Wie man sich gegen Angriffe von Bedrohungsgruppen verteidigt

Es ist kein Geheimnis, dass die Cybersicherheitsbedrohungen für Unternehmen aller Größen und Branchen zunehmen. US-amerikanische Cybersicherheitsbehörden wie die CISA, die NSA und das FBI sind sich der jüngsten Berichte über erhöhte böswillige Cyberaktivitäten bewusst und gehen davon aus, dass sich dieser Trend fortsetzt. Unternehmen sind mit Sicherheitslücken und Schwachstellen konfrontiert, die auf einen Flickenteppich aus IT-Produkten und -Tools mit geringer Transparenz und einem falschen Sicherheitsgefühl zurückzuführen sind. Zusätzlich zum IT-Personalmangel ermöglichen wachsende Angriffsflächen wie Cloud Computing und das Arbeiten von überall aus den Bedrohungsakteuren, ihre Reichweite und ihren Schaden zu vergrößern. Cyber-Angreifer haben diese Herausforderungen erkannt und sind wachsam, sie auszunutzen. Ein tieferes Verständnis der Angreifer kann dazu beitragen, diese anhaltenden Bedrohungen besser zu erkennen und darauf zu reagieren.

Was sind Cyber-Bedrohungsgruppen?

Cyber-Bedrohungsgruppen sind Angreifer, die koordiniert und synchronisiert agieren. Diese Gegnergruppen ändern weiterhin ihr Verhalten und ihre Taktiken, Techniken und Verfahren (TTPs), um einer Entdeckung zu entgehen. Zu den Merkmalen einer Bedrohungsgruppe gehören Organisation, Synchronisierung, gute Ausbildung und gute Finanzierung, Geduld, um ihre schändlichen Ziele zu erreichen, und die Zugehörigkeit zu einem kriminellen Ökosystem. Während Bedrohungsgruppen scheinbar verschwinden oder von globalen Strafverfolgungsbehörden ausgeschaltet werden, tauchen neue Gruppen mit ähnlichen TTPs und Ransomware-Tools schnell wieder auf.

Arten von Bedrohungsgruppen

Cyberkriminelle Gruppen verhalten sich wie legitime Unternehmen mit Schulungen, Anreizen, Werbeaktionen und Kundensupport. Viele Bedrohungsgruppen existieren schon seit Jahren und haben ihre Ausbeutungsfähigkeiten im Laufe der Zeit verfeinert. Es gibt drei Haupttypen von Bedrohungsgruppen:

Finanziell motivierte Angreifer (FINs): Diese Gruppen nutzen Bedrohungsvektoren wie Phishing-E-Mails, Ransomware und Klickbetrug, um ihre Arbeit zu monetarisieren. Cyberkriminalität ist äußerst lukrativ und relativ risikoarm. Diese Finanzangreifer sind geduldig, nutzen „niedrige und langsame“ Techniken und machen sich die menschliche Natur und Social Engineering zunutze, um Opfer auszubeuten. BEISPIEL: Der Diebstahl im SWIFT-Finanznetzwerk und bei der Bank of Bangladesh wurde REvil, auch bekannt als Sodinokibi und GandCrab, zugeschrieben.
Nationalstaatliche Gegner (APTs): Diese gut ausgestatteten Angreifer nutzen Spionage und Cyberdiebstahl, um sensible Informationen wie geistiges Eigentum zu exfiltrieren, um die Ziele und die politische Agenda des Landes voranzutreiben. Wenn sie nicht tatsächlich Teil der Regierung sind, können sie in einem freizügigen Umfeld mitschuldige Unterstützung erhalten. Nationalstaatliche Gegner nutzen Advanced Persistent Threats (APTs) für ihre schändlichen Aktivitäten und lauern bekanntermaßen viele Monate lang darauf, ihre Ziele zu erreichen. BEISPIEL: Die als APT 29 bekannte Nobelium-Bande wird für den SolarWinds-Angriff verantwortlich gemacht, der darauf abzielte, Tausende ahnungsloser Opfer zu stören.
Hacktivisten: Obwohl sie seltener vorkommen als finanziell motivierte Akteure und nationalstaatliche Gegner, richten sie dennoch verheerenden Schaden bei Unternehmen und Regierungen an. Hacktivisten werden durch politische und soziale Ideologien motiviert und wollen Unruhen oder öffentliche Veränderungen fördern. BEISPIEL: Der Angriff auf Sony Pictures als Vergeltung, um die Veröffentlichung eines für Nordkorea wenig schmeichelhaften Films zu verhindern.

Handwerkskunst und Motivationen zwischen finanziell denkenden Gegnern und nationalstaatlichen Kriminellen verschwimmen. Landesregierungen nutzen E-Crime, um Regierungsoperationen zu finanzieren und Wirtschaftssanktionen zu umgehen.

Identifizierung von Bedrohungsgruppen

Es ist schwierig, ein Unternehmen, eine Organisation oder ein Land zu identifizieren, das für einen bestimmten gegnerischen Angriff verantwortlich ist. Kenntnis und Einblick in die TTPs von Bedrohungsgruppen sind hilfreich für eine bessere Verteidigung Ihrer Infrastruktur. Bedrohungsgruppen werden je nach Anbieter, Branche und Strafverfolgungsbehörden häufig mit unterschiedlichen Namen bezeichnet, was es noch schwieriger macht, ihre Beweggründe und Taktiken zu verstehen. APT 41 ist aufgrund seiner angeblichen Verbindungen zum chinesischen Staatsministerium (MSS) auch als BARIUM und Wicked Spider bekannt. MITRE ATT&CK® ist eine Wissensdatenbank über gegnerische Taktiken, die auf Beobachtungen aus der realen Welt basiert. Die Datenbank beschreibt auch Bedrohungsgruppen und kriminelle Banden für praktische Sicherheitsanalysen und Einblicke.

Analysieren Sie das Verhalten des Gegners, um die Abwehrkräfte zu stärken.
Die MITRE Corporation

KMU sind attraktive Ziele

Kleine und mittlere Unternehmen (KMU) denken vielleicht, sie seien zu klein, um von Angreifern angegriffen zu werden, aber das ist weit von der Wahrheit entfernt. Cyberkriminelle haben es auf viele Unternehmen abgesehen, und KMUs können aufgrund ihres geistigen Eigentums, ihrer Kontakte in der Lieferkette oder vermeintlicher Sicherheitslücken ins Visier genommen werden. Wie unser Security Operations Center aufgedeckt hat, nutzen Angreifer häufig legitime Tools und Dienste, die sich der Erkennung entziehen. Angreifer wissen, dass große und kleine Unternehmen sich auf den Schutz ihres Markenrufs konzentrieren und wahrscheinlich ein Cyber-Lösegeld zahlen. Durch heimliche und raffinierte Angriffe auf Dienstanbieter können Kriminelle skalieren und einen höheren ROI für ihre Bemühungen erzielen. Wie können Unternehmen kapitalkräftige Bedrohungsgruppen verstehen und sich effektiv schützen?

Wie Sie sich gegen Gegner und heimliche Angriffe verteidigen können

Hier sind einige von CISA empfohlene Abhilfemaßnahmen, um verdächtige Sicherheitsaktivitäten oder mögliche Vorfälle zu verhindern, zu erkennen und darauf zu reagieren:

Verhindern Sie, was Sie können, indem Sie in Ihrem Unternehmen ein Social-Engineering-Sensibilisierungsprogramm implementieren
Verwenden Sie unterschiedliche Passwörter für geschäftliche und private Konten
Trennen Sie interne Netzwerke
Wenden Sie das Prinzip der geringsten Rechte an
Deaktivieren oder blockieren Sie unnötige Remote-Dienste und -Anwendungen
Sichern und überwachen Sie die Verwendung des Remote Desktop Protocol (RDP)
Software-Patches und Updates umgehend anwenden, um Missbrauch zu verhindern
Aktivieren oder verbessern Sie Überwachungs- und Protokollierungsprozesse
Setzen Sie robuste Cybersicherheitslösungen ein, um Ihre Angriffsfläche zu reduzieren

Threat Intelligence reduziert Ihre Angriffsfläche und Ihr Risiko

Cyberkriminelle haben ein breites Spektrum an Motiven und Methoden und ihre Risiken können nicht ignoriert werden. Wenn Sie diese Bedrohungsgruppen und ihr Handwerk kennen, verringert sich die Wahrscheinlichkeit, Opfer eines kostspieligen Sicherheitsvorfalls zu werden. Mit Cyber-Resilienz können Unternehmen dynamische Bedrohungen besser vorhersagen, verhindern, erkennen und darauf reagieren. Netsurion hilft Ihnen mit einer verwalteten offenen XDR-Lösung, gegnerische Angriffe vorherzusagen, zu verhindern, zu erkennen und darauf zu reagieren. Umfassende Transparenz und proaktive Bedrohungssuche helfen Ihnen, sich vor heimlichen Bedrohungsakteuren zu schützen.