Trinity Cyber stoppt Cyberkriminelle mit Unterstützung von F5

Die patentierten Cybersicherheitslösungen von Trinity Cyber schützen Kunden, indem sie Sicherheitsrisiken erkennen und Bedrohungen direkt im Datenstrom beseitigen – ob Schadcode, Ransomware oder Datei-Exploits – und dabei die Zahl der Fehlalarme nahezu bei null halten. F5 BIG-IP SSL Orchestrator ist eine entscheidende Voraussetzung für die vollständige Überprüfung von Inhalten und die Abwehr von Bedrohungen.

Geschäftliche Herausforderung

„Die Bösen stoppen“ – so beschreibt Trinity Cyber die Mission des Unternehmens, das 2017 von ehemaligen Experten der US-amerikanischen National Security Agency (NSA) gegründet wurde. Angeführt wurden sie von Steve Ryan, dem früheren stellvertretenden Leiter des Threat Operation Center der NSA, und Thomas P. Bossert, einem ehemaligen Heimatschutzberater zweier US-Präsidenten. Das Unternehmen betreibt eine verteilte Private Cloud in den Vereinigten Staaten, beschäftigt rund 52 Mitarbeiter und bietet seinen Kunden hochentwickelte Cybersicherheitslösungen. Zu den Kunden des Unternehmens zählen Betreiber kritischer Infrastrukturen, Bereiche des Verteidigungsministeriums sowie weitere Organisationen mit hohem Verlustrisiko, darunter Einrichtungen aus dem Finanz- und Energiesektor sowie der zivilen Verwaltung.

Das Team von Trinity Cyber bezeichnet sich selbst schlicht als „die Guten“, doch seine innovativen Technologien und Dienstleistungen, die Kunden proaktiver schützen als die meisten anderen Lösungen und dabei eine Falsch-Positiv-Rate von nahezu null erreichen, sind alles andere als simpel. Kein Wunder also, dass sowohl Gartner als auch Dark Reading das Unternehmen kürzlich als einen der vielversprechendsten Anbieter bezeichnet haben.

„Viele Unternehmen verlassen sich stark darauf, herkömmliche Kompromittierungsindikatoren (Indicators of Compromise, IOCs) zu blockieren“, erklärt Stefan Baranoff, Director of Engineering. „Dabei gibt es zwei Probleme: Erstens werden IOCs erst nach einem erfolgten Angriff ermittelt, und zwar meist durch die Überwachung eines SPAN-Ports – also einer Kopie des Datenverkehrs. Zweitens sind IOCs so beschaffen, dass Angreifer sie schneller verändern können, als sich Signaturen dafür erstellen lassen. Wir konzentrieren uns darauf, wie böswillige Akteure vorgehen – auf die Techniken, Verhaltensweisen und Muster in den Daten, durch die sie sich verraten – und setzen direkt bei diesen Techniken an, um sie unmittelbar im Datenstrom zu stoppen, bevor sie ihr Ziel erreichen.“

Trinity Cyber setzt zunächst auf eine Inhaltsprüfung, die tiefgehend genug ist, um die Techniken von Angreifern aufzudecken, und zugleich schnell genug, um dagegen vorzugehen. Doch das Unternehmen blockiert verdächtige Inhalte nicht einfach nur. Baranoff erklärt: „Wir können Inhalte innerhalb einer Sitzung tatsächlich ersetzen, entfernen oder verändern – etwas, das sonst niemand in der Branche kann. Dadurch erreichen wir ein nachhaltigeres Schutzniveau.“

Beispielsweise können schädliche Inhalte an eine ansonsten harmlose heruntergeladene Bilddatei angehängt werden. Baranoff erklärt: „Es sieht einfach so aus, als hätte jemand eine Webseite aufgerufen. Diese verschlüsselten Daten wirken wie zufälliger Datenmüll – genau wie bei all den anderen Bildern im Internet. Andere würden das Bild oder die Domain blockieren, von der es bereitgestellt wurde, und damit einen großen Teil des Internets lahmlegen. Wir entfernen die Daten am Ende der Bilddatei und leiten sie weiter.“

Entschlüsselung und vollständige Überprüfung sind entscheidend – lassen sich jedoch mit einer einzigen Lösung sowohl für den ein- als auch für den ausgehenden Datenverkehr nur schwer umsetzen.

Warum F5

Im Jahr 2021 entschied sich Trinity Cyber für F5 BIG-IP SSL Orchestrator, um die erforderliche Entschlüsselung des bidirektionalen Datenverkehrs für Kunden durchzuführen, die noch nicht über eine ausreichende SSL/STARTTLS-Entschlüsselung verfügten. Das Unternehmen begann mit einer virtuellen Maschine für einen bestimmten Kunden und leitete damit einen Wandel seines Ansatzes zur Entschlüsselung ein.

Hilfreich war auch, dass die F5-Lösung kostengünstig war und virtuelle Maschinen unterstützte. „Die Unterstützung virtueller Instanzen ist ein enormer Vorteil“, sagt Baranoff. „Dank dieser Flexibilität können wir unsere Ressourcen entsprechend der Kundennachfrage skalieren.“

Die Implementierung dauerte nur wenige Tage. Seitdem hat Trinity Cyber den Einsatz von BIG-IP SSL Orchestrator auf mehr Kunden, mehr virtuelle Maschinen und komplexere Anwendungsfälle ausgeweitet.

Ein solcher Anwendungsfall ist die Log4j-Schwachstelle, eine schwerwiegende Sicherheitslücke, die Millionen von Geräten gefährdete und weiterhin von Bedrohungsakteuren in großem Umfang ausgenutzt wird. Ende 2021 erließ die CISA eine Notfallrichtlinie, die alle zivilen Bundesministerien und -behörden dazu verpflichtete, ihre Systeme zu überprüfen und unverzüglich zu patchen oder Maßnahmen zur Risikominderung umzusetzen. Während viele in den ersten Stunden nach Bekanntwerden der Schwachstelle fieberhaft versuchten, ihre Systeme zu überwachen und zu patchen, waren und sind die Kunden von Trinity Cyber vor sämtlichen Versuchen geschützt, die Log4j-Schwachstelle auszunutzen.

Ein weiterer der zahlreichen komplexen Anwendungsfälle betrifft die Bemühungen von Trinity Cyber, das Abgreifen von Zugangsdaten in den Netzwerken mehrerer Kunden zu verhindern. Angreifer versuchten, mithilfe irreführender Hyperlinks, E-Mail-Phishing-Techniken und der Erstellung fingierter Domains an gültige Office 365-Zugangsdaten zu gelangen. Die einzigartigen Präventionsfunktionen der Technologie von Trinity Cyber erkannten die vom Angreifer eingesetzten gängigen Methoden und verhinderten das Abgreifen von Zugangsdaten bei sämtlichen Kunden, indem sie die Vorgehensweisen des Angreifers vollautomatisch aus dem Netzwerkverkehr der Kunden entfernten.

Gewinnen Sie umfassende Einblicke in verschlüsselten Datenverkehr

Laut Baranoff sind rund 95 % des von seinem Unternehmen abgesicherten Datenverkehrs verschlüsselt. Daher suchte Trinity Cyber nach einem Technologiepartner, der über die nötigen Fähigkeiten verfügt, um Kunden zu schützen, denen andernfalls der Einblick in diesen Datenverkehr fehlen würde.

Er sagt: „F5 ist eine der wenigen Optionen, bei denen wir keine drastischen Kompromisse bei unserem Betrieb eingehen müssen.“

CEO Steve Ryan sagt: „BIG-IP SSL Orchestrator ist für die Bereitstellung unserer Services unverzichtbar, da die Lösung Einblick in verschlüsselten Datenverkehr bietet und Trinity Cyber so in die Lage versetzt, Bedrohungen zu erkennen und zu beseitigen.“

Baranoff lobt außerdem die Fähigkeit der Lösung, verschiedene Protokolle unabhängig von der Einleitung der Verschlüsselung zu verfolgen und den Datenverkehr unmittelbar beim Befehl „STARTTLS“ zu entschlüsseln. „Ich habe noch keine andere Lösung gesehen, die das kann“, sagt er. „Das war ein riesiger Erfolg mit F5.“

Übernehmen Sie die Kontrolle und passen Sie die Leistung mit iRules individuell an

Die Möglichkeit, BIG-IP SSL Orchestrator individuell anzupassen, war ein weiteres Alleinstellungsmerkmal.

Baranoff sagt: „Wenn wir an unserem eigenen System arbeiten, können wir den Code bei Bedarf ändern. Bei Systemen anderer Anbieter ist das normalerweise nicht möglich. Mit F5 iRules können wir den Code anpassen und so das gewünschte Verhalten erzielen. Dadurch können wir unsere Kunden und ihre Anwendungsfälle besser unterstützen.“

Als er gebeten wurde, die Vorteile von BIG-IP SSL Orchestrator zusammenzufassen, stand Flexibilität ganz oben auf seiner Liste: „Flexibilität, Stabilität, Leistung, umfassende Transparenz und Kontrolle. F5 ist um Längen besser.“

Zeit und Geld sparen

Daher sagt Baranoff: „Mit F5 spare ich jede Menge Zeit und Geld.“

Derzeit arbeitet sein Team gemeinsam mit F5 Professional Services an der deklarativen automatisierten Bereitstellung und der Verwaltung des Lebenszyklus.

„Es läuft wirklich sehr gut“, sagt er und bezeichnet sein F5-Team als „unglaublich reaktionsschnell und sehr engagiert, wenn es darum geht, uns dabei zu helfen, das Produkt optimal zu nutzen“.

Er hofft außerdem, dass F5 bald eine Lösung für die sich abzeichnende globale Herausforderung der Entschlüsselung von HTTP3 finden wird. „Das wäre ein großartiger Erfolg.“

In der Zwischenzeit, so sagt er, „wird das Produkt einfach immer besser, und wir sind gespannt, was die Zukunft bringt.“

Die Angreifer werden wahrscheinlich auch in dieser Zukunft eine Rolle spielen. Trinity Cyber wird sie bekämpfen – mit F5 an seiner Seite.