Notfallkoffer IT-Ausfall: Mit Cleanrooms perfekt vorbereitet auf den Ernstfall

Anbieter zum Thema

Dell GmbH - Technologies

xSuite Group GmbH

Softeq Development GmbH

Im Worst-Case funktioniert nichts mehr, kein Telefon, kein Türöffner, kein Server. Damit im Ernstfall bei einem IT-Ausfall Security- und IT-Teams trotzdem arbeiten können, werden in Cleanrooms alle elementaren Daten und Werkzeuge für den Ernstfall vorgehalten. Das Konzept kann aber noch mehr – es hilft Security-Teams dabei, die Attacke proaktiv vor der Zündung zu entschärfen.

Cyberkriminelle sind kreativ und unberechenbar – beides macht es für IT Security Teams schwer, Angriffe zu erkennen und deren Folgen einzudämmen. Das Mitre Attack Framework bildet diese Komplexität von Cyberangriffen in 14 Teilschritten und 292 einzelnen Techniken ab. Dieses Wissen basiert auf genauen Analysen von Angriffen aus der realen IT-Welt und wird kontinuierlich aktualisiert. Security-Teams finden hier alles von Aufklärungstaktiken gegen Zielnetze bis hin zu den finalen Maßnahamen der Cyberakteure, seien es Daten­exfiltration, Wiper- oder Ransom­ware-Angriffe. Alle gängigen Techniken und Taktiken und eines Cyberangriffs und wie sie zusammenhängen, sind hier wiedergegeben.

Cyberangriffe: Flexibilität der Angreifer und neue Bedrohungen für Sicherheitsteams

Die Cyberakteure folgen nicht einem festen Drehbuch. Sie mischen Taktiken, springen zwischen den einzelnen Angriffsschritten hin und her und erfinden neue Ansätze, indem sie beispielsweise frische Zero-Day-Schwächen und -Vulnerabilities kombinieren. Daraus ergeben sich Millionen verschiedener Wege und Techniken einzubrechen, und nochmal so viele Möglichkeiten, diese neu zu kombinieren, zu noch unbekannten Taktiken. 

So gelingt es Angreifern, Abwehrstrukturen und Sicherheitsteams zu täuschen. Und wenn die Akteure einmal eingedrungen und ihre Feindaktionen ausgeführt haben, können sie massiven Druck auf ihre Opfer ausüben. Jüngst hat eine Gruppe die Zielfirma der Ransomware-Attacke bei der US-Börsenaufsicht SEC gemeldet, weil das Opfer kein Lösegeld zahlen wollte.

IT-Ausfall: Startpunkt Mittelalter

Beim Krisenmanagement wird massiv unterschätzt, wie sehr ein erfolgreicher Cyberangrifff die Möglichkeiten der Zielfirma beschneidet. Man geht oft davon aus, dass sich die Teams zusammentelefonieren, in Meetings abstimmen und ihre Sicherheitsanalysen und -tools starten können.

Im Ernstfall bei einem erfolgreichen Ransomware-Angriff ist aber alles verschlüsselt und ausgefallen - vom Zugangsserver der physischen Zugangskontrolle über die VoIP Systeme bis hin zu allen IT-Diensten und -Werkzeugen. Bei einem massiven Vorfall sind alle Mitarbeiter, Partner und Kunden isoliert und niemand weiß, was der andere tut. Mitarbeiter können keine Türen öffnen, um in Gebäude zu kommen oder Räume zu verlassen. Und sie können niemanden anrufen, da die VoIP-Systeme unten sind. Firmen- und IT-leiter müssen unbedingt verstehen, dass dieses ­Mittelalter-Szenario realistisch ist. Und sie müssen diesem Szenario vorbeugen, indem sie eine isolierte Clean-Umgebung errichten.

Isoliertes Spielfeld

Der Clean-Room ist der Notfallkoffer für den Ernstfall und enthält alle elementaren Tools und Datensets, die eine Firma braucht, um den Notbetrieb weiterzubetreiben. Er liefert die Kerndienste, um miteinander zu kommunizieren, auf den Vorfall zu reagieren und die ersten wichtigen Analysemaßnahmen einzuleiten.

Der Cleanroom ist per Definition ein isolierter hochgesicherter Bereich, der vom Rest des Netzes getrennt ist. Die darunter liegende Infrastruktur sollte aus Immutable Storage bestehen und Zero-Trust-Prinzipien folgen. Alle Daten sollten verschlüsselt sein, sowohl beim Transport als auch bei der Lagerung. Die Daten-Security und -Management Plattform von Cohesity liefern all das und generieren dank ihrer Backup- und Disaster-Recovery-Dienste permanent Snapshots aller Produktionsdaten.

Der Cleanroom liefert neben lebenswichtigen Rettungsfunktionen einen weiteren großen Vorteil: Er ist das tägliche Testfeld für die IT Security Analysten, auf dem sie regelmäßig nach möglichen Angriffsspuren suchen können, um einen laufenden Angriff schon bei seiner Entwicklung aufzuspüren.

Wenn im Ernstfall ein Cybervorfall ersten Schaden anrichtet, können die Security-Teams im Cleanroom gleich an mehreren Kopien der Snapshots betroffener Systeme parallel arbeiten und gezielt nach Schwächen und Angriffsspuren suchen. Hilfreich ist, bei diesen Analysen auf externe Threat-Intelligence-Daten zugreifen zu können. Dienstleister wie Qualys protokollieren in Echtzeit, welche ­typischen Angriffstools und -mechanismen populäre Hackergruppen aktuell nutzen. 

Cohesity importiert diese Informationen automatisch. Mit dem Wissen können IT-Security-Teams dann ihren weiteren Suchradius optimieren und gezielt nach diesen Spuren suchen. Eine Analyse der bereits betroffenen Produk­tionssysteme allein reicht bei weitem nicht aus, da Hacker ihre Einfallstore heimlich irgendwo im Netz platzieren. Um nur ein Beispiel zu nennen: Beim Krankenhaus Sky Lakes in Oregon wurde ein feindliches Objekt in der Active Directory versteckt, von dem aus es den Angreifern immer wieder gelang, die Ransomware in diesem Netz auszurollen.

Analyse und Abwehr: Schwachstellen vor IT-Ausfall schließen und Produktionssysteme sichern

Am Ende dieser Analyse werden Sie verstehen, auf welche Weise welcher Schaden und welcher feindliche Code abgelegt wurde. Mit diesem elementaren Wissen können die Security-Teams dann die Regeln und Konfigurationen ihrer eigenen Abwehrschirme schärfen und diesen Einbruchsweg schließen. Parallel können Sie alle Angriffsartefakte von den Snapshots der betroffenen Produktionssysteme entfernen, Konfigurationen optimieren und fehlende Patches aufspielen. Ein Produktionssystem wird gehärtet, bevor es in die Produktionsumgebung transferiert wird.

IT-Ausfall: Vor der Zündung entschärfen

Der Cleanroom liefert neben diesen lebenswichtigen Rettungsfunktionen einen weiteren großen Vorteil: Er ist das tägliche Testfeld für die IT Security Analysten, auf dem sie regelmäßig nach möglichen Angriffsspuren suchen können, um einen laufenden Angriff schon bei seiner Entwicklung aufzuspüren. Ziel ist es, den laufenden Angriff vor dem End-Schritt, Nummer 14, im Mitre Attack Framework zu erkennen. Erst dann wird die Angriffs-Payload gezündet und Schaden entsteht, sei es durch einen Ransomware-, Wiper-Prozess oder Datenexfiltration. 

Security Teams haben dann alle Optionen, den Angriff vor der Zündung zu entschärfen und die Angriffsartefak­te zu beseitigen. Und sie haben all das Wissen, um ihre Abwehrschirme neu einzustellen und ihre Systeme zu härten, damit zumindest dieser eine Einbruchsweg nicht mehr funktioniert. Dieser Prozess ist ein niemals endender Kreislauf, der Zeit und Ressourcen braucht. Aber er wird Security Teams dabei helfen, das schlimmste Scenario nicht nur zu überstehen, sondern im Idealfall vor dem Eintreten zu verhindern.