Continuous Response: Kontinuierliche Reaktion auf Cyber-Bedrohungen

Kontinuierliche Bedrohung erfordert ständige Reaktionsfähigkeit

[datensicherheit.de, 07.04.2019] Im Zuge der Weiterentwicklung von Bedrohungen wächst auch der Bedarf von Unternehmen, sich gegen die geschäftsschädigenden Auswirkungen von Cyber-Angriffen zu schützen. Angesichts dieses Trends fordert F-Secure, dass sowohl die ständige Bereitschaft zum Erkennen möglicher Sicherheitsverletzungen als auch die schnelle und effektive Eindämmung, „die das richtige Gleichgewicht von Mensch, Prozess und Technologie abdeckt“, stärker in den Vordergrund gestellt wird.

Cyber-Angriffe für viele Unternehmen inzwischen Selbstverständlichkeit

„Cyber-Angriffe sind für viele Unternehmen inzwischen eine Selbstverständlichkeit. Es geht nicht mehr darum, ob ein Unternehmen angegriffen wird, sondern um die Frage, wann es passiert.“ Dies erfordere eine Veränderung in der Art und Weise, wie Unternehmen mit vielen Sicherheitsaspekten umgehen, so Tim Orchard, „Managing Director“ von F-Secure Countercept.
Eine kürzlich durchgeführte Umfrage von MWR Infosecurity (2018 von F-Secure) hebe den Mangel an Investitionen in effektive Reaktionsstrategien auf derartige Vorfälle als aktuellen Schwachpunkt hervor. 44 Prozent der Teilnehmer hätten angegeben, dass sie weniger in die Reaktionsfähigkeit investierten, als beispielsweise in die Vorhersage, Prävention oder Erkennung von Bedrohungen. Nur zwölf Prozent gäben an, dass sie diese „Response“ gegenüber ihren anderen Sicherheitsaspekten priorisierten.

Geschulte Personen zur richtigen Zeit am richtigen Ort haben

Die sogenannte Continuous Response sei ein neu entstehendes Konzept der Cyber-Sicherheit, welches für die Steigerung der Reaktionsfähigkeit von zentraler Bedeutung sei: Dabei gehe es darum, geschulte Personen zur richtigen Zeit am richtigen Ort zu haben, welche die Kontrolle über die Situation übernehmen. Ziel sei es, Zusammenarbeit, Kontext und Kontrolle in einen flüssigen Prozess zusammenzuführen. In der Praxis könnte dies bedeuten, dass ein einziges Team von Cyber-Kriminologen, Ersthelfern, Administratoren und anderen Mitarbeitern zusammenarbeitet, um potenzielle Bedrohungen aktiv zu identifizieren und zu beseitigen, noch bevor sie eskalieren.
„Wenn Unternehmen über Werkzeuge und Techniken verfügen, um Angriffe schnell zu erkennen, einzudämmen und zu vereiteln, gewinnen sie Zeit und die Möglichkeit, eine genaue Vorstellung davon zu bekommen, wie Angreifer Schwachstellen ausnutzen und wie sie sich durch das Unternehmensnetzwerk bewegen. Diese Werkzeuge und Techniken müssen ausgereift genug sein, damit Angreifer nicht merken, dass man sie bereits aufgespürt hat, um sie dann mit einem einzigen konzertierten Stoß zu exmittieren“, erläutert Orchard. Es sei wichtig, diese Werkzeuge und Techniken in die Hände der richtigen Teams zu geben, damit sie auch funktionieren.

Rund um die Uhr Dienste zur Bedrohungsüberwachung, Erkennung und Reaktion

Laut dem Bericht „Answers to Questions About 3 Emerging Security Technologies for Midsize Enterprises“ von Gartner geht es bei MDR (Managed Detection and Response) darum, „geschultes Personal zu mieten“, um unentdeckte Vorfälle zu erkennen. Insbesondere dann, wenn Unternehmen das entsprechende Know-how nicht in eigenes Personal investieren könnten. Es gehe außerdem darum, genau die zehn Prozent der Vorfälle aufzuspüren, welche die traditionelle Firewall und den Endpoint-Schutz umgehen.
MDR-Lösungen böten in der Regel rund um die Uhr Dienste zur Bedrohungsüberwachung, Erkennung und Reaktion, die Analysen und Bedrohungsinformationen wirksam einsetzten, um Unternehmen zu schützen. Im Allgemeinen setzten MDR-Anbieter Sensoren (z.B. einen Endpoint-Agenten oder eine Netzwerksonde) ein, um Metadaten von den Systemen eines Kunden zu sammeln. Diese Metadaten würden dann auf Angriffsanzeichen hin analysiert und der Kunde werde benachrichtigt, sobald ein potenzieller Vorfall erkannt wird.

Den Gegner stoppen, eindämmen und ausschließen können

Nachdem ein Vorfall erkannt wurde, sollen Kunden entweder selbst reagieren oder externe Experten und Ansätze für „Incident Response“ einbringen. Das könne die Forensik an Ort und Stelle, Fernuntersuchungen sowie eine Beratung über eine mögliche, orchestrierte, technische Reaktion beinhalten.
Die „Reaktion“ als kontinuierliche Aktivität bedeutet demnach, dass Team-Mitglieder in ständiger Kommunikation und Zusammenarbeit miteinander stehen und in der Lage sind, verdächtige Ereignisse zu diskutieren, die überall in ihrer Infrastruktur geschehen. Effektive MDR-Lösungen könnten diesen Prozess erleichtern und den Verteidigern den Vorteil geben, dass sie einen Gegner stoppen, eindämmen und bestenfalls ausschließen könnten. „Unabhängig davon, ob es sich um eine Inhouse-Lösung oder ein Outsourcing handelt, ist eine ausgewogene MDR-Lösung entscheidend. Ich denke, dass unser Ansatz die Essenz einer kontinuierlichen Reaktion ist. Wir bereiten unsere Kunden darauf vor, dass Vorfälle bereits stattgefunden haben, und helfen ihnen dann, diese Bedrohungen zu finden“, erläutert Orchard. Gerade dies ermögliche es Verteidigern, Angreifer beim ersten Versuch schnell zu isolieren und „dementsprechend zu verhindern, dass diese Gegner ihren Angriff wiederholen“.

Weitere Informationen zum Thema:

datensicherheit.de, 25.09.2018
Studie: Einstellungen von Führungskräften zu den größten Cyberbedrohungen

datensicherheit.de, 19.10.2016
Berechtigungen: Interne Bedrohungen im Fokus