Mehr als die Hälfte (53,6 Prozent) der Cyberangriffe im Jahr 2021 begannen mit internetbezogenen Anwendungen. Darüber hinaus waren kompromittierte Konten und bösartige E-Mails als anfängliche Angriffsvektoren verantwortlich. Verschlüsselte Daten sind die häufigste Folge erfolgreicher Angriffe.
Diese Ergebnisse stammen aus dem neuesten Analysebericht von Kaspersky zur Reaktion auf Vorfälle.
Analyse der anfänglichen Angriffsvektoren
Cyberkriminelle verwenden normalerweise leicht identifizierbare Sicherheitsprobleme, wie öffentliche Server mit bekannten Schwachstellen, schlechten Passwörtern oder kompromittierten Konten, um ihre Angriffe zu starten. Die Initialvektoren, mit denen Angreifer erstmals in das Netzwerk eines Unternehmens eindringen, haben in den letzten Jahren zu einer steigenden Zahl schwerer Cybersecurity-Vorfälle geführt.
Die Analyse anonymisierter Daten aus weltweiten Incident-Response-Fällen, die vom Global Emergency Response Team (GERT) von Kaspersky bearbeitet werden, zeigt, dass Cyberkriminelle im Jahr 2021 am häufigsten auf öffentliche Anwendungen abzielen, auf die sowohl über das interne Netzwerk als auch über das Internet zugegriffen werden kann. Der Anteil dieser Methode stieg von 31,5 Prozent im Jahr 2020 auf 53,6 Prozent im nächsten Jahr. Damit verbunden war ein Rückgang bei der Nutzung kompromittierter Konten (von 31,6 Prozent auf 17,9 Prozent) und schädlicher E-Mails (von 23,7 Prozent auf 14,3 Prozent). Diese Änderung hängt wahrscheinlich mit Schwachstellen zusammen, die letztes Jahr in Microsoft Exchange-Servern entdeckt wurden. Dies liegt daran, dass die Popularität dieses E-Mail-Dienstes sowie die öffentliche Verfügbarkeit von Exploits für diese Schwachstellen zu einer großen Anzahl solcher Vorfälle geführt haben.
Bild: Erste Angriffsvektoren von 2019 bis 2021
Verschlüsselte Daten sind die häufigste Folge eines erfolgreichen Angriffs
Im Falle eines erfolgreichen Angriffs haben Unternehmen vor allem mit verschlüsselten Dateien zu kämpfen – eine der häufigsten Arten von Ransomware, die Unternehmen den Zugriff auf ihre Daten verweigert. Sie sind das dritte Jahr in Folge das Hauptproblem. Darüber hinaus ist die Zahl der Unternehmen, die in ihrem Netzwerk auf Verschlüsselungssoftware stoßen, deutlich gestiegen (von 34 Prozent im Jahr 2019 auf 51,9 Prozent im Jahr 2021).
Darüber hinaus verbrachten Angreifer fast zwei Drittel der Zeit (62,5 Prozent) mehr als einen Monat im Netzwerk, bevor sie die Daten verschlüsselten. Cyberkriminelle bleiben in der Infrastruktur unbemerkt, da Betriebssystemtools, bekannte Angriffstools und die Verwendung kommerzieller Frameworks an 40 Prozent aller Vorfälle beteiligt sind. Nach der ersten Netzwerkdurchdringung verwenden diese legitimen Tools sie für verschiedene Zwecke:
- PowerShell zum Sammeln von Daten
- Mimikatz, um Berechtigungen zu eskalieren
- PsExec für die Remote-Befehlsausführung
- Frames wie Cobalt Strike für alle Angriffsphasen
„Unsere Analyse zeigt, dass allein eine angemessene Patch-Management-Richtlinie die Wahrscheinlichkeit eines erfolgreichen Angriffs um 50 Prozent reduzieren kann“, sagt Kai Schuricht, Senior Incident Response Specialist bei Kaspersky. „Das zeigt einmal mehr, wie wichtig grundlegende Cyber-Sicherheitsmaßnahmen sind – auch wenn sie keinen kompromisslosen Schutz gewährleisten können.“ Da Angreifer eine Vielzahl von böswilligen Methoden verwenden, ist der beste Weg, sich zu schützen, die Verwendung von Tools und Ansätzen, die gegnerische Aktionen in verschiedenen Phasen des Angriffs erkennen und blockieren können.
Empfehlungen zur Minimierung der Auswirkungen eines Angriffs
- Sichern Sie regelmäßig alle Daten, damit im Falle eines Ransomware-Angriffs darauf zugegriffen werden kann.
- Verwenden Sie Lösungen wie das Kaspersky Anti Ransomware Tool, das alle Datenverschlüsselungsversuche blockieren kann.
- Arbeiten Sie mit einem vertrauenswürdigen Partner für die Reaktion auf Vorfälle zusammen, um Vorfälle mit schnellen Service Level Agreements (SLAs) zu verwalten.
- Schulen Sie das Incident-Response-Team kontinuierlich, um sein Fachwissen auf dem neuesten Stand zu halten.
- Setzen Sie strenge Sicherheitsrichtlinien für Anwendungen durch, die personenbezogene Daten enthalten.
- Verwenden Sie Threat Intelligence, um mehr über Angreifer zu erfahren, die auf Ihre Branche und Region abzielen, um die Entwicklung von Sicherheitsoperationen zu priorisieren.
- Kombinieren Sie eine Endpoint Detection and Response-Lösung mit einem Managed Detection and Response Service, um Angriffe schnell zu erkennen und darauf zu reagieren.
Weitere Ergebnisse aus dem Analysebericht zur Reaktion auf Vorfälle von Kaspersky sind hier verfügbar.
www.kaspersky.de
Add Comment