Die Beschaffenheit einer externen Angriffsfläche

Die meisten Cyberangriffe beginnen Hunderte von Kilometern vom Netzwerk entfernt, und Webanwendungen sind der am häufigsten genutzte Vektor für Hackerangriffe. Leider haben die meisten Unternehmen keinen vollständigen Überblick über ihre Internetressourcen und darüber, wie diese Ressourcen mit der globalen Angriffsfläche zusammenhängen. Drei Hauptursachen für diesen Mangel an Transparenz sind Schatten-IT, Fusionen und Übernahmen (F&Ü) und digitale Lieferketten.

Schatten-IT

Wenn die IT-Abteilung nicht in der Lage ist, mit den Geschäftsanforderungen Schritt zu halten, sucht das Unternehmen anderweitig nach Unterstützung bei der Entwicklung und Bereitstellung neuer Webressourcen. Das Sicherheitsteam weiß oft nichts von diesen Schatten-IT-Aktivitäten und kann daher die erstellten Ressourcen nicht in sein Sicherheitsprogramm einbeziehen. Nicht verwaltete bzw. verwaiste Ressourcen können mit der Zeit zu einer Schwachstelle in der Angriffsfläche eines Unternehmens werden.

Diese schnelle Verbreitung von digitalen Ressourcen außerhalb der Firewall ist heute die Regel. Neue RiskIQ-Kunden finden in der Regel etwa 30 % mehr Ressourcen als erwartet, und RiskIQ findet pro Minute 15 abgelaufene Dienste (anfällig für die Übernahme von Subdomains) und 143 offene Ports.²

Fusionen und Übernahmen

Alltägliche Abläufe und kritische Geschäftsvorgänge wie Fusionen und Übernahmen, strategische Partnerschaften und Outsourcing schaffen und erweitern externe Angriffsflächen. Heutzutage wird bei weniger als 10 % der weltweiten Transaktionen eine Due-Diligence-Prüfung in Bezug auf die Cybersicherheit durchgeführt.

Es gibt mehrere häufige Gründe, warum Unternehmen während des Due-Diligence-Prozesses keinen vollständigen Überblick über potenzielle Cyberrisiken erhalten. Der erste Grund liegt im schieren Umfang der digitalen Präsenz des zu erwerbenden Unternehmens. Es ist nicht ungewöhnlich, dass eine große Organisation über Tausende oder sogar Zehntausende von aktiven Websites und anderen öffentlich zugänglichen Ressourcen verfügt. Die IT- und Sicherheitsteams des zu erwerbenden Unternehmens verfügen zwar über ein Verzeichnis der Websites, doch handelt es sich dabei fast immer nur um einen Ausschnitt des Gesamtbestands. Je dezentraler die IT-Aktivitäten eines Unternehmens sind, desto größer ist die Lücke.

Lieferketten

Unternehmen sind zunehmend auf die digitalen Allianzen angewiesen, die die moderne Lieferkette ausmachen. Diese Abhängigkeiten sind zwar für die Geschäftsabläufe im 21. Jahrhundert unerlässlich, sie schaffen jedoch auch ein unübersichtliches, vielschichtiges und äußerst komplexes Netz von Beziehungen zu Dritten, von denen viele außerhalb des Wirkungsbereichs der Sicherheits- und Risikoteams liegen, die sie proaktiv schützen und verteidigen können. Aus diesem Grund stellt die rasche Identifizierung gefährdeter digitaler Ressourcen, die ein Risiko darstellen, eine große Herausforderung dar.

Mangelndes Verständnis und mangelnde Sichtbarkeit dieser Abhängigkeiten haben dazu geführt, dass Angriffe über Dritte zu den häufigsten und effektivsten Vektoren für Bedrohungsakteure geworden sind. Eine beträchtliche Anzahl von Angriffen erfolgt heute über die digitale Lieferkette. Heute geben 70 % der IT-Fachleute an, dass sie mäßig bis stark von externen Entitäten abhängig sind, bei denen es sich um eine dritte, vierte oder fünfte Partei handeln kann.⁹Gleichzeitig waren 53 % der Unternehmen von mindestens einer Datenpanne durch Dritte betroffen.¹⁰

Neben den zunehmenden groß angelegten Angriffen auf die Lieferkette sehen sich Unternehmen tagtäglich mit kleineren Angriffen konfrontiert. E-Commerce-Plug-Ins von Drittanbietern können z. B. von Schadsoftware zum Skimming digitaler Kreditkarten wie Magecart befallen werden. Im Februar 2022 identifizierte RiskIQ mehr als 300 Domains, die von der Schadsoftware Magecart zum Skimming digitaler Kreditkarten betroffen waren.¹¹

Die heutige globale Angriffsfläche im Internet hat sich auf drastische Weise in ein dynamisches, allumfassendes und vollständig vernetztes Ökosystem verwandelt, an dem wir alle beteiligt sind. Wenn Sie eine Internetpräsenz haben, sind Sie mit allen anderen vernetzt, auch mit denen, die Ihnen Schaden zufügen wollen. Aus diesem Grund ist die Überwachung der Bedrohungsinfrastruktur genauso wichtig wie die Überwachung Ihrer eigenen Infrastruktur.

Verschiedene Bedrohungsgruppen recyceln und nutzen Infrastrukturen (IPs, Domains und Zertifikate) u. U. gemeinsam und verwenden Open-Source-Standardwerkzeuge wie Schadsoftware, Phishing-Kits und C2-Komponenten, die sie an ihre Bedürfnisse angepasst und verbessert haben, um eine einfache Zuordnung zu verhindern.

Täglich werden mehr als 560.000 neue Schadprogramme entdeckt, und die Anzahl der auf illegalen Cybercrime-Marktplätzen angebotenen Phishing-Kits hat sich zwischen 2018 und 2019 verdoppelt. Im Jahr 2020 stieg die Zahl der entdeckten Schadsoftwarevarianten um 74 %.¹⁴ RiskIQ identifiziert inzwischen alle 49 Minuten einen Cobalt Strike C2-Server.