Ransomware-Bereitschaft für Lieferketten: Prävention, Eindämmung & Wiederherstellung

Ransomware steht für viele in der Cybersicherheitsbranche im Fokus, da wir eine zunehmende Zahl von Angriffen sehen, die Krankenhausnetze, lokale Regierungen und die breitere Lieferkette betreffen. Ein Ransomware-Angriff auf ein Unternehmen führt typischerweise zu zeitweiligem Verlust des Zugriffs auf Daten und Systeme und hat finanzielle Auswirkungen durch Umsatzverluste und Ausgaben für Wiederherstellungsbemühungen. Wenn ein Ransomware-Angriff auf ein Unternehmen gerichtet ist, das Teil der Lieferkette ist, kann die Wirkung viel weitreichender sein, da ein einzelner Dienstleister direkten Einfluss auf Hunderte oder Tausende von Unternehmen haben kann.

Das Verständnis der Bereitschaft Ihrer Organisation für die Ransomware-Bedrohung ist unerlässlich, und zu wissen, wie die Anbieter in Ihrer Lieferkette in Ihre Bereitschaftsvorsorge einfließen, ist ein kritischer Teil Ihrer Gesamtstrategie.

Es kann überwältigend sein, sicherzustellen, dass alle Verteidigungsmaßnahmen abgedeckt sind und Sie alles getan haben, um einen Ransomware-Angriff zu verhindern oder seine Auswirkungen zu verringern. Eine starke Strategie ist weitreichend und mehrschichtig – sie umfasst Architektur, Endpunkte, Nutzer und vieles mehr.

Wo also anfangen? Ein strukturierter, logischer Ansatz kann helfen, Ordnung in das Verständnis der Ransomware-Bereitschaft Ihrer Organisation zu bringen. Sehen wir uns dazu drei primäre Kategorien an: Prävention, Eindämmung und Wiederherstellung.

Prävention

Unser primäres Ziel ist es, Ransomware aus unserer Umgebung fernzuhalten und zu verhindern, dass sie jemals eindringt. Aus dieser defensiven Haltung müssen wir Ihre Infrastruktur von den Perimeterkontrollen bis zu den Endnutzern betrachten. Obwohl wir dieses Thema ausführlich behandeln könnten, fokussieren wir uns auf die Lücken, über die Ransomware am häufigsten eingeführt wird.

• Remote Desktop Protocol (RDP). Obwohl keine neue Technologie oder neuer Angriffsvektor, war RDP aufgrund von Schwachstellen, Fehlkonfiguration oder Anfälligkeit für Brute-Force-Angriffe ein regelmäßiges Ziel. Mit dem jüngsten Anstieg der Remote-Arbeit und dem entsprechenden Anstieg der RDP-Nutzung haben Angreifer leichte Beute. Präventionsmaßnahmen hier umfassen die Begrenzung offener Ports, starke Authentifizierungskontrollen (einschließlich Multi-Faktor-Authentifizierung) und ein solides Schwachstellenmanagementprogramm.
• Phishing. Phishing-E-Mails können besonders gefährlich sein, da sie viele Ihrer Sicherheitskontrollen umgehen und bösartige Inhalte direkt an das liefern können, was oft Ihr schwächstes Sicherheitsglied ist – den Endnutzer. Phishing-E-Mails versuchen typischerweise, Nutzeranmeldedaten zu erlangen oder enthalten bösartige Anhänge oder Links, was Angreifern letztlich einen direkten Pfad in Ihre Umgebung bietet. Präventionsmaßnahmen hier umfassen den Einsatz einer E-Mail-Sicherheitslösung, Sicherheits- und Bewusstseinsschulungen für Endnutzer sowie Endpoint-Detection-and-Response-Lösungen.

Letztlich sind die empfohlenen Präventionstechniken nicht neu. Es sind dieselben Schlüsselprinzipien, die die Informationssicherheits-Community seit einiger Zeit diskutiert – Einschränkung dessen, was aus dem Internet zugänglich ist, Schwachstellenscans, Patching und starke Authentifizierungskontrollen.

Eindämmung

Trotz Ihrer besten Bemühungen gelangt Ransomware in Ihre Umgebung. Wie stoppen Sie die Ausbreitung? Betrachten Sie einen Brand in einem Gebäude: Die Eindämmungsstrategie kommt vor dem eigentlichen Brand durch Brandwände, flammhemmende Materialien etc. Dasselbe gilt für Angriffe wie Ransomware. Hier sind zwei Schlüsselstrategien zur Eindämmung:

• Nutzung privilegierter Konten. Angreifer zielen gerne auf privilegierte Konten ab, da diese hohe Zugriffsebenen auf Systeme und Daten sowie die notwendigen Berechtigungen zur Ausführung bösartigen Codes bieten. Passwort-Wiederverwendung, Service-Account-Passwörter im Klartext, leicht erratbare Passwörter etc. sind alles häufige Probleme, die zur Kompromittierung von Konten beitragen.

Ein ganzheitlicher Ansatz zum Management privilegierter Konten ist der Schlüssel. Dazu gehört das Verständnis, welche privilegierten Konten Sie haben und worauf sie Zugriff haben; wie sie genutzt werden (z. B. Domain-Admin vs. Service-Account); und wie auf diese Konten zugegriffen und sie verwaltet werden (z. B. Einsatz einer Privileged-Account-Management-Lösung).

• Netzwerksegmentierung. Flache Netzwerke sind ein Traumszenario für Angreifer. Einmal an Anmeldedaten gelangt, können sie sich frei im gesamten Netzwerk der Organisation bewegen und haben uneingeschränkten Zugriff auf Systeme und Daten. Mindestens sollten Sie Segmentierung nutzen, um laterale Bewegung so weit wie möglich einzuschränken, sodass ein Angreifer viel größere Schwierigkeiten hat, Ihr Netzwerk zu durchqueren und Zugriff auf zusätzliche Systeme und Daten zu erlangen.

Wiederherstellung

Neben einem Incident-Response-Plan ist der kritischste Plan zur Unterstützung Ihrer Wiederherstellungsbemühungen ein Business-Resiliency-Plan. Wie wird das Geschäft weiter funktionieren? Ein starker Resilienzplan hilft, die Funktionalität Ihrer Kern-Geschäftssysteme wiederherzustellen.

Gängige Angriffsvektoren für Organisationen umfassen Drittanbieter in der Lieferkette. Wie können wir also die Risiken identifizieren und reduzieren, die unsere Anbieter darstellen? Zuerst diese kritischen Fragen beantworten:

• Wer sind Ihre Anbieter?
• Welchen Service leistet jeder Anbieter für Ihre Organisation?

Die tatsächliche Identifizierung Ihrer Anbieter ist keine einfache Aufgabe. Ist es möglich, dass Sie Anbieter haben, die Zugriff auf Ihr Netzwerk oder Ihre Daten haben, ohne dass Sie davon wissen? Absolut. Die Realität ist: Die Möglichkeit besteht, direkt zu einer Cloud-basierten Lösung zu gehen und mit nichts mehr als einer Kreditkarte und wenigen Mausklicks haben Sie nun einen Anbieter mit Zugriff auf Ihre Daten. Wenn Sie nicht wissen, wer sie sind, ist es unmöglich, ihr Risiko für Ihre Organisation einzuschätzen. Was sie tun angeht: Anbieter in Ihrer Lieferkette können alle möglichen Services erbringen. Einige bergen inhärent ein höheres Risiko für Ihr Unternehmen, basierend auf den Daten oder internen Systemen, auf die sie Zugriff haben.

Diese Fragen zu beantworten ist ein guter Ausgangspunkt, um angemessene Bewertungsaktivitäten gegen diese Anbieter durchzuführen. Das Ziel ist, ausreichend Vertrauen zu gewinnen, dass die Anbieter die angemessenen Kontrollen haben, um Ihre Systeme oder Daten basierend auf den Services, die sie für Sie erbringen, zu schützen. Es gibt viele Bewertungsstrategien, darunter die Überprüfung von Zertifizierungen wie SOC oder ISO, Bewertungsfragebögen wie SIG, Penetrationstestergebnisse etc. Unabhängig vom Ansatz: Die Validierung, dass Anbieter diese Kontrollen haben, kann das Risiko verringern, dass Ihre Organisation im Angriffsfall beeinträchtigt wird.

Da Systeme immer vernetzter und komplexer werden, mögen Angreifer noch Wege durch Ihre Verteidigungen finden. Aber auf einen Ransomware-Angriff vorbereitet zu sein, kann die Auswirkungen und Ausfallzeiten für Ihre Organisation signifikant reduzieren. Mit einer Deep-Defense-Strategie, zusammen mit angemessenen Eindämmungs- und Resilienzplänen, kann die Cyber-Stärke Ihrer Organisation nur steigen.

Gary Brickhouse ist Chief Information Security Officer von GuidePoint Security.