Einsatz von Automatisierung und Analysen für die Abwehr von Cyber-Bedrohungen rund um die Uhr

Im Zuge der Weiterentwicklung des pakistanischen Bankensektors haben die staatlichen Aufsichtsbehörden ihren Teil dazu beigetragen, den Trend in der Branche aufrechtzuerhalten, indem sie als Reaktion auf die steigenden Risiken und Bedrohungen neue Richtlinien erlassen haben. Die jüngste dieser Richtlinien, die so genannte Cyber Security Policy 2021, verlangt von den Banken, ihre Systeme und Verfahren zu modernisieren, um Cyberangriffe in all ihren Erscheinungsformen – von Malware, Phishing und Spoofing bis hin zum „Skimming“ von Daten von Geldautomatenkarten – zu erkennen, darauf zu reagieren und sie letztendlich zu verhindern.

Die Regierung Pakistans verfolgte mit diesen neuen Vorschriften zur Cybersicherheit das Ziel, die Banken des Landes, die sich bis dahin vor allem auf Wachstum und Rentabilität konzentriert hatten, in einem weitgehend vernachlässigten Bereich auf den neuesten Stand zu bringen. Neben anderen Maßnahmen verlangte die neue Richtlinie von den Banken, dass sie grundlegende Sicherheitsmaßnahmen treffen, einschließlich Security Operations Centers (SOCs) und automatisierte Reaktionstools, die rund um die Uhr, 24x7, im Einsatz sind.

Anfang 2019, als die Richtlinie noch im Entwurfsstadium war, verfügte die Askari Bank – wie die große Mehrheit der Banken in Pakistan – nur über rudimentäre Sicherheitsmechanismen, eine begrenzte Governance für die Sicherheit und kein spezielles Sicherheitspersonal. Das Schließen dieser Lücke war die Hauptaufgabe von Jawad Khalid Mirza, der im März als Chief Information Security Officer (CISO) zur Bank kam. Von Anfang an, so erklärt er, sorgte die starke Unterstützung des Vorstands für ein günstiges Klima für die von ihm angestrebte Transformation. „Unser Vorstand war sich darüber im Klaren, wie Banken auf der ganzen Welt in die Sicherheit investieren“, sagt er. „Sie erkannten, dass wir ohne die richtigen Cybersicherheitskapazitäten und die richtigen Fachleute nicht vorankommen können.“

Die vielleicht größte Herausforderung für Jawad Khalid Mirza war die Notwendigkeit, ein SOC von Grund auf aufzubauen und mit Personal zu besetzen. Dazu musste er die Sicherheitssoftwarelösung auswählen, die die technischen Anforderungen am effizientesten und kostengünstigsten erfüllen würde, einschließlich der Integration der Lösung in die Kernbankensysteme der Askari Bank. Darüber hinaus musste er ein Team zusammenstellen, das für die Einrichtung und Verwaltung der täglichen technischen Abläufe des SOC zuständig war, einschließlich der äußerst wichtigen Erkennung und Behandlung von Sicherheitsvorfällen. Für diese Aufgabe brauchte er jemanden mit langjähriger Erfahrung bei der Arbeit mit einem SOC, und er fand es bei Umair Shakil.

Nur wenige Tage, nachdem er als Leiter des SOC-Teams zur Askari Bank gekommen war, beriet sich Umair Shakil mit Jawad Khalid Mirza eingehend über die alles entscheidende Auswahl der Plattform. In seiner vorherigen Position – er leitete die Sicherheitsabteilung bei einem der größten Telekommunikationsanbieter Pakistans – hatte Umair Shakil die IBM® Security QRadar-Lösung mit großem Erfolg implementiert. Aufgrund seiner positiven Erfahrungen kam IBM Security zusammen mit den Sicherheitslösungen von Microsoft und Splunk in die engere Wahl.

Auf der Grundlage der von den einzelnen Anbietern vorgelegten Machbarkeitsnachweise führten Umair Shakil und Jawad Khalid Mirza ein gründliches Benchmarking durch, das sich auf drei zentrale Aspekte stützte: Systemleistung, Interoperabilität und Benutzerfreundlichkeit. Zusätzlich zu diesen Faktoren, so Jawad Khalid Mirza, spiegelt die Wahl der QRadar-Plattform ihr Vertrauen in die von IBM aufgestellte Roadmap wider. „Wir sehen uns mit der Richtung, die IBM mit der QRadar-Plattform einschlägt, auf einer Linie“, sagt er. „Für uns spiegelt es das Engagement von IBM wider, eine großartige Sicherheitslösung noch besser zu machen.“

Bei der Betrachtung der Eigenschaften, die den Ausschlag dafür gaben, dass die QRadar-Lösung den Lösungen von Microsoft und Splunk vorgezogen wurde, hebt Umair Shakil die einfache Integration als eine der besonderen Stärken hervor. „Eines der besten Dinge an QRadar ist, dass es mehrere Möglichkeiten zur Integration mit unseren Kernbankensystemen bietet und nicht nur eine einzige Methode“, sagt er. „Wie gehofft, erwies sich das während der Implementierung als enormer Vorteil.“

Zur Bereitstellung der Lösung beauftragte die Askari Bank den IBM Business Partner Software Productivity Strategists, Inc. (SPS), der eng mit Umair Shakil und seinem wachsenden SOC-Team zusammenarbeitete. Die Kernkomponente der Lösung für die Erkennung von Bedrohungen ist IBM Security QRadar SIEM, das Produkt für das Management von Sicherheitsinformationen und Ereignissen. Damit kann die Bank Protokolle aus verschiedenen Quellen in einem einzigen Repository zusammenfassen. Dies wiederum ermöglicht es den SOC-Mitarbeitern, Korrelationen und Eskalationen zwischen verschiedenen Protokollen zu erstellen, um Sicherheitsvorfälle schnell zu identifizieren und zu priorisieren.

Während die Abwehr von Bedrohungen, die zu Sicherheitsverstößen werden, der ultimative Maßstab für den Erfolg eines SOC ist, ist die Effizienz, mit der es dies tut, auch auf operativer Ebene entscheidend. Und hier haben die Automatisierungsbemühungen der Askari Bank wirklich etwas gebracht. Dank der Fähigkeit von QRadar SIEM, Fehlalarme auszusortieren, konnte das SOC der Bank die Zahl der Sicherheitsvorfälle von etwa 700 pro Tag auf weniger als 20 reduzieren. Darüber hinaus ermöglichen die im SOC implementierten QRadar SOAR-Playbooks den Mitarbeitern, diese Vorfälle in durchschnittlich fünf Minuten zu lösen, während es vor der Sicherheitsumstellung der Bank bis zu 30 Minuten dauerte.

Wie Umair Shakil betont, bedeuten all diese automatisierungsbedingten Effizienzsteigerungen, dass das SOC-Personal die Vorfälle mit geringer Priorität und die Falschmeldungen herausfiltern kann, die ein SOC überfluten können, sodass die Mitarbeiter sich stattdessen auf die Bekämpfung echter Risiken und die Suche nach Schwachstellen konzentrieren können. „Für die Effektivität eines SOC ist die Fähigkeit, Prioritäten bei der Reaktion auf die dringendsten Sicherheitsrisiken zu setzen, fast genauso wichtig wie die Erkennung“, sagt Umair Shakil. „In dieser Hinsicht hat die QRadar-Lösung, die wir eingesetzt haben, unser Team bei der Bekämpfung der Bedrohungslandschaft sehr viel effektiver gemacht.“

Das bedeutet, dass die Bedrohungen sowohl von außerhalb als auch von innerhalb der Bank kommen. Und damit sind wir bei einem der größten Sicherheitsprobleme, mit dem nicht nur Banken, sondern jedes Unternehmen konfrontiert ist: der Umgang mit Sicherheitsbedrohungen, die von „Insidern“ ausgehen. In vielen Fällen sind die verräterischen Anzeichen für Insider-Bedrohungen sowohl missglückte Anmeldeversuche als auch atypisches oder ungewöhnliches Verhalten innerhalb des Netzwerks, z. B. wenn ein Mitarbeiter versucht, auf eine Anwendung oder Datenbank zuzugreifen. Um diese Risiken zu erkennen, verwendet die Askari Bank die UBA-App (User Behavior Analytics). Durch die Kombination von Verhaltensregeln und Analysen mit Protokoll- und Aktivitätsdaten, die bereits in QRadar gespeichert sind, hat die UBA-App den SOC-Mitarbeitern der Bank ermöglicht, die Überwachung, Erkennung und Untersuchung zu rationalisieren und so die Effizienz des Managements von Insider-Bedrohungen zu verbessern. Da UBA analytische Algorithmen verwendet, um Abweichungen in den Benutzeraktivitäten zu erkennen – und keine strikten Regeln –, konnte die Askari Bank damit die Häufigkeit falsch-positiver Vorfälle reduzieren.

Es gibt zwar keinen einzelnen Indikator dafür, wie weit die Askari Bank bei der Verbesserung ihrer Sicherheitslage gekommen ist, seit sie mit SPS zusammenarbeitet, um ihre neue QRadar-Lösung zu implementieren, aber es gibt viele Anhaltspunkte. Ein SOC, das vor drei Jahren noch gar nicht existierte, ist heute mit einem Team von mehr als 20 Spezialisten besetzt. Und noch etwas hat die Bank, was sie vorher nicht hatte: Sichtbarkeit von Bedrohungen. Dank der Korrelationsfunktionen von QRadar SIEM und seiner Fähigkeit, zuverlässige Alerts auszugeben, kann die Askari Bank jetzt rund um die Uhr genau sehen, wie vielen Angriffen sie ausgesetzt ist.

Jawad Khalid Mirza weist darauf hin, dass zusätzlich zu dieser erheblich verbesserten Sichtbarkeit von Bedrohungen die von QRadar SOAR ermöglichten automatischen Reaktionen bedeuten, dass das SOC-Personal effizienter und proaktiver arbeitet, um die Cyberbedrohungen von heute – und die neuen von morgen – in Schach zu halten. „Die Tatsache, dass wir jetzt in der Lage sind, die pakistanischen Cybersicherheitsvorschriften einzuhalten, ist entscheidend, aber das ist nur der Anfang“, erklärt er. „Mit QRadar haben wir jetzt die Effizienz und Flexibilität, um uns an eine sich ständig verändernde Cyberbedrohungslandschaft anzupassen, egal wie schnell wir wachsen.“

Die Askari Bank (Link befindet sich außerhalb von ibm.com) mit Sitz in Rawalpindi, Pakistan, ist eine Geschäfts- und Privatkundenbank mit 560 Filialen in ganz Pakistan und einer Großhandelsbankfiliale in Bahrain. Die 1991 gegründete Askari Bank gehört zur Fauji Group, erwirtschaftete im Jahr 2021 einen Umsatz von 4,2 Milliarden US-Dollar und beschäftigt rund 7.500 Mitarbeiter.

Mit Sitz in Rockville, MD, und Büros in Islamabad, Pakistan, entwickelt IBM Business Partner SPS (Link befindet sich außerhalb von ibm.com) Branchenlösungen, die auf KI und der Cloud basieren. Als Innovator und Lösungsentwickler für Unternehmen mit Fachwissen in allen Phasen des Produktdesigns, der Entwicklung, der Bereitstellung, der Sicherheit, des Betriebs, der Überwachung und des Supports unterstützt SPS seine Kunden bei der Erstellung, Bereitstellung und Sicherung von Anwendungen. Die Teams für Entwicklung, Qualität, Cybersicherheit, Schulung, Betrieb, Überwachung und Support arbeiten Hand in Hand, um leistungsstarke, sichere, zuverlässige, skalierbare und einfach zu verwaltende Systeme zu schaffen.