Zwischen Ausspähung und Botnet
Ist dies erfolgt, sind nun unterschiedliche Bedrohungsszenarien denkbar: Valide Zugriffsschlüssel können auch auf anderen Maschinen genutzt werden, sodass der Angreifer dort eine weitere Instanz der Software installieren kann, auf der kontinuierlich alle Änderungen der gespeicherten Dateien synchronisiert werden. Damit kann über die ganz normalen Cloud-Synchronisations-Mechanismen illegitimer Zugriff auf private oder wahlweise auch Unternehmens-Daten erfolgen. Dies eröffnet Möglichkeiten, die von Spionage (durch Ausspähung innerhalb der Cloud gespeicherter Daten) bis zur Erpressung (Verschlüsselung oder temporäre Löschung entsprechend bekannter Ransomware-Angriffe) reichen.
- Woran Sie einen Angriff erkennen
Nach Analysen von McAfee weisen vor allem acht Indikatoren darauf hin, dass ein Unternehmensnetz in die Schusslinie von Hackern geraten ist. Hans-Peter Bauer, Vice President Zentraleuropa bei McAfee, stellt sie vor. - Interne Hosts kommunizieren mit bösartigen oder unbekannten Zieladressen
In jedem Fall verdächtig ist, wenn ein Host-Rechner auf externe Systeme zugreift, deren IP-Adressen auf "Schwarzen Listen" von IT-Sicherheitsfirmen zu finden sind. Vorsicht ist auch dann geboten, wenn Rechner häufig Verbindungen zu Systemen in Ländern aufbauen, zu denen ein Unternehmen keine geschäftlichen Beziehungen unterhält. Dabei kann es sich um den Versuch handeln, Daten aus dem Unternehmen hinauszuschmuggeln. - Interne Hosts kommunizieren mit externen Hosts über ungewöhnliche Ports
Auffällig ist beispielsweise, wenn interne Rechner über Port 80 eine SSH-Verbindung (Secure Shell) zu einem System außerhalb des Firmennetzes aufbauen. SSH nutzt normalerweise Port 22 (TCP). Port 80 ist dagegen die Standardschnittstelle für HTTP-Datenverkehr, also den Zugriff auf das Internet. Wenn ein Host einen ungewöhnlichen Port verwendet, kann dies ein Indiz dafür sein, dass ein Angreifer das System unter seine Kontrolle gebracht hat. Um IT-Sicherheitssysteme zu täuschen, tarnt ein Hacker dann die Kommunikation mit seinem Command-and-Control-Server (C&C) als Anwendung, die jedoch nicht den Standard-Port verwendet. - Öffentlich zugängliche Hosts oder Hosts in entmilitarisierten Zonen (DMZ) kommunizieren mit internen Hosts
Mithilfe solcher Hosts kann es Angreifern gelingen, gewissermaßen "huckepack" in ein Unternehmensnetz einzudringen, Daten zu stehlen oder IT-Systeme zu infizieren. - Warnungen von Malware-Scannern außerhalb der Geschäftszeiten
Verdächtig ist, wenn Antiviren-Programme in der Nacht oder am Wochenende Alarm schlagen, also außerhalb der normalen Arbeitszeiten. Solche Vorkommnisse deuten auf einen Angriff auf einen Host-Rechner hin. - Verdächtige Netzwerk-Scans
Führt ein interner Host-Rechner Scans des Netzwerks durch und nimmt er anschließend Verbindung zu anderen Rechnern im Firmennetz auf, sollten bei Administratoren die Alarmglocken schrillen. Denn dieses Verhalten deutet auf einen Angreifer hin, der sich durch das Netzwerk "hangelt". Vielen Firewalls und Intrusion-Prevention-Systemen (IPS) entgehen solche Aktionen, wie sie nicht entsprechend konfiguriert sind. - Häufung identischer verdächtiger Ereignisse
Ein klassischer Hinweis auf Angriffe ist, wenn mehrere sicherheitsrelevante Events innerhalb kurzer Zeit auftreten. Das können mehrere Alarmereignisse auf einem einzelnen Host sein, aber auch Events auf mehreren Rechnern im selben Subnetz. Ein Beispiel sind Fehler beim Authentifizieren. - Schnelle Re-Infektion mit Malware
Nach dem Scannen mit einer Antiviren-Software und dem Beseitigen eventuell vorhandener Schadsoftware sollte ein IT-System eigentlich längere Zeit "sauber" bleiben. Wird ein System jedoch innerhalb weniger Minuten erneut von Malware befallen, deutet dies beispielsweise auf die Aktivitäten eines Rootkit hin. - Dubiose Log-in-Versuche eines Nutzers
Eigenartig ist, wenn derselbe User innerhalb kurzer Zeit von unterschiedlichen Orten aus Log-in-Versuche in ein Firmennetz startet oder wenn solche Aktionen von Systemen mit unterschiedlichen IP-Adressen aus erfolgen. Eine Erklärung ist, dass die Account-Daten des Nutzers in falsche Hände gefallen sind. Denkbar ist allerdings auch, dass sich ein illoyaler oder ehemaliger Mitarbeiter Zugang zu verwertbaren Daten verschaffen will.
Aber insbesondere der aktive, schreibende Direktzugriff auf den Rechner des Anwenders, also auf den Endpoint, birgt erhöhte Gefahren. Denkbar - und bereits praktisch ausgenutzt - ist hierbei beispielsweise die Nutzung des Anwender-Rechners im Rahmen von Command&Control-Szenarien für Botnets: Die Datei-Synchronisation ermöglicht das Überspielen von immer neuen Programm-Komponenten, die dann auf dem Rechner des Opfers, kontrolliert durch den Angreifer aber durch den Account des Angegriffenen ausgeführt werden. Der Cloudspeicher kann hierbei auch komfortabel für die Bereitstellung auf dem übernommenen Rechner ermittelter Daten quasi als Rückkanal genutzt werden.
Bemerkenswert ist, dass beim "Man in the cloud"-Angriff - anders als bei klassischen "Man in the middle"-Attacken - kein Zugriff auf die Kommunikation mit der eigentlichen Server-Infrastruktur notwendig ist, sondern alles auf der Basis legitimer und eigentlich geduldeter Kommunikationsprotokolle stattfindet
Der Anwender am Zug
Für jeden Anwender solcher Cloud-Dienste stellt sich in dieser Situation die konkrete Frage, inwiefern der Komfort einer solchen Lösung die möglichen Gefahren überwiegt. Viele Unternehmen dulden den Einsatz von Datei-Synchronisations-Mechanismen durch entsprechende Regelungen in ihren Security Policies nicht. Ein sehr kritisches Überdenken des Einsatzes einer solchen Lösung ist aber durchaus schon bei mäßig sensitiven, privaten Daten sinnvoll, etwa Kreditunterlagen oder persönlichen Fotos sinnvoll.
Falls dennoch eine solche Lösung eingesetzt werden soll, stellt sich die Frage, wie die Gefahren erkannt und behoben, oder ganz vermieden werden können. Zu diesem Zweck bieten praktisch alle Dienste Mechanismen zur Überwachung an, die ungewöhnliche Zugriffe identifizieren und dem Benutzer melden. Solche Benachrichtigungen sind in jedem Fall ernst zu nehmen und kritisch zu prüfen.
Aber auch aus eigenem Antrieb heraus ist eine regelmäßige Prüfung der erfolgten Zugriffe und insbesondere der vollständigen Liste der synchronisierenden Maschinen angeraten, die Aufschluss über mögliche Attacken bieten kann. Bei Dropbox beispielsweise findet sich diese Information im Web-Frontend in der Lasche "Sicherheit" im Dropdown-Menü Einstellungen unter dem Benutzernamen. Vergleichbare Funktionalitäten finden sich in allen breit eingesetzten Cloud-Synchronisation-Diensten.
Ungewöhnliche Rechner-Standorte können ein erster Hinweis auf eine Kompromittierung sein. Im Zweifelsfall ist es sicherer, alle registrierten Geräte zu entfernen und sukzessive die tatsächlich vertrauenswürdigen mit neuen Tokens zu registrieren.
Eine möglichst starke Authentifizierung ist ein weiterer Schritt zum Schutz der Tokens. Praktisch alle dieser Dienste bieten heute 2-Faktor-Authentifizierung an, deren Einsatz grundlegend empfohlen ist.
Um den oben beschriebenen, notwendigen ersten Zugriff des Angreifers auf den Rechner im Ansatz zu verhindern, sind die klassischen Schutzmechanismen für den Endpoint umso wichtiger: Dies umfasst den Virenschutz, einen vor aktuellen Angriffvektoren geschützten Browser, ein vorsichtiges, intelligentes Umgehen mit potentiell gefährlichen Inhalten in unbekannten Mail-Nachrichten und einen hochaktuellen Schutz vor Spam- und Phishingnachrichten.
Mit Datenschutz und Datensicherheit kennen sich die Befragten laut eigenen Angaben aus. Doch es fehlt an spezifischen Kenntnissen zu mobilen Apps.
Funktionalität ist das entscheidende Auswahlkriterium bei der App-Auswahl.
Mehr als die Hälfte der befragten Unternehmen weist kein explizites Budget für IT-Security aus.
In den Sicherheitskonzepten der Unternehmen spielen mobile Aspekte häufig keine Rolle.
Verschlüsselung und alternative Dienste
Im Unternehmens-Umfeld, wie in jedem kritischeren anderen Einsatzfeld, empfiehlt sich der Einsatz sichererer Lösungen. Hierfür bieten spezialisierte Anbieter die Nutzung von sicheren und verschlüsselten Arbeitsräumen und Projektumgebungen für Arbeitsteams an. Diese sind zwar kostenpflichtig, unterliegen aber nicht den derzeit identifizierten Schwächen. Eine Suchmaschinen-Recherche nach "zero knowledge cloud storage" oder anderer vergleichbar leistungsfähiger Technologien kann hier erste Hinweise geben.
Verschlüsselungsdienste, die eine zusätzliche Sicherheitsschicht oberhalb der eigentlichen Speicherdienste implementieren, schützen zwar die Daten vor illegitimem Zugriff, können aber nicht die Übernahme eines Tokens verhindern. Ähnlichen Limitationen unterliegt die manuelle Speicherung sensibler Dateien in kleinen verschlüsselten Dateicontainern innerhalb des Cloud-Storage.
Verantwortung und Risikoabschätzung
Jedem Anwender muss immer klar sein, dass die Wahl der genutzten Dienste und die Art der dort gespeicherten Daten schlussendlich in der eigenen Verantwortung liegen. Hinreichend fortgeschrittene Bedrohungsszenarien wie die hier beschriebene "Man in the cloud"-Attacke erfordern in jedem, auch im privaten Umfeld, eine entsprechende Risiko-Abschätzung bei der Auswahl der genutzten Dienste.
Die Vermeidung des Einsatzes einer potentiell bedrohten Komponente ist im Zweifelsfall die bessere Alternative als die Mitigation bestehender Risiken in einer laufenden Umgebung. Ein grundlegend hohes Sicherheitsniveau der eingesetzten Rechnersysteme vom Betriebssystem bis zu den kritischen Anwendungen ist in jedem Fall eine zwingende Voraussetzung. (bw)