Perimeterbasierte Angriffe erleben ein Comeback: So bleiben Sie sicher

Wir sind es gewohnt zu hören, dass der traditionelle Netzwerkperimeter tot ist. Dass das Aufkommen von Cloud-Apps, Heimarbeit und allgegenwärtigen mobilen Geräten zu einer flexibleren, verteilteren IT-Umgebung des Unternehmens geführt hat. Das mag bis zu einem gewissen Punkt stimmen. Aber selbst wenn Mitarbeiter auf SaaS-Apps des Unternehmens zugreifen, besteht in der Regel immer noch eine Art Unternehmensnetzwerk. Und Anwendungen oder Geräte, die sich am Rand befinden.

Die Herausforderung für IT-Sicherheitsteams besteht darin, dass diese Produkte zunehmend von Cyberkriminellen angegriffen werden. Die Lage ist so besorgniserregend, dass das Nationale Zentrum für Cybersicherheit (NCSC) kürzlich Leitlinien zur Risikominderung veröffentlicht hat. Netzwerkverteidiger sollten diese unbedingt beachten.

Von damals bis heute

Wie das NCSC erklärt, ist die aktuelle Angriffsfläche für Perimeterprodukte eine Art Rückfall in die Anfänge des Internets, als Bedrohungsakteure die schlechte Perimetersicherheit ausnutzten, um Schwachstellen auszunutzen und Konten zu kapern. Dies verschaffte ihnen Zugang zu Netzwerken, die nur begrenzt überwacht werden konnten – und ermöglichte es Angreifern, über längere Zeiträume unbemerkt zu bleiben.

Letztendlich holten die Netzwerkverteidiger jedoch auf und machten es schwieriger, diese Dienste zu kompromittieren. Anschließend richteten die Bedrohungsakteure ihre Aufmerksamkeit auf unsichere Client-Software und Browser sowie Phishing-E-Mails.

Jetzt schwingt das Pendel wieder zurück. Client-Software wird zunehmend unter Berücksichtigung der Sicherheit entwickelt (denken Sie an Sandboxes, vollständige Umschreibungen und speichersichere Sprachen), und Office-Makros werden standardmäßig blockiert. Laut NCSC zwingt dies Bedrohungsakteure dazu, ihre Aufmerksamkeit wieder auf Perimeterprodukte zu richten.

Warum Perimeterangriffe ein Comeback erleben

„Da sie wissen, dass sie sich weniger auf schlechte Passwörter oder Fehlkonfigurationen verlassen können, schauen sie sich zunehmend Produkte am Netzwerkrand an (z. B. Dateiübertragungsanwendungen, Firewalls und VPNs) und entdecken neue Zero-Day-Schwachstellen in diesen Produkten. und direkt reinspazieren“, warnt das NCSC. „Sobald eine Schwachstelle bekannt ist, schließen sich andere Angreifer an, was zu einer Massenausnutzung führt.“

Diese Zero-Day-Angriffe zu finden, ist nicht so schwierig, wie es scheint – da der Code in solchen Produkten in der Regel weniger sicher ist als Client-Software, sagt die Agentur. Bei diesen perimeterbasierten Angeboten mangelt es außerdem an einer effektiven Protokollierung, im Gegensatz zu Client-Geräten, auf denen heute zunehmend „High-End“-Erkennungs- und Reaktionstools ausgeführt werden. All dies macht sie zum perfekten Ziel für Bedrohungsakteure, die in Unternehmensnetzwerke Fuß fassen wollen, um dort Daten zu stehlen, zu erpressen und mehr.

Eine warnende Geschichte: Ivanti

Die Warnungen des NCSC erfolgen inmitten einer Welle von Angriffen auf Perimeter-Produkte. Zu den bemerkenswertesten zählten mehrere Zero-Day-Exploits, die auf Ivantis VPN-Produkt Connect Secure und dessen Netzwerkzugriffskontrolllösung Policy Secure abzielten. CVE-2023-46805 und CVE-2024-21887 wurden vom Hersteller im Januar veröffentlicht . Es wird jedoch vermutet, dass ein chinesischer Angreifer diese Schwachstellen bereits über einen Monat lang ausnutzte, um Webshells auf internen und externen Webservern von Opferorganisationen zu installieren.

Wochen später wurde bekannt , dass Hacker eine weitere Zero-Day-Schwachstelle (CVE-2024-21893) ausnutzten, um eine erste Sicherheitsmaßnahme von Ivanti zu umgehen, die ursprünglich zwei Zero-Day-Schwachstellen beheben sollte. Die potenzielle Bedrohung für Unternehmen ist so akut, dass die Geheimdienste der Five Eyes Ende Februar eine ausführliche Sicherheitswarnung veröffentlichten.

„Die Schwachstellen betreffen alle unterstützten Versionen (9.x und 22.x) und können in einer Kette von Exploits genutzt werden, um es böswilligen Cyberbedrohungsakteuren zu ermöglichen, die Authentifizierung zu umgehen, böswillige Anfragen zu erstellen und beliebige Befehle mit erhöhten Rechten auszuführen“, heißt es darin .

Verstärkung der Perimeterverteidigung

Für CISOs stellt sich die Frage, wie solche Bedrohungen abgemildert werden können. Langfristig plädiert das NCSC dafür, die Anbieter dazu zu drängen, sicherere Produkte zu entwickeln und solche zu meiden, die keine sichere Software nachweisen können. Doch das wird die heutigen Bedrohungen nicht verhindern. Die anderen Vorschläge sind möglicherweise umsetzbarer:

1) Erwägen Sie cloudgehostete statt lokale Versionen dieser Perimeterprodukte. Auch wenn diese vom Design her möglicherweise immer noch nicht sicher sind, werden sie schneller gepatcht und sollten regelmäßig vom Anbieter überwacht werden. Und wenn das Schlimmste passiert und sie kompromittiert werden, wird es Angreifern zumindest keinen Zugang zum Unternehmensnetzwerk verschaffen. Im besten Fall können die Bedrohungsakteure sogar Ihre Unternehmensdaten in Ruhe lassen.

2) Wenn eine Migration zu einer Cloud-Version nicht möglich ist, schalten Sie auf Firewall-Ebene alle ungenutzten „Schnittstellen, Portale oder Dienste internetbasierter Software“ aus oder blockieren Sie sie. Die Zero-Days in diesen Ivanti-Produkten wirkten sich auf diese Art von Zusatzdiensten aus (in diesem Fall auf ihre „Webkomponenten“).

3) Stellen Sie sicher, dass bei der Entwicklung aller unternehmensinternen Perimeterprodukte die Sicherheit im Mittelpunkt steht – wobei Cloud-Hosting und Serverless-Optionen eine Überlegung wert sind, um mögliche Folgen eines Angriffs zu begrenzen

Richard Werner, Cybersicherheitsberater bei Trend Micro, argumentiert, dass die standardmäßige Auswahl von in der Cloud gehosteten (SaaS) Apps kein Allheilmittel sei.

„SaaS-Lösungen werden zu attraktiven Zielen für Kriminelle, die mit einem einzigen Angriff mehrere Ziele treffen wollen, wie der Kaseya-Vorfall von 2021 beispielhaft zeigt “, erklärt er gegenüber ISMS.online. „SaaS kann zwar bekannte Cyberrisiken effizient mindern, sollte aber nicht als die ultimative Lösung für das Kernproblem betrachtet werden.“

Er fügt hinzu, dass die Verhinderung der Ausnutzung von Sicherheitslücken wahrscheinlich weiterhin eine große Herausforderung bleiben wird – und erfordert einen vielschichtigen Verteidigungsansatz.

„Die Einhaltung bewährter Sicherheitspraktiken ist von entscheidender Bedeutung, aber selbst im Idealfall ist eine vollständige Risikovermeidung nicht erreichbar“, argumentiert Werner. „Daher müssen Unternehmen ihre Sicherheitsmaßnahmen durch Technologien wie Extended Detection and Response (XDR) ergänzen, die durch moderne Gesetze wie NIS 2 vorgeschrieben sind.“

Wenn der Perimeter mit der Zeit für Bedrohungsakteure immer schwieriger zu erreichen ist, werden sie letztendlich auf einen anderen Teil der Angriffsfläche ausweichen, der weniger gut verteidigt ist.

„Es ist von entscheidender Bedeutung, den zyklischen Charakter von Sicherheitsdiskussionen zu verstehen, bei denen Angreifer Schwachstellen ausnutzen und Verteidiger versuchen, sie zu vereiteln. „Diese Abwehrmechanismen veranlassen Angreifer, neue Einfallstore zu suchen oder ihre Anstrengungen zu intensivieren“, schließt Werner.

„Die Effektivität der Verteidigung wird daran gemessen, dass es für Angreifer zu teuer wird, einen erfolgreichen Weg zu finden. Aufgrund der unterschiedlichen Ziele der Angreifer bleibt es für die Verteidiger jedoch weiterhin schwierig, den Erfolg einzuschätzen.“

Da sich diese Ziele ständig ändern, müssen sich Netzwerkverteidiger und die Anbietergemeinschaft anpassen. Die Herausforderung besteht darin, dass die Agilität auf der Angriffsseite bisher die Reaktionsgeschwindigkeit bei weitem übersteigt.