Das neue ‚Endpoint Detection Net‘-Modul dient Unternehmen als leistungsstarker Schutz-Multiplikator, die Endpoint Protection (EPP) und Endpoint Detection and Response (EDR) -Lösungen verwenden, indem es Erkennungslücken schließt und die automatische Reaktion auf Vorfälle erleichtert.

Endpoint Detection Net von Attivo Networks geht alle Probleme rund um die Sicherheit am Endpoint frontal an: Hierzu macht es jeden Endpoint zu einem Köder, der jegliche Vorhaben eines Angreifers, auszubrechen und weiter in das Netzwerk einzudringen, stören soll. Dies geschieht, ohne dass eigene Agents am Endpoint erforderlich sind oder der reguläre Netzwerkbetrieb gestört wird. Attivo Networks nutzt hierzu historische Angriffsdaten und das MITRE Att@ck-Framework [1]. Dadurch werden die Methoden erkannt, die Angreifer verwenden, um sich von einem Endpoint aus lateral im Netzwerk zu bewegen. Mit Endpoint Detection Net wurde auf dieser Grundlage schließlich eine umfassende Lösung entwickelt, um Angreifer zu stoppen.

Angreifer halten sich 95 Tage im Netzwerk auf

Die Fähigkeit, Endpoints zu schützen und die Verbreitung von infizierten Systemen zu verhindern, ist für Unternehmen aller Größenordnungen von entscheidender Bedeutung. Untersuchungen [2] ergaben, dass Angreifer ein anfangs infiziertes System im Durchschnitt nach 4,5 Stunden verlassen, um weiter zu ziehen. Darüber hinaus zeigen neue Forschungsergebnisse [3], dass die durchschnittliche Verweildauer im Netzwerk (Dwell-Time) im Jahr 2019 von 85 auf 95 Tage gestiegen ist. Dies verdeutlicht, wie wichtig es ist, Endpoints zu sichern und Angreifer daran zu hindern, im Netzwerk Fuß zu fassen. Gleichzeitig erhöhen CISOs und Cybersecurity-Verantwortliche ihre Ausgaben [4] und stellen weitere Mittel zur Netzwerkerkennung- und Reaktion zur Verfügung. Zudem stellen sie Mitarbeiterschulungen und Lösungen zur Erkennung und Reaktion von Vorfällen am Endpoint bereit

"Endpoints sind das neue Cyber-Schlachtfeld, und gut abgestimmte Erkennungs- und Reaktionsfähigkeiten sind für Unternehmen der beste Weg, um Angreifer abzuwehren", erklärt Joe Weidner von Attivo Networks Deutschland. "Endpoint Detection Net richtet sich an Unternehmen aller Größenordnungen. Es ist eine effektive Möglichkeit, die lateralen Bewegungen eines Angreifers zum Erliegen zu bringen, und zwar bevor er Fuß fasst und materiellen Schaden anrichtet", fügt Weidner hinzu.

Endpoint Detection Net verbessert die Überwachung der Sicherheit, indem es präzise Alarme auslöst und proaktive Maßnahmen ergreift, um Angreifer auszuschalten. Zu diesen Fähigkeiten zählt auch die Früherkennung von Angriffen. Im Folgenden aufgelistet die wichtigsten Angriffsarten:

– Unautorisierte Active Directory-Abfragen von einem Endpoint aus: Angreifer, die nach Informationen über privilegierte Domänen-Konten, Systeme und andere hochwertige Objekte suchen, erhalten gefälschte Active Directory-Ergebnisse, die die automatischen Tools eines Angreifers unwirksam machen. Weitere Bemühungen durch Angreifer bleiben vergeblich, da jegliches Voranschreiten in einer Köderumgebung endet.

– Diebstahl lokaler Anmeldeinformationen: Endpoint Detection Net legt Köder mit täuschend echt wirkenden Anmelde-Informationen aus. Jegliche Versuche eines Angreifers, diese Informationen zu verwenden, führen zu Angriffen, die ins Leere gehen – denn sie verlagern sich weg von wichtigen produktiven Assets und enden in einer Köder-Umgebung.

– Angriffe auf Dateiserver, indem man zu freigegebenen Laufwerken wechselt: Hier werden Angriffe durch geköderte Dateifreigaben und Systeme vereitelt. Angreifer werden aktiv in der Köderumgebung festgehalten, sodass Verteidigungs-Mechanismen genügend Zeit bleibt, infizierte System-Ebenen zu isolieren und weitere Infektionen mit Malware oder Ransomware zu verhindern.

– Network Reconnaissance, um Produktionsmittel und verfügbare Dienste zu finden: Jegliche Angriffe dieser Art werden für Angreifer zu einer Herausforderung. Denn die von Endpoint Detection Net ausgelegten Täuschkörper verschleiern die wahre Angriffsfläche mittels einer Umgebung, die den echten Produktionsmitteln täuschend ähnelt. Anstelle von echten Assets warten dort virtuelle Fallen auf den Angreifer.

– Man-in-the-Middle-Angriffe, bei denen die Angreifer versuchen, Anmeldeinformationen zu stehlen: Angriffe dieser Art sind in der Regel schwer identifizierbar; die Lösung von Attivo Networks bietet jedoch innovative und schnelle Maßnahmen, um sie zu erkennen und darauf aufmerksam zu machen.

– Identifizierung möglicher Angriffs-Vektoren, die ein Angreifer unternehmen würde, um sich im Netzwerk zu bewegen: Unternehmen erhalten nun Einblick in gefährdete Anmelde-Berechtigungen und -Pfade, über die sich Angreifer nach dem ersten Eindringen innerhalb eines Netzwerks so unauffällig wie möglich fortbewegen, um nach lohnenden Daten zu suchen (Lateral Movement). Außerdem erhalten Unternehmen Erkenntnisse, die erforderlich sind, um diese potenziellen Sicherheitslücken zu korrigieren, bevor Angreifer freigelegte oder verwaiste Berechtigungen nutzen können.

Attivo Networks baut die Gefahren-Erkennung am Endpoint kontinuierlich aus. Erst vor Kurzem wurde es vom Cyber Defense Magazine bei der Verleihung der Global Awards 2019 [5] als ‚Hot Company‘ in der Kategorie Endpoint Security ausgezeichnet. CISOMAG honorierte das Unternehmen ebenfalls für seine Innovation, indem es Attivo Networks in die Endpoint Security Power List [6] aufnahm, die im November 2019 veröffentlicht wurde.

Weitere Informationen über Endpoint Deception Net sind auf der Webseite von Attivo Networks verfügbar: https://attivonetworks.com/product/endpoint-detection-net/

[1] https://go.attivonetworks.com/WC-2019-Whitepaper-MITREATTCKMatrix_LP-Registration.html

[2] https://www.crowdstrike.com/resources/reports/2019-crowdstrike-global-threat-report/

[3] https://www.crowdstrike.com/resources/reports/crowdstrike-services-cyber-front-lines-2020/

[4] https://www.sans.org/reading-room/whitepapers/bestprac/spends-trends-2020-cybersecurity-spending-survey-39385

[5] https://cyberdefenseawards.com/cyber-defense-global-awards-winners-for-2019/

[6] https://www.cisomag.com/endpoint-security/

Weitere wichtige Ergebnisse der Studie: 40 Prozent der Befragten stufen Täuschungs-Lösungen und Detection-Controls als wichtigste Angriffs-Unterbrecher in der Riege der traditionellen Cybersecurity-Lösungen ein. Auf der Liste der Cyber-Bedrohungen rangieren Malware und Ransomware mit 66 Prozent weiterhin ganz oben.

"Ein Großteil unserer diesjährigen Forschungsarbeiten deutet auf eine anhaltende Nachfrage nach netzwerkinterner Erkennung hin, die zuverlässig über bestehende und neu entstehende Angriffsflächen arbeitet und gegen alle Angriffs-Vektoren wirksam ist", erklärt Joe Weidner, Regional Director DACH bei Attivo Networks.

"Die Verkürzung der Verweildauer von Angreifern, die sogenannte Dwell-Time, steht zunehmend im Mittelpunkt. Ebenso wichtig ist der Einsatz von Technologien, die Angreifer innerhalb des Netzwerks frühzeitig und valide erkennen. Eine vielschichtige Strategie komplementärer Kontroll-Mechanismen, die neue Lösungen wie die Täuschungs-Technologie einschließt, erweist sich als am wirksamsten", so Weidner weiter.

Die Studie von Attivo Networks wurde 2019 unter 1.249 Cybersecurity-Experten in Europa, Nordamerika und Australien durchgeführt – darunter Tech- und Finanz-Dienstleistungen. Große und mittelständische Unternehmen waren gleichmäßig vertreten. Sie geht auf die größten Herausforderungen ein, denen Cybersecurity-Experten auf der ganzen Welt gegenüber stehen. Darüber hinaus bietet sie einen Einblick, inwiefern sich Cybersecurity-Trends im Vergleich zur vergangenen Attivo-Studie aus dem Jahr 2018 entwickelt haben.

Corona noch kein Thema während Studien-Zeitpunkt

Die Umfragen zum ‚2019 Top Threat Detection Trends Survey‘ wurden zu einem Zeitpunkt durchgeführt, an dem die Coronavirus-Pandemie noch nicht auftrat, und nicht so viele Menschen dazu zwang, von zu Hause aus zu arbeiten. Dies spiegelt sich auch in den Ergebnissen wider: Unter den Befragten rangierten Home-Office-Arbeiter mit nur 35 Prozent an dritter Stelle der besorgniserregendsten Angriffsflächen. Attivo Networks geht jedoch davon aus, dass in zukünftigen Studien ein signifikanter Anstieg der Risiken in Bezug auf die Arbeit über Remote-Zugänge oder VPNs zu erwarten ist.

Die Studien-Ergebnisse im Detail:

– Die Verkürzung der Verweildauer von Angreifern im Unternehmens-Netzwerk (Dwell-Time) stellt nach wie vor eine große Herausforderung dar: Nahezu zwei Drittel (64 Prozent) der Befragten bezeichneten eine Dwell-Time von 100 Tagen als "in Ordnung" oder "zu niedrig" (gegenüber 61 Prozent im Vorjahr). Mit einem Anstieg von 7 Prozentpunkten gegenüber dem Vorjahr gaben 22 Prozent der Befragten an, dass sie die Statistik über die Dwell-Time nicht verfolgen. Diese Ergebnisse unterstreichen den anhaltenden Bedarf an effizienten Instrumenten zur Erkennung und Verfolgung Netzwerk-interner Bedrohungs-Aktivitäten und lateraler Bewegungen.

– Organisationen wenden zunehmend komplementäre Sicherheitstechnologien an. Die Befragten glauben, dass Bedrohungsakteure sich am meisten um die Analyse des Netzwerk-Verkehrs sorgen (44 Prozent), dicht gefolgt von Täuschungstechnologien und Firewalls der nächsten Generation (beide 40 Prozent). Dahinter folgen Intrusion Detection Systems (39 Prozent), Security Information und Event Management (37 Prozent), Endpoint Detection und Response/fortschrittliche Antivirus-Lösungen (27 Prozent), Incident Access Management (22 Prozent) und User und Entitiy Behavior Analytics (15 Prozent). Diese Verschiebung ist laut Attivo Networks wahrscheinlich darauf zurückzuführen, dass die Angreifer die Schwächen traditioneller Sicherheits-Mechanismen immer besser verstehen. Andererseits legen Unternehmen ihren Fokus immer mehr auf neue Technologien wie Täuschungs-Technik.

– Zusätzlich zu den Anwender-Netzwerken und Endpoints zeigen die Ergebnisse der Studie, dass die Cloud für 63 Prozent der Befragten ein erhebliches Problem darstellt. Die Studie führt dieses Ergebnis auf die anhaltende Migration von Unternehmen zu IaaS- und SaaS-Services zurück; ferner führt sie es auf Bedenken von Cybersecurity-Experten hinsichtlich der Sicherung dieser breiten Angriffsflächen und dezentralisierten Sicherheits-Muster zurück.

– Trotz erheblicher Investitionen in Präventions-Lösungen stehen Malware und Ransomware weiterhin ganz oben auf der Liste derjenigen Angriffe, die Cybersecurity-Experten Sorge bereiten:  Die Kategorie Malware/Ransomware ist im Vergleich zum Vorjahr von 61 auf 66 Prozent gestiegen. Dieses Ergebnis deutet darauf hin, dass sich Präventions-Technologien wie Virenschutz und Firewalls immer noch schwer tun, Angriffe zu erkennen und zu stoppen. Unternehmen suchen daher nach neuen vielschichtigen Verteidigungs-Strategien

– Drei von vier Befragten verwenden irgendeine Form von Sicherheits-Framework, wobei die Mehrheit der Befragten (45 Prozent) ein NIST-Cybersecurity-Framework verwendet, gefolgt von der ISO 27000-Normenfamilie (37 Prozent). Sicherheits-Experten verlassen sich auf diese Frameworks, um Richtlinien, Verfahren und Prozesse eindeutig zu definieren, die zur Reduzierung von Risiken beitragen sollen.