Aktueller Channel Fokus:

Managed Services

IT-Security Management & Technology Conference 2018

Moderne Endpoint-Sicherheit ist mehr als Anti-Virus

| Autor / Redakteur: Rüdiger Trost / Peter Schmitz

Cyber-Bedrohungen sind heute sehr vielseitig. Viren, Trojaner, Phishing-Mails und gezielte Angriffe per Social Engineering greifen ineinander. Moderne Endpoint-Sicherheit muss deshalb mehr sein als Antivirus.
Cyber-Bedrohungen sind heute sehr vielseitig. Viren, Trojaner, Phishing-Mails und gezielte Angriffe per Social Engineering greifen ineinander. Moderne Endpoint-Sicherheit muss deshalb mehr sein als Antivirus. (Bild: Pixabay / CC0)

Die Digitalisierung fordert die IT-Sicherheit heraus. Mehr Geräte im Netzwerk, neue Arten zu arbeiten und Mitarbeiter, die sich nicht mehr so einfach Dinge verbieten lassen. Abhilfe schaffen Endpoint-Lösungen die nicht mehr nur nach Viren suchen. Mehr Intelligenz muss Einzug halten.

Hacker sind in wenigen Fällen kreativ und sie lassen sich auch nicht immer wieder neue Wege einfallen, um ein Unternehmensnetzwerk zu kompromittieren. Warum? Sie haben den Vorteil, immer einen Schritt voraus zu sein. Angreifer müssen nur einen einzigen Weg finden; Verteidiger müssen allerdings alles verteidigen. Dabei ist jeder Schnittpunkt eines Computersystems zum Internet ein potenzielles Einfallstor. Oft eröffnet auch der fahrlässige Umgang mit E-Mails Angreifern die Möglichkeit, Schadsoftware ins System einzuschleusen. Es kann aber auch ein veraltetes System sein oder ein zu spät installiertes Sicherheitsupdate.

Wenn die Angreifer schneller sind

Wenn veraltete Software durch die Veröffentlichung so genannter neuer Bulletins für Sicherheitslücken innerhalb von Stunden oder Minuten im Internet auftauchen, haben Angreifer den Vorteil, dass das Unternehmen vermutlich selbst die Sicherheitslücke noch nicht kennt. Und selbst wenn: Die meisten Unternehmen sind damit beschäftigt, alte Sicherheitslücken zu schließen. Schließlich ist es alles andere als einfach sicherzustellen, dass die Software gepatcht wurde, bevor jemand die Sicherheitslücke ausnutzt.

Das bedeutet: Die Überwachung und Protokollierung der Aktivitäten im Netzwerk darf nicht nur an der Eingangstür, sondern muss bis in die Tiefe laufend im gesamten Netzwerk erfolgen. Dafür brauchen Unternehmen Unterstützung von fähigen Cybersecurity-Experten, aber auch in der Breite geschulte und sensibilisierte Mitarbeiter, die zum Beispiel nicht auf das „Spear Phishing“ hereinfallen, bei dem mit gezielten E-Mails an einzelne Personen getarnte Schadsoftware eingeschleust werden.

Eine von F-Secure in Auftrag gegebene Bitkom-Studie zeigt, wie vielfältig Sicherheitsvorfälle sind.
Eine von F-Secure in Auftrag gegebene Bitkom-Studie zeigt, wie vielfältig Sicherheitsvorfälle sind. (Bild: F-Secure)

Für die Sicherheit braucht es Lösungen, die mehr können, als nur auf Viren zu achten. IT-Sicherheit wandelt sich. Es geht vom produktbasierten Ansatz hin zu einem fortlaufenden Prozess, der die Aspekte Vorhersage, Verhindern, Erkennen und Reaktion enthält. Diese einzelnen Komponenten greifen ineinander und stärken sich so gegenseitig.

Die gute Nachricht: Die Grundlagen sind vorhanden. 90 Prozent der Firmen setzen auf klassischen Virenschutz. Doch das alleine reicht kaum noch aus gegen moderne Bedrohungen. Sie schützen beispielsweise dann nicht, wenn eigentlich legitime Programme eine Schwachstelle enthalten, die Angreifer ausnutzen können. Ein gutes Beispiel dafür sind Textverarbeitungen, Tabellenkalkulationen oder PDF-Reader. Immer wieder gibt es gezielte Attacken über diese Programme. So wird etwa ein Account in der Personalabteilung mit einer angeblichen Bewerbung für eine offene Stelle angeschrieben. Statt Informationen zum potenziellen neuen Arbeitnehmer steckt im Anhang eine bösartige Datei, die es auf Lücken in Microsoft Word oder Adobe Acrobat abgesehen hat. Infektionen auf diesem Weg können Anti-Viren-Programme alleine nicht immer abfangen.

Schnellere Reaktion auf Zwischenfälle

Kein Unternehmen kann eine hundertprozentige Sicherheit schaffen, zumindest nicht ohne, dass Innovationskraft oder Produktivität darunter leiden. Ein Restrisiko bleibt stets. Besonders problematisch kann es sein, wenn man sich auf Lösungen verlässt und sich in falscher Sicherheit wiegt. Nach Ansicht von F-Secure, dauert es im Durchschnitt 100 Tage, bis Firmen auf einen digitalen Einbruch reagieren. Angreifern bleibt so genügend Zeit, sich im Unternehmen festzusetzen und Daten abzugreifen. Firmen tun sich enorm schwer damit, echte Attacken aus der Geräuschkulisse der Angriffe zu filtern, oder sie erst zu erkennen. False-Positive-Meldungen verringern die Reaktionszeit und lassen Verantwortliche abstumpfen.

Dabei ist eine schnelle Reaktion unabdingbar. Angreifer sollten idealerweise gestoppt werden, bevor sie zu lange im Netzwerk aktiv sind. Hier kommt intelligente Endpoint-Sicherheit ins Spiel, etwa unterstützt durch die Lösung Endpoint Detection & Response von F-Secure. Im Firmennetz sind zahlreiche Sensoren verteilt, die auf verdächtige Ereignisse lauschen. Dabei kennt die Lösung das Netzwerk und kann Aktionen zuordnen. Eine SSH-Verbindung aus der Entwicklungsabteilung in die Testumgebung ist etwa kein wirklich verdächtiger Vorgang. Wenn aber plötzlich ein Rechner, der zur Personalabteilung gehört, PowerShell-Skripte gegen Server laufen lässt, sollte man genauer hinsehen. EDR erkennt diese potenziellen Bedrohungen und informiert die internen IT-Experten. Diese können anhand der Daten entscheiden, wie problematisch ein Zwischenfall ist. Bei ausgefeilten Attacken können Firmen zudem die Hilfe von F-Secure-Experten anfordern, um Cyber-Kriminellen zu stoppen.

Sämtliche Ereignisse auf den Endpoints, Servern und im Netzwerk werden von den Sensoren erfasst und von der Security-KI auf Anomalien analysiert. Im Zweifelsfall überprüft auch noch ein Experte das Ereignis. Im Falle einer Erkennung wird dann das Unternehmen darüber informiert und es werden ggf. erste Reaktionsmaßnahmen eingeleitet.
Sämtliche Ereignisse auf den Endpoints, Servern und im Netzwerk werden von den Sensoren erfasst und von der Security-KI auf Anomalien analysiert. Im Zweifelsfall überprüft auch noch ein Experte das Ereignis. Im Falle einer Erkennung wird dann das Unternehmen darüber informiert und es werden ggf. erste Reaktionsmaßnahmen eingeleitet. (Bild: F-Secure)

Digitale Einbrüche werden so nicht nur gestoppt. Die IT-Verantwortlichen sind früh in die Abwehr eingebunden und erhalten essenzielle Informationen darüber, wie der Eindringling die Verteidigungslinie durchbrechen konnte. Damit schließt sich der Kreis zum Sicherheitsprozess. Denn diese Daten fließen zurück, stärken die Bereiche Vorhersage und Abwehr und stärken Unternehmen so gegen die nächsten Angriffe.

Der große Vorteil dieses prozessbasierten Ansatzes ist, dass Firmen ihre IT-Sicherheit kontinuierlich ausbauen. Dieser höhere Schutz erlaubt es, die Vorteile der Digitalisierung ohne schlechtes Gewissen (oder Verstöße gegen Richtlinien und Bestimmungen) zu nutzen. Die IT-Sicherheit ist statt eines Kostenfaktors die solide Grundlage für die Neuausrichtung im digitalen Wandel.

Über den Autor: Rüdiger Trost ist Head of Cyber Security Solutions bei F-Secure DACH. Außerdem hält Rüdiger Trost auf der diesjährigen IT-Security Management & Technology Conference einen Vortrag zu „Endpoint Detection und Response“. F-Secure ist Premium-Partner der Veranstaltung.

Kommentare werden geladen....

Sie wollen diesen Beitrag kommentieren? Schreiben Sie uns hier

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45284442 / Summits & Exclusives)