Ein Leitfaden zu CIS Control 10: Malware-Abwehr

Kontrolle 10 der CIS Critical Security Controls Version 8 konzentriert sich auf Malware-Abwehr. Sie beschreibt Schutzmaßnahmen zur Verhinderung oder Kontrolle der Installation, Verbreitung und Ausführung von bösartigen Anwendungen, Code und Skripten auf Unternehmensressourcen. (In der CIS-Version 7 wurde dieses Thema von Kontrolle 8 abgedeckt.)

Malware, insbesondere Ransomware, ist in den letzten Jahren zu einem drängenden Sicherheitsproblem geworden. Ransomware hindert Nutzer daran, auf ihre Systeme oder Informationen zuzugreifen, und droht typischerweise damit, Daten zu veröffentlichen oder zu zerstören, es sei denn, der Eigentümer zahlt ein Lösegeld. Expertenprognosen besagen, dass es bis 2031 alle 2 Sekunden einen neuen Angriff geben wird und die Kosten für Ransomware 265 Milliarden Dollar pro Jahr erreichen werden.

Schadsoftware ist darauf ausgelegt, Angreifern den Zugang zu Systemen und Netzwerken zu ermöglichen und die Kontrolle darüber zu erlangen, in der Regel mit der Absicht, sensible Daten zu extrahieren. Zusätzlich zu ransomware kann Malware in Form eines trojan horse auftreten, das als reguläres Programm getarnt ist; viruses and worms die betroffene Systeme verändern, um den Zwecken des Angreifers zu dienen; und mehr. Malware erhöht das Geschäftsrisiko, indem sie Daten stiehlt, Anmeldeinformationen erfasst, Daten verschlüsselt oder zerstört und weitere Ziele in Ihrem Netzwerk identifiziert.

Anzeichen einer Malware-Infektion können sein:

• Spam und Pop-up-Werbung
• Ein langsames oder eingefrorenes System
• Häufige Abstürze
• Unbekannte Prozesse und Dienste werden erstellt oder gestartet
• Neue Dateien oder Ordner werden ohne Erlaubnis erstellt
• Weiterleitungen von bekannten Websites zu unbekannten Seiten

Malware-Bedrohungen können sich mithilfe von Machine-Learning-Techniken weiterentwickeln und anpassen und können über mehrere Schwachstellen in die Systeme Ihrer Organisation eindringen, während sie Abwehrmaßnahmen dagegen vermeiden, täuschen und außer Kraft setzen.

Um Ihre Organisation vor Malware-Infektionen zu schützen und eine schnelle Reaktion auf Vorfälle zu gewährleisten, befolgen Sie die nachfolgend detaillierten CIS Control 10 Sicherheitsmaßnahmen.

10.1. Installieren und warten Sie Anti-Malware-Software auf allen Unternehmensressourcen

Anti-Malware-Software identifiziert Malware mit verschiedenen Techniken, einschließlich:

• Definitionen oder Signaturen — Jedes Malware-Element hat eine Definition oder Signatur, die erfasst und in einer Datenbank gespeichert werden kann. Anti-Malware-Lösungen führen kontinuierliche Scans durch und vergleichen den in das System eintretenden oder darauf vorhandenen Code mit den Signaturen in der Datenbank, um Malware zu identifizieren und zu markieren.
• Heuristische Analyse — Da Codeänderungen häufig vorkommen, werden Heuristiken verwendet, um Malware anhand ihres Verhaltens und ihrer Merkmale zu identifizieren, anstatt den Code mit einer Signatur zu vergleichen. Sie können bei der Erkennung von bisher unentdeckter Malware helfen.
• Sandboxing— Anti-Malware-Lösungen nutzen diese Testmethode, um ein verdächtiges Programm in einem geschützten Bereich auszuführen und sein Verhalten zu überwachen, als hätte es vollen Systemzugriff. Stellt sich heraus, dass das Programm bösartig ist, wird es von der Anti-Malware beendet. Andernfalls darf es außerhalb der Sandbox ausgeführt werden.

Sobald Malware identifiziert wurde, kann die meisten Anti-Malware-Software diese entweder entfernen oder in einer geschützten Datei in Quarantäne stellen. Anti-Malware-Software ist nicht 100% effektiv, aber sie ist dennoch ein wesentliches Sicherheitselement.

10.2. Automatische Anti-Malware-Signaturaktualisierungen konfigurieren

Signaturen (Definitionen) sind Algorithmen oder Hashes, die für ein spezifisches Stück Malware einzigartig sind. Anti-Malware-Tools vergleichen Dateien auf Ihren Systemen mit einem Satz von Signaturen, um Malware zu kennzeichnen.

Da sich Malware ständig verändert und anpasst, muss sich auch die Anti-Malware-Software weiterentwickeln, um wirksam zu bleiben. Aktualisierungen sind die einzige Methode, um sicherzustellen, dass Anti-Malware die neuesten Schadcodes erkennt.

Automatische Updates sind effizienter und zuverlässiger, als Benutzer oder Ihr IT-Team um die Installation von Updates zu bitten. Updates können stündlich oder täglich veröffentlicht werden, und jede Verzögerung bei der Installation kann Ihr System für böswillige Akteure anfällig machen.

10.3. Deaktivieren Sie Autorun und Autoplay für Wechselmedien

Wechselmedien wie USB-Sticks und tragbare Festplatten sind anfällig für Malware, genau wie jedes andere Computersystem. Diese Medien können so eingestellt werden, dass sie automatisch Programme herunterladen, installieren, abspielen oder ausführen, sobald Sie sie an Ihren Computer anschließen. Malware kann Ihr Gerät infizieren, bevor Sie es stoppen können.

Durch Deaktivieren der Auto-Execute-Funktionalität als Teil Ihres sicheren Konfigurationsmanagements können Sie Malware Infektionen verhindern, die Datenverletzungen, Systemausfallzeiten, Reputationsschäden und finanzielle Verluste verursachen könnten.

10.4. Automatisches Anti-Malware-Scannen von Wechselmedien konfigurieren

Einige Hacker lassen USB-Sticks herumliegen, in der Hoffnung, dass jemand sie aufhebt und einsteckt, sei es auch nur aus Neugier. In anderen Fällen kann Wechselmedien, die sich außerhalb Ihrer Kontrolle befinden, mit Malware infiziert sein oder dazu verwendet werden, Malware von einem System auf ein anderes zu übertragen, sei es unbeabsichtigt oder absichtlich.

Das Einstellen Ihrer Antivirensoftware, um Wechselmedien sofort nach dem Anschließen automatisch zu scannen, hilft dabei, Malware zu erkennen und sie zu isolieren oder zu beenden, bevor sie das System infizieren kann, an das sie angeschlossen ist. Best Practices empfehlen, die Verwendung von Wechselmedien zu begrenzen und eine strenge Kontrolle über deren Verbleib zu üben. Gruppenschulungen sind hilfreich, um das Bewusstsein für die Risiken von Wechselmedien zu schärfen.

10.5. Aktivieren Sie Anti-Exploitation-Funktionen

Diese Kontrolle empfiehlt, Anti-Exploit-Funktionen auf Unternehmensressourcen und Software zu aktivieren, wo immer dies möglich ist. Beispiele hierfür sind Microsoft Data Execution Prevention (DEP), Windows Defender Exploit Guard (WDEG) und Apple System Integrity Protection (SIP) sowie Gatekeeper.

Anti-Exploitation-Funktionen bieten generischen Schutz gegen Exploits, anstatt nach bekannter Malware wie Antiviren- oder signaturbasierter Anti-Malware zu suchen. Die meisten sind in aktuellen Betriebssystemen integriert, um das Eindringen von Malware zu verhindern, aber die Funktionen sind standardmäßig deaktiviert, daher müssen Sie sie aktivieren, um sie nutzen zu können.

Anti-Exploitation-Sicherheit ist besonders wirksam gegen die häufigsten Exploits, die Masseninfektionen verursachen, wie Drive-by-Download-Seiten, Phishing-Kampagnen und bösartige iFrames. Diese Funktionen mildern auch Zero-Day-Schwachstellen ab, die bisher unbekannte Schwachstellen sind, für die noch keine Patches oder Fixes verfügbar sind. Die Funktionen helfen auch, Buffer-Overflows und andere Angriffe aufgrund von Speicherkorruption zu stoppen.

10.6. Zentral verwalten Sie Anti-Malware-Software

Wenn Sie mehrere Anti-Malware-Lösungen haben, die nicht miteinander kommunizieren, besteht das Risiko, dass Sie Malware oder Trends im gesamten Unternehmen nicht erkennen können. Sie müssen sich mit jedem Silo separat auseinandersetzen.

Schließen Sie diese Sicherheitslücke durch die Implementierung einer einzigen, zentral verwalteten Anti-Malware-Lösung, die jedes Gerät in Ihrer Organisation scannt und Berichte erstellt. Dadurch reduzieren Sie die Expertise, die Sie benötigen, um verschiedene Lösungen abzudecken und stellen sicher, dass Sie nichts übersehen, weil es zwischen den Lösungen durchgerutscht ist. Und im Falle eines Datenverstoßes müssen Sie nur an einer Stelle nach Informationen suchen.

10.7. Verwenden Sie verhaltensbasierte Anti-Malware-Software

Lösungen, die auf Signaturen basieren, identifizieren nur bereits bekannten Code. Die heutige Malware ist oft klug genug, um diese Werkzeuge durch eingebaute Unklarheiten zu umgehen, die zu variablen Codeausführungen führen.

Verhaltensbasierte Lösungen können bösartige Dateien identifizieren, die signaturbasierte Lösungen nicht erkennen würden, da sie jede Zeile des Codes und all seine potenziellen Aktionen analysieren können. Zum Beispiel können diese Lösungen die Ausführung von Betriebssystembefehlen analysieren; Code auf niedriger Ebene, wie Rootkits; sowie kritische oder irrelevante Dateien, Prozesse und interne Dienste.

Allerdings hat verhaltensbasierte Software einige Nachteile. Während signaturbasierte Anti-Malware Malware in Echtzeit identifiziert, weist verhaltensbasierte Anti-Malware-Software aufgrund der Notwendigkeit einer dynamischen Analyse über mehrere Dimensionen hinweg eine gewisse Latenz auf. Zusätzlich ist es unwahrscheinlich, dass verhaltensbasierte Lösungen Malware mit Anti-Sandbox-Fähigkeiten erkennen.

Auf der positiven Seite bietet verhaltensbasierte Anti-Malware-Software Flexibilität bei der Suche nach verschiedenen Formen von Malware, die für signaturbasierte Software unbekannt sind. Sie verbessert die Eindringlingserkennung, die Bedrohungsanalyse und die Benutzeranalytik und ermöglicht es Ihnen, Richtlinien zu erstellen oder zu ändern, um spezifische Anforderungen für Ihre Branche oder Organisation zu erlauben oder zu untersagen. Die meisten verhaltensbasierten Softwares folgen einem richtlinienbasierten Kontrollmechanismus, daher ist Flexibilität für administrative Zwecke wichtig.

Weitere Tipps zur Malware-Prävention und -Minderung

• Verwenden Sie sichere Authentifizierungsmethoden, einschließlich starker Passwörter, Multifaktor-Authentifizierung (MFA) oder biometrischer Werkzeuge.
• Verwenden Sie Administrator-Konten nur, wenn es unbedingt notwendig ist.
• Halten Sie sich an das Prinzip der geringsten Berechtigungen: Gewähren Sie Benutzern den minimalen Zugriff auf Systemfunktionen, Dienste und Daten, den sie zur Erledigung ihrer Arbeit benötigen.
• Implementieren Sie Lösungen für E-Mail-Sicherheit und Spam-Schutz.
• Schaffen Sie Bewusstsein für gängige Malware-Taktiken und halten Sie die Benutzer über Trends und bewährte Verfahren in der Cybersicherheit auf dem Laufenden. Raten Sie ihnen insbesondere dazu, sichere Netzwerke unter Verwendung von VPNs zu nutzen, wenn sie außerhalb des Büros arbeiten.
• Ermutigen Sie Benutzer dazu, ungewöhnliches Systemverhalten zu melden.

Zusammenfassung

Die Befolgung der CIS critical security controls kann einem Unternehmen helfen, die Sicherheit zu stärken, die Einhaltung von Vorschriften zu erreichen und die Geschäftsresilienz zu verbessern, sowohl vor Ort als auch in der Cloud.

Kontrollmaßnahme 10 empfiehlt die Verwendung von verhaltensbasierten Anti-Malware- und signaturbasierten Tools mit aktivierten automatischen Updates sowie die zentrale Verwaltung der Software. Stellen Sie außerdem sicher, dass die Anti-Exploit-Funktionen in Ihren Betriebssystemen aktiviert sind und den Gebrauch von Wechselmedien auf Ihren Geräten streng kontrollieren, falls Sie deren Nutzung überhaupt zulassen. Indem Sie diesen Best Practices folgen, können Sie Ihr Risiko einer verheerenden Malware-Infektion verringern.