So schützen Sie sich vor Advanced Persistent Threats (APTs)

• Zugang: Zunächst verschaffen sich die Angreifer:innen einen Überblick über die Zugangsmöglichkeiten. Angriffe erfolgen danach in den meisten Fällen über das Internet mittels Social Engineering, Spear-Phishing-E-Mails oder einer Schwachstelle in der Cyber Security des Ziels. Durch diese schleusen die Kriminellen Schadsoftware ein, um die „Tür offen zu halten“.
• Etablierung: Sobald der Zugang eingerichtet ist, führen die Angreifer:innen Erkundungen innerhalb des Netzwerks aus. Mittels Malware erzeugen sie Subnetzwerke und Tunnel, durch die sie sich unbemerkt innerhalb einer größeren Netzwerkinfrastruktur bewegen können.
• Ausbau: Innerhalb der infiltrierten Infrastruktur knacken die Hacker:innen Passwörter und überwinden weitere Zugangsbeschränkungen, um administrative Rechte zu erlangen. Damit erhalten sie eine weitreichende Kontrolle über Systemfunktionen und können ihren Zugang weiter ausbauen.
• Breite: Angreifer:innen können sich mit administrativen Rechten nahezu ungehindert im Zielnetzwerk bewegen. Aus dieser Sicherheit heraus versuchen sie, den Zugang zu weiteren Servern oder besonders geschützten Netzwerkbereichen herzustellen.
• Datensammeln: Das Ziel des APT-Angriffs ist in der Regel der großangelegte und kontinuierliche Diebstahl von Daten. Die Angreifer:innen sammeln, verschlüsseln und komprimieren diese Zieldaten.
• Extraktion: Im nächsten Schritt extrahieren sie die Beutedaten auf eigene Systeme. Dieser Schritt kann einmalig erfolgen und beliebig oft wiederholt werden.
• Unbefristeter Aufenthalt: Die Hacker:innen bleiben in der Regel so lange in einem infiltrierten System, bis sie entdeckt werden. Wollen sie sich nicht permanent in einem Netzwerk einrichten, können sie auch eine „Hintertür“ anlegen, durch die sie bei Bedarf zu einem späteren Zeitpunkt erneut auf das System zugreifen.

APT-Attacken folgen meist einem festen Schema und reichen von der Auskundschaftung eines Ziels bis zum konkreten Datendiebstahl.

• Backdoor-Trojaner: Spüren Ihre Antivirenprogramme sogenannte Backdoor-Trojaner im System auf, kann das bedeuten, dass Ihre Systeme bereits infiltriert worden sind. Diese Software soll einen dauerhaften Zugang zu Ihrem Netzwerk etablieren. Diese „Hintertür” steht gewissermaßen ständig offen und dient als Durchlass für die Remote-Verbindung der Angreifer:innen sowie für den Empfang der gestohlenen Daten. Rootkits nahe dieser Tür sorgen oft dafür, dass der unautorisierte Zugriff unbemerkt bleibt. Selbst wenn Sie die Anmeldedaten Ihres Netzwerks ändern, kann diese Verbindung bestehen bleiben.
• Exportbereite Daten: Die Angreifer:innen erstellen häufig große komprimierte Dateien, um sie auf ihre eigenen Rechner zu exportieren. Wenn Sie oder Ihre IT-Expert:innen etwas Derartiges entdecken, vielleicht sogar in einem ungewöhnlichen Dateiformat, könnten Sie auf das „Diebesgut“ eines APT-Angriffs gestoßen sein.
• Informationstransfer: Ihre IT-Administration sollte den Datenaustausch innerhalb des Netzwerks und zu externen Rechnern stets überwachen. Findet sie Daten an ungewöhnlichen Orten oder werden große Mengen an Dateien an einen externen Rechner übertragen, kann das ein Hinweis auf einen APT-Angriff sein.
• Spear-Phishing: Durch gezielte Recherchen finden Hacker:innen heraus, mit welcher Art von Phishing-E-Mail sich das Interesse von Mitarbeiter:innen Ihres Unternehmens wecken lässt. Sie recherchieren und verwenden zum Beispiel persönliche Informationen oder vermeintlich bekannte Kontakte und verleiten Ihre Belegschaft gezielt zu einer Reaktion. Diese Vorgehensweise ist auch unter dem Begriff „E-Mail-Spoofing“ bekannt.
• Ungewöhnliche Account-Aktivitäten: Ihre IT verfolgt gewöhnlich die Anmeldungen in Ihrem Netzwerk. Erfolgen diese in ungewöhnlich großer Zahl oder außerhalb der normalen Zeiten, ist dies ein Warnzeichen – erst recht, wenn diese vermeintlich von Führungspersonen des Unternehmens stammen. APT-Angriffe erfolgen häufig zu Uhrzeiten, in denen sich wenige Personen im Netzwerk aufhalten, um die Chance auf eine Entdeckung zu senken.
• Zero Day Exploits: Diese Art von Sicherheitslücken ist nur dem oder der Entdecker:in der Schwachstelle bekannt. Die Öffentlichkeit und auch der Hersteller des betroffenen Produkts erfahren erst von der Schwachstelle, wenn diese zu erfolgreichen Hacks geführt hat und dadurch bemerkt wurde. Der Begriff „Zero-Day“ leitet sich von dem fiktiven „Tag Null“ ab, den Hersteller als Zeitfenster zur Schließung der Sicherheitslücke haben, bevor Nutzer:innen Schaden nehmen können. Dadurch wird die Gefahr derartiger Exploits hervorgehoben.

Welche APT-Groups gibt es?

• Finanzdaten: Bankkonten, Bargeld und dessen Äquivalente, Kontoauszüge, Kryptowährungsschlüssel, Kreditkartendaten
• Geistiges Eigentum und Geschäftsgeheimnisse: laufende und geplante Entwicklungen und Strategien, Patente, Designs/Konstruktionspläne
• Personenbezogene Daten: Lebensdaten, Beurteilungen, Gesundheitsdaten, Finanzdaten
• Klassifizierte Daten: Sicherheitsdaten, Regierungswissen, polizeiliches und geheimdienstliches Wissen
• Aufklärungsdaten: Verkehrs- und Energieinfrastruktur, militärische und sicherheitspolitische Standorte und Zuständigkeiten, Ressourcen, Strategien
• Kommunikation: vertrauliche, geheime und kompromittierende Kommunikation wie E-Mails, Chatprotokolle, Audio- und Videokonferenzen, Gesprächsaufzeichnungen
• Anmeldeinformationen: Nutzernamen, Passwörter, Sicherheitsschlüssel und -token

Zero Trust

Schutz vor Spam-Mails

Schulung des Personals

Drei Schritte zum Schutz vor APT-Angriffen

• Überwachung: Behalten Sie innerhalb Ihres Security-Monitorings stets den kompletten Überblick über Ihre geschäftlich gespeicherten Daten: Wo sie gespeichert und wer kann darauf zugreifen? Wer administriert die Firewall und Anmeldeinformationen? Wer greift auf das Unternehmensnetzwerk und auf sensible Daten zu?
• Analyse: Datensicherheitsanalysen bieten Erkenntnisse darüber, welche Aktivitäten innerhalb Ihres Unternehmensnetzwerks normal und welche ungewöhnlich sind. Ihre IT-Security sollte immer einen Aktionsplan beziehungsweise ein IT-Notfallhandbuch besitzen.
• Perimeterschutz: Sie sollten den Zugriff auf Zugangspunkte und Räumlichkeiten streng beschränken und kontrollieren. Dabei ist es egal, ob Sie klassische perimeterbasierte oder perimeterlose (umgebungsbezogene) Netzwerksicherheit einsetzen.