Was ist Credential Stuffing und wie können wir einen Credential Stuffing-Angriff verhindern?
Credential Stuffing ist eine Art Cyberangriff, bei dem Cyberkriminelle Anmeldeinformationen von einem System stehlen und versuchen, sich damit Zugriff auf Benutzerkonten auf einem anderen System zu verschaffen. Dies ist nur möglich, weil Menschen dazu neigen, Anmeldeinformationen auf mehreren Websites und Anwendungen wiederzuverwenden.
Credential Stuffing erfreut sich immer größerer Beliebtheit, vor allem aufgrund seiner Einfachheit und Effektivität. Tatsächlich gibt es Softwareprogramme, mit denen unerfahrene Hacker versuchen können, sich mithilfe einer Liste von Anmeldeinformationen bei Hunderten von Websites und Onlinediensten anzumelden. Solche Angriffe können für Unternehmen sehr kostspielig sein. Laut dem „Cost Of Credential Stuffing Report“ des Ponemon Institute „erleiden Unternehmen jeden Monat durchschnittlich 12,7 Credential Stuffing-Angriffe“, und die durchschnittlichen jährlichen Kosten eines Credential Stuffing-Angriffs betragen 6 Millionen US-Dollar. Die Kosten werden auf Basis von „Anwendungsausfallzeiten, Verlust von Kunden und Beeinträchtigung der IT-Sicherheit“ berechnet.
Akamai Technologies - ein in den USA ansässiger Cloud-Service-Anbieter - verzeichnete im Jahr 2018 fast 30 Milliarden Credential-Stuffing-Angriffe. Viele Unternehmen und beliebte Online-Dienste wurden Opfer von Credential-Stuffing-Angriffen, darunter Intuit, Dunkin' Donuts, HSBC, Reddit und DailyMotion , Deliveroo und Basecamp.
So schützen Sie Ihr Unternehmen vor Credential Stuffing
Laut dem State of Password and Authentication Security Behaviors Report 2019 verwenden 51 % der Befragten ihre Passwörter für geschäftliche und private Konten wieder. 55 % der Befragten nutzen 2FA bei der Arbeit nicht und 69 % gaben zu, Passwörter mit Kollegen zu teilen. Wenn man sich diese Statistiken ansieht, wird klar, welche Verbesserungen vorgenommen werden müssen. Im Folgenden finden Sie einige grundlegende Tipps, um den Erfolg dieser Angriffe zu verhindern:
1. Haben Sie eine starke Passwortrichtlinie
Das mag offensichtlich sein, muss aber dennoch gesagt werden. Stellen Sie sicher, dass Sie über eine sichere Passwortrichtlinie verfügen und dass sich alle Mitarbeiter daran halten. Ein sicheres Passwort besteht normalerweise aus einer Mischung aus Buchstaben, Zahlen und Symbolen - sowohl Groß- als auch Kleinbuchstaben - und ist mindestens 15 Zeichen lang. Mitarbeiter sollten ihre Passwörter niemals weitergeben!
2. Ermutigen Sie Ihre Mitarbeiter, einen Passwort-Manager zu verwenden
Wenn Ihre Mitarbeiter für jeden Onlinedienst, den sie nutzen, dieselben Anmeldeinformationen verwenden, ist die Wahrscheinlichkeit einer Datenschutzverletzung natürlich viel höher. Heutzutage sollte jeder einen Passwort-Manager wie LastPass, 1Password oder Bitwarden verwenden. Ein Passwort-Manager speichert Anmeldeinformationen für verschiedene Online-Dienste in einem verschlüsselten Tresor - geschützt durch ein Master-Passwort. Passwort-Manager können auch sichere/eindeutige Passwörter generieren, um sicherzustellen, dass Ihre Mitarbeiter sie nicht für mehrere Dienste wiederverwenden.
3. Verwenden Sie nach Möglichkeit die Zwei-Faktor-Authentifizierung
Unternehmen machen sich häufig Sorgen über die Kosten und die Komplexität, die mit der Implementierung von 2FA verbunden sind, weshalb sich die Einführung relativ langsam durchsetzt. Allerdings werden 2FA-Lösungen von Jahr zu Jahr einfacher und erschwinglicher und werden Unternehmen auf lange Sicht wahrscheinlich Zeit und Geld sparen.
4. Rotieren Sie Ihre Passwörter
Obwohl Microsoft nicht mehr empfiehlt, regelmäßige Passwortänderungen zu erzwingen, heißt das nicht, dass dies eine schlechte Idee ist. Tatsächlich empfehlen es immer noch viele Branchenexperten. Vorausgesetzt, dass Ihre Mitarbeiter einen Passwort-Manager verwenden, um sichere und eindeutige Passwörter zu generieren und zu speichern, tragen regelmäßige Passwortänderungen zum Schutz vor Advanced Persistent Threats (ATPs) bei. Um den Prozess zu vereinfachen, stehen außerdem Tools zur Verfügung, mit denen die Erinnerung an Benutzer, ihre Passwörter zurückzusetzen, automatisiert werden kann.
5. Verwenden Sie Schwellenwertwarnungen, um fehlgeschlagene Anmeldeversuche zu erkennen
Es handelt sich um eine einfache, aber effektive Technik zur Identifizierung und Reaktion auf potenzielle Bedrohungen und Anomalien, die einer vordefinierten Schwellenwertbedingung entsprechen. Wenn beispielsweise x Anzahl fehlgeschlagener Anmeldeversuche innerhalb eines bestimmten Zeitraums erkannt werden, kann ein benutzerdefiniertes Skript ausgeführt werden, um den Angriff im Keim zu ersticken. Das Skript könnte die Anmeldefunktion vorübergehend deaktivieren, die Firewall-Einstellungen ändern oder sogar den Server herunterfahren. Die Schwellenwertwarnung ist eine in die Lepide Data Security Platform integrierte Funktion.
Für weitere Informationen zur Lepide Data Security Platform vereinbaren Sie noch heute eine Demo mit einem unserer Ingenieure.