Vor kurzem wurde eine neue Ausgabe des „The Russia Report“ veröffentlicht. Der Bericht wird vom britischen Geheimdienst- und Sicherheitskomitee des Parlaments erstellt und beschäftigt sich mit Vorwürfen russischer Einmischung in die britische Politik, einschließlich angeblicher russischer Einflussnahme auf das Brexit-Referendum 2016.
Vorwürfe zu russischer Einmischung in die britische Politik!
Israel Barak, Chief Information Security Officer von Cybereason - Bildquelle: Cybereason
Die jüngste Ausgabe des „The Russia Report“ widmet sich nun den Auswirkungen nationalstaatlich finanzierter Cyberattacken gegen Unternehmen und dem, was diese tun können, um sich besser zu schützen.
Dazu ein kurzes Interview mit Israel Barak, Chief Information Security Officer von Cybereason:
Warum sollte ein Nationalstaat ein bestimmtes Unternehmen ins Visier nehmen, und welche Branchen sollten besonders wachsam sein?
Israel Barak: Keine Branche und kein einzelnes Unternehmen ist vor Angriffen sicher. Firmen und Organisationen in den Bereichen kritische Infrastrukturen, Gesundheitswesen sowie Forschung sollten aktuell in höchster Alarmbereitschaft sein. Es existieren schon etliche Analysen, die von Versuchen Russlands berichten, Daten zur Entwicklung eines Impfstoffs und entsprechende Forschungsergebnisse zu entwenden. Angriffe, die sich somit gegen einige der weltweit größten Pharmaunternehmen richten. Gerade während einer Pandemie sind solche Angriffe besonders perfide. Würde sich das Ganze jenseits der Grenzen des Cyberspace abspielen, käme das einer Kriegserklärung gleich. Das betreffende Land hätte vermutlich mit schwerwiegenden diplomatischen, wirtschaftlichen und militärischen Konsequenzen zu rechnen.
Gibt es eine Angriffsform, die häufig mit staatlich unterstützten russischen Hackern in Verbindung gebracht wird? Und welche Motivation liegt den Angriffen primär zugrunde?
Israel Barak: Russland wird mit jeder nur denkbaren Art von Hackerangriffen in Verbindung gebracht, über die bereits berichtet wurde. In letzter Zeit sind Vorwürfe laut geworden, es gebe zahlreiche Versuche, Forschungsunternehmen zu hacken, die sich mit COVID-19 befassen und an der Impfstoffentwicklung arbeiten. Aber wie schon gesagt, es gibt weder eine Branche noch ein einzelnes Unternehmen, das sich in Sicherheit wiegen sollte. Cyberspionage generiert jährlich Umsätze in Milliardenhöhe. Dabei kann jedes Unternehmen zur Zielscheibe werden. Hacker sind nicht nur motiviert, sondern auch immer häufiger finanziell gut ausgestattet. Für einen Hacker spricht einiges dafür, weiterzumachen, bis er oder sie erfolgreich ist.
Cybereason hat kürzlich ein Forschungsprojekt zu Cyber-Spionagekampagnen durchgeführt, die sich gezielt gegen kritische Infrastrukturen richten. Die Ergebnisse zeigen deutlich, wie motiviert und gut organisiert von Nationalstaaten unterstützte Hacker-Gruppierungen agieren. In diesem speziellen Fall setzten wir einen Honeypot ein, getarnt als Umspannwerk eines Stromversorgers. Der Honeypot wirkte wie ein echtes Netzwerk und so dauerte es nur wenige Tage, bis Hacker in das Netzwerk eingedrungen sind und sie eine leistungsstarke, mehrstufige Ransomware-Attacke starteten.
Im Ernstfall wäre nicht nur das Unternehmen schwer geschädigt worden. Vermutlich hätten Millionen von Verbrauchern dank der Abschaltung des Umspannwerks im Dunkeln gestanden. Hacker werden von Motivationen geleitet, die so unterschiedlich sind wie finanzieller Gewinn oder politischer Hacktivismus. Im Falle einer Wahlbeeinflussung oder Manipulation geht es darum, den Ausgang einer Wahl zugunsten eines Kandidaten zu beeinflussen. Gezielte Desinformationskampagnen werden wir in den kommenden 90 Tagen vor der U.S.-Präsidentschaftswahl am 3. November noch häufiger sehen.
Welche potenziellen Auswirkungen haben nationalstaatliche Cyberangriffe auf Unternehmen? Etwa hinsichtlich einer ramponierten Reputation, finanzieller Verluste oder Datenschutzverletzungen usw.
Israel Barak: Die Auswirkungen können schwerwiegend und lang anhaltend sein. Reputationsverlust ist sicherlich etwas, das jedes Unternehmen unbedingt vermeiden will. Nur ist es aktuell kaum mehr eine Frage, ob, sondern eher wann ein Unternehmen von einer Datenschutzverletzung betroffen sein wird. Es obliegt dem Unternehmen selbst, die Bedrohung frühzeitig zu erkennen, um sie zu begrenzen. Börsennotierte Firmen mögen kurzfristig erhebliche Wertverluste erleiden. Aber diejenigen, die frühzeitig auf eine Krise reagieren, aktiv mit ihren Investoren kommunizieren und den Schaden so gering wie möglich halten, werden langfristig gestärkt aus der Krise hervorgehen. Bei börsennotierten Unternehmen, die immer wieder mit Datenschutzverletzungen kämpfen, ist so gut wie alles möglich.
Was können Unternehmen tun, um sich vor potenziellen staatlich geförderten Cyberangriffen zu besser zu schützen?
Israel Barak: Global 1000-Unternehmen brauchen Schulungspläne für mehr Sicherheitsbewusstsein und Incident-Response- und Threat-Hunting-Teams, die ständig daran arbeiten, Hackern einen Schritt voraus zu sein. Empfohlene Gegenmaßnahmen sind u.a. Mitarbeiterschulungen zum richtigen Umgang mit verdächtigen E-Mails, um das initiale Herunterladen oder Droppen einer Malware zu verhindern. Außerdem müssen Unternehmen insgesamt wachsamer werden. Dazu gehört es, dass Sicherheitsabteilungen wichtige interne Einrichtungen kontinuierlich überwachen und anomales Verhalten schnell erkennen.
Nationalstaatliche Akteure versuchen oft, sich tief in ein Zielnetzwerk vorzuarbeiten. Um sich vor diesem Lateral Movement zu schützen, verwenden Sie keine privilegierten Konten, vermeiden Sie RDPs, wenn eine Session nicht ordnungsgemäß beendet wurde, speichern Sie Passwörter nicht in Klartext, setzen Sie gute Authentifizierungspraktiken ein, deaktivieren Sie unnötige freigegebene Ordner und ändern Sie die Namen der in Ihrem Unternehmen standardmäßig verwendeten freigegebenen Ordner. Darüber hinaus sollten Unternehmen vorausschauend an das Thema Sicherheit herangehen, also schon vor einem möglichen Vorfall Threat Hunting betreiben und aktiv nach abweichenden Verhaltensmustern suchen.
Bestätigt der Bericht des Intelligence and Security Committees, was wir längst wussten? Oder erwarten Sie nach der Veröffentlichung eine deutlichere Reaktion der Regierung gegen die Cyberaktivitäten Russlands?
Israel Barak: Die Absicht hinter der Veröffentlichung ist sicher redlich, auch die Forderung nach einem besseren Schutz vor nationalstaatlichen Angriffen. Aber Cyberkriminelle vor Gericht zu bringen, ist eine andere Geschichte. Es ist nahezu unmöglich, wenn mutmaßliche Kriminelle an Orten leben, die praktisch nicht zu identifizieren sind. Kriminelle in einen Gerichtssaal zu bringen, um sich einer Jury of Peers in einem Prozess zu stellen, ist kostspielig und in einigen Ländern überhaupt nicht möglich. Dadurch kann man manchmal den Eindruck gewinnen, wir befänden uns, was nationalstaatliche Attacken anbelangt, in den frühen Tagen des Wilden Westens. Dort, wo der lange Arm des Gesetzes eben doch nicht lang genug war.
