[datensicherheit.de, 02.10.2024] Das IT-Sicherheitsnetzwerk Berlin-Brandenburg, vertreten durch it’s.BB e.V., lädt zur „Awareness“-Veranstaltung mit dem Schwerpunkt „Incident Response“ in Industrie-Unternehmen ein. Ransomware-Angriffe nehmen offensichtlich weiter zu – und jedes Unternehmen sollte sich vor Cyber-Angriffen schützen. Das Web-Seminar wird wieder in Zusammenarbeit mit der IHK Berlin organisiert.

Abbildung: it’s.BB e.V.

Der it’s.BB e.V. lädt zur „Awareness“-Veranstaltung mit dem Schwerpunkt „Incident Response“ in Industrie-Unternehmen

Aktuelle Gefahren in Industrie-Unternehmen sowie priorisierte Maßnahmen

Konkret stellt sich angesichts der Bedrohung die Frage, was die Unternehmen konkret tun können – so könnten sie sich präventiv auf diesen Fall vorbereiten und auf Experten hören, aber dies ist mit finanziellem Aufwand verbunden…

Die Erfahrung zeige nun leider, „dass viele Menschen erst einmal in den Brunnen fallen müssen, um Änderungen voranzubringen“. Dieses Web-Seminar soll laut it’s.BB ein kurzer Ausflug in das „Neuland“ der IT- und OT-Security sein, um aktuelle Gefahren in Industrie-Unternehmen sowie priorisierte Maßnahmen aufzuzeigen und die Gefahr zumindest etwas zu bannen.

Web-Seminar zur „Incident Response“ in Industrie-Unternehmen

Web-Seminar am Mittwoch, dem 16. Oktober 2024,
16.00 bis 17.00 Uhr via „MS Teams“-Plattform
Teilnahme kostenlos, Anmeldung erforderlich (s.u.).

Agenda (ohne Gewähr)

16.00-16.10 Uhr Begrüßung
– Daniel Jedecke, Senior Expert HiSolutions AG
– Anna Borodenko, IHK Berlin

16.10-16.45 Uhr
• „Aktuelles Lagebild“
• „Was ist ,IT und OT’?“
• „Was passiert bei einem Cyber-Angriff?“
• „Maßnahmen gegen Cyber-Angriffe“
• „Was sollte priorisiert werden?“
– Daniel Jedecke, Senior Expert HiSolutions AG

16.45-17.00 Fragen / Diskussion / Abschluss

Weitere Informationen zum Thema und Anmeldung:

eventbrite
Mittwoch, 16. Oktober / it’s.BB-Awareness: Incident Response in Industrie-Unternehmen

Von unserem Gastautor Kevin Bocek, VP Security Strategy & Threat Intelligence bei Venafi

[datensicherheit.de, 01.07.2019] Risiken von Maschinenidentitäten (digitale Zertifikate und kryptographische Schlüssel) sind nicht immer kritisch. IT-Verantwortliche müssen jedoch verstehen, wie wichtig sie für die IT-Sicherheitslage des Unternehmens sind. Aus diesem Grund wurde eine Liste zusammengestellt mit fünf wichtigen Risiken, an denen sich die Verantwortlichen abarbeiten können:

1. Zertifikatsbedingte Ausfälle
   Wenn Zertifikate ausgestellt werden, wird ihnen ein Verfallsdatum zugewiesen. Wenn ein Zertifikat nicht vor Ablauf ersetzt wird, kann es einen zertifikatsbedingten Ausfall auf dem von ihm unterstützten System auslösen. Dieser ungeplante Ausfall und die damit verbundenen Ausfallzeiten dauern an, bis ein neues Zertifikat ausgestellt und installiert wird. Ohne die richtige Intelligenz, wie z.B. zu wissen, wo genau ein Zertifikat installiert ist und wer dieses System besitzt, sind zertifikatsbedingte Ausfälle bekanntlich schwer zu diagnostizieren.
2. Sicherheitsverstöße
   Die meisten Sicherheitskontrollen vertrauen auf digitale Kommunikation, die über Maschinenidentitäten authentifiziert wird. Aber wenn die kryptographischen Schlüssel und digitalen Zertifikate kompromittiert oder gefälscht werden, können Cyberkriminelle sie nutzen, um legitim zu erscheinen. Sie können dann unter anderem Sicherheitskontrollen umgehen. Cyberkriminelle verwenden auch gestohlene Maschinenidentitäten, um privilegierten Zugriff auf kritische Systeme zu erhalten, damit sie tiefer in das Unternehmensnetzwerk eindringen und über einen längeren Zeitraum versteckt bleiben können.
3. Langsame Incident Response
   Je länger eine Sicherheitsbedrohung, ein Ausfall oder eine Sicherheitsverletzung andauert, desto größer ist das Potenzial für schwere Schäden. Wenn beispielsweise eine Zertifizierungsstelle (CAs) kompromittiert wurde, könnten die Verantwortlichen wirklich schnell genug alle und zwar wirklich alle Zertifikate dieser Zertifizierungsstelle ersetzen? Andere große Sicherheitsereignisse, die eine rechtzeitige Reaktion erfordern, sind die Entdeckung einer Maschinenidentität unter Verwendung eines verwundbaren Algorithmus wie SHA-1, die Ausnutzung eines kryptographischen Bibliotheksfehlers wie Heartbleed oder wenn ein führender Browser-Anbieter entscheidet, Zertifikaten dieser kompromittierten CA nicht mehr zu vertrauen. Wenn Unternehmen auf jede Art von Ereignis reagieren müssen, das sich auf die Maschinenidentität auswirkt, ist die Zeit der Reaktion zum Erhalt der IT-Sicherheit entscheidend.
4. Operative Unzulänglichkeiten
   Unternehmen verbringen in der Regel durchschnittlich vier Stunden pro Jahr damit, jedes digitale Zertifikat zu verwalten, das als Maschinenidentität dient. Bei Tausenden oder sogar Hunderttausenden von Maschinenidentitäten kann sich der daraus resultierende Aufwand schnell summieren. Die Verwaltung von Maschinenidentitäten kann durch andere Faktoren erschwert werden, wie z.B. durch Administratoren, die mit Zertifikaten oder Trust Centern nicht vertraut sind. Und wenn Ihre Maschinenidentitäts-Operationen nicht reibungslos ablaufen – was in den meisten Unternehmen der Fall ist -, kann der Zeitaufwand schnell ansteigen, insbesondere wenn es zu einem Ausfall oder einer Verletzung kommt.
5. Negative Audit-Ergebnisse
   Maschinenidentitäten unterliegen zunehmend den Richtlinien und Vorschriften von Unternehmen, Behörden oder Branchenvorgaben. Darunter befinden sich mehrere Standards, die sich speziell auf die Verwaltung und Sicherheit von kryptografischen Schlüsseln und Zertifikaten konzentrieren. Da die meisten Unternehmen keine Lösung zum Schutz der Maschinenidentität nutzen, ist es nicht ungewöhnlich, dass Auditoren feststellen, dass ein Unternehmen nicht in der Lage ist, Maschinenidentitäten zu überwachen, Richtlinien durchzusetzen oder eine effektive Verwaltung aufrechtzuerhalten. Das führt zu erheblichen Sicherheits- und Zuverlässigkeitsrisiken. Wenn Verantwortliche mit der Bearbeitung negativer Compliance-Findings beauftragt sind und kein Programm zum Schutz der Maschinenidentität installiert haben, stehen sie vor einem langwierigen, manuellen Projekt.

Foto: Venafi

Kevin Bocek, VP Security Strategy & Threat Intelligence bei Venafi

Fazit

Von Serviceausfällen bis hin zu Sicherheitsverletzungen können schwach verwaltete Maschinenidentitäten verheerende Auswirkungen auf Unternehmen haben. Wenn eine Maschinenidentität kompromittiert und in einem Cyberangriff verwendet wird oder einen IT-Ausfall bzw. eine Störung verursacht, können die negativen Folgen erheblich sein. Unternehmen können unter einem geschädigten Ruf, Umsatzeinbußen, kostspieligen Abhilfemaßnahmen und höheren Verwaltungskosten leiden. Dagegen schützt eine Lösung, die alle Maschinenidentitäten automatisiert an einem zentralen Ort erfasst, verwaltet und zur Not per Knopfdruck ersetzen kann, wenn einer CA das Vertrauen entzogen wird.

Weitere Informationen zum Thema:

datensicherheit.de, 07.06.2019
ForgeRock: Datendiebstähle werden für Unternehmen immer kostspieliger

datensicherheit.de, 29.03.2019
Venafi-Studie: Fast zwei Drittel der Unternehmen erlebten im vergangenen Jahr zertifikatsbedingte Ausfälle

datensicherheit.de, 31.08.2018
Venafi-Studie offenbart Nachholbedarf beim Schutz von Maschinenidentitäten

[datensicherheit.de, 25.02.2016] Check Point stellt mit dem SandBlast Agent eine Technologie für die ortsunabhängige Absicherung von Endgeräten, z.B. Laptops vor. Dahinter verbirgt sich ein Sicherheitsansatz, mit dem sich Fernzugriffe auf Netzwerke von Hot Spots in Hotels, Flughäfen und anderen Orten sowohl mit einer lokalen Installation als auch mit einem Cloud-Service absichern lässt. Nach Angaben des Herstellers verfügt die Lösung darüberhinaus über forensische Fähigkeiten um Sicherheitsvorfälle zu automatisieren und Maßnahmen im Rahmen eines  Incident Response-Managemements in die Wege zu leiten.

In einer zunehmend vernetzten Welt müssen Unternehmen ihren externen und mobilen Mitarbeitern mehr Flexibilität bieten. Dabei setzen diese eine Vielzahl von Geräten an den unterschiedlichsten Standorten ein. In vielen Organisationen jedoch werden diese Geräte nur unzureichend auf Basis traditioneller, signaturbasierter Antivirus-Agenten geschützt, die lediglich bereits bekannte Bedrohungen erkennen. Hacker setzen für die Angriffe auf Endpunktgeräte zunehmend auf raffiniertere Strategien, wie Zero-Day-Angriffe oder eine  Vierlzahl von Varianten einer Malware.

Carsten J. Pinnow (CP) für datensicherheit.de hat im Gespräch mit Andy Feit, Head of Threat Prevention Marketing bei Check Point zur neuen Technologie befragt und wollten wissen, was es mit den forensischen und automatisierten Incident Response-Fähigkeiten auf sich hat.

CP: Herr Feit, was verbirgt sich hinter dem SandBlast Agent?

Feit: Um moderne Angriffe via Spear-Phishing E-Mails, intelligente Malware auf Wechseldatenträgern sowie webbasierte Bedrohungen, wie Watering Holes erkennen und abwenden zu können, setzt SandBlast Agent den Schutz direkt am Endpunkt an. Die eingriffsfreie Implementierung mit niedrigen Overheads, die auf einem externen Sandboxing-Modell beruht, hat minimale Auswirkungen auf die lokale Leistung, sorgt aber für volle Kompatibilität mit bereits installierten Anwendungen. Einzelne Mitarbeiter können mit einer sicheren, entschärften Version gängiger Dokumentenformate arbeiten, während gleichzeitig eine gründliche Analyse der Datei erfolgt.

Bild: Check Point

Andy Feit, Head of Threat Prevention Marketing bei Check Point

CP: Incident Response ist in Zeiten zunehmender zielgerichteter Attacken ein Trend-Thema. Wie müssen wir uns die Umsetzung vorstellen?

Der SandBlast Agent erkennt verdächtige Kommunikationsaktivitäten die von infizierten Geräten erzeugt werden und blockiert Versuche Daten zu exfiltrieren. Unter anderem schützt die Technologie vor Web-Downloads, Infektionen von externen Datenträgern, E-Mail-Anhängen oder Links in E-Mails, Bewegungen von Schadcode zwischen IT-Systemen und Netzwerken. Darüber hinaus lässt sich auch Malware aufspüren, die von verschlüsselten Ressourcen stammen. Die Lösung stellt infizierte Geräte unter Quarantäne, um die Ausbreitung der Infektion einzudämmen. Hier baut der Agent auf die SandBlast Version für stationäre Clients auf, mit der sich infizierte Dateien in sichere PDF-Dateien umwandeln lassen.

CP: Wie nutzen Sie die Informationen für forensische Untersuchungen?

Die Technologie erstellt ein automatisiertes Reporting über alle aufgezeichneten Sicherheitsvorfälle. In dem Bericht steht dann unter anderem, um welche Art von Vorfall es sich handelte, wo die Infizierung erfolgt ist und wie groß der bereits infizierte Bereich ist. Es wird also der gesamte Angriffs-Lifecycle abgedeckt. Alle diese Informationen dienen dann als Ausgangslage für forensische Untersuchungen.