Ausgehend von einer einzigen E-Mail-Adresse nutzte das Team von Shaffer die IBM Security® Randori Recon Software, um die externe Angriffsfläche von Greenhill zu überwachen und Systeme zu finden, von denen das Team nicht wusste, dass sie dem Internet ausgesetzt waren. Mit Hilfe der Priorisierungs-Engine von Randori Recon, Target Temptation, hat das Team die verlockendsten Ziele gepatcht, rekonfiguriert und neue Kontrollen bereitgestellt, um sie zu schützen.

Dann war es an der Zeit, mit der IBM Security Randori Attack Targeted Software über die Modelle hinaus in die reale Welt zu gehen. Shaffer autorisierte die Software, automatisch kritische Ziele anzustreben, wie z. B. den Zugriff auf sensible Dateifreigaben, die im internen Netzwerk von Greenhill gehostet werden. Durch die Emulation eines echten Angreifers verschaffte sich die Randori Attack Targeted Platform zunächst Zugang, indem sie eine Sicherheitslücke in der Infrastruktur des Unternehmens ausnutzte, die nicht bekannt gegeben wurde.

Das Szenario ermöglichte es Greenhill, ein Szenario für einen „angenommenen Kompromiss“ zu trainieren. Bei neuen Exploits, Fehlkonfigurationen oder gestohlenen Anmeldeinformationen ist das Patchen kein Ausweg: Die Teams müssen diese wirksam erkennen und reagieren. Dies erfordert den effektiven Einsatz der richtigen Produkte, die richtigen Prozesse zur Reaktion auf Vorfälle und ein Team mit Erfahrung in der Durchführung. Das Ziel der Randori Attack Targeted-Plattform besteht darin, diese Abwehrmaßnahmen zu trainieren und zu optimieren.

Nachdem die Berechtigung erteilt worden war, schwenkte die Randori Attack Targeted Software durch die Kontrollen, um Persistenz und seitliche Bewegung zu erreichen – eine Gelegenheit, die Erkennungs- und Reaktionsfähigkeiten von Greenhill zu trainieren. In jeder Phase der Kill Chain hatte Shaffer Einblick in die ausgeführten Aktionen und in die Frage, welche Abwehrmaßnahmen erfolgreich funktionierten und welche nicht. Daraus ergab sich die Notwendigkeit einer verstärkten Berichterstattung an Schlüsselpunkten im Netzwerk und der Optimierung der Erkennungsregeln in der SIEM-Lösung des Unternehmens. Nachdem die Änderungen vorgenommen worden waren, führte das Team einen Rücklauf mit der Randori-Attack-Targeted-Lösung durch, um die Implementierung zu bestätigen und die „Zeit bis zur Eindämmung“ zu verkürzen. Aber das war kein Haltepunkt. Der Attack-Defend-Prozess ist kontinuierlich – das Greenhill-Team erhält von der Lösung Benachrichtigungen, wenn sich seine Angriffsfläche ändert, und kann neue und aufkommende Angreifertechniken testen.

Mit der Kombination aus Randori Attack Action Reports und Randori Recon Target Temptation kann Shaffer die Effizienz messen – was funktioniert, was nicht – und besser in sein Sicherheitsprogramm investieren. „Wenn ich echte Angriffe auf unser Netzwerk sehe, erhalte ich aussagekräftige Beweise, die ich mit der Geschäftsleitung teilen kann“, sagt Shaffer. „Ich kann überprüfen, was funktioniert, und mein Team aufbauen.“ Durch die Einführung einer einheitlichen, offensiven Sicherheitsplattform ist Greenhill in der Lage, schneller zu handeln, die Effizienz des Teams zu steigern und seine Sicherheitsexpertise zu erweitern.

Greenhill (Link befindet sich außerhalb von ibm.com) ist eine führende unabhängige Investmentbank, die sich auf die weltweite Beratung von Unternehmen, Personengesellschaften, Institutionen und Regierungen bei bedeutenden Fusionen, Übernahmen, Restrukturierungen, Finanzierungen und Kapitalberatungen konzentriert. Greenhill hat seinen Hauptsitz in New York City, beschäftigt 400 Mitarbeiter und verfügt über Niederlassungen in Nordamerika, Europa und im asiatisch-pazifischen Raum sowie eine Allianzpartnerschaft in Israel.