Cyberangriffe durch Zugangsmissbrauch können einem Unternehmen, seinen Mitarbeitern und seinen Kunden schaden. Laut dem „2020 IBM X-Force® Threat Intelligence Index“ sind unbeabsichtigte Bedrohungen von innen der Hauptgrund für den Anstieg der Zahl der Datenschutzverletzungen um mehr als 200 % im Jahr 2019 gegenüber 2018. Insider wissen in der Regel, wo sich die sensiblen Daten eines Unternehmens befinden, und verfügen oft über erweiterte Zugriffsrechte, unabhängig davon, ob sie böswillige Absichten haben oder nicht.

Insider-Angriffe sind für Unternehmen auch kostspielig. In der Studie Cost of Insider Threats 2020 des Ponemon Institute fanden die Forscher heraus, dass die durchschnittlichen jährlichen Kosten für interne Datenschutzverletzungen bei 11,45 Mio. USD liegen, wobei 63 % der Vorfälle auf Fahrlässigkeit zurückzuführen sind.

Ob versehentlich oder absichtlich, Insider können vertrauliche Kundendaten, geistiges Eigentum und Geld preisgeben – oder dazu beitragen, dass sie preisgegeben werden.

Wenn das Ziel eines Betrügers innerhalb eines geschützten Systems liegt, konzentrieren sie sich darauf, die Zugriffsrechte eines Mitarbeiters zu erlangen. Betrüger nutzen Bauernopfer und Trottel für ihre Cyberverbrechen aus. Sie verwenden eine Vielzahl Taktiken und Techniken, um an Zugangsdaten zu gelangen: Phishing-E-Mails, Watering Holes und als Waffe verwendete Malware, um nur einige zu nennen. Mit diesen Zugangsdaten können sich Betrüger seitlich in einem System bewegen, ihre Privilegien erweitern, Änderungen vornehmen und auf sensible Daten oder Geld zugreifen. Betrüger können während der ausgehenden Kommunikation über einen Command-and-Control-Server (C2) von ungesicherten Standorten aus auf Daten oder Informationen zugreifen. Sie können versuchen, ausgehende Änderungen vorzunehmen oder umfangreiche ausgehende Übertragungen durchzuführen.

So greifen Betrüger an:

Suche nach Schwachstellen

• Einsatz von Phishing-E-Mails oder Malware
• Identifizierung eines Rogue-Users
• Erlangung kompromittierter Anmeldedaten

Ausnutzung des Zugriffs

• Seitlich Bewegung zum gewünschten Ziel
• Erweiterung der Berechtigung nach Bedarf
• Zugriff auf Assets

Missbrauch des Zugriffs

• Verschleierung von Netzwerkaktivitäten
• Veränderung von Daten
• Exfiltration von Daten

Nach der Erstellung eines Bedrohungsmodells konzentrieren sich die Unternehmen auf die Erkennung und Beseitigung von Bedrohungen von innen und Sicherheitsverletzungen.

Sicherheitsteams müssen zwischen den normalen Aktivitäten eines Benutzers und potenziell bösartigen Aktivitäten unterscheiden, um Insider-Bedrohungen zu erkennen. Um zwischen den Aktivitäten unterscheiden zu können, müssen Unternehmen zunächst Transparenzlücken schließen. Anschließend sollten sie die Sicherheitsdaten in einer zentralen Überwachungslösung zusammenführen, sei es als Teil einer SIEM-Plattform (Security Information and Event Management) oder einer eigenständigen UEBA-Lösung (User and Entity Behavior Analysis). Viele Teams beginnen mit Änderungsprotokollen für Zugriff, Authentifizierung und Konten. Dann erweitern sie den Anwendungsbereich auf zusätzliche Datenquellen, z. B. ein virtuelles privates Netzwerk (VPN) und Endpunktprotokolle, wenn die Anwendungsfälle für Insider-Bedrohungen reifen.

Unternehmen müssen eine Lösung für die Verwaltung von privilegierten Zugriffen (Privileged Access Management, PAM) einsetzen und Daten über den Zugriff auf privilegierte Konten von dieser Lösung in ihr SIEM einspeisen. Sobald Unternehmen die Informationen zentralisiert haben, können sie das Benutzerverhalten modellieren und Risikowerte zuweisen. Risikobewertungen sind an bestimmte risikoreiche Ereignisse geknüpft, z. B. Änderungen der Benutzergeografie oder das Herunterladen auf Wechselmedien. Die Zuweisung von Risikowerten gibt den Teams des Security Operations Center (SOC) die Möglichkeit, das Risiko im gesamten Unternehmen zu überwachen, sei es durch die Erstellung von Überwachungslisten oder durch die Hervorhebung der Benutzer mit dem höchsten Risiko im Unternehmen.

Mit genügend historischen Daten können Sicherheitsmodelle eine Basislinie des normalen Verhaltens für jeden Benutzer erstellen. Sie zeigt den normalen Betriebszustand eines Benutzers oder eines Rechners an, sodass das System Abweichungen erkennen kann. Abweichungen sollten für einzelne Benutzer nachverfolgt und mit anderen Benutzern am gleichen Standort, mit der gleichen Berufsbezeichnung oder Tätigkeit verglichen werden.

Durch die Einführung einer benutzerorientierten Sichtweise können Sicherheitsteams Bedrohungsaktivitäten von innen schnell erkennen und Benutzerrisiken von einem zentralen Ort aus verwalten. Die Analyse des Benutzerverhaltens kann beispielsweise ungewöhnliche Anmeldeversuche zu einer ungewöhnlichen Tageszeit oder von einem ungewöhnlichen Ort aus oder mehrere fehlgeschlagene Passwortversuche erkennen und eine entsprechende Warnung zur Überprüfung durch einen Analysten generieren. Mit anderen Worten: Verhaltensanomalien helfen dabei festzustellen, ob ein Benutzer zu einem böswilligen Insider geworden ist oder ob ein externer Angreifer seine Anmeldedaten missbraucht hat.

Nach der Validierung kann ein SOAR-System (Security Orchestration, Automation and Response) einen Workflow zur Korrektur von Bedrohungen von innen erstellen. Dann kann im Playbook angegeben werden, welche Abhilfemaßnahmen erforderlich sind. Zu den möglichen Abhilfemaßnahmen gehören die Abfrage des Insiders mit MFA oder der Entzug des Zugriffs. Beides kann automatisch in der IAM-Lösung (Identity Access Management) erfolgen.

Sicherheitsbedrohungen haben zugenommen und sind mit der Ausweitung der Heim- und Fernarbeit komplexer geworden. Infolgedessen haben sich die Sicherheitsprioritäten und die Sicherheitsmaßnahmen durch die Telearbeit grundlegend geändert. Dieser Wandel in der Sicherheit hat neue Herausforderungen für Sicherheitsteams mit sich gebracht:

• Erhöhte Gesamtzahl von Sicherheitsvorfällen aufgrund von Verhaltensänderungen und größerer Angriffsfläche
• Vermehrte Phishing-Angriffe
• Mangelnde Sichtbarkeit von Endpunkten und Servern, die nicht mit dem VPN verbunden sind
• Änderungen im Verhalten der Mitarbeiter aufgrund unregelmäßiger Arbeitszeiten, verschiedener Standorte und Änderungen im Surfverhalten im Internet
• Zunehmende Nutzung von SaaS-Anwendungen und mangelnde Transparenz

Chief Information Security Officer (CISOs) müssen mit dem rasanten Wandel in der IT-Sicherheit fertig werden, der sich außerhalb des Unternehmensnetzwerks vollzieht. Das Team eines CISOs muss die unterschiedlichen Verhaltensweisen seiner Mitarbeiter und die Auswirkungen der Telearbeit auf die Erkennung von Insider-Bedrohungen besser verstehen, um die Vermögenswerte eines Unternehmens effektiv zu schützen. Um die Herausforderungen der Telearbeit zu bewältigen, müssen CISOs in der Lage sein, die folgenden Fragen zu beantworten:

• Wie können wir sicherstellen, dass es sich bei der Person, die sich in das virtuelle private Netzwerk (VPN) des Unternehmens einloggt, um den Mitarbeiter handelt und nicht um einen Angreifer, der gestohlene Anmeldedaten verwendet?
• Wie können wir sicherstellen, dass das anomale Verhalten eines Mitarbeiters nicht auf die Arbeit aus der Ferne zurückzuführen ist?
• Wie können wir Mitarbeiter schützen, die sich an offenen und ungesicherten Internet-Standorten, z. B. in Cafés, anmelden?

Indem sie das Verhalten von Remote-Mitarbeitern verstehen, können Sicherheitsteams abnormales Verhalten erkennen, das auf eine Kompromittierung von Zugangsdaten oder böswillige Absichten hinweisen könnte. Oft können sie diese Verhaltensweisen an der VPN-Grenze erkennen, bevor die Mitarbeiter potenziellen Schaden anrichten. Am Perimeter sollten CISOs feststellen, ob ihre derzeitigen Funktionen zur Abwehr von Insider-Bedrohungen Folgendes leisten:

• Notwendige transparente Einblicke in Zugriffs-, Authentifizierungs- und VPN-Protokolle.
• Feststellung, ob die Berechtigungsnachweise von Mitarbeitern an zwei Orten gleichzeitig oder von einem ungewöhnlichen geografischen Standort aus verwendet werden.
• Ermittlung, ob der Mitarbeiter die Berechtigungsnachweise außerhalb der regulären Arbeitszeiten für die Stadt des Hauptstandortes des Mitarbeiters verwendet oder ob die Verbindungsdauer länger als üblich ist.
• Beendigung der Verbindung, Sperren des Geräts und Widerruf der Anmeldedaten über IAM.

Angenommen einem Angreifer gelingt es, die Entdeckung am Perimeter zu umgehen und in das Netzwerk des Unternehmens einzudringen. In diesem Fall sollten die Sicherheitsteams die Bedrohung überprüfen, indem sie nach mehreren kompromittierten Anmeldeinformationen oder Missbrauchsindikatoren suchen.

Sicherheitsteams können mit vielen Methoden, oft mithilfe von maschinellem Lernen, Indikatoren für Bedrohungen von innen ableiten. Diese Methoden können dabei helfen festzustellen, ob der Zugriff von einem legitimen Mitarbeiter oder einem Dieb stammt. Innerhalb des Unternehmensnetzwerks sollten CISOs prüfen, ob ihre derzeitigen Fähigkeiten zur Abwehr von Bedrohungen von innen ihnen Folgendes ermöglichen:

• Modellierung verschiedener Standardaktivitätsmuster und -häufigkeiten, um eine Abweichung von der Basislinie zu erkennen. Eine Abweichung kann auf Missbrauch hinweisen, sei es absichtlich oder versehentlich.
• Überwachung von Versuchen einer Datenexfiltration anhand der Anzahl der ausgehenden Kommunikationsversuche oder Verbindungen an einem bestimmten Tag. Wenn die Anzahl der ausgehenden Kommunikationen eines Mitarbeiters in die Höhe schnellt, könnte dies ein Hinweis darauf sein, dass die Anmeldedaten dieses Benutzers genau überwacht werden.
• Erkennung großer, anormaler Datenübertragungen für einen bestimmten Mitarbeiter. Die Überwachung des gesamten Datentransfers kann einen einfachen, aber wirkungsvollen Hinweis auf eine frühzeitige Gefährdung geben.
• Untersuchung der Integrität von Endgeräten auf verdächtige Anwendungen, die auf Malware-Aktivitäten hinweisen könnten. Indem Sie neue Prozesse oder Anwendungsausführungen identifizieren, können Sie Malware eindämmen und das Sicherheitsrisiko für das Unternehmen verringern.

Durch die proaktive Anpassung von Programmen, um dem veränderten Verhalten der Mitarbeiter Rechnung zu tragen und die vorhandenen Investitionen in Tools zu maximieren, können Sicherheitsteams ein Unternehmensnetzwerk besser schützen.