![\"Breaking](\"https:\/\/www.ninjaone.com\/wp-content\/uploads\/2023\/10\/Breaking-attack-chains-header-image-1030x515-1.jpg\" "\\"Breaking")
<\/p>\n<\/p>\n
Haben Sie Kunden, die nicht f\u00fcr Sicherheitssoftware von Drittanbietern bezahlen m\u00f6chten oder sich zus\u00e4tzlichen Schutz erhoffen? Wir verraten Ihnen, wie Sie viele Angriffstaktiken mit integrierten Windows-Werkzeugen blockieren oder \u00fcberwachen k\u00f6nnen.<\/strong><\/p>\n Die gro\u00dfe Attacke auf einen bekannten IT-Anbieter und dessen Kunden Ende letzten Jahres hat das Thema ins \u00f6ffentliche Interesse ger\u00fcckt. Kein Wunder, denn dieser Angriff bot alle Merkmale, um maximale Aufmerksamkeit zu erregen: Opfer mit gro\u00dfen Namen; Angreifer, die sehr wahrscheinlich von einem Staat finanziert wurden; hochmoderne Angriffsmethoden; Bedrohungen der nationalen Sicherheit anderer Staaten und nicht zuletzt gravierende Auswirkungen auf die zuk\u00fcnftige politische Cyberstrategie der USA, die entsprechende Gegenma\u00dfnahmen einleiten d\u00fcrften.<\/p>\n Doch w\u00e4hrend nach und nach immer weitere Details in den News-Feeds auftauchen und Unternehmen dar\u00fcber nachdenken, wie sie mit einem \u00e4hnlichen Angriff umgehen w\u00fcrden, geht das weniger spektakul\u00e4re Gesch\u00e4ft gew\u00f6hnlicher cyberkrimineller Akteure still und leise weiter. Jeden Tag fangen Horden von Malspam-Aktivit\u00e4ten neue Opfer. Ransomware mag sich in der ungewohnten Position befinden, nicht mehr die IT-Bedrohung Nummer Eins zu sein, aber sie f\u00fcllt weiterhin die Geldb\u00f6rsen krimineller Akteure mit frischen Bitcoins. <\/p>\n Chris Krebs, ehemaliger Director der U.S. Agency f\u00fcr Cyber- und Infrastruktursicherheit und Katie Nickels, Director of Threat Intelligence bei Red Canary , machen darauf aufmerksam<\/a>, dass eine beunruhigende Tendenz zu beobachtet ist, dass sich allein auf staatliche Akteure konzentriert wird und das \u201elangweilige, kriminelle Zeug\u201c dabei vernachl\u00e4ssigt w\u00fcrde. <\/p>\n Diese \u201elangweilige Kriminalit\u00e4t\u201c ist f\u00fcr die Mehrzahl der Gefahren verantwortlich, mit denen es MSP\u2019s und ihre Kunden zu tun bekommen. In den letzten Jahren wurde viel in die Entwicklung sicherer Unternehmensnetzwerke und in Trainings f\u00fcr Mitarbeiter investiert, trotzdem finden Angreifer weiterhin Wege, um gro\u00dfen Schaden anzurichten. Schlimmer noch: Diese Sch\u00e4den werden umfangreicher und verursachen mehr und mehr Kosten. <\/p>\n Laut dem Ransomware Incident Response Anbieter Coveware<\/strong> stieg die durchschnittliche Summe f\u00fcr gezahlte L\u00f6segelder im 3. Quartal 2020 auf 196.624 Euro<\/a> an. Das entspricht einer Steigerung um 31% gegen\u00fcber dem 2. Quartal. Die durchschnittliche Ausfallzeit, die von Ransomware verursacht wurde, stieg ebenfalls auf 19 Tage an.<\/p>\n Quelle: <\/span><\/i>Coveware Q3\/2020 Ransomware Report<\/span><\/i><\/a><\/p>\n <\/p>\n Coveware berichtet f\u00fcr das 3. Quartal 2020 auch von einer ansteigenden Zahl an F\u00e4llen (50% aller Ransomware Attacken, mit denen das Unternehmen befasst ist), bei denen Angreifer mit der Ver\u00f6ffentlichung der gestohlenen Daten drohten.<\/p>\n Die sich versch\u00e4rfende Bedrohungslage, erfordert von MSP\u2019s, nach besseren Wegen zur Verteidigung zu suchen. Dabei geht es nicht allein um das Blockieren von Schadsoftware, sondern um das Suchen, Blockieren und Beantworten von Hinweisen auf Cyberattacken, die am Anfang des Cyber Attack Chain zu beobachten sind.<\/strong><\/p>\n Das folgende Diagramm wurde vom Microsoft 365 Defender Intelligence Team im April 2020 erstellt. Die Grafik bietet einen guten \u00dcberblick, welche charakteristischen Aktivit\u00e4ten IT-Experten nach einem Angriff beobachten. Diebstahl von Zugangsdaten, Seitw\u00e4rtsbewegungen innerhalb der IT-Umgebung und Persistance-Strategien (zielgerichtete, andauernde Angriffsmethoden) \u2013 neben der T\u00e4tigkeit, auf die sich Laien am meisten fokussieren: dem letztendlichen Zugriff und der Ausf\u00fchrung der Schadsoftware. <\/p>\n Quelle: <\/span><\/i>Microsoft 365 Defender Intelligence Team<\/span><\/i><\/a><\/p>\n <\/p>\n Das Diagramm veranschaulicht, wie sehr sich die Angriffsmuster \u00e4hneln. Anfangs versuchen die Angreifer einen Fu\u00df in die T\u00fcr zu bekommen, um sich tiefer in das System vorzuarbeiten, Backups und andere Verteidigungsma\u00dfnahmen zu deaktivieren, damit sie (oder ein anderer Akteur, dem sie den Zugang verkaufen) die Ransomware ausf\u00fchren k\u00f6nnen. So erzeugt der erpresserische Angriff die gr\u00f6\u00dftm\u00f6gliche Wirkung und die Opfer haben kaum mehr Optionen, als das L\u00f6segeld zu bezahlen.<\/p>\n Das Unterteilen des Cyber Attack Chains in einzelne Kettenglieder mag den ein oder anderen fachkundigen Leser an das MITRE ATT&CK Framework<\/a> erinnern, dass deutlich tiefer ins Detail geht und zahlreiche weitere Angriffstaktiken beleuchtet.<\/p>\n Mir gef\u00e4llt diese vereinfachte Herangehensweise. Die ATT&CK Matrix ist inzwischen un\u00fcbersichtlich geworden, daher dachte ich mir, ich w\u00fcrde lieber einen eigenen Versuch wagen, ein zug\u00e4nglicheres Attack-Chain-Modell zu erstellen. Mein Ansatz geht jedoch etwas in eine andere Richtung: Ich m\u00f6chte mich auf 5 Werkzeuge von Microsoft konzentrieren, zu denen Unternehmen bereits einen Zugang haben sollten. Damit lassen sich die meisten der gebr\u00e4uchlichen Angriffstaktiken blockieren, oder zumindest erkennen. Bei den 5 Werkzeugen handelt es sich um folgende: <\/p>\n Neben der Vermeidung von Zusatzkosten f\u00fcr Drittanbieter von Sicherheitssoftware, bietet sich mit diesen Werkzeugen der zus\u00e4tzliche Vorteil, dass die meisten der Verteidigungsstrategien, die wir unten behandeln, zentral \u00fcber Ihr RMM oder Intune bereitgestellt und\/oder konfiguriert werden k\u00f6nnen.<\/p>\n Hinweis zum Haftungsausschluss:<\/strong> Diese Liste erhebt beim besten Willen keinen Anspruch auf Vollst\u00e4ndigkeit. Sie soll vielmehr einige grundlegende Informationen auf eine etwas neue Art und Weise pr\u00e4sentieren, die MSP’s zum Nachdenken anregt. Wir hoffen, dass sie Ihnen helfen kann, zus\u00e4tzliche, relativ einfache M\u00f6glichkeiten zu identifizieren, um Ihre Sicherheitsma\u00dfnahmen und die Ihrer Kunden zu verbessern, indem Sie Angreifern das Leben ein wenig schwerer machen.<\/p>\n <\/p>\n <\/p>\n Besch\u00e4ftigen wir uns intensiver mit dem dargestellten Diagramm und versuchen wir zu verstehen, welche M\u00f6glichkeiten zur Identifikation fragw\u00fcrdigen Verhaltens oder zum Unterbrechen des Attack Chains Ihnen die jeweiligen Werkzeuge anzubieten haben.<\/p>\n Entsch\u00e4rft folgende Taktik: <\/strong><\/p>\n Nat\u00fcrlich ist bekannt, dass man das Remote Desktop Protocol (RDP) nicht dem Internet offenlegen sollte. Trotzdem war ein nicht angemessen abgesichertes RDP f\u00fcr mehr als 50% der Ransomware-Opfer, mit denen Coveware es im 3. Quartal 2020 zu tun bekam, die Schwachstelle, die den Angriff urspr\u00fcnglich erst m\u00f6glich gemacht hatte.<\/p>\n Sie k\u00f6nnen Kompromittierungen durch eine Konfiguration von RD Gateway<\/a> und durch das Befolgen zus\u00e4tzlicher Ma\u00dfnahmen (darunter: MFA) <\/a>vermeiden.<\/p>\n Sollten sie zu 100% sicher sein, dass es nirgendwo einen Server gibt, dessen RDP Sie in Schwierigkeiten bringen k\u00f6nnte, dann w\u00e4re es trotzdem gut, Sie w\u00fcrden diese Tatsache durch den Test mit einem der folgenden PowerShell Skripte von Cyberdrain Autor Kelvin Tegelaar best\u00e4tigen. Dieses Skript hilft Ihnen dabei, Port-Scans durchzuf\u00fchren<\/a>, und und mit diesem k\u00f6nnen Sie Shodan-Scans durchf\u00fchren<\/a> (daf\u00fcr m\u00fcssen Sie allerdings einen bezahltes Benutzerkonto bei Shodan anlegen).<\/p>\n Entsch\u00e4fte Taktiken:<\/strong><\/p>\n Ich empfehle Ihnen die Microsoft\u2019s Attack Surface Reduction (ASR) Regeln<\/a>. Wie man an der Liste entsch\u00e4rfter Taktiken sehen kann, bieten sie Schutz vor einer Menge an Gef\u00e4hrdungen in verschiedenen Angriffsstadien. Microsoft best\u00e4tigt<\/a>, dass die von Ihnen entwickelten ASR-Regeln dazu dienen, einige der Bereiche abzuschirmen, in denen Microsoft mit am h\u00e4ufigsten Angriffe beobachtet. Ziel ist es, Organisationen, die auf leistungsstarke, aber eben auch oft missbrauchte Funktionen und Programme wie Office-Macros, WMI, PsExec, etc. angewiesen sind, besser zu sch\u00fctzen.<\/p>\n Voraussetzungen zur Umsetzung von ASR Regeln beinhalten:<\/p>\n Der Haken an ASR Regeln besteht darin, dass Microsoft Unternehmenslizenzen daf\u00fcr verlangt (E5, falls Sie die gesamte Palette an Integrationen mit \u201eDefender f\u00fcr Endpunkte\u201c plus erweiterte Funktionen f\u00fcr Monitoring, Benachrichtigungen und Berichterstellung erhalten m\u00f6chten. Jedoch hat das Unternehmen in seiner Dokumentation best\u00e4tigt, dass Sie mittels einer 365 Business Lizenz die ASR Regeln verwenden k\u00f6nnen \u2014 Es wird nur nicht offiziell unterst\u00fctzt<\/a>.<\/p>\n Ein anderer Einwand, den ich bez\u00fcglich der ASR-Regeln geh\u00f6rt habe, ist das Problem von falschen Positiv-Meldungen und potenziell hohem Benachrichtigungsaufkommen. Das interne Sicherheitsteam bei Palantir hat dazu einen extrem hilfreichen (englischen) Blog-Artikel ver\u00f6ffentlicht, in dem sie detailliert ihre Erfahrungen mit den 15 verf\u00fcgbaren ASR Regeln darstellen<\/a>, wozu auch Ratschl\u00e4ge geh\u00f6ren, welche Regeln sicher im Blockierungsmodus konfiguriert werden k\u00f6nnen, welche besser im Beobachtungsmodus bleiben sollten und welche Regeln, abh\u00e4ngig von Ihrer IT-Umgebung, ganz deaktiviert werden sollten.<\/p>\n ASR Regeln zum Blockieren von Angriffen gegen Microsoft Office:<\/strong><\/p>\n ASR Regeln zum Blockieren zus\u00e4tzlicher Malware und dem Missbrauch von Anwendungen:<\/strong><\/p>\n ASR Regeln f\u00fcr das Blockieren von b\u00f6sartigen Skripten:<\/strong><\/p>\n ASR Regeln zur Blockierung von b\u00f6swilligen Handlungen nach einer Kompromittierung:<\/strong><\/p>\n * Empfehlungen der Sicherheitsfirma Palantir basierend auf internen Erfahrungswerten und Recherche<\/a>.<\/p>\n Entsch\u00e4rfte Taktiken:<\/strong><\/p>\n Windows Firewall ist eines der zu wenig ausgenutzten Werkzeuge, das einen gro\u00dfen Beitrag zur Sicherheitsstrategie eines Unternehmens leisten kann. Wie Palantirs Chief Information Security Officer Dan Stuckey verdeutlicht<\/a>, ist sie nicht nur bereits vorkonfiguriert und vorhanden, sondern \u201estellt auch einen der einfachsten Wege dar, den Fernzugriff auf oft missbr\u00e4uchlich ausgenutzte Services zu beschr\u00e4nken.\u201c<\/p>\n Eine der gr\u00f6\u00dften Chancen, die sie Sicherheitsexperten bietet, ist die M\u00f6glichkeit, Kompromittierungen zu isolieren, indem Angreifer daran gehindert werden, SMB-basierte Seitw\u00e4rtsbewegungen durchzuf\u00fchren. Um zu verstehen, warum Angreifer das Windows Server Message Block (SMB) Protokoll nutzen, um sich horizontal vorzuarbeiten, sollten Sie diesen englischsprachigen Post lesen<\/a>. Darin finden Sie einen genauen \u00dcberblick und die wichtigsten Infos dar\u00fcber, wie man es nutzen kann, um MFA zu umgehen.<\/p>\n Der Artikel gibt auch detailliert Auskunft \u00fcber die Kontrollmechanismen, die sich f\u00fcr das Sicherheitsteam von Palantir als effektiv erwiesen haben, bei der Restriktion von SMB-basierten Seitw\u00e4rtsbewegungen in einer kompromittierten IT-Umgebung. Dazu geh\u00f6rt die Implementation eines einfachen abgestuften Administrationsmodells<\/a> und die Verwendung einer einfachen Windows Firewall Regel, via GPO, die alle nach innen gerichteten Kommunikationsversuche \u00fcber die Ports 139 und 445 blockiert. Dar\u00fcber hinaus empfehlen sie, inbound WinRM und RDP zu Workstations zu unterbinden und ihnen die Verwendung von LLMNR, Netbios, oder mDNS outbound zu untersagen (siehe Link weiter oben und ebenfalls hier f\u00fcr weitere Details<\/a>).<\/p>\n Entsch\u00e4rfte Taktiken:<\/strong><\/p>\n Die bisher beschriebenen Verwendungsm\u00f6glichkeiten f\u00fcr die ersten drei Werkzeuge konzentrierten sich vorwiegend auf Pr\u00e4ventionsma\u00dfnahmen. Sie helfen prim\u00e4r, das Eindringen zu verhindern oder zu erschweren und b\u00f6swillige Aktivit\u00e4ten zu blockieren. Mit diesem und dem folgenden Werkzeug verlagern wir unsere Aufmerksamkeit in Richtung Aufsp\u00fcrung von Kompromittierungen und die Reaktion darauf.<\/p>\n Viele MSP\u2019s verwenden PowerShell bereits aktiv, um eine Vielzahl an Fernverwaltungsaufgaben zu automatisieren. Dank der hervorragenden Arbeit von Skripting-Experten wie Cyberdrain Autor Kelvin Tegelaar<\/a>, gelingt es mehr und mehr MSP\u2019s Ihre \u00dcberwachungsprozesse ebenfalls mit PowerShell zu optimieren.<\/p>\n Es ist wichtig, dass man sofort von Anzeichen f\u00fcr Probleme bei Kundennetzwerken erf\u00e4hrt, und zwar logischerweise, bevor<\/strong> Ransomware installiert werden kann. Das folgende von Kelvin verfasste Skript kann Ihnen dabei helfen, Sicherheitsl\u00fccken sowie viele unterschiedliche verd\u00e4chtige Aktivit\u00e4ten einer n\u00e4heren Untersuchung zu unterziehen:<\/p>\n PowerShell Skripte zur Identifikation von Risiken angreifbarer Systeme:<\/strong><\/p>\n PowerShell Skripte zur Identifikation m\u00f6glicher Seitw\u00e4rtsbewegungen, andauernder Bedrohungen und Ransomware-Aktivit\u00e4ten:<\/strong><\/p>\n Kelvin ver\u00f6ffentlicht regelm\u00e4\u00dfig neue Skripte \u00fcber den Cyberdrain Blog<\/a>, also lohnt es sich, immer mal wieder einen Blick darauf zu werfen.<\/p>\n Entsch\u00e4rfte Taktiken:<\/strong><\/p>\n Eine der andauernden Strategien f\u00fcr gezielte Angriffe besteht darin, b\u00f6sartige Skripte in der Windows-Registrierungsdatenbank zu platzieren, mit der Absicht, sie bei Systemneustarts auszuf\u00fchren, oder sie von Shortcuts oder Batch Files ausl\u00f6sen zu lassen.<\/p>\n Microsoft Autoruns<\/a> ist das Werkzeug, mit dem Sie herausfinden k\u00f6nnen, welche Programme dazu bestimmt sind, w\u00e4hrend des Neustarts oder Einloggens zu Laufen. Dieser Artikel<\/a> beschreibt, wie man es konfiguriert und zur Identifikation und Inspektion verd\u00e4chtiger Registrierungseintr\u00e4ge verwendet. Es werden auch verschiedene Beispiele f\u00fcr verd\u00e4chtige Registrierungseintr\u00e4ge er\u00f6rtert, nach denen man Ausschau halten sollte.<\/p>\n Es ist klar, dass diese 5 Werkzeuge das Risiko, von Ransomware betroffen zu sein, nicht eliminieren k\u00f6nnen. Aber sie werden Ihnen auf jeden Fall dabei helfen, vorhandene Sicherheitsl\u00fccken zu erkennen und zu beheben. Sie k\u00f6nnen es potenziellen Angreifern damit sehr viel schwerer machen, Ihnen oder Ihren Kunden mit wenig Aufwand gro\u00dfen Schaden zuzuf\u00fcgen.<\/p>\n Wie es so sch\u00f6n hei\u00dft, lautet die Frage nicht ob<\/em> Sie angegriffen werden, sondern wann<\/em>. In Wirklichkeit gibt es aber auch noch eine zweite Frage: Wie schlimm werden die Konsequenzen sein? Mit diesen Werkzeugen und dem Einsatz weiterer Best Practices zum Schutz Ihrer Systeme, wie zum Beispiel der Erh\u00f6hung von Alarmierungskapazit\u00e4ten, k\u00f6nnen Sie unvermeidliche Angriffe fr\u00fcher erkennen und bek\u00e4mpfen. Das kann den Unterschied zwischen einem unerfreulichen Zwischenfall und der ganz gro\u00dfen Katastrophe bedeuten. Ich hoffe, ich konnte Ihnen dabei helfen.<\/p>\n","protected":false},"excerpt":{"rendered":" Haben Sie Kunden, die nicht f\u00fcr Sicherheitssoftware von Drittanbietern bezahlen m\u00f6chten oder sich zus\u00e4tzlichen Schutz erhoffen? Wir verraten Ihnen, wie Sie viele Angriffstaktiken mit integrierten Windows-Werkzeugen blockieren oder \u00fcberwachen k\u00f6nnen. Die gro\u00dfe Attacke auf einen bekannten IT-Anbieter und dessen Kunden Ende letzten Jahres hat das Thema ins \u00f6ffentliche Interesse ger\u00fcckt. Kein Wunder, denn dieser Angriff […]<\/p>\n","protected":false},"author":28,"featured_media":129396,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4368,3041],"tags":[],"class_list":["post-145881","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicherheit","category-rmm-de"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/145881","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/users\/28"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/comments?post=145881"}],"version-history":[{"count":0,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/145881\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/media\/129396"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/media?parent=145881"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/categories?post=145881"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/tags?post=145881"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}![\"coveware](\"https:\/\/www.ninjaone.com\/wp-content\/uploads\/2023\/10\/coveware-q3-ransomware-stats-1030x782-1.png\" "\\"coveware-q3-ransomware-stats\\"")
<\/p>\nVerbesserung der Verteidigung durch die Kalibrierung von Werkzeugen auf den Cyber Attack Chain<\/h2>\n
![\"microsoft](\"https:\/\/www.ninjaone.com\/wp-content\/uploads\/2023\/10\/microsoft-ransomware-attack-chains-diagram.png\" "\\"microsoft-ransomware-attack-chains-diagram\\"")
<\/p>\n\n
![\"Cyber](\"https:\/\/www.ninjaone.com\/wp-content\/uploads\/2023\/10\/Cyber-Attack-Chain-Diagram-with-Mapped-Defensive-Tools-1030x796-1.png\" "\\"Cyber")
<\/p>\nWerkzeug #1: RD Gateway<\/h2>\n
\n
Werkzeug #2: Attack Surface Reduction (ASR): Regeln zur Verkleinerung der Angriffsfl\u00e4che<\/h2>\n
\n
\n
\n
\n
\n
\n
\n
\n
Werkzeug #3: Windows Firewall<\/h2>\n
\n
Werkzeug #4: PowerShell<\/h2>\n
\n
\n
\n
Werkzeug #5: Autoruns<\/h2>\n
\n
All diese M\u00f6glichkeiten dienen dazu, zus\u00e4tzliche Sicherheitsebenen zu generieren und die eigenen Handlungsm\u00f6glichkeiten und Chancen zu verbessern<\/h2>\n