IT-Sicherheit Was tun – wenn der Feind bereits im Haus ist?

Ein Cyber-Angriff dauert je nach Unternehmensgröße nur wenige Minuten. Die eigene IT hingegen braucht durchschnittlich 200 Tage, um einen solchen Einbruch zu erkennen und weitere 80, um das Sicherheitsproblem zu lösen. Definierte Schritte einleiten, wenn der Angriff bereits passiert ist – wird also immer wichtiger, um schnell wieder Herr der Lage zu sein.

Anbieter zum Thema

compmall GmbH

MicroControl GmbH & Co. KG

SMC Deutschland GmbH

PR von Harsdorf

Microsoft Deutschland GmbH

Post Breach steht für „nach dem Einbruch / Cyber-Angriff“; beim Post-Breach-Ansatz handelt es sich also um konzernweite Sicherheitsmaßnahmen, die greifen, wenn der Einbruch ins Firmennetzwerk bereits passiert und der Feind schon „im Haus“ ist. Einer aktuellen Umfrage der Wirtschaftsprüfungsgesellschaft KPMG zufolge sind 40 Prozent der deutschen Unternehmen in den vergangenen zwei Jahren Cyber-Attacken zum Opfer gefallen. Und die Angriffe auf geistiges Eigentum und kritische geschäftliche Informationen nehmen stetig zu. Dabei erweisen sich die Hacker als überaus geschickt und erfolgreich, auch gegenüber gut geschützten Umgebungen. Ferner nutzen Eindringlinge das primär angegriffene Netzwerk als Sprungbrett, um an wichtige Informationen von Geschäftspartnern oder Kunden zu gelangen. Netzwerke, die mit veralteter Technik arbeiten oder nur rudimentäre Schutzmechanismen einsetzen, sind dabei besonders leichte Beute.

Gegen derartige Angriffe nicht vorbereitet zu sein, ist heute eine der größten Gefahren, denen sich ein Unternehmen aussetzen kann. Eine professionelle Softwareunterstützung, die nicht nur vor Angriffen schützt, sondern auch schnell agiert, wenn bereits ein Einbruch vorliegt, ist daher besonders wichtig. Das Betriebssystem Windows 10 verfügt über umfangreiche, integrierte Post-Breach-Funktionen. Seine Sicherheitslösungen erkennen den Eindringling nicht nur zeitkritisch, sondern liefern IT-Verantwortlichen zusätzlich zur Krisenanalyse auch Handlungsempfehlungen zur Behebung des Angriffs.

Der Wächter vor dem Tor genügt nicht mehr

Neue Formen der Bedrohung erfordern eine neue Art der Verteidigung. Bis dato setzen Unternehmen vorrangig auf Schutzmechanismen wie Firewalls und Anti-Viren- bzw. Malware-Lösungen. Diese agieren als Wächter; sie prüfen eingehende Dateien und den Arbeitsspeicher auf schädliche Inhalte und blockieren sie. Aber egal, wie gut die Verteidigungsstrategie auch aufgebaut ist: Da Hacker häufig über umfangeiche Finanzmittel sowie Top-Spezialisten verfügen, finden sie früher oder später einen Weg. So nahmen zum Beispiel Attacken auf große Unternehmen von 2014 auf 2015 um 40 Prozent zu. Kundendaten und geistiges Eigentum sind dabei die vorrangigen Ziele der Angreifer, die oft gar keine Malware benutzen, sondern sich über Social-Engineering-Verfahren (beispielsweise Phishing) Zugriff und Berechtigungen über die ahnungslosen Nutzer verschaffen. Eine andere Möglichkeit, um unerkannt in Netzwerke einzubrechen, sind die Zero-Day-Exploits – die Angriffe also, die am selben Tag erfolgen, an dem eine Schwachstelle in einer Software entdeckt wird, bevor der Hersteller diese durch einen Fix schließen kann.

War ein Hacker erfolgreich und hat sich Zugang zum System verschafft, muss er zunächst verschiedene, zeitintensive Aktivitäten durchführen: Das Netzwerk erkunden und nach wertvollen Elementen durchsuchen, Informationen abgreifen und Maßnahmen zur Verschleierung treffen. Damit das System in der Lage ist, einen solch versteckten Überfall schnell zu registrieren, muss die Abwehr tief in der Infrastruktur selbst – in Prozessen und Endpunkten – verankert sein. Dieser neue Denkansatz hat die Entwicklung von Windows10 von der frühesten Planung an bestimmt und zahlreiche leistungsstarke Pre- und Post-Breach-Features hervorgebracht; dazu zählen Windows Device Guard, Credential Guard, Windows Information Protection und Windows Defender ATP (Advanced Threat Protection).

Mit Analyse-Schlagkraft gegen Cyber-Eindringlinge

Seit dem Anniversary Update von Windows10 im August 2016 stehen Unternehmenskunden der Service Windows Defender ATP, zur Verfügung. Es ist ein cloud-basiertes Analyse-Tool, das direkt in Windows 10 integriert ist und auf Basis von Machine-Learning-Prozessen Bedrohungen aufspürt, die bereits andere (Pre-Breach) Sicherheitsmaßnahmen durchbrochen haben. Mit Hilfe hochsensibler Analysen ermöglicht es den Unternehmen, komplexe Cyber-Angriffe im Netzwerk schneller zu erkennen, zu untersuchen und zu beseitigen. Die Lösung setzt sich aus drei Elementen zusammen:

• Sensible Endpunkt-Sensoren, die tief in das Betriebssystem eingebettet detailliert protokollieren, was auf dem Computer passiert und Metadaten dieser Informationen an den kundeneigenen, komplett isolierten Windows Defender ATP Cloud-Speicherplatz senden.

• Ein cloudbasiertes Sicherheits-Analysetool, das die Signale mit Hilfe von Big Data, selbstlernenden Algorithmen sowie einer ganzen Reihe Windows-eigener Anti-Malware-Tools auf auffällige Verhaltensmuster hin auswertet. Hat das Tool eine Bedrohung aufgespürt, löst es Alarm aus und gibt Handlungsempfehlungen für die konkrete Reaktion auf die potentiell bestehende Bedrohung.

• Umfassendem Cyber-Defense-Fachwissen der Microsoft-Experten (z.B: die Digital Crime Unit oder die Enterprise Cybersecurity Group). Dazu kommen Erkenntnisse aus täglich rund 1.000.000 identifizierter Schad-Dokumenten sowie die Analyse von circa 600.000 Microsoft eigenen Endpunkten und fortlaufende Informationen aus Cloudservices wie Office 365, Azure oder Bing. Windows Defender ATP profitiert von diesem Informationspool über Cyber-Angriffe und kann diese dadurch sehr schnell identifizieren und Alarm auslösen, sobald entsprechende Muster im System auftreten.

Mit Virtualisierungstechnik Schadsoftware isolieren

Die meisten Cyberangriffe – 90 Prozent – nutzen mittlerweile Hyperlinks, um sich Zugang zu Unternehmens-Netzwerken zu verschaffen. Eine beliebte Vorgehensweise sind E-Mails, die aussehen, als kämen sie von Mitarbeitern und per Hyperlink auf ein wichtiges Dokument hinweisen. Hinter dem Link steckt allerdings eine Website, über die sich die Schadsoftware auf dem jeweiligen lokalen PC installiert und von dort aus das gesamte Netzwerk ins Visier nimmt. Mithilfe ausgeklügelter Virtualisierungstechnologie hindert Windows Defender Application Guard in Kombination mit dem Browser Microsoft Edge Angreifer daran, sich auf einem Endpunkt festzusetzen und von dort aus das Netzwerk zu infiltrieren.

Surft ein Mitarbeiter auf einer als unbekannt eingestuften Website bzw. klickt auf einen Link dorthin, dann isoliert das Tool die Website in einem temporären, komplett isolierten Container auf der Hardware-Ebene – inklusive einer Kopie des Betriebssystem-Kernels sowie aller Services, die für die Nutzung des Browsers nötig sind. Im Vergleich zu reinen Software-Containerboxen sorgt der Hardware-basierte Ansatz für einen noch höheren Isolierungsgrad. Die Kopie erhält keinerlei Zugang zu Anwendungen, Datenspeichern oder Zugangsdaten, ist dabei aber vollständig funktionsfähig. Der User kann also ungestört weiterarbeiten, egal ob bei dem aktuellen Surf-Vorgang ein Sicherheitsfall vorliegt oder nicht.

Der virtuelle Container wird nach jedem Surfvorgang entsorgt und für den nächsten Klick auf eine unbekannte Website wird ein neuer erstellt. Im Fall eines tatsächlichen Angriffs befindet sich im Container eine Umgebung ohne interessante Daten oder Zugänge – die Schadsoftware kann keinen Schaden anrichten. Ist der Surfvorgang beendet, wird sie mit dem isolierten Container entsorgt und hat somit keine Chance, sich auf dem lokalen Endpunkt festzusetzen oder sich von dort aus ins Netzwerk zu verbreiten.

Folgekosten eines Angriffs minimieren

Wie wichtig schnelle, leistungsstarke Post-Breach-Funktionen sind, zeigen folgende Zahlen: Im Schnitt benötigt ein Unternehmen derzeit noch mehr als 200 Tage, um einen Sicherheitsvorfall zu entdecken. Danach dauert es oft nochmals bis zu 80 Tagen, bis der Schaden vollständig behoben ist. Viel Zeit also, um Daten zu entwenden und im Unternehmensnetzwerk großen Schaden anzurichten. In der Folge sind diese Angriffe sehr kostenintensiv und haben oft weitreichende negative Auswirkungen auf den guten Ruf eines Unternehmens. Der Verlust an (Marken-) Reputation in Folge eines derartigen Einbruchs kann sich als größter finanzieller Posten im Nachgang erweisen und sogar die Unternehmensexistenz bedrohen.

Die internationale Risk-Value-Studie von NTT Com Security beziffert die Kosten zur Behebung der Schäden bei großen Konzernen im Jahr 2015 durchschnittlich auf über 800.000 Euro. Laut einer SANS Studie aus dem gleichen Jahr zeigen sich die finanziellen Auswirkungen eines erfolgreichen Angriffs oft erst Monate bis Jahre danach. 40 Prozent der betroffenen Unternehmen verzeichneten die spürbarsten finanziellen Auswirkungen zwölf Monate später – vor allem anhand von ungeplanten Kosten für Datenrückgewinnung und Forensik (57 Prozent). Dennoch haben nach aktuellem Stand nicht einmal fünfzig Prozent aller Unternehmen Versicherungen für IT-Security und Cyber-Risks abgeschlossen.

Heute und in Zukunft Schaden vom Unternehmen abwenden

Waren noch vor wenigen Jahren ausschließlich Großkonzerne und bestimmte Industrien wie Pharma und Kreditkarteninstitute im Visier von Hackern und Datendieben, stand 2015 der Handel im Fokus. Morgen kann es jede andere Branche treffen. Der Global Threat Intelligence Report (GTIR) von 2016 verzeichnet für das Jahr 2015 6,2 Mrd. Sicherheitsangriffe gegen Firmen und staatliche Institutionen. Während die Wahrnehmung für dieses Thema in den Unternehmen und der allgemeinen Öffentlichkeit deutlich gestiegen ist, sind laut GTIR allerdings 77 Prozent aller Unternehmen noch immer nicht ausreichend auf derartige Angriffe vorbereitet.

„Das zeigt deutlich, wie wichtig es für Unternehmen ist, nicht nur über umfassende Lösungen zur Abwehr von Bedrohungen aus dem Netz zu verfügen, sondern auch entsprechend leistungsstarke, schnelle Analyse-Tools und Maßnahmen an der Hand zu haben, die sofort greifen, wenn ein Angriff bereits passiert ist“, so Milad Aslaner, Senior Product Manager bei Microsoft Deutschland. Und rät: „Unternehmen, die aktuell Post Breach-Maßnahmen einführen oder optimieren wollen, können das mit dem Wechsel auf Windows 10 tun.“

Hannover Messe, Microsoft: Halle 7, Stand C40

(ID:44556191)