Ransomware bleibt eine der größten Sicherheitsbedrohungen für Unternehmen. Die gängige Praxis in der Cybersecurity ist heute, sich gegen die Auslieferungs- und Ausführungsphasen dieser Angriffe zu schützen. Beinahe kein Unternehmen ist jedoch in der Lage, die automatisierte Ausbreitung der Ransomware-Nutzlast proaktiv zu verhindern, wenn sie die Verteidigungsmaßnahmen umgangen hat.
Da es bei Ransomware einen großen Unterschied macht, ob ein einzelner Endpunkt infiziert wird oder Unternehmensdaten massenhaft verschlüsselt werden, ist die mangelnde Fähigkeit, dies zu verhindern, eine kritische Sicherheitslücke. Im Folgenden werden deshalb für jede Phase eines Ransomware-Angriffs - von der Auslieferung, über die Ausführung, bis hin zur automatisierten Verbreitung - Maßnahmen zum Schutz erläutert.
- Maßnahmen zum Schutz vor Ransomware-Auslieferung
In der Auslieferungsphase platzieren Angreifer die Ransomware-Nutzlast auf dem Computer des Opfers. Zu den häufigsten Methoden der Cyberkriminellen zählen Phishing-E-Mails, ein kompromittierter RDP (Remote Desktop Protocol)-Zugang sowie Watering Hole-Angriffe, bei denen Cyberkriminelle Webseiten, die von Mitarbeitern häufig frequentiert werden, infizieren.
Schutz bieten hier E-Mail-Sicherheits-Gateways, die E-Mails scannen, um riskante Inhalte vor der Benutzerinteraktion zu erkennen und zu entfernen, Endpoint-Protection-Plattformen, die den Download potenzieller Malware verhindern, sowie Multi-Faktor-Authentifizierung (MFA) für RDP-Verbindungen, die Angreifer daran hindern, sich mit kompromittierten Anmeldeinformationen zu verbinden.
- Maßnahmen zum Schutz vor Ransomware-Ausführung
In der Ausführungsphase wird die Ransomware-Nutzlast, die erfolgreich an die Workstation oder den Server übermittelt wurde, mit der Absicht ausgeführt, die Datendateien auf dem Computer zu verschlüsseln. Unternehmen schützen sich hiervor, indem sie Endpoint Protection Platforms (EPP) auf ihren Workstations und Servern einsetzen. Die EPP zielt darauf ab, die Ausführung jedes Prozesses zu beenden, der als Ransomware erkannt wird, und so die bösartige Verschlüsselung gänzlich zu verhindern.
- Schutz vor automatisierter Ransomware-Ausbreitung: Der blinde Fleck
In der Verbreitungsphase wird die Ransomware-Nutzlast über eine bösartige Authentifizierung mit kompromittierten Anmeldeinformationen auf viele andere Computer in der Unternehmensumgebung kopiert. Eine der anfälligsten Angriffsflächen sind gemeinsam genutzte (freigegebene) Ordner. In einer Unternehmensumgebung hat jeder Benutzer Zugang zumindest zu einigen Ordnern. Dadurch wird der Weg für die Verbreitung von Ransomware geebnet.
Wie bereits erläutert, ist dies die Phase, in der der größte Schaden angerichtet wird. Allerdings ist diese Phase heute ein blinder Fleck in der Sicherheitsverteidigung von Unternehmen. Es gibt heute keine Sicherheitslösung, die die automatische Ausbreitung von Ransomware in Echtzeit verhindern kann.
In der Praxis bedeutet dies, dass eine Ransomware-Variante, der es gelingt, die Sicherheitsmaßnahmen zur Auslieferung und Ausführung zu umgehen – und ein gewisser Prozentsatz dieser Varianten tut dies immer –, sich innerhalb der Unternehmensumgebung ausbreiten und jeden Rechner verschlüsseln kann, den sie erreicht.
Und auch, wenn EPPs immer besser vor neuen Malware-Stämmen schützen, entwickeln Bedrohungsakteure ebenfalls immer bessere Umgehungsmethoden und unauffälligere Nutzdaten(lasten), so dass eine solche Umgehung ein sehr wahrscheinliches Szenario ist.
Herausforderung beim Schutz vor automatisierter Ransomware-Verbreitung
Um die Ursache dieser Sicherheitslücke besser zu verstehen, im Folgenden ein Blick darauf, wie die automatische Verbreitung von Ransomware funktioniert.
Es gibt den Endpunkt „Patient Null“, an dem die Ransomware-Nutzlast ursprünglich ausgeführt wurde. Um sich auf andere Computer in der Umgebung auszubreiten, verwendet die Malware kompromittierte Anmeldedaten und führt eine Standardauthentifizierung durch, indem sie dem anderen Computer einen gültigen (jedoch kompromittierten) Benutzernamen sowie Anmeldeinformationen übermittelt.
Obwohl diese Aktivität in ihrem Kontext zu 100 Prozent bösartig ist, ist sie im Wesentlichen identisch mit jeder legitimen Authentifizierung in der Umgebung. Es gibt keine Möglichkeit für den Identitätsanbieter – in diesem Fall Active Directory –, diesen bösartigen Kontext zu erkennen. Er wird daher die Verbindung genehmigen.
Hier liegt also der blinde Fleck beim Schutz vor Ransomware: Einerseits kann kein Sicherheitsprodukt Authentifizierungen in Echtzeit blockieren, und andererseits ist das einzige Produkt, das dies ermöglichen könnte – der Identity Provider – nicht in der Lage, zwischen legitimen und bösartigen Authentifizierungen zu unterscheiden.
Mit Unified Identity Protection automatisierte Verbreitung von Ransomware verhindern
Unified Identity Protection ist eine agentenlose Technologie, die sich nativ in die Identitätsanbieter in der Unternehmensumgebung integriert, um eine kontinuierliche Überwachung, Risikoanalyse und Durchsetzung von Zugriffsrichtlinien bei jedem einzelnen Zugriffsversuch auf jede beliebige On-Premises- und Cloud-Ressource durchzuführen.
Auf diese Weise dehnt die Unified-Identity-Protection-Lösung die risikobasierte Authentifizierung und Multi-Faktor-Authentifizierung auf Ressourcen und Zugriffsschnittstellen aus, die bisher nicht geschützt werden konnten – einschließlich Active Directory-Befehlszeilen-Fernzugriffsschnittstellen, auf denen die automatische Verbreitung von Ransomware beruht.
Hierdurch können proaktiv Angriffe verhindert werden, die kompromittierte Anmeldedaten für den Zugriff auf Unternehmensressourcen missbrauchen, inklusive der automatisierten Verbreitung von Ransomware. Denn die Schadware nutzt hierfür die Authentifizierung mit kompromittierten Anmeldeinformationen, um sich in der Zielumgebung zu verbreiten, wobei eine besondere Vorliebe für freigegebene Ordner besteht.
Um den Echtzeit-Schutz vor automatisierter Ransomware-Verbreitung durchzusetzen, führt Unified Identity Protection folgende Maßnahmen durch:
- Kontinuierliche Überwachung
Unified Identity Protection analysiert kontinuierlich die Authentifizierungen und Zugriffsversuche von Benutzerkonten und erstellt so ein hochpräzises Verhaltensprofil der normalen Aktivitäten von Benutzern und Maschinen.
- Risiko-Analyse
Im Falle einer automatisierten Ransomware-Ausbreitung gibt es mehrere gleichzeitige Anmeldeversuche, die von einem einzigen Rechner und Benutzerkonto ausgehen. Die Risiko-Engine der Unified-Identity-Protection-Plattform erkennt dieses anomale Verhalten sofort und erhöht sowohl die Risikobewertung des Benutzerkontos als auch die des Computers.
- Durchsetzung von Zugriffsrichtlinien
Unified Identity Protection ermöglicht es Anwendern, Zugriffsrichtlinien zu erstellen, die die Echtzeit-Risikobewertung nutzen, um eine Schutzmaßnahme auszulösen: beispielsweise eine verstärkte Authentifizierung mit MFA oder sogar eine vollständige Sperrung des Zugriffs.
Die Richtlinie gegen die automatisierte Verbreitung von Ransomware erfordert MFA immer dann, wenn die Risikobewertung eines Benutzerkontos entweder „Hoch“ oder „Kritisch“ ist, und gilt für alle Zugriffsschnittstellen – Powershell, CMD und CIFS, das spezielle (dedizierte) Protokoll für den gemeinsamen Zugriff auf Netzwerkordner.
Wenn diese Richtlinie aktiviert ist, wird bei jedem Versuch der Ransomware, sich auf einen anderen Computer auszubreiten, die Verbindung nicht zugelassen, solange keine MFA-Überprüfung der tatsächlichen Benutzer stattgefunden hat, deren Anmeldeinformationen kompromittiert wurden. Das bedeutet, dass die Ausbreitung verhindert wird und der Angriff auf den ursprünglich infizierten einen Endpunkt „Patient Null“ beschränkt bleibt.
Dieser spezielle Identity-Protection-Ansatz kann also die fatalste Komponente bei Ransomware-Angriffen – die automatisierte Ausbreitung – verhindern. Unternehmen können so mit einer Unified-Identity-Protection-Lösung diesen kritischen blinden Fleck in der Verteidigung endlich abdecken und so ihre Widerstandsfähigkeit gegenüber Angriffsversuchen mit Ransomware erheblich erhöhen.