Fortgeschrittene Persistente Bedrohung

Eine der größten Bedrohungen für Unternehmen heute ist die fortgeschrittene, anhaltende Bedrohung (APT). Eine APT ist ein ausgeklügelter, gezielter Angriff, der darauf abzielt, die Daten, Netzwerke oder Systeme einer Organisation zu kompromittieren. Empfindliche Inhalte und die Kanäle, die zur Weitergabe an vertrauenswürdige Partner genutzt werden, sind besonders anfällig für APTs. Daher ist es entscheidend, diese zu schützen, um die Integrität und den langfristigen Erfolg des Unternehmens zu gewährleisten. Dieser Artikel untersucht die Natur von APTs, die Risiken, die sie für die Kommunikation sensibler Inhalte darstellen, und die Schritte, die Sie unternehmen können, um Ihr Unternehmen und die vertraulichen Informationen, die Sie über E-Mail, Filesharing, Managed File Transfer (MFT) und Secure File Transfer Protocol (SFTP) mit vertrauenswürdigen Parteien teilen, zu schützen.

Was ist eine Advanced Persistent Threat (APT)?

Eine APT ist ein gezielter Angriff, der darauf abzielt, Zugang zum Netzwerk, den Systemen oder Daten einer Organisation zu erlangen. Die Angreifer hinter den APTs sind in der Regel gut finanziert und hochqualifiziert, sie verwenden verschiedene Techniken, um einer Entdeckung zu entgehen und für längere Zeiträume, die Monate oder sogar Jahre dauern können, unentdeckt zu bleiben. Diese Angriffe sind in der Regel sehr ausgefeilt und beinhalten oft Social-Engineering-Taktiken wie Spear-Phishing, um Zugang zum Netzwerk einer Organisation zu erlangen. Einmal im Inneren bewegen sich die Angreifer seitlich durch das Ökosystem des Opfers und suchen nach wertvollen Daten wie geistigem Eigentum und personenbezogenen Daten und geschützten Gesundheitsinformationen (PII/PHI).

Warum sind sensible Inhaltskommunikationen anfällig für APTs?

APTs sind darauf ausgelegt, wertvolle Informationen zu extrahieren. Kommunikationskanäle sind eine Hauptquelle dieser Informationen. E-Mails, Dokumente und Dateien sind zum Beispiel besonders anfällig für APTs. Diese Angriffe können zum Diebstahl von Geschäftsgeheimnissen, Finanzdaten, Verträgen, Kundendaten und anderen privaten, vertraulichen Informationen führen, die alle für einen Wettbewerbsvorteil genutzt oder auf dem Schwarzmarkt verkauft werden können.

Wie funktioniert ein ATP-Angriff?

Der APT-Angriffsprozess beinhaltet mehrere Stufen, die unten detailliert erklärt werden.

Aufklärungsphase (APT-1)

Die erste Phase eines APT-Angriffs ist die Aufklärung, auch bekannt als APT-1. In dieser Phase sammelt der Angreifer Informationen über die Zielorganisation, einschließlich ihrer Netzwerkarchitektur, Systeme und Sicherheitsprotokolle. Der Angreifer kann verschiedene Methoden verwenden, einschließlich Social-Engineering-Techniken, Netzwerkscans und Open-Source-Intelligence (OSINT), um kritische Informationen über eine Organisation, ihr Ökosystem, ihre Lieferkette und ihre Mitarbeiter zu sammeln.

Erstmaliger Kompromiss (APT-2)

Die zweite Phase eines APT-Angriffs ist der erste Kompromiss, auch bekannt als APT-2. In dieser Phase erhält der Angreifer Zugang zum Netzwerk oder System der Zielorganisation. Der Angreifer kann verschiedene Methoden verwenden, einschließlich Spear-Phishing, Drive-by-Downloads oder das Ausnutzen von Schwachstellen in Software oder Systemen.

Fuß fassen (APT-3)

Die dritte Phase eines APT-Angriffs ist das Fuß fassen, auch bekannt als APT-3. In dieser Phase schafft der Angreifer eine dauerhafte Präsenz im Netzwerk oder System der Zielorganisation. Der Angreifer kann verschiedene Methoden verwenden, um einen Fuß zu fassen, einschließlich der Installation von Backdoors oder der Erstellung neuer Benutzerkonten, während er einer Entdeckung ausweicht.

Rechte eskalieren (APT-4)

Die vierte Phase eines APT-Angriffs ist die Eskalation der Rechte, kurz APT-4. In dieser Phase erlangt der Angreifer erhöhte Privilegien im Netzwerk oder System der Zielorganisation, was ihm den Zugang zu sensiblen Daten oder Systemen ermöglicht. Der Angreifer kann verschiedene Methoden verwenden, um die Privilegien zu eskalieren, einschließlich des Ausnutzens von Schwachstellen in Software oder Systemen oder der Verwendung gestohlener Anmeldeinformationen.

Interne Aufklärung (APT-5)

Die fünfte Phase eines APT-Angriffs ist die interne Aufklärung, auch bekannt als APT-5. In dieser Phase sammelt der Angreifer weitere Informationen über das Netzwerk oder die Systeme der Zielorganisation. Der Angreifer kann verschiedene Methoden verwenden, um die interne Aufklärung durchzuführen, einschließlich des Scannens nach Schwachstellen oder der Identifizierung potenzieller Ziele für weitere Angriffe.

Seitliche Bewegung (APT-6)

Die sechste Phase eines APT-Angriffs ist die seitliche Bewegung, auch bekannt als APT-6. In dieser Phase bewegt sich der Angreifer seitlich durch das Netzwerk oder die Systeme der Zielorganisation und sucht nach sensiblen Daten oder Entwürfen, auf die er zugreifen kann. Der Angreifer kann verschiedene Methoden verwenden, um sich seitlich zu bewegen, Schwachstellen auszunutzen oder gestohlene Anmeldeinformationen zu verwenden, während er versucht, nicht entdeckt zu werden.

Präsenz aufrechterhalten (APT-7)

Die siebte Phase eines APT-Angriffs ist das Aufrechterhalten einer Präsenz, auch bekannt als APT-7. In dieser Phase hält der Angreifer eine dauerhafte Präsenz im Netzwerk oder System der Zielorganisation aufrecht, während er versucht, Zugang zu sensiblen Daten zu erhalten, die in die Organisation eintreten, sich durch sie hindurchbewegen und sie verlassen. Der Angreifer kann verschiedene Methoden verwenden, um seine Präsenz aufrechtzuerhalten, einschließlich der Installation von Rootkits, Backdoors oder anderer Malware.

Mission abschließen (APT-8)

Die letzte Phase eines APT-Angriffs ist das Abschließen der Mission, auch bekannt als APT-8. In dieser Phase erreicht der Angreifer sein Hauptziel, nämlich den Diebstahl sensibler Daten. Die Angreifer können auch versuchen, ihre Spuren zu verwischen und alle Anzeichen des APT-Angriffs zu entfernen.

Unterschiedliche Beispiele für Advanced Persistent Threats (APTs)

Advanced Persistent Threats (APTs) variieren in Größe und Umfang, jede mit einzigartigen Merkmalen und zielen auf spezifische Branchen oder Ziele ab. Hier sind einige reale Beispiele für APT-Angriffe:

Operation Aurora

Die Operation Aurora wird einer chinesischen staatlich geförderten Gruppe zugeschrieben, die als APT10 bekannt ist. Diese APT wurde 2009 entdeckt und zielte auf Google und andere hochkarätige Technologieunternehmen ab. Die Angreifer erlangten Zugang zu den Netzwerken der Unternehmen, indem sie eine Schwachstelle im Webbrowser von Microsoft, Internet Explorer, ausnutzten.

Carbanak

Diese APT richtete sich gegen Banken und Finanzinstitutionen weltweit und stahl über mehrere Jahre hinweg Millionen von Dollar. Carbanak operierte, indem sie Spear-Phishing-E-Mails an Bankmitarbeiter verschickte, was den Angreifern den Zugang zum Netzwerk des Ziels ermöglichte. Die APT wurde 2014 entdeckt, und man geht davon aus, dass die Angreifer in Russland ansässig sind.

Lazarus-Gruppe

Diese APT ist bekannt für ihre Beteiligung am Sony Pictures Hack von 2014 und dem WannaCry-Ransomware-Angriff von 2017. Die Lazarus-Gruppe ist eine von Nordkorea staatlich geförderte Gruppe, die verschiedene Branchen ins Visier nimmt, einschließlich Finanzinstitutionen und Verteidigungsunternehmen.

Naikon

Diese APT wird einer chinesischen staatlich geförderten Gruppe zugeschrieben und zielt hauptsächlich auf Regierungs- und Militärorganisationen in südostasiatischen Ländern ab. Naikon verwendet Spear-Phishing-E-Mails und Malware, um Zugang zu den Netzwerken der Ziele zu erhalten.

FIN7

Diese APT ist ein finanziell motiviertes kriminelles Syndikat, das die Gastgewerbebranche ins Visier nimmt, einschließlich Restaurants. FIN7 ist bekannt für seine ausgeklügelten Phishing-Kampagnen und die Verwendung von Carbanak-Malware zum Diebstahl von Kreditkartendaten.

Turla

Diese APT wird einer russischen staatlich geförderten Gruppe zugeschrieben und zielt auf verschiedene Branchen ab, aber auch auf Regierungsbehörden und Botschaften. Turla verwendet Spear-Phishing-E-Mails und Watering-Hole-Angriffe, um Zugang zu den Netzwerken der Ziele zu erhalten.

Erkennung und Abschwächung von Advanced Persistent Threat-Angriffen

Die Erkennung von Advanced Persistent Threats (APTs) kann eine Herausforderung sein, da sie darauf ausgelegt sind, der Erkennung zu entgehen und über einen längeren Zeitraum unentdeckt zu bleiben. Es gibt jedoch mehrere Strategien, die Organisationen zur Identifikation von APTs einsetzen können. Hier ein Überblick über einige Strategien, die Unternehmen zur Erkennung und Minderung der durch APTs verursachten Schäden einsetzen können:

Netzwerküberwachung

APTs setzen oft auf Command-and-Control (C&C) Server, um mit ihren Betreibern zu kommunizieren und zusätzliche Malware herunterzuladen. Netzwerküberwachungstools können den Datenverkehr zu und von verdächtigen Domains, IP-Adressen oder Ports, die mit C&C-Servern in Verbindung stehen, identifizieren.

Anomalie-Erkennung

APTs zeigen oft ungewöhnliches Verhalten, das sich vom regulären Netzwerkverkehr unterscheidet. Anomalie-Erkennungstools können einzigartige Datenübertragungsmuster oder ungewöhnliche Anmeldungen überwachen und Sicherheitsteams auf potenzielle Bedrohungen aufmerksam machen.

Endpunkt-Erkennung und Reaktion (EDR)

EDR-Tools sind darauf ausgelegt, bösartige Aktivitäten auf Endpunkten zu erkennen und darauf zu reagieren. Sie überwachen das Systemverhalten, identifizieren verdächtige Dateien und sehen und blockieren bekannte Malware.

Threat Intelligence

Sicherheitsteams können Threat Intelligence nutzen, um bekannte APTs, ihre Taktiken, Techniken und Verfahren (TTPs) sowie die mit ihnen verbundenen Indikatoren für Kompromittierungen (IOCs) zu identifizieren. Durch kontinuierliche Überwachung von Threat Intelligence Feeds können Sicherheitsteams potenzielle Bedrohungen frühzeitig erkennen und darauf reagieren.

User Behavior Analytics (UBA)

UBA-Tools überwachen das Benutzerverhalten und können verdächtige Aktivitäten wie fehlgeschlagene Anmeldeversuche oder Anmeldungen von ungewöhnlichen IP-Adressen oder Zugriffe auf sensible Daten durch einen Mitarbeiter, der keinen geschäftlichen Bedarf für diese Daten hat, identifizieren.

Penetrationstests

Regelmäßige Penetrationstests können Organisationen dabei helfen, Schwachstellen in ihren Abwehrmaßnahmen und potenzielle Anfälligkeiten zu identifizieren, die APTs ausnutzen könnten.

Es ist wichtig zu beachten, dass keine einzelne Erkennungsmethode narrensicher ist, und Sicherheitsteams sollten eine Kombination von Tools und Techniken verwenden, um APTs zu identifizieren. Eine frühzeitige Erkennung und Reaktion sind entscheidend, um den durch APT-Angriffe verursachten Schaden zu minimieren. Daher sollten Organisationen über einen robusten Vorfallreaktionsplan verfügen, um Bedrohungen schnell einzudämmen und zu beheben.

Wie Kiteworks Ihr Unternehmen vor APT-Angriffen schützt

Das Private Content Network von Kiteworks bietet Organisationen entscheidende Tools zur Risikominderung von APTs und zum Schutz ihrer sensibelsten Inhalte, insbesondere wenn diese mit vertrauenswürdigen externen Parteien geteilt werden. Zu diesen Fähigkeiten gehören:

1. ATP-Scanning, Quarantäne und Sichtbarkeit: ATP-Scanning, Quarantäne und Sichtbarkeit sind entscheidende Komponenten einer Zero-Day-Bedrohungsschutzstrategie. Die Kiteworks-Plattform leitet eingehende Dateien durch Ihr ATP-System, um auf Zero-Day- und bekannte Bedrohungen zu prüfen. Sie stellt fehlerhafte Dateien unter Quarantäne und benachrichtigt das entsprechende Sicherheitspersonal. Alle Aktivitäten sind vollständig protokolliert und über Berichte und das CISO-Dashboard sichtbar und können in Ihr Auditprotokoll und SIEM exportiert werden.
2. Nativer Support für Check Point SandBlast ATP: Die Kiteworks-Plattform unterstützt Check Point SandBlast ATP nativ, sodass Unternehmen ihre bestehenden ATP-Investitionen nutzen und eine zusätzliche Schutzschicht gegen Zero-Day-Bedrohungen bieten können.
3. FireEye Malware Analysis (AX) ATP-Integration: Die Plattform unterstützt auch FireEye Malware Analysis (AX) ATP und exportiert Protokolleinträge in das FireEye Helix SIEM, um dem Ereignis einen vollständigen Kontext zu verleihen. Dies ermöglicht es Unternehmen, Zero-Day-Bedrohungen effektiver zu erkennen und darauf zu reagieren.
4. ICAP-kompatible ATP-Systeme: Zusätzlich zur nativen ATP-Unterstützung unterstützt die Plattform auch ICAP-kompatible ATP-Systeme, um sicherzustellen, dass Unternehmen eine Reihe von Optionen zur Auswahl haben, wenn sie sich gegen Zero-Day-Bedrohungen schützen.

Zusätzliche Funktionen, wie eine virtuelle gehärtete Appliance, eingebauter Antivirenschutz und Intrusion Detection System (IDS), TLS 1.2 Verschlüsselung bei der Übertragung und AES-256 im Ruhezustand, On-Premises, Private Cloud, Hybrid- oder FedRAMP-Bereitstellungsoptionen und vieles mehr, dienen dazu, die sensiblen Informationen, die Sie teilen, vor APTs und anderen Cyber-Bedrohungen zu schützen.

Um mehr zu erfahren, vereinbaren Sie eine individuelle Demo.

Zurück zum Risiko- & Compliance-Glossar