2023/8 | Fachbeitrag | IT-Sicherheit / Datenschutz

Cybersicherheit: Gute Daten helfen viel

Steigende Datenmengen sind Fluch und Segen zugleich. Einerseits bieten sie Zugang zu einzigartigen Insights, andererseits müssen sie dafür zunächst gesammelt, gespeichert und ausgewertet werden. Aber auch für die IT-Sicherheit spielen Daten eine wichtige Rolle - und überraschenderweise gelten Daten unter diesem Blickwinklel nicht als Problem. Im Gegenteil! Zur Abwehr von IT-Gefahren können Sie gar nicht genug Daten haben - zumindest dann, wenn es sich um sogenannte nützliche Daten handelt. Doch welche Daten und Metriken sind dafür auf Nutzer-, Endpunkt- und Netzwerkebene besonders wertvoll?

Bildquelle: (C) Gerd Altmann / Pixabay

Um die IT eines Unternehmens effektiv zu schützen, müssen Cybersicherheitsteams und Security Operations Center (SOC) diese genau überwachen - dafür benötigen sie Daten und Metriken. EDR (Endpoint Detection and Response)-Tools und SIEM (Security Information and Event Management)-Plattformen versorgen Cybersecurity-Experten mit sicherheitsrelevanten Informationen von der Endpunktebene bis hin zur Nutzer- und Netzwerkebene. MXDR-Experte Ontinue nennt exemplarisch essenzielle Metriken der jeweiligen Sicherheitsebene, die Unternehmen in jedem Fall im Auge behalten müssen.

1. Nutzerebene?

Auf Nutzerebene stellt die User-ID den verlockendsten und zugleich einfachsten Einstiegspunkt für Attacken dar. Phishing ist daher eine der größten Gefahren für die IT-Sicherheit. Durch täuschend echt aussehende, aber gefälschte E-Mails und Webseiten verführen Cyberkriminelle Nutzer dazu, sensible Informationen wie ihre Login-Daten preiszugeben. Um herauszufinden, ob sie erfolgreich waren, benötigen Sicherheitsexperten die IP-Adressen der User - und zwar bei jedem Login. Aus ihnen können sie herauslesen, ob sich der Nutzer an einem ungewöhnlichen Standpunkt aufhält oder einen nicht genehmigten Proxy verwendet. Die meisten Unternehmen führen zudem eine Blacklist für IPs, die sie Hackern und anderen Cyberkriminellen zuordnen können. Sicherheitsexperten benötigen außerdem Daten dazu, ob User eine Multi-Faktor-Authentifizierung (MFA) erfolgreich durchgeführt haben. Ist MFA nicht aktiv und findet ein erfolgreicher Login von einer auffälligen IP-Adresse statt, muss der Benutzer schnellstmöglich blockiert werden. Falls alles außer der IP-Adresse gut aussieht und MFA aktiv ist, sollten IT-Abteilungen auf Endpunkt- oder Netzwerkebene den Grund dafür suchen - möglicherweise haben Cyberkriminelle einen anderen Weg auf das Gerät gefunden.

Auch Daten dazu, ob es Login-Fehlversuche gab, helfen: Eine Vielzahl erfolgloser Login-Versuche deutet auf eine Brute-Force-Attacke hin, bei der Hacker eine Reihe von Passwörtern via Bot ausprobiert haben. Überdies sollten Unternehmen auch Geräteinformationen beim Login tracken: Loggt sich der User immer mit einem Windows-Gerät ein, ist ein Login über MacOS bereits verdächtig.

2. Endpunktebene?

Auf Endpunktebene sind EDR-Tools die besten Verbündeten für Cybersicherheitsteams. Sie erstellen eine Reihe von Tabellen, die sie an die SIEM-Plattform weiterleiten. Darin enthalten sind Daten zu bestimmten Vorgängen auf dem Endgerät, also Events. Diese Informationen sind für sich genommen bereits sehr wertvoll, EDR-Tools und SIEM-Plattformen sind allerdings in der Lage, sie zu korrelieren. Dadurch ermöglichen sie eine frühe Erkennung von Gefahren und bieten einen noch tieferen Einblick. Zu den klassischen Events, die ein EDR-Tool loggt, gehören zum Beispiel Datei-Ereignisse, die anzeigen, ob und wann auf einem Endgerät Dateien geöffnet, gelöscht, verändert, verschoben, geschlossen oder verschickt wurden. Auch wie sich Prozesse verhalten, welche Unter-Prozesse sie öffnen, auf welche Daten, IP-Adressen oder Kommandos sie zugreifen, liefert wertvolle Informationen. Wichtig für Security-Experten sind auch Log-on-Events, also Informationen darüber, welche Benutzer-IDs sich mit welchen Daten wann auf dem Endgerät angemeldet haben und ob der Log-on lokal oder remote über ein Netzwerk passierte. Ob Anwendungen ohne gültiges Zertifikat auf Dateien zugreifen, sollte das Tool der Wahl überdies ebenso aufzeichnen wie Registry-Änderungen. EDR-Tools und SIEM-Plattformen analysieren diese Events und Prozesse nach bestimmten Mustern, die auf einen Cyberangriff hinweisen, und geben Warnungen aus. Auch das manuelle Threat Hunting erleichtern diese Tools, da sie alle nötigen Daten vorhalten.

3. Netzwerkebene?

Auf der Netzwerkebene gibt es oft historisch gewachsene Netzwerkumgebungen, die Unternehmen überwachen müssen, viele davon im Bereich der Operational Technology. Für diese, von Benutzer- und Endpunktebene aus nicht sichtbaren Segmente, installieren Unternehmen idealerweise Sensoren, die die Netzwerkkommunikation aufzeichnen und die Definition einer Baseline erlauben. Findet eine kommunikative Abweichung von der Baseline statt, schlägt das System Alarm. Auch Indizien für Malware-Verbreitung sowie auffällige Zugriffe auf interne oder externe Systeme sollten Warnungen auslösen. Da solche Netzwerke in der Regel viele Fremdkomponenten enthalten, die Unternehmen nicht oder nur teilweise verwalten, ist es umso wichtiger, die Alarme von der Netzwerkebene mit zusätzlichen Log-Daten von verwalteten Endpunkten und Perimetern zu korrelieren: Dieser Vorgang gibt den Sicherheitsexperten genaue Hinweise, was passiert ist, und ermöglicht es ihnen, betroffene Systeme zu blockieren.

"Es reicht bei weitem nicht mehr, nur das Netzwerk zu überwachen - die meisten Angriffe sind initial nämlich auf Nutzer- und Endpunktebene zu entdecken", erklärt Jochen Koehler, VP EMEA Sales bei Ontinue. "Daher sollten Unternehmen EDR- und SIEM-Tools einsetzen, um möglichst viele Daten von verschiedenen potenziellen Angriffsebenen zu sammeln. Deren Analyse kann IT-Abteilungen jedoch schnell überlasten, sodass Hacker leichtes Spiel haben. MXDR-Anbieter helfen in diesem Fall, datenbasierte Sicherheitsmaßnahmen durchzusetzen. Sie stellen Unternehmen ein vollständiges und maßgeschneidertes Security Operations Center als Service zur Verfügung, das die internen Experten beim Schutz der IT-Infrastruktur unterstützt."



?Der Autor:

Jochen Koehler ist VP EMEA Sales bei Ontinue, einem Experten für Managed Extended Detection and Response (MXDR) mit Hauptsitz in Zürich. Um die IT-Umgebungen seiner Kunden durchgehend zu schützen, ihren Sicherheitsstatus zu bewerten und kontinuierlich zu verbessern, kombiniert Ontinue KI-gesteuerte Automatisierung undvmenschliches Fachwissen mit dem Microsoft-Sicherheits-Produktportfolio.

(Bildquelle: privat)?

Web: www.ontinue.com

Diese Artikel könnten Sie auch interessieren

Sechs Fehler, die KI-Projekte schon in der Anfangsphase zum Scheitern bringen

Der Erfolg von KI-Projekten hängt ganz entscheidend davon ab, dass Unternehmen bereits im Vorfeld genau klären, welche Probleme sie mit Daten und KI lösen wollen, und konkrete Projektziele definieren. Dies ist notwendig, damit die Projektausrichtung stimmt und keine falschen Erwartungen geweckt werden, denn spätere Kurskorrekturen kosten viel Zeit und Geld. Doch auch direkt im Anschluss, wenn die Projek...

Weiterlesen

Agent oder Agentic: KI-Agenten etablieren sich

Der Hype rund um Agentic AI ist riesig – und berechtigt. Denn wir haben es mit nicht weniger als einer neuen Qualität Künstlicher Intelligenz zu tun. Mit Agentic AI verliert KI zunehmend ihren Werkzeugcharakter und entwickelt sich vielmehr zu einem eigenständig agierenden System. Wie weit Agentic AI bereits praktisch gediehen ist, zeigen ihre verschiedenen Ausprägungen und Varianten. Eines der wichti...

Weiterlesen

How-to-Anleitung: Chatbots im Personalbereich einsetzen

WISSENplus
KI treibt in einer zunehmenden Vielfalt von Unternehmensbereichen erstaunliche Qualitäts- und Effizienzsteigerungen voran. Gerade auch Chatbots erweisen sich dabei oft als eine immer stärker infrage kommende Option in der Optimierung und Automatisierung von Prozessen. Der Einsatz dieser digitalen Assistenten bietet auch im HR-Bereich zahlreiche Vorteile: Als "Ansprechpartner", die 24/7 die...

Weiterlesen

Wie strukturiert ist Ihre Wissensarbeit?

Wussten Sie, dass nur 33 Prozent der deutschen Unternehmen mit einer "guten digitalen Gesundheit" ins Jahr 2025 gestartet sind? Das ist das Ergebnis der aktuellen Digital Health Studie von Zoho. Gemeint ist damit die digitale Reife von Organisationen - angefangen bei smarten Arbeitsprozessen über die strukturierte Datenhaltung bis hin zum strategischen Technologieeinsatz. Die Studie zeigt: Wer he...

Weiterlesen

Digitale Zwillinge: Effizient, nachhaltig, ESG-konform

WISSENplus
Zu den Kernthemen fast aller Unternehmen gehört derzeit die Nachhaltigkeit - gerade im Hinblick auf die erforderliche Umsetzung von ESG-Programmen. Ein effizientes Hilfsmittel sind dabei Digitale Zwillinge. Sie können die Etablierung nachhaltiger Prozesse unterstützen und damit den ökologischen Fußabdruck eines Unternehmens entscheidend verringern....

Weiterlesen

Digitale Dokumentenprozesse in der Fertigungsindustrie

WISSENplus
Ein effizientes Dokumentenmanagement und digitale Signaturprozesse sind entscheidend für Präzision, Sicherheit und Compliance in der Fertigungsindustrie. Angesichts der Herausforderungen, die mit der Verwaltung großer Dokumentenmengen einhergehen, gewinnen Werkzeuge zur digitalen Dokumentenbearbeitung und elektronischen Signatur zunehmend an Bedeutung. Sie ermöglichen eine schlanke Gestaltung von ...

Weiterlesen

Sechs Bausteine zur KI-Readiness: Künstliche Intelligenz lebt von hochwertigen Daten und intelligenter Planung

Künstliche Intelligenz hat sich in den letzten Jahren zu einem der einflussreichsten Werkzeuge der Digitalisierung entwickelt. Sie ermöglicht es Unternehmen, Erkenntnisse aus riesigen Datenmengen zu gewinnen, Prozesse zu automatisieren und fundierte Entscheidungen in Echtzeit zu treffen. Doch bei allem Potenzial hängt der Erfolg von KI-Systemen von mehreren entscheidenden Faktoren ab, allen voran von der...

Weiterlesen

Wissen vernetzen, Räume gestalten: Digitale Bauplanung mit BIM als Wettbewerbsvorteil für Unternehmen

WISSENplus
Die Anforderungen an moderne Arbeitsumgebungen wandeln sich rasant: Flexibilität, Kosteneffizienz und Nachhaltigkeit sind für Unternehmen essenziell, um langfristig wettbewerbsfähig zu bleiben. Gleichzeitig wünschen sich Mitarbeitende inspirierende, funktionale und gesundheitsfördernde Arbeitsräume. Doch wie lassen sich diese Faktoren in Bauprojekten am besten vereinen? Die Antwort liegt unter an...

Weiterlesen