IT Security März/April
Die Industrie sicherer machen – Sicherheit in Echtzeit für zeitkritische Produktionsverfahren
Gravierende Folgen des neuen SAP-Lizenzmodells – Ungeprüfte Berechtigungen: Gefährlich – und nun auch teuer!
KI-basierte Angriffserkennung – Möglichkeiten und Grenzen
RBAC ist tot – lang lebe PBAC? Warum RBAC nicht stirbt
Die Industrie sicherer machen – Sicherheit in Echtzeit für zeitkritische Produktionsverfahren
Gravierende Folgen des neuen SAP-Lizenzmodells – Ungeprüfte Berechtigungen: Gefährlich – und nun auch teuer!
KI-basierte Angriffserkennung – Möglichkeiten und Grenzen
RBAC ist tot – lang lebe PBAC? Warum RBAC nicht stirbt
18 | IT SECURITY Wie vermeidet man MFA-Fatigue Angriffe? WAS STECKT HINTER DIESEM BEGRIFF, WELCHE VARIANTEN TRETEN DERZEIT AUF UND WELCHE ABWEHRMASSNAHMEN HELFEN? Cyberkriminelle nutzen eine neue Taktik, um auch Multifaktor-Authentifizierung (MFA) zu knacken. Sie fordern hartnäckig die nötige Authentifizierung, bis das Opfer aus purer „Ermüdung“ irgendwann bestätigt. Unser Rat: Sensibilisieren Sie Ihre Mitarbeiter für die Gefahren! Fast täglich sind dabei neue Varianten zu beobachten. Derzeit gibt es vor allem verstärkt MFA-Fatigue-Angriffe, wie die Hackerattacke auf den Fahrdienstleister Uber zeigt, um nur einen prominenten Namen zu nennen. Die Cyber- Ark Labs haben fünf gängige Phishing- Attacken der jüngsten Vergangenheit identifiziert. Darauf aufbauend gibt das Unternehmen Tipps zur Verringerung der Cyberrisiken. #1 SMS- und Voice-Phishing Diese MFA-Fatigue-Attacken werden genutzt, um sich als vertrauenswürdige Quellen auszugeben – dabei „ermüden“ Angreifer die Nutzer mit zahlreichen MFA-Pushes bis sie Zugang zu den Zielsystemen erhalten. Angreifer finden immer wieder neue Wege, um MFA-Anwendungen und Sicherheitskontrollen zu umgehen. Die Nutzung von Phishing-resistenten MFA-Faktoren wie FIDO, QR-Codes oder physischen Token kann dabei helfen, diese Bemühungen zu vereiteln. Eine wirkungsvolle Abwehrmethode gegen MFA-Fatigue-Attacken ist auch die Änderung der MFA-Konfiguration. So können zum Beispiel Push-Benachrichtigungen durch One-Time Passwords (OTPs) ersetzt werden. Die OTP-Nutzung ist zwar weniger komfortabel, kann aber das MFA-Fatigue-Risiko minimieren. Ein benutzerfreundlicherer Ansatz besteht darin, für eine erfolgreiche MFA- Authentifizierung einen Nummernabgleich zu verlangen. Dabei wird Nutzern, die auf MFA-Push-Benachrichtigungen mit der Authenticator-App antworten, eine Zahlenfolge angezeigt. Diese muss in die App eingeben werden, um den Prozess abzuschließen. #2 Social-Engineering-Angriffe Eine wirksame Methode zum Schutz vor Social Engineering sind Security-Awareness-Trainings für die Mitarbeiter. Routinemäßig sollten Schulungen durchgeführt werden, um das sicherheitsbewusste Verhalten in der Unternehmenskultur zu verankern und die Mitarbeiter über die Entwicklung von Social- Engineering- und Phishing-Angriffstechniken zu informieren. Aber auch technische Schutzmaßnahmen müssen getroffen werden. Dazu zählt etwa die Nutzung von Spam-Filtern, die verhindern, dass verdächtige E-Mails oder unerwünschte Anhänge wie Gewinnspiele oder infizierte Bewerbungen in die Posteingänge der Mitarbeiter gelangen. #3 Identitätskompromittierung Der Diebstahl von Zugangsdaten ist eine weitere beliebte Phishing-Methode, bestes Beispiel dafür sind Manin-the-Middle-Angriffe. Awareness-Kampagnen können nicht immer verhindern, dass ein Benutzer Opfer von Phishing wird. Folglich muss eine Verteidigungsstrategie auch ein Endpoint Privilege Management beinhalten, das die clientseitigen Credentials schützt und den Diebstahl von Cookies verhindert, der ein MFA-Bypassing ermöglichen kann. #4 System- und Serverkompromittierung Mit Seitwärtsbewegungen können Angreifer tiefer in kompromittierte Umge- März/April 2023 | www.it-daily.net
IT SECURITY | 19 bungen eindringen und Zugriffsrechte ausweiten – bis hin zu Domain Controllern. Eine Abwehrmaßnahme ist die Durchsetzung des Least-Privilege-Prinzips in der gesamten Infrastruktur, auch im Hinblick auf Anwendungen und Daten. Hier kommen intelligente Berechtigungskontrollen ins Spiel, die den Zugriff für alle Identitäten verwalten, sichern und überwachen. #5 Datenexfiltration Bei einem der jüngsten Phishing-Vorfälle versuchten Angreifer, wieder in das Netzwerk einzudringen, nachdem sie Daten gestohlen hatten, aber anschließend entdeckt worden waren. Dabei zielten sie auf Mitarbeiter ab, die nach dem obligatorischen Zurücksetzen der Anmeldedaten möglicherweise nur einzelne Zeichen an ihren Passwörtern geändert hatten. Die EIN WIRKSAMER ANTI- PHISHING-SCHUTZ MUSS EINERSEITS TECHNISCHE LÖSUNGEN UMFASSEN UND ANDERERSEITS AUCH DIE MENSCHLICHE KOMPONENTE BERÜCK- SICHTIGEN. Michael Kleist, Area Vice President DACH, CyberArk, www.cyberark.de Angreifer waren in diesem Fall nicht erfolgreich, aber er zeigt, wie wichtig sichere Passwortverfahren sind. Idealerweise wird dabei eine Lösung genutzt, die automatisch eindeutige und sichere Passwörter generiert und regelmäßig rotiert. Fazit Phishing hat eine neue Stufe der Innovation erreicht. Die jüngsten Ereignisse zeigen, wie weit Angreifer gehen, um ihre ahnungslosen Opfer zu täuschen. Betroffen sind auch solche Mitarbeiter, die denken, dass sie dank MFA gefahrlos agieren. Ein wirksamer Anti-Phishing- Schutz muss deshalb einerseits technische Lösungen umfassen und andererseits auch die menschliche Komponente berücksichtigen. Schließlich ist davon ausgehen, dass unerwünschte Klicks letztlich immer unvermeidlich sind. Folglich sollten auch Bedrohungen prinzipiell frühzeitig erkannt werden, bevor ein größerer Schaden entsteht. Außerdem muss die Security mehrstufig aufgebaut sein, um im Falle des Falles den Angreifer in der nächsten Verteidigungslinie abfangen zu können. Michael Kleist Passwörter ZWEI-FAKTOR-AUTHENTIFIZIERUNG NIMMT ZU In einer von KnowBe4 im Januar 2023 durchgeführten Umfrage wurden 106 Personen zum Thema „Passwörter vs. Passwordless“ befragt. Die Mehrheit der Befragten (61 Prozent) verwendet beim Online-Banking eine Zwei-Faktor-Authentifizierung und 46 Prozent beim Online-Shopping. Die Befragten scheinen großes Vertrauen in diese Methode der Authentifizierung zu setzen, denn deutlich mehr als die Hälfte hält sie für sicher und nur rund ein Viertel hat Bedenken wegen der Sicherheit. Es ist interessant zu beobachten, dass etwa ein Drittel (34 Prozent) ein jeweils leicht modifiziertes Passwort für verschiedene Konten nutzt und ebenso fast ein Drittel (32 Prozent) für jedes Konto ein komplett anderes Passwort verwendet. Was macht die Sicherheit von Passwörtern aus? Die steigende Bedeutung der Zwei-Faktor-Authentifizierung zeigt sich auch darin, dass es viele Bedenken in Bezug auf die grundsätzliche Sicherheit von klassischen Passwörtern, egal wie komplex sie sind, gibt. So halten nur 30 Prozent komplexe Passwörter für sehr sicher, während fast ein Viertel (24 Prozent) nicht weiß, wie sie die Lage einschätzen sollen. Und fast ein Drittel der Befragten (29 Prozent) halten selbst komplexe Passwörter für eher unsicher. Nutzer sollten einige Grundregeln verinnerlichen: 1 Komplexere Passwörter sind besser als kurze – Passphrasen sind eine geeignete Methode zur Steigerung der Komplexität. 2 Multifaktorauthentifizierung verfügt über bessere Sicherheit als einfache Authentifizierung. 3 Im Schnitt schützen Nutzer ihre Accounts durch die Verwendung von Passwortmanagern mehr, als dass sie sie verwundbar machen. www.knowbe4.de www.it-daily.net | März/April 2023
- Seite 1 und 2: Detect. Protect. Respond. März/Apr
- Seite 3 und 4: INHALT | 3 COVERSTORY 04 40 Inhalt
- Seite 5 und 6: COVERSTORY | 5 Uwe Gries, Country-M
- Seite 7 und 8: IT SECURITY | 7 SAP ? Selbst wenn m
- Seite 9 und 10: IT SECURITY | 9 Fälschung oder Rea
- Seite 11 und 12: IT SECURITY | 11 Infrastrukturen so
- Seite 13 und 14: IT SECURITY | 13 endpunktsicherheit
- Seite 15 und 16: IT SECURITY | 15 mentierung des Dat
- Seite 17: IT SECURITY | 17 sich dabei um ein
- Seite 21 und 22: IT SECURITY | 21 sich damit kaum ne
- Seite 23 und 24: mehr als nur tägliche IT-News! SCA
- Seite 25 und 26: IT SECURITY | 25 Bild 2: Die Umwand
- Seite 27 und 28: IT SECURITY | 27 zum Betrieb ganzer
- Seite 29 und 30: IT SECURITY | 29 Unabhängig davon
- Seite 31 und 32: 04.08.21 09:49 is IT IT NEWS Der t
- Seite 33 und 34: IT SECURITY | 33 direkt erstellt un
- Seite 35 und 36: IT SECURITY | 35 Das PBAC-Modell fr
- Seite 37 und 38: IT SECURITY | 37 beruht vor allem a
- Seite 39 und 40: Data Lake: Die etwas ANDERE ART des
- Seite 41 und 42: IT SECURITY | 41 hin zur Entdeckung
- Seite 43 und 44: IT SECURITY | 43 Passwortmanager wi
- Seite 45 und 46: IT SECURITY | 45 blematisch werden,
- Seite 47 und 48: IT SECURITY | 47 DIE GRÖSSTEN RISI
<strong>IT</strong> SECUR<strong>IT</strong>Y | 19<br />
bungen eindringen und Zugriffsrechte<br />
ausweiten – bis hin zu Domain Controllern.<br />
Eine Abwehrmaßnahme ist die Durchsetzung<br />
des Least-Privilege-Prinzips in der<br />
gesamten Infrastruktur, auch im Hinblick<br />
auf Anwendungen und Daten. Hier kommen<br />
intelligente Berechtigungskontrollen<br />
ins Spiel, die den Zugriff für alle<br />
Identitäten verwalten, sichern und überwachen.<br />
#5 Datenexfiltration<br />
Bei einem der jüngsten Phishing-Vorfälle<br />
versuchten Angreifer,<br />
wieder in das Netzwerk einzudringen,<br />
nachdem sie Daten gestohlen hatten,<br />
aber anschließend entdeckt worden<br />
waren. Dabei zielten sie auf Mitarbeiter<br />
ab, die nach dem obligatorischen<br />
Zurücksetzen der Anmeldedaten möglicherweise<br />
nur einzelne Zeichen an<br />
ihren Passwörtern geändert hatten. Die<br />
EIN WIRKSAMER ANTI-<br />
PHISHING-SCHUTZ MUSS<br />
EINERSE<strong>IT</strong>S TECHNISCHE<br />
LÖSUNGEN UMFASSEN<br />
UND ANDERERSE<strong>IT</strong>S AUCH<br />
DIE MENSCHLICHE<br />
KOMPONENTE BERÜCK-<br />
SICHTIGEN.<br />
Michael Kleist, Area Vice President DACH,<br />
CyberArk, www.cyberark.de<br />
Angreifer waren in diesem Fall nicht<br />
erfolgreich, aber er zeigt, wie wichtig<br />
sichere Passwortverfahren sind. Idealerweise<br />
wird dabei eine Lösung genutzt,<br />
die automatisch eindeutige und<br />
sichere Passwörter generiert und regelmäßig<br />
rotiert.<br />
Fazit<br />
Phishing hat eine neue Stufe der Innovation<br />
erreicht. Die jüngsten Ereignisse zeigen,<br />
wie weit Angreifer gehen, um ihre<br />
ahnungslosen Opfer zu täuschen. Betroffen<br />
sind auch solche Mitarbeiter, die<br />
denken, dass sie dank MFA gefahrlos<br />
agieren. Ein wirksamer Anti-Phishing-<br />
Schutz muss deshalb einerseits technische<br />
Lösungen umfassen und andererseits<br />
auch die menschliche Komponente<br />
berücksichtigen. Schließlich ist davon<br />
ausgehen, dass unerwünschte Klicks<br />
letztlich immer unvermeidlich sind. Folglich<br />
sollten auch Bedrohungen prinzipiell<br />
frühzeitig erkannt werden, bevor ein<br />
größerer Schaden entsteht. Außerdem<br />
muss die <strong>Security</strong> mehrstufig aufgebaut<br />
sein, um im Falle des Falles den Angreifer<br />
in der nächsten Verteidigungslinie<br />
abfangen zu können.<br />
Michael Kleist<br />
Passwörter<br />
ZWEI-FAKTOR-AUTHENTIFIZIERUNG NIMMT ZU<br />
In einer von KnowBe4 im Januar 2023<br />
durchgeführten Umfrage wurden 106<br />
Personen zum Thema „Passwörter vs.<br />
Passwordless“ befragt. Die Mehrheit<br />
der Befragten (61 Prozent) verwendet<br />
beim Online-Banking eine Zwei-Faktor-Authentifizierung<br />
und 46 Prozent<br />
beim Online-Shopping. Die Befragten<br />
scheinen großes Vertrauen in diese Methode<br />
der Authentifizierung zu setzen,<br />
denn deutlich mehr als die Hälfte hält<br />
sie für sicher und nur rund ein Viertel<br />
hat Bedenken wegen der Sicherheit. Es<br />
ist interessant zu beobachten, dass etwa<br />
ein Drittel (34 Prozent) ein jeweils<br />
leicht modifiziertes Passwort für verschiedene<br />
Konten nutzt und ebenso<br />
fast ein Drittel (32 Prozent) für jedes<br />
Konto ein komplett anderes Passwort<br />
verwendet.<br />
Was macht die Sicherheit von<br />
Passwörtern aus?<br />
Die steigende Bedeutung der Zwei-Faktor-Authentifizierung<br />
zeigt sich auch<br />
darin, dass es viele Bedenken in Bezug<br />
auf die grundsätzliche Sicherheit von<br />
klassischen Passwörtern, egal wie komplex<br />
sie sind, gibt. So halten nur 30 Prozent<br />
komplexe Passwörter für sehr sicher,<br />
während fast ein Viertel (24 Prozent)<br />
nicht weiß, wie sie die Lage einschätzen<br />
sollen. Und fast ein Drittel der<br />
Befragten (29 Prozent) halten selbst<br />
komplexe Passwörter für eher unsicher.<br />
Nutzer sollten einige Grundregeln verinnerlichen:<br />
1<br />
Komplexere Passwörter sind<br />
besser als kurze – Passphrasen<br />
sind eine geeignete Methode zur Steigerung<br />
der Komplexität.<br />
2 Multifaktorauthentifizierung<br />
verfügt über bessere Sicherheit<br />
als einfache Authentifizierung.<br />
3<br />
Im Schnitt schützen Nutzer ihre<br />
Accounts durch die Verwendung<br />
von Passwortmanagern mehr, als<br />
dass sie sie verwundbar machen.<br />
www.knowbe4.de<br />
www.it-daily.net | <strong>März</strong>/<strong>April</strong> 2023
Change language