Was ist eine fortgeschrittene anhaltende Bedrohung und wie kann eine APT erkannt werden?

Viele Unternehmen geben ihr Bestes, um so viele Daten wie möglich über Kunden zu sammeln. Einige geben ihre Produkte sogar kostenlos ab, wenn sie die Erlaubnis zum Sammeln persönlicher Daten erhalten.

Infolgedessen verfügen auch kleinere Unternehmen jetzt über eine Fülle wertvoller Daten. Und immer mehr Bedrohungsakteure suchen nach Möglichkeiten, sie zu stehlen. Ein Beispiel hierfür ist eine Art von Cyberangriff, der als fortgeschrittene dauerhafte Bedrohung bezeichnet wird.

Was ist also eine fortgeschrittene anhaltende Bedrohung? Wie erkennt man einen? Und was sollten Sie tun, wenn Sie glauben, dass Ihr System von einem APT getroffen wurde?

Was ist eine Advanced Persistent Threat (APT)?

Eine fortgeschrittene dauerhafte Bedrohung ist eine Art von Angriff, bei dem ein Eindringling Zugriff auf ein System erhält und es dann schafft, dort für einen langen Zeitraum unentdeckt zu bleiben.

Diese Art von Angriff wird in der Regel mit dem Ziel der Spionage durchgeführt. Wenn das Ziel einfach ein System beschädigen würde, gäbe es keinen Grund, hier zu bleiben. Die Leute, die diese Angriffe ausführen, versuchen nicht, Computersysteme zu zerstören. Sie möchten einfach Zugriff auf die Daten, die sie besitzen.

Die meisten fortgeschrittenen persistenten Bedrohungen verwenden ausgefeilte Hacking-Techniken und sind auf einzelne Computersysteme zugeschnitten.

Dies macht es sehr schwierig, diese Angriffe zu erkennen. Ein Vorteil ihrer Komplexität besteht jedoch darin, dass sich der durchschnittliche Computerbenutzer normalerweise nicht um sie kümmern muss.

Im Gegensatz zu Malware, die im Allgemeinen so konzipiert ist, dass sie auf möglichst viele Computer abzielt, werden erweiterte dauerhafte Bedrohungen normalerweise für ein bestimmtes Ziel entwickelt.

Wie passiert eine APT?

Die fortgeschrittene anhaltende Bedrohung ist ein relativ weit gefasster Begriff. Der Grad der Raffinesse, der bei einem solchen Angriff eingesetzt wird, ist daher sehr unterschiedlich.

Die meisten können jedoch leicht in drei verschiedene Stufen unterteilt werden.

Stufe 1: Infiltration

In der Eröffnungsphase suchen Hacker einfach nach einem Weg hinein. Welche Optionen ihnen zur Verfügung stehen, hängt natürlich davon ab, wie sicher das System ist.

Eine Option wäre Phishing. Vielleicht können sie jemanden dazu bringen, versehentlich ihre Anmeldeinformationen preiszugeben, indem sie ihm eine böswillige E-Mail senden. Wenn dies nicht möglich ist, versuchen sie möglicherweise, dasselbe zu erreichen durch Social Engineering.

Stufe 2: Erweiterung

Der nächste Schritt ist die Erweiterung. Sobald die Angreifer einen gültigen Zugang zum System haben, möchten sie ihre Reichweite erweitern und wahrscheinlich sicherstellen, dass ihr vorhandener Zugriff nicht widerrufen werden kann.

Sie tun dies normalerweise mit irgendeiner Art von Malware. Mit einem Keylogger können sie beispielsweise zusätzliche Kennwörter für andere Server erfassen.

Verbunden: Was ist ein Keylogger?

Ein Backdoor-Trojaner garantiert zukünftige Eingriffe, selbst wenn das ursprünglich gestohlene Passwort geändert wird.

Stufe 3: Extraktion

In der dritten Phase ist es Zeit, Daten tatsächlich zu stehlen. Informationen werden normalerweise von mehreren Servern gesammelt und dann an einem einzigen Ort abgelegt, bis sie zum Abrufen bereit sind.

Zu diesem Zeitpunkt versuchen die Angreifer möglicherweise, die Systemsicherheit zu überwältigen so etwas wie ein DDOS-Angriff. Am Ende dieser Phase werden die Daten tatsächlich gestohlen, und wenn sie nicht erkannt werden, bleibt die Tür für zukünftige Angriffe offen.

Warnzeichen einer APT

Ein APT wurde normalerweise speziell entwickelt, um eine Erkennung zu vermeiden. Dies ist jedoch nicht immer möglich. Meistens gibt es zumindest Hinweise darauf, dass ein solcher Angriff stattfindet.

Speerfischen

Eine Spear-Phishing-E-Mail kann ein Zeichen dafür sein, dass eine APT bevorsteht oder sich in einem frühen Stadium befindet. Phishing-E-Mails dienen dazu, Daten von einer großen Anzahl von Personen wahllos zu stehlen. Spear-Phishing-E-Mails sind angepasste Versionen, die auf bestimmte Personen und / oder Unternehmen zugeschnitten sind.

Verdächtige Anmeldungen

Während einer laufenden APT meldet sich der Angreifer wahrscheinlich regelmäßig bei Ihrem System an. Wenn sich ein legitimer Benutzer zu ungeraden Zeiten plötzlich in seinem Konto anmeldet, kann dies ein Zeichen dafür sein, dass seine Anmeldeinformationen gestohlen wurden. Andere Anzeichen sind, dass Sie sich häufiger anmelden und sich Dinge ansehen, die sie nicht sein sollten.

Trojaner

Ein Trojaner ist eine versteckte Anwendung, die nach der Installation Remotezugriff auf Ihr System ermöglicht. Solche Anwendungen können eine noch größere Bedrohung darstellen als gestohlene Anmeldeinformationen. Dies liegt daran, dass sie keinen Fußabdruck hinterlassen, d. H., Dass Sie keinen Anmeldeverlauf überprüfen können, und dass sie von Kennwortänderungen nicht betroffen sind.

Ungewöhnliche Datenübertragungen

Das größte Anzeichen für eine APT ist einfach, dass Daten plötzlich verschoben werden, scheinbar ohne ersichtlichen Grund. Die gleiche Logik gilt, wenn Sie sehen, dass Daten dort gespeichert werden, wo sie nicht oder noch schlimmer sein sollten, während sie auf einen externen Server außerhalb Ihrer Kontrolle übertragen werden.

Was tun, wenn Sie einen APT vermuten?

Sobald ein APT erkannt wurde, ist es wichtig, sich schnell zu bewegen. Je mehr Zeit ein Angreifer in Ihrem System hat, desto größer kann der Schaden sein, der auftreten kann. Es ist sogar möglich, dass Ihre Daten noch nicht gestohlen wurden, sondern kurz davor stehen. Folgendes müssen Sie tun.

1. Stoppen Sie den Angriff: Die Schritte zum Stoppen eines APT hängen weitgehend von seiner Art ab. Wenn Sie der Meinung sind, dass nur ein Teil Ihres Systems kompromittiert wurde, sollten Sie es zunächst von allem anderen isolieren. Danach arbeiten Sie daran, den Zugriff zu entfernen. Dies kann bedeuten, gestohlene Anmeldeinformationen zu widerrufen oder im Falle eines Trojaners Ihr System zu bereinigen.
2. Beurteilen Sie den Schaden: Der nächste Schritt ist herauszufinden, was passiert ist. Wenn Sie nicht verstehen, wie die APT aufgetreten ist, kann nichts daran gehindert werden, dass sie erneut auftritt. Es ist auch möglich, dass derzeit eine ähnliche Bedrohung besteht. Dies bedeutet, Systemereignisprotokolle zu analysieren oder einfach die Route herauszufinden, über die ein Angreifer Zugriff erhalten hat.
3. Dritte benachrichtigen: Abhängig davon, welche Daten auf Ihrem System gespeichert sind, kann der durch einen APT verursachte Schaden weitreichend sein. Wenn Sie derzeit Daten speichern, die nicht nur Ihnen gehören, d. H. Die persönlichen Daten von Kunden, Kunden oder Mitarbeitern, müssen Sie diese Personen möglicherweise informieren. In den meisten Fällen kann dies zu einem rechtlichen Problem werden.

Kennen Sie die Zeichen eines APT

Es ist wichtig zu verstehen, dass es keinen vollständigen Schutz gibt. Menschliches Versagen kann dazu führen, dass jedes System kompromittiert wird. Und diese Angriffe verwenden per Definition fortschrittliche Techniken, um solche Fehler auszunutzen.

Der einzige wirkliche Schutz vor einem APT besteht daher darin, zu wissen, dass sie existieren, und zu verstehen, wie man die Anzeichen eines Auftretens erkennt.

Was ist adaptive Sicherheit und wie hilft sie bei der Bedrohungsprävention?

Adaptive Sicherheit ist ein Echtzeit-Sicherheitsüberwachungsmodell und nutzt moderne Taktiken, um sich ständig weiterentwickelnde Cyber-Bedrohungen zu mindern.

Weiter lesen

Über den Autor