3 Dinge, die Sie aus der Deloitte-Sicherheitsverletzung über die Beherrschung der IT-Sicherheit lernen können

Einführung

2017 war ein Jahr voller aufsehenerregender Datenschutzverletzungen und diese Woche hat sich das globale Wirtschaftsprüfungsunternehmen Deloitte der Liste der Betroffenen angeschlossen (berichtet der Guardian).

Wenn Sie nicht wissen, wer Deloitte ist, müssen Sie nur wissen, dass das Unternehmen im vergangenen Jahr Berichten zufolge einen Rekordumsatz von 37 Milliarden US-Dollar erzielt hat. Sie bieten außerdem Wirtschaftsprüfung, Steuerberatung und hochwertige Cybersicherheitsberatung für einige der größten Organisationen der Welt an. Es ist also ironisch, dass sie Opfer einer Cybersicherheitsverletzung werden, die so leicht hätte vermieden werden können …

Wie bei jedem schwerwiegenden Datenschutzverstoß ist auch hier der Rückblick eine schöne Sache. Doch wie viele dieser Ereignisse werden noch eintreten, bevor Unternehmen beginnen, daraus zu lernen? Ich werde Sie durch drei kurze Lektionen führen, die jedes IT-Team, unabhängig von der Gesamtgröße Ihres Unternehmens, umsetzen kann, um die IT-Sicherheit sofort zu verbessern.

Warum kam es zu dem Verstoß gegen Deloitte?

Bevor wir uns eingehend damit befassen können, wie wir Datenschutzverletzungen wie bei Deloitte vermeiden können, müssen wir etwas mehr darüber erfahren, warum es dazu kam.

Vereinfacht ausgedrückt wurden E-Mails an und von Deloitte-Mitarbeitern (das sind übrigens fast eine Viertelmillion Menschen) im Cloud-Dienst Azure von Microsoft gespeichert. Ein findiger Hacker verschaffte sich dann über ein Administratorkonto Zugang zu diesem E-Mail-Server, der ihm vollen, privilegierten Zugriff auf vertrauliche Informationen verschaffte. Quellen aus der Nähe des Verstoßes gaben an, dass dieses Konto nur ein Passwort für den Zugriff erforderte, aber dazu später mehr …

Darüber hinaus weist der Guardian darauf hin, dass Hacker Zugriff auf Benutzernamen, Passwörter, IP-Adressen und vieles mehr hatten. Eine weitere Untersuchung dieser Angelegenheit bestätigt, dass Deloitte seinen firmeneigenen Active Directory-Server mit geöffnetem Remote-Desktop-Protokoll im Internet gelassen hatte - was praktisch zu einem Angriff auf das interne E-Mail-System führte.

Dieser katastrophale Fehler bei Best Practices für die IT-Sicherheit wurde vom Sicherheitsforscher Dan Tentler aufgedeckt, der das Problem ohne Zurückhaltung beschrieb: „Das Problem besteht darin, dass sie einen verdammten Active Directory-Server direkt im Internet platzieren und RDP offenlegen.“ . [Dies ist] der Ort, an dem alle Creds leben ... im Internet. Bei geöffnetem RDP.“

Viele Leute haben Gründe genannt, warum Deloitte dies getan haben könnte. Unabhängig davon, ob dieser als Nur-Lese-Server eingerichtet wurde, liefert er jedem Möchtegern-Hacker einige wichtige Informationen; einschließlich der Tatsache, dass Deloitte sein Active Directory auf einer ungepatchten Version von Windows Server 2012, R2, ausführt.

Deloitte entdeckte den E-Mail-Verstoß bereits im März dieses Jahres. Nun geht man jedoch davon aus, dass Angreifer möglicherweise bereits seit Oktober 2016 Zugriff hatten.

Hätte es vermieden werden können?

Es gibt eine offensichtliche Lösung für dieses AD-Problem: Verschärfen Sie einfach die Sicherheitskontrollen. In diesem Artikel konzentrieren wir uns auf einige andere, aber nicht weniger eklatante Möglichkeiten, wie Deloitte seine IT-Sicherheit verbessern kann.

Ich denke, es ist wahrscheinlich notwendig, festzustellen, dass es in der modernen Zeit unmöglich ist, die Möglichkeit einer Datenschutzverletzung vollständig auszuschließen. Allerdings war dieser konkrete Verstoß sicherlich vermeidbar. Ein paar einfache Änderungen in der Denkweise der Organisation sowie die Übernahme bewährter Sicherheitspraktiken hätten hier wahrscheinlich geholfen. Lassen Sie uns einige durchgehen:

1. Eine bessere Authentifizierung ist erforderlich

Für das privilegierte Konto, das ungehinderten Zugriff auf die sensiblen Informationen von Deloitte ermöglichte, musste der Hacker nur ein einziges Passwort entschlüsseln. Heutzutage ist eine Multi-Faktor-Zugriffskontrolle, wie beispielsweise die Zwei-Faktor-Authentifizierung, eine Notwendigkeit, wenn es um privilegierte Konten geht. Einige der gebräuchlichsten Methoden der Multi-Faktor-Zugriffskontrolle sind:

Verwendung einer Karte und einer PIN-Nummer in Verbindung miteinander
Eingabe einer eindeutigen, generierten PIN-Nummer sowie des üblichen Passworts (in der Regel an ein Mobilgerät oder eine E-Mail-Adresse gesendet)
Beantwortung einer Sicherheitsfrage sowie eines Passworts

Die sofortige Implementierung einer dieser Sicherheitskontrollen trägt dazu bei, zu verhindern, dass Hacker sich einfachen Zugriff verschaffen. Offensichtlich kann ein raffinierter und hartnäckiger Hacker einen Weg finden, diese Kontrollen zu umgehen, aber es dürfte natürlich am schwierigsten sein, auf die privilegierten Konten zuzugreifen (sogar auf rechtmäßigem Weg).

2. Mehr Einblick in kritische Systeme und Daten ist erforderlich

Dieser spezielle Verstoß ist über Microsoft Azure aufgetreten. Das bedeutet jedoch nicht, dass Ihr Unternehmen sicher ist, wenn Sie einen lokalen E-Mail-Anbieter wie Exchange verwenden. Dieser Angriff konnte stattfinden und blieb so lange unbemerkt, weil es keinen Einblick in kritische Änderungen gab, die an sensiblen Servern und Daten vorgenommen wurden.

Die Sicherheit Ihrer kritischen Systeme kann sofort verbessert werden, wenn Sie über eine Lösung verfügen, die Ihnen sofortigen Einblick in Änderungen gibt, die in Ihrem Active Directory und Ihren E-Mail-Servern stattfinden. Tatsächlich sollte jeder Server, der Zugriff auf kritische Daten bietet, proaktiv und kontinuierlich überwacht werden, um sicherzustellen, dass keine unbefugten oder unerwünschten Änderungen unentdeckt bleiben.

3. Dem Prinzip der geringsten Privilegien sollte mehr Aufmerksamkeit geschenkt werden

Zufälligerweise haben wir vor nicht allzu langer Zeit einen Artikel darüber geschrieben, wie man das Prinzip der geringsten Privilegien (PoLP) beherrscht. Im Wesentlichen geht es darum, sicherzustellen, dass Ihre Benutzer nur Zugriff auf die Daten haben, die sie für ihre Arbeit benötigen, und nicht mehr.

Nehmen wir zum Beispiel an, einem Benutzer werden Privilegien gewährt, die er nicht wirklich benötigt. Dieses Konto ist sofort zum Hauptziel von Angreifern geworden. Überlegen Sie, was sie in die Hände bekommen können, wenn sie Zugriff auf dieses Konto erhalten! Kombinieren Sie dies mit der Ein-Faktor-Authentifizierung, und schon haben Sie eine tickende Zeitbombe in Ihrer kritischen IT-Infrastruktur.

Es gibt ein paar Dinge, die Sie tun müssen, um Ihnen bei der Implementierung von PoLP zu helfen:

Identifizieren Sie, wer Ihre privilegierten Benutzer tatsächlich sind
Überwachen Sie ihre Aktivitäten auf Ihren Servern und überprüfen Sie, was sie mit Ihren Daten machen
Machen Sie alle unerwünschten Änderungen wieder in ihren ursprünglichen Zustand rückgängig
Identifizieren Sie alle Änderungen an Berechtigungen, die unerwünscht oder nicht autorisiert sind

Weitere Informationen zu diesen Punkten finden Sie auf unserer ausführlichen Seite zum Erkennen und Verhindern von Privilegienmissbrauch.