Der Kaseya-Hack hat erneut gezeigt, welche Möglichkeiten sich Angreifern bieten, in Unternehmensnetze zu gelangen. Eine Abwehr gegen solche Attacken muss auch in der Lage sein, auffälliges Verhalten über das ganze Unternehmensnetz hinweg zu erkennen. Eine Einschätzung dazu gibt Thomas Krause von ForeNova.
„Bei der größten bisher beobachteten Ransomware-Attacke haben die Angreifer eine Zero-Day-Schwachstelle in der Unified Management Software VSA von Kaseya für einen schwerwiegenden Einbruch in zahlreiche Systeme genutzt. Zu den Zielscheiben gehörten Managed Service Provider und deren kleine und mittlere Kundenorganisationen.
Der Angriff richtete sich offenbar vor allem auf On-Premise-Server, von denen sich viele KMUs Sicherheit versprechen: Hacker nutzten laut Huntress Labs bisher unbekannte Arbirtary-File-Upload- und SQLi-Code-Injection-Schwachstellen aus, umgingen dann Authentifikationsverfahren und erlangten Zugriff auf die Server, um später ihre Verschlüsselungssoftware scharf zu schalten.
Wie schon beim Solarwinds-Angriff nutzten die Angreifer mit Kaseya ein an sich legitimes Sprungbrett, um verschiedenste Opfer zu treffen. Große Unternehmen mit eigenen IT-Sicherheitsteams und Werkzeugen dürften in vielen Fällen noch die Mittel gehabt haben, proaktiv nach den sich daraus ergebenden, im Unternehmensnetz schlummernden Gefahren Ausschau zu halten und den Schaden einzudämmen.
Viele kleinere und mittlere Unternehmen dagegen gehen oft noch davon aus, keine Zielscheibe für die Hacker zu sein. Sie schützen sich daher nur mit Endpoint-Security-Lösungen und Firewalls, die gegen solche ausgefeilte Angriffswege weitgehend wirkungslos bleiben. Sie können den Kaseya-Hack als Weckruf begreifen, dass sie auch ins Netzwerk schauen müssen, um sicher zu bleiben.
Es ist auch für kleine Unternehmen notwendig, sowohl den ein- und ausgehenden Datenverkehr (North-South-Traffic) als auch den gesamten internen Datenverkehr (East-West-Traffic) im Auge zu behalten. Das klingt schwerer als es ist.
Geeignete Lösungen entdecken und überwachen alle Netzwerkressourcen automatisiert, entdecken abweichende Verhaltensmuster und decken so scheinbar harmloses Verhalten auf, um Zero-Day-Angriffe zu identifizieren und zu blocken.“