Sicherheitsteams sind mittlerweile außerordentlich gut darin, die Vorgänge in ihren Umgebungen zu überwachen. Die meisten Unternehmen können heute verdächtige Anmeldungen, Aktivitäten an Endgeräten, Versuche der Berechtigungserweiterung, die Ausführung von Malware und unzählige andere Signale erkennen, die noch vor wenigen Jahren unbemerkt geblieben wären. Die Transparenz hat sich verbessert. Die Erkennung hat sich verbessert. Die Reaktion hat sich verbessert.
Dennoch gelingt es Angreifern weiterhin, sich Zugang zu verschaffen.
Ein Grund dafür ist, dass einige der wichtigsten Warnzeichen gar nicht innerhalb der Umgebung auftreten – sie treten vielmehr an einem ganz anderen Ort auf.
Ein Unternehmenspasswort wird auf einem kriminellen Marktplatz zum Verkauf angeboten. Die Anmeldedaten eines Mitarbeiters werden von einer Infostealer-Malware von einem privaten Gerät abgegriffen. Eine gefälschte Domain wird registriert, um sich als vertrauenswürdige Marke auszugeben, bevor eine Phishing-Kampagne startet. Keines dieser Ereignisse löst eine Endpunktwarnung oder eine Firewall-Benachrichtigung aus und erscheint auch nicht im SIEM-Dashboard. In vielen Fällen werden Sicherheitsteams erst darauf aufmerksam, wenn ein Angreifer beschließt, diese Vorfälle auszunutzen.
Bis dahin ist aus einer Exposition, die eigentlich hätte verhindert werden können, eine Übung zur Krisenbewältigung geworden.
Seit Jahren sprechen führende Experten im Bereich Cybersicherheit vom Verschwinden des traditionellen Perimeters. Die Einführung der Cloud hat diesen Trend beschleunigt. SaaS hat ihn beschleunigt. Remote- und Hybridarbeit haben ihn weiter beschleunigt.
Nun vergrößert die KI die Angriffsfläche in beispiellosem Tempo. Mitarbeiter nutzen Dutzende von Anwendungen und Geräten, Daten fließen durch immer komplexere Ökosysteme aus Partnern und Lieferanten, und Identitäten sind zum Bindeglied geworden, das all dies miteinander verbindet.
Das hat zur Folge, dass viele der Risiken, die letztendlich zu Sicherheitsvorfällen führen, weit außerhalb der Grenzen entstehen, die die meisten Organisationen aktiv überwachen.
Der Diebstahl von Anmeldedaten ist vielleicht das deutlichste Beispiel dafür. Laut einer Studie von Verizon gehören kompromittierte Zugangsdaten nach wie vor zu den häufigsten Einstiegsvektoren bei Sicherheitsverletzungen. Gleichzeitig können offengelegte Zugangsdaten bereits innerhalb von 24 Stunden nach der Kompromittierung auf kriminellen Marktplätzen und in Dark-Web-Foren auftauchen. Dennoch überwachen nur 19% der Unternehmen kontinuierlich, ob Zugangsdaten offengelegt wurden, und verfügen über Prozesse, um Abhilfe zu schaffen.
Diese Lücke sollte jeden Sicherheitsverantwortlichen beunruhigen. Angreifer wissen, dass legitime Zugangsdaten oft wertvoller sind als Malware. Warum Zeit damit verschwenden, sich Zugang zu verschaffen, wenn einem jemand die Schlüssel bereits in die Hand gedrückt hat? Zugangsdaten werden offengelegt. Die Frage ist, ob Unternehmen diese Offenlegung erkennen und eindämmen können, bevor Angreifer sie ausnutzen.
Die gleiche Herausforderung besteht bei Markenmissbrauch und Typosquatting. Die meisten Unternehmen investieren erhebliche Mittel in die Absicherung ihrer Infrastruktur, Anwendungen und Identitäten. Weitaus weniger haben jedoch Einblick darin, wie ihre Marke außerhalb des Unternehmens missbraucht wird. Dennoch registrieren Angreifer häufig Domains, die der Originaldomain zum Verwechseln ähnlich sehen und darauf abzielen, Mitarbeiter, Kunden oder Partner dazu zu verleiten, zu glauben, sie hätten es mit einem vertrauenswürdigen Unternehmen zu tun.
Forscher, die mehr als 30.000 ähnlich klingende Domains untersuchten, stellten fest, dass mehr als 10.000 davon aktiv für Phishing, Betrug, den Diebstahl von Zugangsdaten oder die Verbreitung von Malware genutzt wurden. Diese Angriffe sind erfolgreich, weil sie das Vertrauen der Opfer ausnutzen, und sie beginnen oft schon lange bevor die betroffene Organisation überhaupt von der Existenz der Domain erfährt.
Die Branche stellt dies oft als ein Problem der Transparenz dar. Zunehmend handelt es sich jedoch um ein Problem der Operationalisierung.
Die meisten Sicherheitsteams haben bereits Zugriff auf mehr Daten, als sie realistisch verarbeiten können. Threat-Intelligence-Feeds, Überwachungsplattformen und Sicherheitstools liefern kontinuierlich neue Erkenntnisse.
Unternehmen entdecken möglicherweise, dass Zugangsdaten offengelegt wurden, oder identifizieren eine verdächtige Domain – aber wie geht es dann weiter?
Überprüft jemand den Befund? Stellt fest, ob er relevant ist? Beurteilt dessen Schweregrad? Untersucht mögliche Auswirkungen? Leitet Maßnahmen ein?
Ohne diese Schritte bleibt die Bedrohungsanalyse lediglich ein weiterer Strom von Warnmeldungen.
Bei der Zukunft des Sicherheitsbetriebs geht es nicht einfach nur darum, mehr Signale zu sammeln. Es geht darum, externe Sicherheitslücken in operative Ergebnisse umzuwandeln. Eine offengelegte Anmeldeinformation sollte zu einer Benutzerüberprüfung, einer Sitzungssperrung und einer Passwortzurücksetzung führen. Eine Phishing-Domain, die einer echten Domain ähnelt, sollte Ermittlungen und Eindämmungsmaßnahmen auslösen. Das Risiko wird nicht dadurch verringert, dass eine Warnmeldung generiert wird. Das Risiko wird erst dann verringert, wenn Maßnahmen zur Risikominderung ergriffen werden.
Genau das ist die Lücke ION für die Überwachung des Dark Webs sollte angegangen werden. Diese Sicherheitslücken treten im Clear Web, Deep Web und Dark Web auf – von öffentlich zugänglichen Websites und Domain-Registrierungen bis hin zu Datensätzen mit gestohlenen Zugangsdaten, kriminellen Marktplätzen und privaten Foren. Anstatt einen weiteren Strom von Befunden zu erzeugen, den Sicherheitsteams prüfen müssen, erweitert ION for Dark Web Monitoring den Sicherheitsbetrieb über den traditionellen Perimeter hinaus, indem es das Clear Web, Deep Web und Dark Web kontinuierlich auf kompromittierte Anmeldedaten und verdächtige Lookalike-Domains im Zusammenhang mit Kundenressourcen überwacht. Bestätigte Befunde werden durch Ontinues Cyber Defense Center validiert und über dieselben operativen Workflows, Automatisierungen, Untersuchungsprozesse und Reaktionsmöglichkeiten bearbeitet, die bereits ION MXDR-Kunden unterstützen.
Was diesen Ansatz so wichtig macht, ist nicht die Überwachung an sich. Die Überwachung ist lediglich der Ausgangspunkt. Der eigentliche Mehrwert entsteht dadurch, dass diese externen Signale in den übergeordneten Sicherheitsbetrieb integriert werden, sodass sichergestellt ist, dass die Ergebnisse untersucht, in einen Kontext gesetzt und im Rahmen eines einheitlichen Workflows weiterverfolgt werden – anstatt ein weiteres Dashboard zu schaffen, das die Sicherheitsteams verwalten müssen.
Angreifer machen keinen Halt vor Unternehmensgrenzen. Sie unterscheiden nicht zwischen dem, was sich innerhalb Ihrer Umgebung befindet, und dem, was außerhalb liegt. Sie nutzen offengelegte Zugangsdaten aus einem Datenleck bei einem Drittanbieter aus, missbrauchen Ihre Marke durch Identitätsbetrug und nutzen jede Gelegenheit, die ihnen einen Zugang ermöglicht.
Sicherheitsmaßnahmen dürfen nicht mehr an den Grenzen des Unternehmens enden. Externe Risiken sind zu einem Problem für die Betriebssicherheit geworden, und diejenigen Unternehmen, die diesen Wandel am frühesten erkennen, sind am besten in der Lage, Risiken zu minimieren, bevor sie zu einem Vorfall führen.
Das erste Anzeichen für Ihren nächsten Vorfall stammt möglicherweise nicht von einem Endgerät, einer Firewall oder einer SIEM-Warnmeldung. Es könnte schon lange bevor sich ein Angreifer überhaupt anmeldet im Dark Web auftauchen.
Mehr darüber erfahren Sie unter ION für die Überwachung des Dark Webs finden Sie hier.
Weitere Informationen zu Ontinue finden Sie auf unserer Seite zur Überwachung des Dark Webs.
Weitere Informationen:
