Theorie trifft Praxis: Branchenspezifische Cyberabwehr

(Source: successphoto / stock.adobe.com)

(Source: successphoto / stock.adobe.com)

In meiner vorherigen Kolumne haben wir uns angeschaut, wie wir mittels "Cyber Threat Intelligence" (CTI) eine gestaffelte Verteidigung ("Defense in Depth") aufbauen. Doch wie sieht das im operativen Alltag aus? Ein Pharmaunternehmen hat andere kritische Geschäftsprozesse und einen anderen Risikoappetit als beispielsweise eine Bank oder ein Kernkraftwerk - folglich variieren auch die Prioritäten bei der Auswahl der Sicherheitskontrollen.

Schauen wir uns drei Branchen exemplarisch an. Im Finanzsektor versuchen Angreifer in erster Linie, sich mithilfe der MITRE-Taktik "Credential Access"-Zugang zu verschaffen, um Transaktionen zu manipulieren oder Geld zu entwenden. Für Finanzinstitute sollte daher die Abwehrstrategie - abgeleitet aus der "Protect"-Funktion des NIST-Frameworks - bei der Identität ansetzen. So ist die Einführung von Multi-Faktor-Authentifizierung unabdingbar, um den Missbrauch gestohlener Zugangsdaten zu erschweren. Ergänzend dazu sollten Sicherheitsteams in dieser Branche gezielte Monitoring-Techniken nutzen, um verdächtiges Verhalten möglichst früh zu erkennen.

Ganz anders ist die Lage in der Fertigungsindustrie. Hier stehen die Verfügbarkeit der Anlagen und die Integrität der Produktionsprozesse im Vordergrund. Eine kritische Bedrohung stellt hier die Technik "Supply Chain Compromise" dar, bei der Angreifer unbemerkt Schadcode über ein kompromittiertes Software-Update einschleusen. Das Ziel: durch "Data Manipulation" unbemerkt die Produktqualität zu verändern. Die wirksamste Verteidigung ist hier eine Netzwerksegmentierung, in diesem Beispiel die Trennung von IT- und OT-Netzwerken. Dadurch können das seitliche Ausbreiten des Angreifers ("Lateral Movement") massiv erschwert und die Produktion geschützt werden.

Bei Energieversorgern und kritischen Infrastrukturen wiederum steht die nationale Versorgungssicherheit auf dem Spiel. Ein erfolgreicher Angriff kann verheerende Auswirkungen haben. Insbesondere Techniken aus der MITRE-Taktik "Impact" wie "Firmware Corruption" oder ein gezielter "Service Stop" richten nicht nur physische Schäden an der Infrastruktur selbst an, sondern können auch Versorgungsunterbrechungen verursachen. Die Verteidigung sollte hier neben physischen Kontrollen wie Videoüberwachung und Wachpersonal vor allem auf Host-Sicherheit setzen. "File Integrity Monitoring" und "Endpoint Detection and Response" (EDR) stellen dabei sicher, dass Manipulationen an kritischen Systemkomponenten sofort erkannt und gestoppt werden, bevor der eigentliche Schaden entsteht.

Selbstverständlich sollte auch die Fertigungsindustrie ihre Credentials und die Finanzindustrie ihre Supply Chain schützen - die obigen Beispiele schliessen sich nicht gegenseitig aus. Der Punkt ist, dass Unternehmen gezielt diejenigen Angriffstechniken und -taktiken von MITRE priorisieren können, welche am häufigsten bei Angriffen auf ihre Industrie verwendet werden. So können sie die (begrenzten) Mittel gezielter einsetzen, in die für sie wichtigsten Kontrollen investieren und das Monitoring auf die Techniken fokussieren, die für sie am relevantesten sind.

Das nächste Mal blicken wir in die Zukunft und fragen: Wie lassen sich diese Erkenntnisse in automatisierte Playbooks übersetzen und welche Rolle spielt dabei KI?

Alle bisher auf SwissCybersecurity.net erschienenen Kolumnen von Thomas Holderegger finden Sie hier.

Thomas Holderegger, Security Lead for Switzerland bei Accenture. (Source: zVg)

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.