Angreifer kompromittieren privilegierte Accounts oft unentdeckt

Die Studie von Vectra unterstreicht die Notwendigkeit, das Verhalten von Benutzerkonten kontinuierlich zu überwachen, sobald der Zugang zu einem Netzwerk gewährt wurde.

Vectra AI weist in einem aktuellen Report auf eine in Unternehmen bislang wenig beachtete kritische Sicherheitslücke hin: Vielen Organisationen sind kaum in der Lage zu erkennen, ob privilegierte Konten bzw. Accounts und Dienste kompromittiert wurden. Dies wird durch einen aktuellen Report dokumentiert und ist ein Beleg dafür, dass herkömmliche zugriffsbasierte Ansätze, die sich auf einmalige Security-Gating-Entscheidungen oder vordefinierte Listen mit privilegierten Identitäten stützen, weiterhin versagen.

Die Ergebnisse hierzu werden in der Vectra 2020 RSA Conference Edition des Attacker Behavior Industry Report und im Spotlight Report on Privilege Access Analytics Report veröffentlicht. Damit steht eine Analyse des aktiven und anhaltenden Angreifer-Verhaltens in mehr als fünf Millionen Workloads und Geräten aus Clouds, Rechenzentren und Unternehmensumgebungen des Kundenstamms von Vectra aus erster Hand zur Verfügung.

Die wichtigsten Ergebnisse:

• Der potenziell gefährliche, privilegierte Zugriff von einem unbekannten Host aus war mit 74 Prozent aller Anomalie-Erkennungen die am häufigsten festgestellte Anomalie, also auffällige unregelmäßige Aktivität, des privilegierten Zugriffs. Dieses Verhalten weist Ähnlichkeiten zu jenen Verhaltensweisen auf, die im Rahmen des Sicherheitsvorfalls bei Capital One festgestellt wurden.
   
• Finanz- und Versicherungsunternehmen, das Gesundheitswesen und Bildungseinrichtungen hatten die meisten Anomalien beim privilegierten Zugriff zu beklagen. Auf diese drei Branchen entfielen zusammen fast die Hälfte (47 Prozent) aller Entdeckungen von Anomalien im Verhalten beim privilegierten Zugriff.
   
• Über alle Branchen hinweg hat Vectra 215 Fälle von Angreifer-Verhalten pro 10.000 Hosts beobachtet. Diese Zahl ist immerhin niedriger als die 282 Fälle von Angreifer-Verhalten pro 10.000 Hosts, die in der ersten Jahreshälfte 2019 zu verzeichnen waren.
   
• Technologieunternehmen (138 Erkennungen pro 10.000) und Bildungseinrichtungen (102 Erkennungen pro 10.000) sind nach wie vor die Branchen, in denen Command-and-Control-Vorgänge am häufigsten festgestellt wurde, und zwar nahezu dreimal so oft wie durchschnittlich in anderen Branchen.
   
• Kleine Unternehmen (0 bis 5.000 Beschäftigte) sind offensichtlich einem höheren Risiko durch seitliche Bewegungen der Cyberangreifer im Netzwerk ausgesetzt. Bei den untersuchten kleinen Unternehmen fand das Angreifer-Verhalten der seitlichen Bewegung in 112 Fällen pro 10.000 Hosts statt, fast das Doppelte wie in mittleren und größeren Unternehmen.

Die Reports von Vectra verdeutlichen vor allem die entscheidende Rolle des privilegierten Zugangs als entscheidender Faktor für die seitliche Bewegung bei Cyberangriffen. Die Angreifer nutzen privilegierte Konten, um sich unbefugten Zugang zu den wertvollsten Assets zu verschaffen, auf die ein Unternehmen angewiesen ist. Der Bericht unterstreicht die Bedeutung einer kontinuierlichen Überwachung von Benutzerkonten, Diensten und Hosts, sobald sie Zugang zum Netzwerk erhalten und im Netzwerk aktiv sind. Auf diese Weise stehen Sicherheitsteams die richtigen Informationen zur Verfügung, um gegen die böswillige Nutzung von Privilegien in Cloud- und Hybrid-Umgebungen möglichst schnell vorzugehen.

„Die Beobachtungen aus diesem Bericht unterstreichen, wie wichtig der Einblick in den privilegierten Zugang und in andere Verhaltensweisen von Angreifer ist“, erklärt Chris Morales, Head of Security Analytics bei Vectra. „Die Kombination von Datenquellen in der Cloud mit Netzwerkdaten schafft eine aussagekräftige Informationsbasis. Dadurch erhöht sich die Wahrscheinlichkeit, dass Aktivitäten unmittelbar nach einer Kompromittierung erkannt und priorisiert werden, bevor es zu einem massiven Sicherheitsvorfall kommt.“

www.vectra.ai