Neue Cyberbedrohungen erfordern neue Lösungen

Legitime E-Mail oder gezielter Phishing-Versuch? Mit genau dieser Frage sehen sich täglich unzählige Unternehmen und Mitarbeiter konfrontiert, und da diese Angriffe immer differenzierter werden, wird es zunehmend schwieriger, den Unterschied zu erkennen.
 

Etwa 40 % aller Cyberangriffe beginnen mit Phishing
 

Tatsächlich stellte IBM im Jahr 2021 fest, dass Phishing-Versuche zum häufigsten Bedrohungsvektor geworden sind und für etwa 40 % der Angriffe als Ausgangspunkt dienen. Wenn Kriminelle und Betrüger dann noch einen entsprechenden Telefonanruf dazuschalteten – Vishing, d. h. Voice Phishing –, war die Erfolgswahrscheinlichkeit des Versuchs dreimal so hoch. Ähnlich verhält es sich mit Ransomware-Angriffen, die sich mit einem Anteil von 21 % an allen Angriffen zu einer der größten Cyberbedrohungen entwickelt haben.

Auch traditionellere Branchen verzeichnen eine Zunahme der Cyberbedrohungen – vor allem, weil diese Unternehmen allmählich ergründen, wie die digitale Transformation einen klaren Wettbewerbsvorteil bringen kann. Laut einer IBM Studie hat die Fertigung den Bereich der Finanzdienstleistungen als die am häufigsten angegriffene Branche im Jahr 2021 abgelöst. 23,2 % der Angriffe, die in diesem Jahr abgewehrt wurden, entfielen auf diese Branche.

Fertigung: die im Jahr 2021 am häufigsten angegriffene Branche
 

Da KI und die Hybrid Cloud in der Produktion immer häufiger zum Einsatz kommen und die analysegestützte Entscheidungsfindung Echtzeitverlagerungen bei Arbeitsabläufen erfordert, finden Hacker und andere illegale Akteure neue Umgebungen mit vielen Angriffspunkten.

„Es ist nur ein erfolgreicher unbefugter Zugriffsversuch durch Hacking nötig, um Ihr Unternehmen zu kompromittieren“, so Robert Oh, Executive Vice President – Head of Corporate Digital Strategy für die Doosan Group und Chief Operating Officer (COO) bei Doosan Digital Innovation (DDI), einem Unternehmen, das IT- und DT-Angebote hauptsächlich für die Doosan Group bereitstellt. „Oder auch nur eine nicht böswillige Aktion eines Mitarbeiters, wie z. B. das Klicken auf einen Link, auf den nicht hätte geklickt werden dürfen. Wenn die Hintertür erst einmal offensteht und die Eindringlinge hereinspaziert sind, wissen die meisten Unternehmen über einen Monat lang überhaupt nicht, dass sie kompromittiert worden sind. Das ist eine Menge Zeit, um Schaden anzurichten.“

Anfang 2021 wurde Oh neben seiner Rolle als Executive Vice President – Head of Corporate Digital Strategy für die Doosan Group zusätzlich in die Rolle des COO bei DDI berufen. Im Zuge dieser Ernennung befasste er sich mit der im Wandel begriffenen Sicherheitsumgebung und mit der Frage, wie man ihr begegnen kann. Dabei war er der Überzeugung, dass ein effektives, umfassendes Cybersicherheitsprogramm die Grundlage jeglichen Aufwands in Richtung digitaler Transformation sein sollte. Glücklicherweise trug er in seinen neuen Funktionen die Verantwortung für die Führung der Journey zur digitalen Transformation nicht nur für DDI, sondern für die globale Doosan Group.

„Als einen der ersten Punkte, die ich unseren Top-Führungskräften gegenüber erwähnte, wies ich auf den Stellenwert hin, den der Schutz unserer Investitionen in die digitale Transformation hat“, erinnert sich Oh. „Wie Sie sich vorstellen können, bedurfte es einiger Überzeugungsarbeit, um sie dazu zu bringen, der Verstärkung unserer Position zuzustimmen. Sicherheit gilt oft als selbstverständlich – bisher ist noch nichts Schlimmes passiert, also wird künftig auch nichts Schlimmes passieren. Ich habe mich jedoch darauf konzentriert, ihnen darzulegen, dass Sicherheit eine wichtige Grundvoraussetzung für unseren zukünftigen Erfolg ist. Dass sie nicht einfach neben unserer Transformation koexistiert, sondern vielmehr die Grundlage für sie bildet.“

Oh wollte die Doosan Group vor allem auf ein proaktiveres, global ausgerichtetes Sicherheitsniveau bringen. Bisher wurden die Sicherheitsbestrebungen des Unternehmens von einer Unternehmensbereichsebene oder einer regionalen Ebene aus verwaltet, wodurch sich die Zusammenarbeit zwischen den Sicherheitsteams recht ineffizient gestaltete.

„In der Doosan Group sind wir weltweit insgesamt in über 40 Ländern tätig“, fügt Oh hinzu. „Bei dieser globalen Größenordnung hat man einfach nicht die Zeit, seine Leute auf einen gemeinsamen Stand zu bringen. Das müssen sie durch Richtlinien, Prozesse und proaktive Technologie-Enabler bereits sein.“

Er fährt fort: „Ich wollte sicherstellen, dass jedem einzelnen in unseren globalen Sicherheitsteams dieselbe konsolidierte Sicht eines jeden möglichen Endpunkts angezeigt wird, die wir unter unserem Dach verwalten. Das bedeutete, dass wir unseren Perimeter ausbauen und globale, umsetzbare Transparenz in Echtzeit integrieren mussten.“

Global denken, lokal schützen
 

Die Standardisierung und Zentralisierung der Sicherheitsrichtlinien in 40 Ländern ist keine einfache Aufgabe, wie Oh zugesteht. „Am Anfang habe ich meinem Team gesagt, dass es im Begriff ist, sich auf das Abenteuer seines Lebens einzulassen“, erinnert er sich. „Wir haben nur selten die Gelegenheit, globale Arbeitsweisen durch Transformation zu verändern, aber ich wusste, dass wir dieses Abenteuer mit der richtigen Unterstützung sehr viel berechenbarer gestalten würden können. Und diese Unterstützung haben wir bei IBM gefunden.“

In einem ersten Schritt bewertete und identifizierte ein remote arbeitendes IBM Security X-Force-Team die Bereiche, in denen die Transparenz innerhalb der etablierten Prozesse von DDI verbessert werden konnte. Anschließend stimmte sich das Sicherheitspersonal des Kunden mit einem IBM Security X-Force-Beratungsteam vor Ort ab, um eine eingehendere Reifegradanalyse für das globale Netz des Konzerns durchzuführen. Anhand dieser Informationen stellte das gemeinsame Team Empfehlungen zusammen, die dazu beitragen sollten, die Sicherheitssysteme weiter zu stärken und eine globale Governance zu fördern, die im Einklang mit den branchenweit anerkannten Best Practices steht.

Im Rahmen dieser Bestrebungen identifizierten das DDI- und IBM Team die entsprechenden Rollen und Verantwortlichkeiten der Doosan-Mitarbeiter, die innerhalb der Sicherheitsinfrastruktur arbeiten, und legten diese fest. Ebenso befasste sich das gemeinsame Team mit der Kapazitätsplanung für diese neue Sicherheitsposition und identifizierte zusätzliche Optionen für Anwendungsfälle und Runbooks für die Reaktion auf Vorfälle, die die Schutzbemühungen unterstützen würden.

Das gemeinsame Team von DDI und IBM kam auch zu dem Schluss, dass der Doosan Group besser damit gedient wäre, wenn sie ihre regionalen Security Operation Centers (SOCs) zu einem einheitlichen, globalen SOC konsolidieren würde. Mit einer stärker integrierten und standardisierten Beaufsichtigungsstrategie würde die Gruppe dann gemeinsame Leistungsmetriken festlegen und sich leichter standort- und regionenübergreifend koordinieren lassen.

DDI war von dieser Einschätzung überzeugt und führte die empfohlenen Sicherheitsverbesserungen durch. Das neue globale SOC, das von einem IBM Security X-Force-Team überwacht wird, sorgt nach einem „Follow-the-Sun“-Modell rund um die Uhr für Überwachung und Schutz. Die Sicherheitsverantwortung für die globale Infrastruktur von Doosan wechselt in jedem 24-Stunden-Zeitraum turnusmäßig zwischen drei IBM Standorten, sodass sich der MDR-Support (Managed Detection and Response) auf die Region richtet, die zu einem beliebigen Zeitpunkt des Tages jeweils am aktivsten ist.

Darüber hinaus bietet die globale SOC-Lösung DDI ständigen Zugang zu IBM Branchenexperten und Support durch Sicherheitsberatung sowie zu den aktuellsten globalen Bedrohungsdaten. Durch die Nutzung dieses regelmäßig aktualisierten Wissenspools bleiben DDI und die Doosan Group besser vor den neuesten Bedrohungsvektoren geschützt, einschließlich solcher, die speziell auf den Fertigungssektor ausgerichtet sind. 

Zur Steuerung des Betriebs des globalen SOC hat DDI mit IBM zusammengearbeitet, um seine zentrale Sicherheitsinfrastruktur zu aktualisieren. Das Team untermauerte die Bestrebungen des Unternehmens im Bereich des proaktiven Security Incident and Event Management (SIEM) und setzte Cybereason EDR ein, um die Endpunkt-Erkennung und -Reaktion (Endpoint Detection and Response, EDR) zu überwachen. Die EDR-Software ist in der Lage, potenzielle Bedrohungen schnell zu erkennen, auf sie zu reagieren und sie zu beseitigen. Außerdem integrierte IBM die IBM Security QRadar SOAR-Technologie, die durch IBM Cloud Pak for Security bereitgestellt wird, und schöpfte dabei die Vorteile der offenen Plattform mit der Cybereason EDR-Lösung aus, um KI-basierte Automatisierung bereitzustellen, mit der die Reaktion auf Bedrohungen weiter optimiert wird.

„Wir haben die SOAR-Funktionalität schichtweise eingebunden, damit wir falsche Bedrohungsmeldungen aufklären können, ohne die kostbare Zeit unserer Mitarbeiter zu beanspruchen“, erklärt Oh. „Das harmoniert mit unserem globalen SOC, so dass wir uns jetzt auf das konzentrieren können, was relevant ist. Und wenn das System tatsächlich ein legitimes Problem findet, können wir mit Agilität und Nachdruck handeln.“

Mit der Zielsetzung, das kontinuierliche Wachstum, den Reifegrad und eine sich ständig verändernde Umgebung voranzutreiben, nutzt Doosan die Beratung durch IBM X-Force, um Sicherheitsstrategie, Governance, Metriken und Betriebsmodell fortlaufend zu optimieren. „Unsere Sicherheitsposition hat sich verändert“, fügt Oh hinzu. „Unsere Fähigkeit, eine potenzielle Bedrohung zu erkennen und auf sie zu reagieren, hat sich verändert. Unsere Kultur hat sich verändert. Und unsere Bereitschaft zur digitalen Transformation hat sich mit dem globalen DDI- und IBM Team verändert.“

Sehen heißt Handeln
 

Seitdem das globale SOC live ist, fühlen sich Oh und Doosan viel besser für die Zukunft und die Gegenwart gerüstet.

Stellen Sie sich vor, dass einer der in über 40 Länder verstreuten Mitarbeiter von Doosan versehentlich auf einen bösartigen Link klickt. Sofort beginnt Ransomware, die Festplatte des Mitarbeiters zu verschlüsseln. Zum Glück bietet die neue EDR-Lösung von Doosan drei Stufen der Vorfallerkennung, so dass bereits die Plattform die verdächtige Verschlüsselung bemerkt und Maßnahmen ergreift, indem sie den betreffenden Festplattensektor sofort unter Quarantäne stellt.

Gleichzeitig benachrichtigen die automatisierten Sicherheitsprotokolle ein IBM Security Managed Detection and Response-Team. Nachdem dieses festgestellt hat, dass es sich tatsächlich um einen Angriff handelt, koordiniert das IBM Team mit den Mitarbeitern vor Ort die Neuformatierung der betroffenen Festplatte und ihre sofortige Wiederinbetriebnahme, um die Betriebsunterbrechungen möglichst zu minimieren.

Dank der globalen Echtzeitüberwachung, die durch die IBM Technologie und das IBM Team bereitgestellt wird, kann DDI besser auf potenzielle Sicherheitsvorfälle reagieren, sobald diese auftreten. „Die vorgesehene Funktion wird voll erfüllt“, merkt Oh an. „Mit dem integrierten EDR/MDR bewältigen wir jeden Monat eine große Anzahl potenzieller Bedrohungen. Und mit all diesen potenziellen Angriffen werden wir fertig, ohne dass unser Geschäft unterbrochen wird.“

Er fährt fort: „SOAR war ebenfalls von entscheidender Bedeutung. Da der KI-basierte Musterabgleich im Vorfeld automatisch abgewickelt wird, können wir Vorfälle viel schneller erkennen, entschlüsseln und darauf reagieren, was die Reaktionszeiten um etwa 85 % verkürzt.“

Neben der Automatisierung sorgt das globale SOC für einen zentralisierten Einblick in den Sicherheits- und Betriebszustand des Unternehmens. „Da wir in 40 Ländern tätig sind, ist es wichtig, dass wir einen globalen Überblick haben“, fügt Oh hinzu. „Mit IBM haben wir jetzt rund um die Uhr einen genauen Überblick über die Welt in Echtzeit. Wir können jeden Endpunkt, jedes System sehen. Und genau dadurch ist unsere teamübergreifende Zusammenarbeit viel effizienter geworden.“

Diese standardisierten Bemühungen ermöglichen auch konsistente, orchestrierte Bedrohungsuntersuchungen, die für einen erhöhten Schutz und eine bessere Beaufsichtigung sorgen – und das alles bei gleichzeitiger Vereinfachung der Berichterstellungs-, Überwachungs- und Prüfungsprozesse.

Neben den funktionalen Verbesserungen, die die aktualisierte Sicherheitsarchitektur und das globale SOC bieten, gibt es für DDI noch weitere Gründe, mit IBM zusammenzuarbeiten. „Wir haben dieses gesamte Projekt schnell durchgezogen“, erklärt Oh. „Ich habe zu mir gesagt, ‚Ich möchte das in weniger als einem Jahr abschließen‘. Und dank des unermüdlichen Einsatzes meines globalen Teams und der Expertise von IBM haben wir das auch geschafft.“

Oh erkennt auch die Vordenkerrolle des IBM Teams an: „Unsere Kerngeschäftskompetenz bei Doosan ist nicht die Cybersicherheit. Daher war es sinnvoll, mit globalen Unternehmen zusammenzuarbeiten, um die Cybersicherheitskultur und -position von Doosan zu verändern. Aus diesem Grund haben wir einen globalen Marktführer beauftragt, der die Sicherheitsarbeit übernehmen und sich darauf konzentrieren kann, seinen Verstand und seine Fähigkeiten zu schärfen, um mit den alltäglichen Bedrohungen fertig zu werden.“

Als DDI dieses Projekt abschloss und seine Bestrebungen zur digitalen Transformation vorbereitete, konnte das Unternehmen außerdem einen breiteren kulturellen Einfluss unter seinen Mitarbeitern erkennen. „Wir legen viel mehr Wert auf Sicherheit“, stellt Oh fest. „Wir führen viele interne Schulungen zu E-Mail-Phishing-Kampagnen durch, was bedeutet, dass wir regelmäßig Schein-Phishing-E-Mails versenden, um unsere Mitarbeiter in der ganzen Welt zu testen. Im Verlauf des vergangenen Jahres, als wir diese Transformation ausgerollt haben, ist die Klickrate bei diesen Tests merklich und stetig gesunken. Und die Zahl der Benutzer, die achtlos genug waren, ihr Kennwort zu kompromittieren, wurde drastisch reduziert.“