Laterale Bewegungen: Techniken der Angreifer und bewährte Methoden zur Verteidigung Ihrer Organisation

Einführung

Auch wenn Sie ein Zero Trust-Sicherheitsparadigma für Netzwerk- und Infrastruktursicherheit implementiert haben, müssen Sie mit dem Unvermeidlichen rechnen – irgendwann wird ein Angreifer in Ihr Netzwerk eindringen mit der Absicht, Ransomware zu verbreiten oder anderen Schaden anzurichten

Ein typischer Angriff verläuft in etwa so:

1. Ein Bedrohungsakteur wird ein Benutzerkonto durch eine Phishing-Kampagne, Passwort-Rateverfahren oder eine andere Technik kompromittieren und dadurch einen Zugang auf einem Endpunkt, IoT-Gerät oder einem anderen System erlangen.
2. Sie werden sich seitlich durch die Umgebung bewegen und ihre Privilegien eskalieren, bis sie Zugang zu wichtigen IT-Ressourcen erhalten. Diese Phase kann Wochen oder sogar Monate dauern, während der Angreifer Ihr Netzwerk studiert.
3. Der Angreifer wird sensible Daten exfiltrieren, Ransomware oder andere Malware einsetzen und/oder Systeme beschädigen, um Ausfallzeiten zu verursachen.

Es gibt ein Missverständnis, dass laterale Bewegungen von Bedrohungen auf On-Prem-Netzwerke beschränkt sind. Aber laterale Bewegungen können auch in Cloud-Umgebungen auftreten, und Angreifer können sich lateral zwischen On-Prem- und Cloud-Systemen bewegen.

Es liegt in der Verantwortung des Cybersicherheitspersonals, Bedrohungen zu erkennen, Angriffe einzudämmen, um eine weitere Ausbreitung zu verhindern, und alle infizierten Systeme zu säubern. Um Ihre Organisation zu verteidigen, müssen Sie die Techniken verstehen, die Bedrohungsakteure nutzen.

Was sind laterale Bewegungen und Privilegienerweiterung?

Bedrohungsakteure verschaffen sich typischerweise Zugang zu einem Netzwerk, indem sie ein Konto mit Standardbenutzerrechten kompromittieren. Um ihr Ziel zu erreichen, muss der Angreifer höhere Zugriffs- und Kontrollebenen erlangen. Daher beginnen Angreifer, wenn sie in Ihre Umgebung eindringen, mit der Aufklärung, um zu verstehen, auf welche Ressourcen sie Zugriff haben und welche Konten sie als nächstes kompromittieren könnten. Sie können Netzwerk-Scanning-Tools verwenden, um aktive Hosts, offene Ports oder laufende Dienste innerhalb einer gezielten Systemplattform zu identifizieren. Es ist während dieser Ruhe vor dem Sturm, dass Erkennung und rechtzeitige Reaktion so wichtig sind.

Welche spezifischen Techniken verwenden Angreifer?

Hier sind einige der häufigeren Techniken, die Angreifer verwenden, um sich seitlich zu bewegen und ihre Privilegien zu eskalieren:

• LDAP-Reconnaissance — Bedrohungsakteure können einen LDAP-Verzeichnisdienst abfragen, um Informationen über Objekte und Attribute zu sammeln, mit dem Ziel, hochprivilegierte Konten und kritische Ressourcen zu identifizieren, über die sie die Kontrolle erlangen möchten.
• Pass-the-Hash-Angriff — Diese Technik beinhaltet das Stehlen eines Passworts eines Benutzers mit erhöhten Privilegien, indem Netzwerkverkehr abgefangen oder Malware verwendet wird, um den Passwort-Hash zu extrahieren.
• Kerberoasting — Angreifer können das Kerberos-Authentifizierungsprotokoll missbrauchen, um die Anmeldeinformationen von Active Directory Benutzern zu stehlen, die servicePrincipleNames besitzen. Meistens handelt es sich bei diesen Konten um Dienstkonten, die höhere Privilegien als normale Benutzerkonten haben.
• Ausnutzen von Schwachstellen — Hacker nutzen häufig bekannte Schwachstellen in Systemen oder Anwendungen aus, um ihre Privilegien zu erhöhen oder Zugang zu weiteren Systemen zu erhalten. Diese Art von Angriff macht sich nicht gepatchte oder veraltete Software zunutze.
• Missbrauch schwacher Konfigurationen — Schwache Konfigurationen auf Servern, Endpunkten und anderen Systemen ermöglichen es Angreifern, ihre Angriffe voranzutreiben.
• Die Nutzung von RDP — Fernverwaltungstools wie das Remote Desktop Protocol (RDP) in Windows-Systemen werden häufig von Cyberkriminellen gezielt, um sich seitlich in einem Netzwerk zu bewegen.

Hacker verwenden oft spezialisierte Werkzeuge, die für die laterale Bewegung konzipiert sind, wie Bloodhound, PowerSploit oder Empire. Diese dienen dazu, das Netzwerk zu kartieren und potenzielle Ziele für Ausnutzung zu identifizieren.

Praxisbeispiele

Ein stark publiziertes Beispiel für einen Angriff mit lateraler Bewegung war der SolarWinds-Lieferkettenangriff von 2020. Bedrohungsakteure erlangten Zugang zur SolarWinds-Software und fügten ein Hintertürchen in ein Software-Update ein. Als Kunden dieses Update installierten, erlangten die Angreifer Privileged Access zu ihren Netzwerken.

Ein weiteres Beispiel aus demselben Jahr war ein Ryuk-Ransomware-Angriff auf Universal Health Services. Hier verwendeten die Täter eine Phishing-E-Mail, um eine Trojaner-Anwendung zu liefern, die dann die Ransomware herunterlud. Die Cyberkriminellen verwendeten anschließend Mimikatz, um Administratoranmeldeinformationen zu stehlen und sich seitlich durch das Netzwerk zu bewegen.

Wie können sich Organisationen verteidigen?

Um zu verhindern, dass Gegner sich seitlich in Ihrer IT-Umgebung bewegen, sollten Sie die Implementierung der folgenden Best Practices in Betracht ziehen.

Beschränken Sie den Zugriff des lokalen Administrators.

Vorbei sind die Zeiten, in denen man Standardbenutzern lokale Administratorrechte zuweisen konnte. Wenn ein Konto kompromittiert wird, erben die Angreifer automatisch die Rechte dieses Kontos. Ohne lokale Adminrechte können Angreifer keinen bösartigen Code installieren.

Setzen Sie das Prinzip der geringsten Berechtigung durch.

Das Prinzip der geringsten Berechtigungen (POLP) besagt, dass jeder Benutzer und jeder Prozess nur Zugang zu den Netzwerkressourcen haben sollte, die für die Ausführung seiner zugewiesenen Aufgaben erforderlich sind und nichts darüber hinaus. Das anfängliche Verständnis von POLP hat sich weiterentwickelt, um ein zeitliches Element einzuschließen – Berechtigungen sollten nur so lange existieren, wie sie für eine bestimmte Aufgabe benötigt werden.

Blockieren Sie Social-Engineering-Angriffe.

Cyberkriminelle erlangen oft Zugang zu einer Ziel-IT-Umgebung durch einen Social-Engineering-Angriff, bei dem sie einen legitimen Benutzer dazu manipulieren, ihre Anmeldeinformationen preiszugeben. Hier kann das Sicherheitsbewusstseinstraining große Dividenden zahlen, denn Benutzer sind oft das schwächste Glied in Ihrer Sicherheitskette. Es gibt auch E-Mail- und Webfilterlösungen, um diese Arten von Angriffen zu mindern.

Schützen Sie Ihre Passwörter.

Schwache Passwörter erleichtern es Angreifern, Anmeldeinformationen mit Techniken wie Password Spraying Angriffen zu stehlen. Es gibt Tools, die sicherstellen können, dass für alle Passwörter Best-Practice-Komplexitätsstandards erforderlich sind. Sie sollten diese Richtlinien mit einer angemessenen Cyber-Hygiene-Schulung für alle Benutzer unterstützen. Zusätzlich sollte MFA auf alle Konten mit hohen Privilegien angewendet werden.

Ersetzen Sie ständige Privilegierte Konten durch Just-in-Time-Zugriff und überwachen Sie die Aktivitäten,

Administrative Rechte sind für einen Hacker der Schlüssel zum Königreich. Die Implementierung einer soliden Privileged Access Management (PAM)-Strategie ist wesentlich, um privilegierte Konten vor Kompromittierung zu schützen. Ein Beispiel ist die Netwrix Privileged Access Management Solution, die es Ihnen ermöglicht, privilegierte Konten in Ihrer IT-Landschaft zu identifizieren und Ihre Angriffsfläche zu reduzieren, indem sie durch Just-in-Time (JIT)-Zugang für spezifische Aufgaben ersetzt werden. Darüber hinaus bietet Ihnen die Lösung Einblick in die Aktivitäten privilegierter Benutzer in Ihrer IT-Umgebung und alarmiert Sie bei verdächtigem Verhalten.

Fazit

Seitenbewegungen sind eine gängige Technik von Angreifern. Stellen Sie sicher, dass Sie sie abschneiden und mit den richtigen Strategien, Techniken und Werkzeugen eindämmen.