Expert Talks: Attack Surface Management für Einsteiger

Wer sich das MITRE ATT&CK[1]-Framework genauer ansieht, wird feststellen, dass es innerhalb der Cybersecurity eine Vielzahl weitreichender Aspekte gibt – eine ganze Liste an Herausforderungen, die eine einzelne Organisation nicht ohne helfende Hand lösen kann. Secutec bietet spezielle Unterstützung, die sich an den verschiedenen Phasen eines Angriffs orientiert, wie sie von MITRE beschrieben werden. 

Eine dieser Phasen ist die „Aufklärung“. Dabei sucht ein Hacker nach allen möglichen Wegen, um in das Netzwerk einer Organisation einzudringen, ohne Zugriff auf die durchgesickerten Anmeldeinformationen oder Benutzerdaten zu haben. Das nennt sich "Attack Surface Management" (ASM), das Thema, das Secutec SOC Manager Thomas Jannes heute beleuchtet. Er erklärt, wie Secutec in diesem Bereich arbeitet, welche Vorteile sich für die Kunden ergeben und wie es in das Gesamtbild von Secutec SecureSIGHT passt.

Was ist Attack Surface Management? 

Jannes: Bei Secutec haben wir uns auf externes ASM spezialisiert. Das heißt, wir suchen nach jeder Möglichkeit, Systeme von außen zu knacken, so wie es ein Hacker tun würde. Wir versetzen uns in die Lage eines Cyberkriminellen und versuchen alles, was er tun würde, um in ein Netzwerk einzudringen. Wir konzentrieren uns insbesondere auf die internetbasierten Systeme unserer Kunden. 

Zusätzlich zu SecureSIGHT bieten wir auch internes ASM oder „Full Vulnerability Scanning“ an. Dieses interne Scanning liefert jedoch eine sehr große Anzahl von Schwachstellen, während SecureSIGHT einen klaren Fokus auf konkrete, kurzfristige Maßnahmen bietet, die Hacker so effektiv und effizient wie möglich abhalten sollen. 

Schließlich schauen wir uns auch Leaked Credentials (Logins und Passwörter) an. Wenn ein Hacker diese in seinem Besitz hat, ist das Spiel schon (weitgehend) gelaufen. Ein Hacker, der sich im Inneren befindet, kann sein Ziel sehr schnell erreichen. Denn warum sollte ein Autodieb die Scheibe einschlagen, wenn er doch den Schlüssel hat? 

Wie funktioniert ASM? 

Jannes : Wenn wir für einen Kunden arbeiten, starten wir mehrere Tools. Wir beginnen mit der Suche nach allen Systemen der Organisation, auf die über das Internet zugegriffen werden kann: (Web-)Server, Firewalls, Cloud-Dienste usw. Alles, was wir erkennen können, stellen wir in einer Liste zusammen und beginnen mit dem Test auf Schwachstellen. 

Einfach ausgedrückt: Wir beginnen diesen Test mit einem einfachen "Hallo“. Dies ist der erste Schritt beim Herstellen einer Verbindung. Anschließend schauen wir uns an, was wir zurückbekommen. Dies ist oft mehr, als Sie vielleicht denken. Webserver beispielsweise sind normalerweise sehr gesprächig. Sie liefern im Hintergrund sofort eine Vielzahl von Informationen, die für den Nutzer nicht sichtbar sind, für den Hacker jedoch eine Fülle von Informationen bergen. Um daraus eine Analogie zu machen: Offenbar halten es Webserver für notwendig, den Besuchern gleich von dem Moment an, in dem sie „Hallo“ sagen, mitzuteilen, wo sie ihre Mäntel aufhängen oder wo sie auf die Toilette gehen können. 

Wie funktioniert die ASM-Lösung von Secutec? 

Jannes : ASM ist ein Modul, das Teil unserer selbst entwickelten Lösung SecureSIGHT ist. Dabei handelt es sich um einen Cyber-Intelligence-Service, für den wir mit einer Kombination aus kommerziellen Plattformen und Open-Source-Intelligence (OSINT) arbeiten. Denken Sie an Tools wie Shodan, einen vielen bekannten Service, weil man dort beispielsweise ungesicherte Heimkameras finden kann. Wir nutzen mehrere Quellen, um einen möglichst umfassenden Überblick zu erhalten und unsere Kunden so effizient wie möglich zu informieren. Mit SecureSIGHT wenden wir zwei allgemeine Prinzipien an: Wir machen alles sichtbar, und zwar kontinuierlich . 

Wir streben nach Effizienz, das heißt, wir automatisieren unsere Dienste so weit wie möglich. Das bedeutet, dass wir ASM als Managed Service anbieten und ständig nach offenen Türen suchen, durch die ein Hacker möglicherweise eindringen könnte. Wenn Sie dies nur einmal mit einem einmaligen Snapshot tun, erhalten Sie eine Darstellung eines sehr spezifischen Zeitpunkts, die Wochen oder sogar Stunden später völlig veraltet sein könnte. 

Was macht Secutec mit den gesammelten Informationen? 

Jannes: Zunächst helfen wir Kunden, Schwachstellen zu priorisieren. Wir liefern nicht einfach einen Bericht oder eine Liste mit „Dingen, die Sie sich ansehen können, wenn Sie Zeit finden“. Wir zeigen deutlich: Darauf müssen Sie sich konzentrieren heute, Sie können dies so lange lassen, bis nächste Woche, und Sie packen diese Schwachstelle an wann immer Sie einen freien Moment haben. In Telefonaten mit Kunden sage ich manchmal scherzhaft: „Sagen Sie Ihren Kollegen von der Technik, dass ihr Wochenende erst beginnen kann, wenn diese Sicherheitslücke behoben ist.“ Bei Auftreten kritischer Schwachstellen informieren wir den Kunden umgehend per E-Mail. Wenn wir keine schnelle Antwort erhalten, rufen wir den Kunden an. 

Das ist der große Unterschied zu einem herkömmlichen Vulnerability Scanner, der von innen heraus arbeitet – Internal Attack Surface Management. Solche herkömmlichen Lösungen verwenden Ihre Anmeldeinformationen und den vollständigen Zugriff auf das Unternehmensnetzwerk, um eine Liste der Schwachstellen zu erstellen. Dies ist in der Regel eine schrecklich lange Liste, die keine Prioritäten für den Administrator festlegt, während nicht jede Sicherheitslücke tatsächlich (sofort) ausgenutzt werden kann. 

So funktioniert unser Managed Service: Wir liefern Ihnen konkrete, umsetzbare Daten, damit Sie und Ihre Kollegen sich auf Ihre eigentliche Aufgabe konzentrieren können: die Unterstützung Ihres Unternehmens. 

Warum ist hierfür ein Drittanbieter wie Secutec erforderlich? 

Jannes: Ein erster wichtiger Grund ist, dass Sie nicht immer einen vollständigen Überblick über alle Ihre im Internet verfügbaren Assets haben. Sehr oft hören wir: „Stimmt, die haben wir vergessen.“ Webserver werden häufig außerhalb des Firmennetzwerks gehostet; denken Sie beispielsweise an einen Webshop, der von einem externen Partner gehostet wird. Wir helfen Ihnen, die Gefahren zu kartieren, damit Sie Ihrem Partner die notwendigen Maßnahmen mit fachlich fundierten Argumenten vermitteln können. 

Neben der Sichtbarkeit bieten wir auch Benutzerfreundlichkeit. Ein Nachteil bei der Verwendung von Best-of-Breed-Produkten besteht darin, dass jedes Tool über ein eigenes Portal verfügt, das Sie separat überwachen müssen. Die besten Ergebnisse erzielen Sie, wenn Sie alle diese Elemente kombinieren. Allerdings ist es keine leichte Aufgabe, alle Informationen zusammenzutragen. Dabei hilft Secutec: Mit SecureSIGHT liefern wir den Klebstoff, der die Informationen auf einer Plattform zusammenführt und sofort klar macht, worauf Sie Ihre Aufmerksamkeit zuerst richten sollten. Wir übergeben unseren Kunden ein sogenanntes „Single Pane of Glass“-Modell. 

Darüber hinaus stellen wir unter anderem einen monatlichen Bericht für die Geschäftsleitung bereit: Darin visualisieren wir die Entwicklung der Sicherheitslage Ihres Unternehmens. Somit ist für den IT-Leiter, seine Kollegen und die Geschäftsführung sofort klar, ob das Unternehmen auf dem richtigen Weg ist. 

Neben laufenden Schwachstellen-Audits bietet Secutec SecureSIGHT auch die Möglichkeit, Leaked Credentials im Darknet zu überwachen und stellt Lösungen für Active Managed Threat Hunting und Managed XDR bereit. 

[1] MITRE ATT&CK® ist eine weltweit zugängliche Wissensdatenbank zu Hackertaktiken und -techniken, die auf Beobachtungen aus der realen Welt basiert. Die ATT&CK-Wissensdatenbank dient als Grundlage für die Entwicklung spezifischer Bedrohungsmodelle und Methoden.