Ransomware-Akteure haben weiterhin Erfolg, warum?

Die Bedrohung durch Ransomware ist für Techniker und Sicherheitsexperten nach wie vor eine bedauerliche alltägliche Realität. Doch bevor wir von „Untergang und Finsternis“ sprechen, sollten wir anerkennen, wie weit die Branche bereits gekommen ist. Ich würde behaupten, dass in nicht allzu ferner Vergangenheit die meisten Unternehmen anfällig für das waren, was wir heute als relativ einfachen Ransomware-Angriff bezeichnen würden. E-Mail öffnen -> Malware -> Ausbreitung im Netzwerk -> Ransomware ->

Dank der Fortschritte vor allem im Bereich der Endgeräte, der zunehmenden Verbreitung des „Work from Anywhere“-Konzepts und der Zero-Trust-Prinzipien hat die Branche erhebliche Fortschritte beim Schutz vor dieser Art von Angriffen erzielt.

Dennoch erscheinen jede Woche neue Artikel über erfolgreiche Ransomware-Angriffe. Viele Ransomware-Tracker verzeichnen für das Jahr 2023 tatsächlich einen Anstieg. So zeigt beispielsweise der Bericht „The State of Ransomware“ von Black Fog einen Anstieg von 8 % im Vergleich zum Vorjahr. Darüber hinaus beobachten wir, dass Angreifer zunehmend Datenspeicher ins Visier nehmen, die über die traditionell angegriffenen Ziele hinausgehen, wie beispielsweise Cloud-Speicher und Cloud-Datenbanken.

„Wenn wir im Kampf gegen Ransomware wirklich Fortschritte gemacht haben, warum steigt dann die Zahl der erfolgreichen Angriffe?“

Es kommt ganz auf die Prioritäten an

Bei der Analyse dieser erfolgreichen Angriffe habe ich zwei Hauptkategorien ermittelt, in denen das System versagt und es böswilligen Akteuren ermöglicht, Erpressungsangriffe erfolgreich durchzuführen.

1. Fehlende Investitionen in ein Informationssicherheitsprogramm. Auf den ersten Blick scheint das offensichtlich zu sein – und das ist es auch. Man bekommt, wofür man bezahlt. Unternehmen mit gut ausgestatteten Sicherheitsteams sind seltener von Ransomware-Angriffen betroffen (mit einer Ausnahme, auf die in der nächsten Kategorie eingegangen wird). Es ist leicht, sich als Nörgler zu geben und zu sagen: „Die Leute müssen das einfach ernster nehmen und mehr Geld für Sicherheit ausgeben!“ Die Realität sieht jedoch so aus, dass die meisten Angriffe, von denen wir in den Nachrichten hören und die auf mangelnde Investitionen zurückzuführen sind, gegen öffentliche Einrichtungen gerichtet sind. Viele dieser Organisationen sind finanziell einfach nicht in der Lage, in Personal, Zeit und „modernste“ Technologien zu investieren, mit denen sich Angriffe abwehren lassen. Ich werde diesen Gedanken an dieser Stelle beenden, da es sich um ein anderes Blogthema handelt – um Politik, öffentliche Ordnung und Vereinigung. Öffentliche Ausgaben sind kein Thema, das man einfach übergehen kann. Aber die nächste Kategorie können wir als Branche leichter angehen.
2. Wir haben Scheuklappen auf. Ich weiß, das ist eine gewagte Behauptung, aber wenn man sich mit dem Thema richtig auseinandersetzt, höre ich oft, dass dies tatsächlich der Fall ist.
   Wenn ich sage, wir haben Scheuklappen auf, meine ich damit, dass wir das Risikomodell von Ransomware nicht vollständig durchleuchten. Wir konzentrieren uns zu sehr darauf, wie gängige Angriffe erfolgreich waren, um zu erkennen, wo Lücken in unseren Sicherheitsprogrammen bestehen. Wir legen den Schwerpunkt auf den Schutz von Endgeräten, Servern und herkömmlichen Datenspeichertechnologien (SAN, NAS usw.) und schaffen es dadurch, diese Ressourcen erfolgreich vor Angriffen zu schützen.

„Letztendlich muss ein Angreifer, der Daten gegen Lösegeld zurückhalten will, nur eine einzige Aufgabe erfüllen: die Verfügbarkeit kritischer Geschäftsdaten zu unterbinden.“

Viele Unternehmen konzentrieren sich eher auf Kontrollmaßnahmen zur Abwehr von Angriffen als auf die Umsetzung einer ganzheitlichen Strategie zum Schutz der Verfügbarkeit. Mit anderen Worten: Konzentrieren Sie sich nicht nur auf den Ransomware-Angriff, sondern auf eine allgemeinere Strategie zum Schutz der Verfügbarkeit, die auch die „Datenverschlüsselung zur Schadensbegrenzung“ (ATT&CK-ID T1486) umfasst.

Beispielsweise basieren viele Ransomware-Szenarien auf der Annahme, dass ein Angreifer eine binäre Payload ausführen und Daten verschlüsseln könnte. Der gleiche Effekt ließe sich jedoch – bei ausreichendem Zugriff – auch dadurch erzielen, dass einfach die Verschlüsselungsschlüssel einer kritischen Datenbank ausgetauscht werden. Der Schwierigkeitsgrad für einen Angreifer, dies zu bewerkstelligen, variiert stark, doch für viele Organisationen stellt dies einen realistischen Angriffsweg dar. Man sollte nicht vorschnell darauf hinweisen, dass native Database Backups, Multi-Versioning usw. dieses Problem lösen können. Das ist keineswegs falsch, aber in der Praxis werden diese Kontrollmechanismen aufgrund von Leistungseinbußen bei großen Datenbanken oft deaktiviert – und Sie werden darüber möglicherweise gar nicht informiert. Zudem erfolgt die Verwaltung dieser Schutzmaßnahmen häufig mit denselben privilegierten Zugangsdaten wie normale Administratoraktivitäten – und genau diese Zugangsdaten sind das Ziel von Angreifern.

Okay … aber was bedeutet das denn …

Alles in allem bedeutet dies, dass Sie Ihr Ransomware-Handbuch überarbeiten und die Erstellung eines übergeordneten Verfügbarkeitshandbuchs in Betracht ziehen sollten, falls Sie noch keines haben (falls doch, überprüfen Sie es unter dem Gesichtspunkt von Ransomware). Dies sollte eine funktionsübergreifende Aufgabe sein. Das Sicherheitsteam sollte einen ersten Entwurf erstellen und sich anschließend mit den Datenverantwortlichen, den Infrastrukturteams sowie den DR-/BC-Teams zusammensetzen, um gemeinsam die realistischsten Schutz- und Recovery-Methoden zu erarbeiten. Viele Schutz- und Recovery-Methoden gehen mit Leistungseinbußen einher. Die Sicherheit darf diese Realität nicht ignorieren, und die IT darf die Sicherheit nicht zugunsten der Leistung außer Acht lassen. Es gibt keine einheitliche Lösung, die für alle Fälle passt.

Folgendes kann als grober Anhaltspunkt dafür dienen, worüber man bei diesen Bemühungen nachdenken sollte:

1. Machen Sie sich mit allen wichtigen Speichersystemen für Geschäftsdaten vertraut, darunter:
   • „privat“ verwaltete Datenspeicher, NAS, SAN
   • Mitarbeitergeräte
   • Datenbanken (sowohl lokal als auch in Form einer herkömmlichen Cloud-Abstraktion und als Service)
   • Cloud-Speicher
2. Erstellen Sie eine Liste von Taktiken, Techniken und Vorgehensweisen, die dazu genutzt werden können, die Verfügbarkeit Ihrer kritischen Datenspeicher zu beeinträchtigen, und ordnen Sie diese dem MITRE ATT&CK-Modell zu. (https://attack.mitre.org/tactics/TA0040/)
   • Beispiel 1: Massenverschlüsselung von Endgeräten
   • Beispiel 2: Diebstahl und Löschung kritischer Datenspeicher (Cloud und lokal)
3. Ordnen Sie Taktiken den Datenquellen zu und stufen Sie diese nach ihrer Eintrittswahrscheinlichkeit ein.
   • Priorisierung anhand rechtlicher, operativer und strategischer Risiken
4. Kontrollen und Prozesse bewerten
   • Ermitteln Sie anhand der Datenquelle, wo Möglichkeiten zur Einführung von Kontrollmaßnahmen zur Prävention, Erkennung, Reaktion und Recovery bestehen.
   • Lücken ermitteln
   • Neue Prozesse und Kontrollmaßnahmen schaffen
5. Ergänzen Sie Ihren Leitfaden zur Reaktion auf Ransomware um Maßnahmen für alle Angriffstechniken, die auf Ihren Reaktions- und Recovery-Verfahren aus Schritt 4 basieren.
6. Führen Sie gleichzeitig eine gemeinsame Table-Top-Übung (TTX) und eine DR-Übung durch.
   • Das ist eine echte Herausforderung. Die Kombination beider Elemente zu einer „Open-Book“-TTX mit einigen zufälligen Eingriffen wird deutlich zeigen, wie die Teams unter dem Druck eines echten Ransomware-Vorfalls arbeiten.

Zusammenfassung

Cyberkriminelle entwickeln sich ständig weiter, um relevant zu bleiben und ihre Einnahmequellen zu sichern. Auch wenn wir als Branche mittlerweile recht gut darin sind, uns gegen herkömmliche Ransomware-Bedrohungen zu schützen, gibt es in jedem Unternehmen wahrscheinlich noch einige Schwachstellen. 

• Ransomware-Angriffe sind nach wie vor erfolgreich. 
• Je besser wir darin werden, herkömmliche Angriffe abzuwehren, desto mehr ändern die Angreifer ihre Taktiken, um weiterhin erfolgreich zu bleiben 
• Angreifer haben es auf Datenspeicher wie Datenbanken und Cloud-Speicher abgesehen 
• Ergänzen Sie Ihr Reaktionshandbuch um Maßnahmen zur Erkennung, Prävention, Reaktion und Recovery für nicht-traditionelle Verfügbarkeits-Recovery.
• Implementieren Sie unveränderliche und leistungsstarke Backup-Lösungen für Datenbanken und Cloud-Ressourcen.

So hilft Clumio

Clumio hat es sich zum Ziel gesetzt, Kunden dabei zu unterstützen, ihre Cloud-Anwendungen und -Daten widerstandsfähiger zu machen. Im Falle eines Ransomware-Angriffs ist Recovery eine entscheidende Absicherung, um die Verfügbarkeit Ihrer Geschäftsanwendungen aufrechtzuerhalten. Mit den Backup-Optionen von Clumio für Datenbanken wie Amazon RDS, MS-SQL auf EC2 und DynamoDB sowie für Amazon S3, EC2, EBS und Microsoft 365 können Sie leistungsstarke Recovery-Strategien entwickeln, die sowohl Infrastruktur- als auch Sicherheitsteams zufriedenstellen.