Folgende Schlüsse wurden dabei gezogen:
BoT – Botnet of Things 2
In den letzten Jahren wurde viel darüber geschrieben, wie sich das Internet der Dinge in unserem Alltag ausbreitet und welche Auswirkungen dies auf unser tägliches Leben hat. Durch immer kleinere Platinen und einen immer geringeren Energieverbrauch gibt es mittlerweile kaum noch Dinge, die sich nicht mit dem heimischen WiFi oder per Bluetooth verbinden lassen.
Doch wo einige nur Fortschritte sehen, sehen andere auch Rückschritte. Denn dadurch, dass wir alle möglichen Dinge ohne Nachdenken mit dem Internet verbinden, werden diese auch angreifbar. Das IoT schreit quasi: „Hey, ich bin ein kleiner Computer mit einer ausgezeichneten Anbindung an das Internet“ und für böswillige Akteure bedeutet dies: „Juhu, leichte Beute!“.
Die Sicherheit von Betriebssystemen für PCs hat bereits einen qualvollen Prozess der Evolution durchlaufen, und es ist tatsächlich schwieriger denn je, einen PC mit einem modernen Betriebssystem von einem entfernten Standort aus zu kompromittieren. Embedded-Geräte hingegen haben diese Evolutionsstufe noch nicht erreicht.
Von festgelegten Standardanmeldeinformationen, über öffentlich zugängliche Konfigurationsbereiche und einfache Schwachstellen bis hin zu einem nicht vorhandenen Patch-Management – das Internet der Dinge ist für Cyber-Kriminelle leichte Beute. Selbst sicherheitsorientierte Geräte wie CCTVs haben sich als unsicher herausgestellt.
Angreifer können die zahlreichen weichen Ziele in vielerlei Hinsicht für ihre Schandtaten nutzen, z.B. durch Malware, die an DDoS-Attacken beteiligt ist und Spam verbreitet, um Proxies laufen zu lassen, andere Computern zu scannen, oder im schlimmsten Fall – als Hebelpunkt nutzen, um alle anderen Geräte im lokalen Netzwerk zu kompromittieren.
Ohne eine ernsthafte Veränderung unseres allgemeinen Sicherheitsbewusstseins ist es nur eine Frage der Zeit, bis wir erste Opfer von Zombie-Toastern und Mikrowellen zu beklagen haben.
Wachsende Bedrohung durch »Insider«
Ein Bewusstsein darüber, dass die eigne Cybersicherheit von außen bedroht werden kann, ist mittlerweile allgemein vorhanden und es gibt viele Produkte und Lösungen auf dem Markt, die in der Lage sind, derart bösartige, externe Aktivitäten und Agenten zu eliminieren. Gleichzeitig sind sich die wenigsten darüber bewusst, welche Bedrohungen im Inneren ihres Unternehmens lauern. Obwohl der bösartige oder schlichtweg sorglose Umgang mit internen Daten zunimmt, halten Unternehmen hinsichtlich ihrer Cybersicherheit oft lediglich ihren Status-quo.
Vielleicht auch, weil es seit der Affäre um Edward Snowden keine hochkarätige Datenpanne mehr gab. Nichtsdestotrotz wird es aller Voraussicht nach im Jahr 2016 zu mehr Datenmissbrauch durch Insider kommen. Der Grund liegt auf der Hand: Insider haben einen privilegierten Zugang zu Daten und Datenbanken und sind auch heute noch weitgehend unkontrolliert. Die Verschlüsselung von Daten und deren Transport schützt jedoch nicht vor internen Bedrohungen. In der Cloud gespeicherte Daten sind mehr denn je von Insidern bedroht, da hinsichtlich der IT-Sicherheit und Kontrollen weiterhin ein enormer Aufholbedarf besteht.
Während es unmöglich ist, das Risiko eines internen Datenmissbrauchs vollständig zu eliminieren, kann die Angriffsfläche und die Zeit, Angriffe zu erkennen, durch eine Überwachung von Datenzugriffen und Lösungen, die auf Verhaltensanalysen basieren, deutlich reduziert werden.
Cyberangriffe auf große Infrastrukturen
Cyber-Angriffe werden immer raffinierter, häufiger und zerstörerischer und dennoch werden kritische Infrastrukturen oftmals nicht ausreichend geschützt, um solche Angriffe zu vereiteln. Einige Infrastrukturen, wie beispielsweise Stromnetze, können sich durch die Redundanz in der Verteilung und Übertragung wahrscheinlich relativ schnell von einem Angriff erholen. Aber die Wasser- und Erdgasversorgung oder Transport- und Kommunikationsnetzwerke können stark unter derart lähmenden Angriffen leiden. ICS/SCADA-Protokolle mit schlechter bis gar keiner Authentifizierung, Kontrollsysteme mit einem dringenden Bedarf nach Patching, Mangel an Firewalls die nicht SCADA-fähig sind, rückläufige Beschäftigungszahlen im Bereich Cybersicherheit und mangelnde Ausbildung weiten die Kluft zwischen Wunsch und Wirklichkeit und sorgen für eine hohe Anfälligkeit kritischer Infrastrukturen.
Die U.S. Cyber Command gibt $ 460 Million für Cyber-Waffen aus, die möglicherweise Verluste bringen könnten. Die primären Ziele für Cyber-Waffen sind Industrie-Steuerungen. Stuxnet beispielsweise war die erste erfolgreiche Anwendung einer Malware gegen Atomanlagen im Iran. Es ist aber nur eine Frage der Zeit, bis die Terroristen ihre eigenen Cyber-Waffen bauen.
Bislang scheint das Glück auf unserer Seite zu sein, denn wir wurden noch mit keinen ernsthaften Angriffen auf SCADA/ICS konfrontiert. Mit Hinblick auf das Ausmaß eines möglichen Schadens hoffen wir inständig, dass die Vorhersage eines Cyberangriffes auf große Infrastrukturen nicht wahr wird!
Unternehmen werden auf den Prüfstand gestellt
Großunternehmen werden Cyber-Security-Audits von Drittfirmen und Vertragspartner durchzusetzen. Eine gezielte Datenschutzverletzung passierte beispielsweise aufgrund eines kompromittierten HVAC Auftragnehmers. Eine weitere Datenpanne bei Anthem erfolgte durch ein kleineres Versicherungsunternehmen, das Anthem gerade erworben hatte. Bei JP Morgan war es nicht anders, auch dort gelang Hackern der Zugriff über ein Drittunternehmen. Jedes dieser Unternehmen hatte theoretisch gut definierte Richtlinien für die Infrastruktur, die sie direkt verwaltet, ihre Schwachstelle waren jedoch Fremdfirmen mit privilegiertem Zugang.
2016 ist das Jahr, in dem Großunternehmen von ihren angegliederten Unternehmen einen Nachweis darüber fordern werden, dass ihre Cybersicherheit mindestens auf Augenhöhe mit den Sicherheitsstandards des jeweiligen Großunternehmens ist. Ein derivativer Effekt wird die Erhöhung der Haftung/Haftpflicht und damit auch der Vertragslaufzeiten von Cyber-Versicherungen sein. Ähnlich wie hohe Feuerversicherungsprämien zu einer Verbesserung der Bauvorschriften und letztlich sichereren Gebäuden führten, wird der Bedarf nach einem höheren Cyber-Versicherungsschutz für Drittunternehmen auch zu einer besseren Cybersicherheit führen.
Subversion von Free SSL-Zertifikate für Malware
Bei der Handhabung von SSL-Zertifikaten erleben wir aktuell eine kleine Revolution, denn neue Zertifizierungsstellen geben kostenlose SSL-Zertifikate aus. »Let’s Encrypt« ist solch eine kostenlose, offene Zertifizierungsstelle, die SSL-Zertifikate automatisiert ausstellt. Man-in-the-Middle-Angriffe haben Erfolg, indem sie die Kommunikation anhand gestohlener/missbräuchlicher Zertifikate manipulieren. Ein kostenloses Zertifikat von einer Zertifizierungsstelle würde die Barriere für die Ausführung eines MITM-Angriffs deutlich erhöhen. Als ein vertrauenswürdiger Anbieter angezeigt zu werden und ein digitales Zertifikat zur Kennzeichnung von bösartigem Code zu verwenden, verringert für Malware die Chance unentdeckt zu bleiben.
Die Einführung von HTTP/2 (das HTTPS für alle gängigen Plattformen benötigt) beschleunigt auch die Einführung von kostenlosen SSL-Zertifikaten. Die Verschlüsselung trägt dabei zwar zu einer verbesserten Sicherheit bei, jedoch wird es auch hier möglich sein, durch Spoofing und Missbrauch das Vertrauen in das Modell zu erschüttern. Das Problem liegt in der Prämisse, die HTTPS derzeit für die Sicherheit bietet, sowohl für Endanwender als auch Sicherheitslösungen.
Realität ist, dass die meisten von ihnen nicht zwischen regulären Certs und EVs unterscheiden, so dass ein grünes Schloss in der Adressleiste bedeutet, dass eine Website sicher ist. Das Registrieren einer gefälschten Domain wie 1mperva.com ermöglicht eine bessere Angriffsfläche und aufwendige Phishing-Kampagnen. Kompromittierte HTTPS-Sites, die Malware-Host/Phishing-Seiten betreiben, werden für lange Zeit in allen Browserkontrollen unentdeckt bleiben.
Security-Lösungen insbesondere Proxies müssen mehr verschlüsselten Datenverkehr untersuchen und alle HTTPS-Ströme entschlüsseln, was gravierende Auswirkungen auf die Leistung haben und die Komplexität des Setups exponentiell erhöhen wird.