Was ist ein Supply-Chain-Angriff? Beispiele & Präventionsstrategien
Ein Supply-Chain-Angriff ist eine Angriffsstrategie, die auf ein Unternehmen durch Schwachstellen in seiner Lieferkette abzielt. Diese Schwachstellen sind in der Regel mit Anbietern mit schlechten Sicherheitspraktiken verbunden.
Eine Datenschutzverletzung durch einen Drittanbieter ist möglich, da diese Anbieter Zugriff auf sensible Daten benötigen, um sie in interne Systeme integrieren zu können. Wenn ein Anbieter kompromittiert wird, wird dieser gemeinsam genutzte Datenpool verletzt.
Da jeder Anbieter sensible Daten für mehrere Kunden speichert, führt ein einziger Angriff auf die Lieferkette oft dazu, dass mehrere Unternehmen eine Verletzung des geistigen Eigentums erleiden.
Joe Bidens Cybersecurity Executive Order enthält einen Abschnitt, der speziell der Verbesserung der Sicherheit der Lieferkette gewidmet ist, dies ist eine Cyberbedrohung, die die gesamte Nation ernst nehmen muss.
Arten von Angriffen auf die Lieferkette
Angriffe auf die Software-Supply-Chain zielen entweder auf den Quellcode, den Aktualisierungsmechanismus oder die Build-Prozesse der Anbietersoftware ab. Ein Opfer kann durch einen der folgenden Vektoren kompromittiert werden:
- Software-Updates von Drittanbietern
- Malware, die auf verbundenen Geräten installiert ist, z. B. auf externen Festplatten, Kameras, Telefonen usw.
- Installationsprogramme für Anwendungen
Wie funktioniert ein Supply-Chain-Angriff?
Supply-Chain-Angriffe nehmen legitime Prozesse huckepack und verschaffen sich ungehinderten Zugang zum Ökosystem eines Unternehmens.
Dieser Angriff beginnt mit der Infiltration der Sicherheitsvorkehrungen eines Anbieters. Dieser Prozess ist in der Regel viel einfacher als ein direkter Angriff auf ein Opfer, da viele Anbieter unglücklicherweise kurzsichtige Cybersicherheitspraktiken anwenden.
Die Penetration kann über mehrere Angriffsvektoren erfolgen. Sobald der bösartige Code in das Ökosystem eines Anbieters eingeschleust wurde, muss er sich in einen digital signierten Prozess seines Hosts einbetten.
Dies ist der Schlüssel zum Zugriff auf das Kundennetzwerk eines Anbieters. Eine digitale Signatur bestätigt die Authentizität einer Software gegenüber dem Hersteller, was die Übertragung der Software an alle vernetzten Parteien ermöglicht.
Indem er sich hinter dieser digitalen Signatur versteckt, kann bösartiger Code den stetigen Strom des Software-Update-Datenverkehrs zwischen einem kompromittierten Anbieter und seinem Client-Netzwerk nutzen.
Die bösartige Nutzlast, die die US-Regierung kompromittiert hat, wurde in eine SolarWinds Dynamic Link Library-Datei (.dll-Datei) eingefügt. Bei dieser Datei handelte es sich um ein digital signiertes Asset der SolarWinds Orion-Software, der Tarnung, die nationalstaatliche Hacker benötigten, um Zugriff auf den Kundenstamm von SolarWind zu erhalten.
Kompromittierte Anbieter verteilen unwissentlich Malware an ihr gesamtes Client-Netzwerk. Die Software-Patches, die die feindliche Nutzlast erleichtern, enthalten eine Hintertür, die mit allen Servern von Drittanbietern kommuniziert, dies ist der Verteilungspunkt für die Malware.
Ein beliebter Dienstanbieter könnte Tausende von Unternehmen mit einem einzigen Update infizieren und so Bedrohungsakteuren helfen, mit viel weniger Aufwand ein höheres Ausmaß an Auswirkungen zu erzielen.
SolarWinds gab bekannt, dass bis zu 18.000 seiner Kunden durch das kompromittierte Software-Update in einem breiten Spektrum von Branchen infiziert wurden, darunter Behörden, Beratung, Telekommunikation und Technologie.
Wenn ein Opfer ein kompromittiertes Software-Update von einem Dienstanbieter installiert, wird der bösartige Code ebenfalls mit denselben Berechtigungen wie die digital signierte Software installiert, und der Cyberangriff wird eingeleitet.
Nach der Installation wird in der Regel ein Remote-Access-Trojaner (RAT) aktiviert, um Cyberkriminellen Zugriff auf jeden infizierten Host zu gewähren und so sensible Daten zu exfiltrieren.
Der SolarWinds-Angriff auf die Lieferkette war insofern einzigartig, als die Hacker die Fernsteuerung nicht sofort einleiteten. Vielmehr schlummerte die Malware zwei Wochen lang, bevor sie über eine Hintertür Kontakt mit einem Command-and-Control-Server (einem Remote-Session-Manager für kompromittierte Systeme, auch bekannt als C2) aufnahm.
Jede initiierte Remote-Verbindung war eine Unterdomäne von avsvmcloud[.]com mit einer Zeichenfolge, die für jedes Opfer eindeutig war. Diese Zeichenfolge, die auf den ersten Blick wie eine zufällige Anordnung von Buchstaben aussah, war eine codierte Kennung der lokalen Netzwerkdomäne jedes Opfers.
Die folgende Grafik fasst den Supply-Chain-Angriff von Solarwinds zusammen. Der Gesamtprozess der Injektion von Drittanbietern, der Bereitstellung von Malware und der Initiierung der Datenkommunikation über eine Hintertür ist das Grundgerüst aller Angriffe auf die Lieferkette.
Ein Angriff auf die Lieferkette könnte als Auftakt für einen massenhaften Ransomware-Angriff dienen. Oder, wie es bei der SolarWinds-Sicherheitsverletzung der Fall war, könnte es sich um eine Aufklärungsmission für einen zukünftigen, unheilvolleren Angriff handeln.
Die zerstörerische Effizienz der Supply-Chain-Angriffe von Nationalstaaten ist ein Beweis dafür, wie gefährlich anfällig viele Unternehmen für Sicherheitsverletzungen durch ihre Drittanbieter sind.
Beispiele für Angriffe auf die Lieferkette
Angriffe auf die Lieferkette ermöglichen es Cyberkriminellen, eine Vielzahl von Opfern zu infizieren, ohne dass Phishing-Angriffe auf jedes einzelne Ziel angewendet werden müssen. Diese gesteigerte Effizienz hat die Verbreitung dieser Angriffsmethode in letzter Zeit erhöht.
>Hier sind einige beliebte Beispiele für Angriffe auf die Lieferkette.
Angriff der US-Regierung auf die Lieferkette
Datum: März 2020
Dieses Ereignis wird wahrscheinlich das allgegenwärtige Beispiel für einen Angriff auf die Lieferkette bis weit in die Zukunft sein. Im März 2020 drangen Hacker von Nationalstaaten durch ein kompromittiertes Update des Drittanbieters Solarwinds in die interne Kommunikation der US-Regierung ein.
Der Angriff infizierte bis zu 18.000 Kunden weltweit, darunter sechs US-Regierungsbehörden:
- Das Ministerium für Energie
- Die National Nuclear Security Administration (Nationale Behörde für nukleare Sicherheit)
- Das US-Außenministerium
- Das US-Handelsministerium
- Das US-Finanzministerium
- Das Department of Homeland Security
Die Ermittlungen dauern noch an. Es kann Monate oder sogar Jahre dauern, bis die endgültigen Auswirkungen eines Cyberangriffs entdeckt werden, der von Experten als einer der ausgeklügeltsten Supply-Chain-Angriffe aller Zeiten bezeichnet wird.
Angriff auf die Lieferkette
Datum: Februar 2014
Target USA erlitt eine bedeutende Datenschutzverletzung, nachdem Cyberkriminelle über einen Drittanbieter von HLK auf die sensiblen Daten des Einzelhändlers zugegriffen hatten. Cyberangreifer griffen auf personenbezogene Daten (PII) und Finanzinformationen zu, von denen 70 Millionen Kunden und 40 Millionen Debit- und Kreditkarten betroffen waren.
Angreifer drangen über einen E-Mail-Phishing-Angriff in den HLK-Drittanbieter ein.
Angriff auf die Lieferkette von Equifax
Datum: September 2017
Equifax, eine der größten Auskunfteien für Kreditkarten, erlitt eine Datenschutzverletzung aufgrund einer Anwendungsschwachstelle auf ihrer Website. Der Verstoß betraf über 147 Millionen Kunden von Equifax, Zu den gestohlenen sensiblen Daten gehörten Sozialversicherungsnummern, Führerscheinnummern, Geburtsdaten und Adressen.
Angriff auf die Lieferkette der Paradise Papers
Datum: November 2017
Vertrauliche Offshore-Investitionsdokumente, die als Paradise Papers bezeichnet werden. über die Anwaltskanzlei Appleby verletzt wurden. Die sensiblen Daten enthüllten 13,4 Millionen Anlageunterlagen des wohlhabenden 1%, darunter Donald Trump, Justin Trudeau, Wladimir Putins Schwiegersohn und sogar Queen Elizabeth.
Angriff auf die Lieferkette der Panama Papers
Datum: April 2016
Die panamaische Anwaltskanzlei Mossack Fonseca hat bei einem Verstoß über 2,6 Terabyte an sensiblen Kundendaten durchsickern lassen. Der Verstoß enthüllte die hinterhältigen Steuerhinterziehungstaktiken von über 214.000 Unternehmen und hochrangigen Politikern.
Anwaltskanzleien sind in der Regel die begehrtesten Ziele für Cyberangriffe, da sie über einen Schatz an hochsensiblen und daher sehr wertvollen Kundendaten verfügen, die sie auf ihren Servern speichern.
Statistiken zu Supply-Chain-Angriffen
Die Akzeptanz dieser Cyberangriffsmethode nimmt mit alarmierender Geschwindigkeit zu. Laut einer Studie von Symantec haben Angriffe auf die Lieferkette im Jahr 2019 um 78 % zugenommen. Es wird erwartet, dass diese Prävalenz weiter zunehmen wird, da Bedrohungsakteure, motiviert durch den Erfolg des Verstoßes gegen die US-Regierung, ihre Präferenz auf diese Angriffsmethode umstellen.
Die Kosten von Angriffen auf die Lieferkette
Die finanziellen Auswirkungen eines Angriffs auf die Lieferkette können unabhängig von der Größe eines Unternehmens monumental sein. Mehrere Faktoren tragen zu den daraus resultierenden Kosten bei, wie z. B. der Aufwand für die Untersuchung von Sicherheitsverletzungen, Geschäftsverluste aufgrund von Reputationsschäden und behördliche Bußgelder.
Laut einem Bericht von IBM und dem Ponemon Institute beliefen sich die durchschnittlichen Kosten von Datenschutzverletzungen im Jahr 2020 auf 3,86 Millionen US-Dollar und die durchschnittliche Zeit zur Identifizierung und Eindämmung einer Reichweite betrug 280 Tage - das sind über 9 Monate.
Die durchschnittlichen Kosten für Datenschutzverletzungen in den Vereinigten Staaten sind mit 8,19 Millionen US-Dollar pro Verletzung am höchsten.
In den Vereinigten Staaten entstehen dem Gesundheitswesen und der Finanzbranche die höchsten Kosten für den Datenstrand, da die gesetzlichen Anforderungen an den Schutz sensibler Daten strenger sind.
Die durchschnittlichen Kosten pro Datenschutzverletzung im Gesundheitswesen und in der Finanzbranche belaufen sich auf 7,13 Mio. USD bzw. 5,56 Mio. USD.
Neben den regulatorischen Belastungen ist der hohe Preis von Datenschutzverletzungen das Ergebnis der verlängerten Behebungszeit jedes Vorfalls. 280 Tage sind etwa 75 % des Jahres, was eine beträchtliche Zeitspanne ist, um für zusätzliche Korrekturmaßnahmen zu bezahlen, während die Gewinnmargen schrumpfen oder sogar sinken.
Der Schlüssel zur Kostensenkung im Falle eines Angriffs auf die Lieferkette liegt darin, einen fein abgestimmten Abhilfeprozess zur Hand zu haben, der schnell aktiviert werden kann.
Eine schnelle Erkennung und Behebung könnte auch die Zeit minimieren, die Cyberangreifer in Ihrem Ökosystem verbringen, was wiederum die Menge an kompromittierten sensiblen Daten minimiert.
So verhindern Sie Angriffe auf die Lieferkette
Der Schlüssel zum Schutz Ihrer digitalen Lieferkette besteht darin, sicherzustellen, dass jeder Ihrer Drittanbieter die strengsten Cybersicherheitsstandards einhält, unabhängig davon, ob gesetzliche Anforderungen durchgesetzt werden oder nicht.
Selbstgefälligkeit ist der Hauptgrund für die Anfälligkeit von Supply-Chain-Angriffen. Dies liegt zum Teil daran, dass sich Unternehmen nicht bewusst sind, wie anfällig selbst die vertrauenswürdigsten Anbieter für Datenschutzverletzungen sind.
Um die Einhaltung der Vorschriften durch Ihre Drittanbieter zu gewährleisten, sollten jedem von ihnen regelmäßig Sicherheitsfragebögen zugesandt werden, um ihre Sicherheitslage kontinuierlich zu überprüfen.
Jeder Fragebogen sollte auf eine bestimmte Branche zugeschnitten und an die individuellen Anforderungen jedes Unternehmens angepasst werden. Sie können die Fragebögen selbst erstellen oder sie im Idealfall sofort aus einer ausgeklügelten Risikomanagementlösung eines Drittanbieters ausfüllen und versenden.
Um Ihrem Unternehmen die besten Chancen zu geben, Angriffe auf die Lieferkette abzuwehren, sollten diese Fragebögen sofort nach Feststellung eines Rückgangs der Sicherheitsbewertung für einen bestimmten Anbieter verschickt werden.
Die Zwei-Faktor-Authentifizierung könnte auch Angriffe auf die Lieferkette verhindern. Wenn Anbieter dieses Sicherheitsprotokoll aktivieren, werden Bedrohungsakteure mit einer zusätzlichen Kluft konfrontiert, die sie zwischen sich und den internen Systemen eines Anbieters überwinden müssen.
Erfahren Sie, wie Sie Angriffe auf die Lieferkette durch die Sicherung von Privileged Access Management verhindern können.
Erfahren Sie, wie Sie Angriffe auf die Lieferkette mit einer "Assume Breach Mentalität" verhindern können.
Erfahren Sie, wie Sie Angriffe auf die Lieferkette mit einer Zero-Trust-Architektur verhindern können.