Im Mai 2017 verschafft sich der Kryptotrojaner WannaCry weltweit Zugang zu Windows-Computern und verschlüsselt Dateien. Um wieder an die Daten zu kommen, sind Lösegeldzahlungen in der Kryptowährung Bitcoin fällig. Das gefährliche Potenzial von WannaCry: Seine unglaublich schnelle Fortpflanzungsfähigkeit.
Zwei Jahre später stellt sich die Frage, ob Unternehmen aus dem Angriff gelernt und entsprechende Schutzmaßnahmen umgesetzt haben. Da immer wieder neue Bedrohungen mit ähnlichen Charakteristiken für Aufregung sorgen, kann es schließlich jederzeit wieder zu einem Angriff vergleichbaren Ausmaßes kommen.
Die Gefahr ist noch nicht gebannt
Allein im letzten Jahr wies Windows 32 Schwachstellen auf, die den von WannaCry angegriffenen stark ähnelten. Theoretisch könnte jede nicht beseitigte Schwachstelle zum Einfallstor für einen weiteren globalen Angriff werden. Berichte über tendenziell rückläufige Ransomware-Angriffe sind tückisch und können CTOs in falscher Sicherheit wiegen.
Einige Unternehmen, die das Thema Cyber Security bisher eher stiefmütterlich behandelt haben, mussten diese Lektion erst kürzlich auf die härteste Weise lernen. Die Ransomware „Sodinokibi“, die eine Oracle Weblogic Zero-Day-Schwachstelle ausgenutzt hat, verursachte erst kürzlich teils erhebliche Schäden. Mit der Implementierung entsprechender Werkzeuge hätten diese angegriffenen Schwachstellen identifiziert und – noch wichtiger – priorisiert und letztlich eliminiert werden können.
Immer wieder neue Schwachstellen: BlueKeep gefährdet vor allem OT-Umgebungen
Am 14. Mai veröffentlichte Microsoft die als kritisch eingestufte Schwachstelle BlueKeep. Diese ist besonders gefährlich, weil sie keine Benutzerinteraktion erfordert. Das heißt, jeder anfällige Windows Server der Versionen Windows 7, Windows Server 2008 R2, Windows XP und Windows Server 2003 ist gefährdet, sobald er mit dem Internet verbunden ist. Diese älteren Versionen von Windows sind vor allem in OT-Umgebungen noch weit verbreitet.
Ein nicht authentifizierter Remote-Angreifer kann das Netzwerk hacken, indem er sich per RDP mit einem Windows Server verbindet und einen beliebigen Code auf diesem ausführt. Weil eben keine Benutzerinteraktion nötig ist, kann das im Verborgenen passieren. Bisher wurde BlueKeep glücklicherweise bisher weder automatisiert noch gezielt ausgenutzt.
Das Tückische ist die Fortpflanzungsfähigkeit
Das Gefährliche an BlueKeep ist, dass über diese Schwachstelle ins OT-Netzwerk eingedrungen werden kann und sich die Schadsoftware dann sehr schnell in der gesamten Umgebung fortpflanzt. Aus der Erfahrung mit WannaCry wissen wir, dass derartige Szenarien, sollten sie auftreten, einen regelrechten BlueKeep-Tsunami auslösen können.
Schreckensszenarien vorbeugen: Ein Netzwerkmodell als Basis für Cyber Security
Während einige Organisationen die epidemieartige Verbreitung von WannaCry ernst genommen und Maßnahmen ergriffen haben, gibt es noch immer Unternehmen, die leichtfertig mit der Bedrohung umgehen. Zunächst ist es essenziell, sich einen Gesamtüberblick über die komplette Infrastruktur zu verschaffen. Am besten gelingt dies in Form eines visualisierten Netzwerkmodells, in dem Schwachstellen quasi in Echtzeit identifiziert und im Kontext priorisiert werden.
So können Maßnahmen in die Wege geleitet werden, um diese Schwachstellen abzuschwächen oder ganz zu beseitigen. Ein weiterer Vorteil ist die Möglichkeit, Angriffe von außen und innen in diesem Modell simulieren zu können, sodass man eine mögliche Ausbreitung von Malware und die damit verknüpften Auswirkungen realistisch abschätzen kann.
Ohne Sichtbarkeit wird im Dunkeln gestochert
Nur auf der Basis eines Modells, das sowohl IT als auch OT und cloudbasierte Netzwerke beinhaltet, können Maßnahmen definiert werden, um die kritischsten Schwachstellen zu identifizieren, entsprechend ihres tatsächlichen Risikos im Kontext der Unternehmensinfrastruktur zu priorisieren und dementsprechend auch als erste zu beseitigen.
WannaCry hat uns gelehrt, dass, obwohl es sich dabei um einen sehr publikumswirksamen Exploit mit einem verfügbaren Patch handelte, trotzdem noch eine große Anzahl von Unternehmen betroffen war. Der einfache Grund hierfür war, dass in diesen Organisationen die erforderlichen Kontextinformationen nicht ins Schwachstellenmanagement integriert wurden.
Ohne diese essenziellen Zusammenhänge sind die heutzutage zahllosen Schwachstellen nicht sinnvoll zu erfassen und zu beseitigen – man steht sprichwörtlich im Dunkeln und muss hoffen, dass man selbst von einem Angriff verschont bleibt. Im Nachhinein wissen wir, dass diese Strategie nicht aufgeht und effektivere Methoden erforderlich sind.