So schützen Sie Ihr Unternehmen vor Angriffen auf die Lieferkette

Viele Unternehmen und MSPs haben den im Dezember 2020 verübten Angriff auf die Lieferkette noch immer nicht ganz verdaut. Selbst US-Regierungsbehörden wie das Justizministerium (DOJ) blieben nicht verschont, als Hacker mithilfe der SolarWinds-Orion-App als Einstiegspunkt in deren IT-Systeme eindrangen. Im Fall des DOJ gelang es den Hackern, Zugriff auf die E-Mail-Konten einiger Mitarbeiter zu erlangen.

Die neuesten Informationen zu diesem Supply-Chain-Angriff, wie sie in diesem ZDNet-Artikel beschrieben werden, deuten darauf hin, dass Hacker insgesamt vier Malware-Varianten einsetzten: Sunspot, Sunburst (Solorigate), Teardrop und Raindrop. Diese Malware-Varianten wurden in einer ausgeklügelten Abfolge von eskalierenden Angriffen eingesetzt. Zunächst wurde Sunspot verwendet, um den Software-Build-Prozess des Anbieters anzugreifen und die Sunburst-Malware in die Orion-Software einzuschleusen. Die Sunburst-Malware sammelte Daten aus den infizierten Netzwerken und übermittelte diese an einen Remote-Server.

In Fällen, in denen die Angreifer den Angriff weiter eskalieren wollten, nutzten sie Sunburst, um entweder die Malware „Teardrop“ oder „Raindrop“ zu installieren. Bei beiden handelt es sich um Hintertüren, mit denen die Angreifer „ihren Zugriff innerhalb eines gehackten IT-Netzwerks ausweiteten“. Daher müssen Sicherheitsteams ihre IT-Umgebungen auf alle vier dieser Malware-Varianten überprüfen.

Wirksame Tipps für einen besseren Schutz Ihres Unternehmens

Auf der Grundlage seiner Untersuchungen zu dem Angriff empfiehlt das Sicherheitsunternehmen Cycode sechs Sicherheitsmaßnahmen, die Ihr Unternehmen ergreifen sollte, um sein Risiko zu verringern.

Cycode empfiehlt, die Zugriffskontrollen Ihrer Infrastruktur durch folgende Maßnahmen zu verstärken:

• Vollständige Transparenz und Bestandsaufnahme aller Ressourcen – Jede Ressource, die nicht überwacht wird, kann zu einer Schwachstelle für Ihr Ökosystem werden.
• Multi-Faktor-Authentifizierung (MFA) – Passwörter allein reichen nicht aus, um Konten zu schützen, insbesondere solche, die so einfach sind wie „password123“. Die MFA bietet eine zusätzliche Schutzebene und erschwert es Hackern, auf Ihre Systeme zuzugreifen.
• Systemüberprüfung – Entfernen Sie Standard-Anmeldedaten von Ihren Systemen und setzen Sie strenge Passwortrichtlinien durch.
• Durchsetzung von Richtlinien für privilegierte Zugriffe – Ein privilegierter Benutzer verfügt über Administratorzugriff auf alle Ihre kritischen Systeme. Die Verwaltung und Überwachung aller privilegierten Konten ist für eine höhere Sicherheit unerlässlich.

Ein weiteres Sicherheitsunternehmen, Tempered Networks, empfiehlt die Einführung eines „Zero-Trust“-Ansatzes, um die Sicherheit von Organisationen zu stärken. Dieser Mechanismus umfasst:

• Netzwerk-Mikrosegmentierung – Beim Zero-Trust-Netzwerkzugang (ZTNA) werden Richtlinien festgelegt, auf welche Ressourcen ein Benutzer zugreifen darf. Da die Anwendungen in dieser Architektur voneinander getrennt sind, können Administratoren die Zugriffsberechtigungen sehr detailliert festlegen.
• Geräteüberprüfung und Benutzerauthentifizierung – Der Zugriff wird nur gewährt, wenn ein Benutzer seine Identität nachweist und sichergestellt ist, dass er vertrauenswürdig ist. Durch mehrere Überprüfungsschritte gewährt ZTNA den Zugriff ausschließlich verifizierten Benutzern.

Wie können MSPs ihre Kunden schützen?

MSPs können proaktiv vorgehen und Dienstleistungen im Bereich Security Operations Center (SOC) anbieten, wie zum Beispiel:

Endgerätesicherheit

MSPs können die Endgeräte ihrer Kunden mit folgenden Maßnahmen schützen: –

• Überwachung von Ereignisprotokollen – Die Überwachung von Ereignisprotokollen auf allen Windows- und macOS-Rechnern ist unerlässlich, um Ereignisse auf allen Geräten über eine zentrale Konsole hinweg zu verfolgen.
• Threat Hunting – Die proaktive Erkennung von Sicherheitsvorfällen, bevor diese Schaden anrichten, kann Ihre Kunden vor erheblichen geschäftlichen Verlusten schützen.
• Einbruchserkennung – MSPs können Warnmeldungen einrichten, um verdächtige Aktivitäten zu erkennen und zu verhindern, dass Eindringlinge die Kontrolle über andere Systeme übernehmen.
• Antiviren-/Antimalware-Lösungen der nächsten Generation (NGAV) von Drittanbietern – Die Integration mit NGAV-Lösungen ermöglicht eine erweiterte Erkennung von Bedrohungen auf Endgeräten, anstatt lediglich nach bekannten Malware-Signaturen zu suchen.

Netzwerksicherheit

MSPs können die Überwachung von Firewall- und Edge-Geräteprotokollen anbieten, die in Threat-Reputation-Dienste (TRS) sowie Whois- und DNS-Abfragedienste integriert ist.

[TRS](https://media.defense.gov/2019/Sep/09/2002180344/-1/-1/0/Integrate Threat Reputation Services.docx - Copy.pdf) umfasst die Durchführung regelmäßiger Bedrohungsanalysen von Websites, Dateien, Domainnamen und anderen derartigen Objekten, um anhand des beobachteten Verhaltens in der Vergangenheit und gemeinsam genutzter Informationen zu erfassen, wie oft diese Objekte mit böswilligen Aktivitäten in Verbindung gebracht wurden.

Cloud-Sicherheit

Die im Folgenden genannten Cloud-Sicherheitsdienste können von MSPs bereitgestellt werden, um die Cloud-Daten ihrer Kunden zu schützen.

• Überwachung des Microsoft 365-Sicherheitsereignisprotokolls
• Microsoft Office 365, Google G Suite und Salesforce – Datensicherung
• Überwachung von Azure Active Directory (AD)
• Böswillige Anmeldungen bei Microsoft 365 und
• Azure Secure Score

Auch wenn wir das Ausmaß des Orion-Angriffs noch nicht kennen, befürchten Unternehmen, dass noch weitere Angriffe folgen könnten. In diesen unsicheren Zeiten ist es für Unternehmen unerlässlich, ihre Bemühungen im Bereich der Cybersicherheit zu verstärken.

Erfahren Sie in unserem Webinar „IT-Sicherheit im Jahr 2021 stärken“, wie Sie Ihre Sicherheitslage verbessern können. Melden Sie sich jetzt an!