliches Sicherheitsnetz neben verhaltensbasierten Blockierungsstrategien verwendet werden, die den Datenverkehr in Echtzeit analysieren, wie z. B. ein SIEM.

2. Implementieren Sie ein SIEM

Ein SIEM kann Daten in allen Zuständen analysieren:

• In Ruhe
• Gebräuchlich
• Unterwegs

Dadurch ist es möglich, unautorisierte Übertragungen zu erkennen und zu blockieren, auch von Endpunkten wie Laptops.

Erfahre mehr über SIEM

3. Implementieren Sie eine Zero-Trust-Architektur

Eine Zero-Trust-Architektur erzwingt eine strenge Benutzerüberprüfung, bevor Datenübertragungen zulässig sind.

Der Nachteil von Firewalls und Zero-Trust-Architekturen besteht jedoch darin, dass die Endpunktleistung negativ beeinflusst werden kann, da alle ausgehenden Verbindungen kontinuierlich überprüft werden müssen, bevor eine Verbindung zu Laptops hergestellt wird. Die Vorteile des Verlusts sensibler Daten überwiegen jedoch bei weitem diese zeitlichen Unannehmlichkeiten.

Lesen Sie mehr über die Zero-Trust-Architektur.

4. Beenden Sie alle verdächtigen Sitzungen

Wenn eine verdächtige Sitzung identifiziert wird, z. B. eine Datenübertragung an eine nicht genehmigte IP-Adresse, sollten Verbindungen sofort getrennt werden, indem entweder die Active Directory-Konto-ID für den Benutzer deaktiviert oder die VPN-Sitzung des Benutzers getrennt wird.

Sie sollten auch sofort alle Zugriffskontrollen überprüfen und abschalten, die mit dem kompromittierten Benutzerkonto verknüpft sind, um zu verhindern, dass der Bedrohungsakteur nach einer Verbindungsunterbrechung zu einem anderen Benutzerkonto wechselt.

Informationen dazu finden Sie im AccessEnum-Tutorial von Microsoft.

5. Implementieren Sie Lösungen zur Verhinderung von Datenverlust

DLP-Lösungen (Data Loss Prevention) ordnen alle Datenübertragungen bereits vorhandenen Richtlinien zu, um verdächtige Aktivitäten zu erkennen. Die DLP-Technologie analysiert auch den Inhalt aller Datenübertragungen, um nach sensiblen Informationen zu suchen.

Erfahren Sie mehr über Data Loss Prevention

6. Erkennen und schließen Sie alle Datenlecks

Datenlecks sind übersehene Risiken für sensible Ressourcen. Wenn sie von Cyberkriminellen entdeckt werden, machen sie den Prozess des Durchbrechens eines IT-Perimeters viel einfacher und schneller.

Eine Lösung zur Erkennung von Datenlecks hilft Ihnen, jedes dieser Datenlecks zu entdecken und zu schließen, bevor sie die Injektion von datenexfiltrierender Malware erleichtern.

Im Idealfall muss eine solche Lösung in der Lage sein, nicht nur interne, sondern auch alle Datenlecks von Drittanbietern zu beheben.

Erfahren Sie, wie Sie Datenlecks verhindern können.

7. Beheben Sie alle Software-Schwachstellen

Software-Schwachstellen erleichtern das Einschleusen von Malware, aber die ständig wachsende Angriffsfläche macht es sehr schwierig, diese Gefährdungen zu bewältigen.

Alle Cybersicherheitsprogramme sollten eine Lösung zur Überwachung der Angriffsfläche enthalten. Auf diese Weise können Sie alle internen und externen Schwachstellen schnell beheben, bevor sie von Cyberkriminellen ausgenutzt werden.

Eine Lösung zur Überwachung der Angriffsfläche, die auch das Netzwerk von Drittanbietern ansprechen kann, wird Sicherheitsteams dabei helfen, Schwachstellen in der Lieferkette zu beseitigen, um Sicherheitsverletzungen durch Angriffe auf die Lieferkette zu minimieren.

Angriffstechniken zur Datenexfiltration

Die digitale Transformation erweitert die Angriffsfläche und bietet Cyberangriffen eine große Auswahl an Vektoren für die Datenexfiltration.

Auf einer hohen Ebene können diese Optionen in zwei Kategorien unterteilt werden: interne und externe Cyberbedrohungen.

• Insider-Bedrohungen - Böswillige Insider sind in der Regel verärgerte Mitarbeiter, die versuchen, ihrem Arbeitgeber Schaden zuzufügen. Sie könnten Daten entweder über physische Vektoren wie Flash-Laufwerke oder digitale Vektoren exfiltrieren, indem sie den Netzwerkverkehr auf Cloud-Speicherdienste umleiten.
• Externe Bedrohungen - Cyberkriminelle bevorzugen externe Datenexfiltrationsmethoden, da diese Angriffe von überall auf der Welt aus gestartet werden können. Dadurch können auch Datenübertragungsangriffe automatisiert und schnell skaliert werden.

Die 6 größten Bedrohungen für die externe Datenexfiltration sind unten aufgeführt.

1. Befehls- und Kontrollserver

Command-and-Control-Serververbindungen sind die häufigste Bedrohung für den externen Datenexport.

Bei Remote-Angriffen ist die Einrichtung eines Kommunikationskanals zwischen dem kompromittierten System und dem Server des Angreifers erforderlich, der als Command-and-Control-Server (auch C&C- oder C2-Server bezeichnet) bezeichnet wird.

Der Aufbau einer solchen Verbindung wird in der Regel durch Malware aus dem Inneren des kompromittierten Netzwerks initiiert.

C&C-Malware kann über einen der anderen unten aufgeführten Angriffsvektoren eingeschleust werden - FIX UP.

Diese Verbindungen können über drei Protokolle hergestellt werden: DNS, HTTP und FTP.

Domain Name System (DNS)

Die DNS-Protokolle wandeln Domainnamen in IP-Adressen um, so dass jeder Computer, jede Ressource und jede Dienstverbindung mit dem Internet unterschieden und identifiziert werden kann.

Die Datenexfiltration funktioniert mit diesem Protokoll durch einen Prozess, der als DNS-Tunneling bekannt ist. Dies ist der Fall, wenn Daten über DNS-Abfragen und -Antworten an C2-Server übertragen werden.

DNS-Tunneling ist eine beliebte Technik zur Datenexfiltration, wenn alle anderen Ports überwacht werden.

Hypertext-Übertragungsprotokoll (HTTP)

Das HTTP-Anwendungsprotokoll wird verwendet, um Daten von Benutzern ins Internet zu übertragen. Es ist der gebräuchlichste Kommunikationskanal, was ihn zu einem Hauptziel für die Datenextrusion macht.

Wenn das HTTP-Protokoll nicht gesichert ist, können Bedrohungsakteure sensible Daten unentdeckt über den umfangreichen HTTP-Datenverkehr übertragen.

Dateiübertragungsprotokoll (FTP)

Das FTP-Protokoll wird verwendet, um große Dateien über das Internet an einen Webserver zu übertragen. Damit ein Cyberangreifer dieses Protokoll kompromittieren kann, muss die Authentifizierung bei einem externen FTP-Server innerhalb des Unternehmensnetzwerks erfolgen.

2. Phishing-Angriffe

Bevor eine Datenexfiltrations-Hintertür eingerichtet werden kann, muss die Malware, die diese Verbindung ermöglicht, in das Zielsystem eingeschleust werden.

Dies geschieht in Phase 3 der Kill Chain von Cyberangriffen.

Phishing ist seit langem ein beliebter Angriffsvektor für die Einschleusung von Malware unter Cyberkriminellen.

Die Phishing-Strategie basiert auf der alten Angriffsmethode des Trojaners.

Bei diesen Angriffen wird eine scheinbar harmlose E-Mail mit infizierten Links an ein Opfer gesendet. Wenn diese Links angeklickt werden, werden die Opfer entweder auf eine Köder-Website weitergeleitet, auf der Anmeldeinformationen gestohlen werden, oder es wird ein heimlicher Malware-Installationsprozess eingeleitet.

Hier ist ein Beispiel für eine Phishing-E-Mail, die sich als wichtige Nachricht über COVID-19 von der CDC ausgibt.

Social Engineering ist eine weitere Form von Phishing, die die Kompromittierung des Perimeters für die Einschleusung von Malware erleichtern könnte.

Diese Angriffe können per Telefon, E-Mail oder über soziale Medien erfolgen.

Während dieser Angriffe kontaktieren böswillige Akteure ein Ziel, das vorgibt, ein Bekannter zu sein, wie z. B. einen Kunden oder eine Kundin. Sie versuchen dann, das Opfer dazu zu bringen, interne sensible Informationen preiszugeben, um auf das Netzwerk eines Unternehmens zuzugreifen.

3. Ausgehende E-Mails

Alle sensiblen Informationen, die sich in E-Mail-Systemen befinden, können problemlos über eine ausgehende E-Mail exfiltriert werden.

Diese Daten könnten Folgendes umfassen:

• Termine im Kalender
• Datenbanken
• Bilder
• Dokumentation des geistigen Eigentums

4. Software-Schwachstellen

Die digitale Transformation verbindet die digitalen Oberflächen von Organisationen und ihren Partnern. Aus diesem Grund wirken sich Software-Schwachstellen auf alle Entitäten aus, die mit einer kompromittierten Partei vernetzt sind. Diese Auswirkungen könnten sich auf die Angriffsflächen von Drittanbietern und sogar von Viertanbietern auswirken.

Ein kompromittierter Drittanbieter kann dazu führen, dass alle seine Partner Opfer einer Datenschutzverletzung werden, eine Angriffsstrategie, die als Supply-Chain-Angriff bekannt ist.