Cyber-Attacken: Zahl steigt durch ständig neue Angriffsmethoden

NTT Ltd., ein Technologie-Dienstleister, hat seinen 2020 Global Threat Intelligence Report (GTIR) veröffentlicht. Der neue GTIR zeigt, dass die Angreifer trotz aller Anstrengungen von Unternehmen und Organisationen, ihre Cyber-Abwehr zu stärken, mit immer neueren und automatisierten Angriffsmethoden vorgehen und damit Erfolg haben.

Entscheidend sind deshalb die Punkte Secure-by-Design und Cyber-Resilienz. Gleichzeitig belegt der Report, dass Kriminelle die COVID-19-Pandemie nutzen, um Angriffe auf Organisationen aus dem Gesundheitsbereich zu starten. 

Laut dem aktuellen Report war fast die Hälfte (47%) aller Cyber-Anschläge auf deutsche Unternehmen und Organisation eine Reconnaissance-Aktivität zum Ausspähen und Identifizieren von Zielen. Weltweit zeichnet sich angesichts der Corona-Pandemie ein weiterer Trend ab: 20% der Attacken zielten auf Content-Management-Systeme (CMS) und über 28% auf Technologien rund um Webseiten. Gerade Unternehmen und Organisationen, die während COVID-19 auf ihre Internet-Präsenz – also Kundenportale, Retail-Seiten oder andere Webanwendungen – angewiesen sind, laufen Gefahr, zum Ziel von Cyber-Kriminellen zu werden. 

Technologie führt die Liste der Angriffsziele an

Zwar hat die Zahl der Angriffe im vergangenen Jahr in allen Industriezweigen zugenommen – der Technologiesektor wie auch die Fertigungsindustrie sind allerdings in Deutschland am stärksten von Cyber-Attacken betroffen. Der Technologiesektor liegt mit 51% aller Angriffe auf Platz 1 in der Liste der Angriffsziele. Der Großteil der Attacken waren dabei Reconnaissance-Aktivitäten (78%) und Netzwerkmanipulationen (15%). Auf den weiteren Plätzen folgen hierzulande die Fertigungsindustrie (21%), die Finanzbranche (11%), der Bereich Medien (10%) und der öffentliche Sektor (4%). 

Die wichtigsten Ergebnisse des 2020 GTIR:

• Webseiten, die sich als „offizielle“ Quelle für COVID-19-Informationen ausgeben, aber Exploit-Kits und/oder Malware hosten, werden von den Cyber-Kriminellen mit einer unglaublichen Geschwindigkeit erstellt. Teilweise entstehen pro Tag über 2.000 solcher Fake-Seiten.
• Auf die fünf häufigsten Angriffstypen entfielen in Deutschland 95% aller Aktivitäten: Reconnaissance- (47%), servicespezifische (13%), anwendungsspezifische (13%), Netzwerkmanipulations- (11%) sowie Web-Application-Attacken (11%). 
• Durch den Einsatz von Künstlicher Intelligenz und Maschinellem Lernen sowie Investitionen in die Automatisierung werden die Angriffe immer ausgefeilter. 59% der hierzulande entdeckten Malware nutzte die Form eines Schwachstellen-Scanners.
• Botnets wie Mirai, IoTroop und Echobot haben bei der Automatisierung Fortschritte gemacht und so ihre Verbreitungsmöglichkeiten massiv verbessert. Mirai und IoTroop sind zudem dafür bekannt, dass sie sich durch IoT-Angriffe verbreiten – das Botnetz nutzt dabei infizierte Geräte, um das Netzwerk auf weitere Devices zu scannen und zu infizieren. 
• Alte, seit Jahren aufgedeckte Schwachstellen, die von Unternehmen und Organisationen noch nicht gepatcht wurden, bleiben ein attraktives Ziel. Acrobat liegt in Deutschland mit 20% an erster Stelle. Weltweit wurden in den letzten zwei Jahren 258 neue Schwachstellen in Apache-Frameworks und -Software identifiziert, in Deutschland war Apache 2019 mit 10% aller beobachteten Angriffe das vierthäufigste Ziel.
• Auf CMS-Angriffe entfielen weltweit 20% aller kriminellen Aktivitäten. Hacker nutzten populäre Plattformen wie WordPress, Joomla!, Drupal und noneCMS als Einfallstor in Unternehmen, um wertvolle Daten zu stehlen und weitere Aktivitäten zu starten. Mehr als 28% der angegriffenen Technologien wie ColdFusion und Apache Struts unterstützen Webseiten.

Der 2020 GTIR nennt das vergangene Jahr auch „the year of enforcement“, da durch zahlreiche Governance-, Risiko- und Compliance-Initiativen (GRC-Initiativen) eine ausgeprägte weltweite Regulierungslandschaft entstanden ist. Zahlreiche Gesetze und Verordnungen wie die europäische Datenschutz-Grundverordnung (DSGVO) haben einen starken Einfluss auf die Art und Weise, wie Unternehmen und Organisationen mit Daten und Privatsphäre umgehen. Der aktuelle Report enthält deswegen Empfehlungen für den richtigen Umgang mit diesen Vorschriften, einschließlich der Identifizierung eines akzeptablen Risikoniveaus, des Aufbaus von Cyber-Resilience-Fähigkeiten und der Implementierung von Secure-by-Design-Lösungen. 

„In Deutschland dominieren Reconnaissance-Aktivitäten. Hacker wählen das potenzielle Ziel für einen Cyber-Angriff aus und holen relevante Informationen über ihr Opfer ein. Angreifer interessieren sich dabei nicht nur für technische Schwachstellen – auch menschliche Schwächen und schlecht umgesetzte Prozesse können zum potenziellen Einfallstor für Hacker werden. Einmal im Firmennetzwerk angekommen, können sie großen Schaden anrichten“, erklärt Kai Grunwitz, Geschäftsführer der NTT Ltd. in Deutschland. „Unternehmen müssen deshalb auf breiter Front ihre Sicherheitsmaßnahmen überprüfen und entsprechend nachjustieren.“

Die Methodik des Global Threat Intelligence Report (GTIR)

Der 2020 GTIR enthält globale Angriffsdaten, die von NTT Ltd. und Unternehmen der NTT-Gruppe zwischen dem 1. Oktober 2018 und dem 30. September 2019 gesammelt wurden. Die Analyse basiert auf Informationen von Kunden über Logs, Events, Angriffe, Vorfälle und Schwachstellen. Die Nutzung der Indikatoren-, Kampagnen- und Gegner-Analyse aus der Global Threat Intelligence Platform von NTT Ltd. hat bei der Verknüpfung der Aktivitäten mit Akteuren und Kampagnen eine wichtige Rolle gespielt. 

NTT Ltd. sammelt Sicherheitsprotokoll-, Alarm-, Ereignis- und Angriffsdaten, reichert diese um Kontextinformationen an und analysiert die kontextangereicherten Daten. Dadurch ist eine globale Bedrohungsaufklärung und Alarmierung in Echtzeit möglich. Aufgrund der Größe und Vielfalt des Kundenstamms mit über 10.000 Kunden auf sechs Kontinenten liefert NTT Ltd. Informationen, die für die Bedrohungen der meisten Unternehmen repräsentativ sind. 

Die Daten stammen aus weltweiten Log-Events, die Angriffe basierend auf Art oder Menge identifizieren. Die Verwendung von validierten Informationen erfasst im Gegensatz zum Rohvolumen von Protokolldaten oder des Netzwerkverkehrs die tatsächliche Angriffszahl genauer. Ohne eine angemessene Kategorisierung der Angriffe würde das überproportional große Datenvolumen aus der Netzwerk-Traffic-Überwachung, Fehlalarmen, autorisiertem Security-Scanning und großen DDoS-Fluten, die von Security Operations Centers (SOCs) überwacht und erfasst werden, die tatsächliche Häufigkeit von Angriffen verfälschen. 

Die Einbeziehung von Daten aus den zehn SOCs und sieben Forschungs- und Entwicklungszentren von NTT Ltd. liefert eine präzise Darstellung der sich ständig weiterentwickelnden globalen Bedrohungslandschaft.

www.hello.global.ntt/de