Angriffe abwehren und anderen helfen: Die Reaktion von F5 auf Sicherheitsvorfälle geht aufs Haus
Die meisten Angreifer haben es nicht gezielt auf Sie abgesehen. Zumindest nicht am Anfang. In der Regel gehen sie zunächst äußerst breit vor und konzentrieren sich erst dann auf Organisationen, die genau die Schwachstelle aufweisen, die sie ausnutzen möchten. Sofern Sie kein besonders lohnendes Ziel sind – etwa ein Finanzinstitut, ein großer Einzelhändler oder eine Behörde –, geht es nicht speziell um Sie. Wahrscheinlich weisen Sie einfach zufällig die gesuchte Schwachstelle auf – was zugegebenermaßen wenig tröstlich ist, wenn Sie angegriffen werden.
Betrachtet man das Gesamtbild, suchen Angreifer in der Regel überall nach denselben Dingen, weshalb der Wissensaustausch theoretisch äußerst vorteilhaft ist. In der Praxis scheitert dies jedoch meist daran, dass die meisten Unternehmen über keinen Mechanismus verfügen, um entweder a) Erkenntnisse aus früheren Sicherheitsvorfällen der Branche zu berücksichtigen oder b) anonym über ihre Erfahrungen zu berichten, damit andere dieselben Fehler vermeiden können. Daher verbreiten sich Informationen über aktuelle Angriffskampagnen, bei denen neue (oder bekannte) Schwachstellen aktiv ausgenutzt werden, nicht so weit, wie sie sollten. Entsprechend sehen wir immer wieder Schlagzeilen über Sicherheitsverletzungen, die auf dieselben zugrunde liegenden Schwachstellen und Exploits zurückzuführen sind. Ein Beispiel: Wie viele Opfer von WannaCry nutzten 2017 EOL- bzw. nicht mehr unterstützte Software, deren Risiken weithin dokumentiert waren? Die Antwort: sehr viele.
Fairerweise muss man sagen, dass vieles davon im jeweiligen Kontext nachvollziehbar ist. Während eines Angriffs, bei dem möglicherweise bereits ein Sicherheitsvorfall eingetreten ist, und unter dem Druck einer Notfallreaktion denkt eine IT-Sicherheitsfachkraft nicht als Erstes daran, Informationen für die breitere Community bereitzustellen – zumal gleichzeitig die Rechtsabteilung jeden Schritt genau beobachtet und ihr Bestes tut, Informationen über den Vorfall zurückzuhalten, bis die Fakten geklärt sind. Angenommen, Sie stehen nicht unter erdrückendem Stress und sind noch immer hinreichend altruistisch eingestellt: Was könnten Sie überhaupt tun, um der Branche als Ganzes zu helfen? Eine Möglichkeit wäre, entdeckte Dateien mit VirusTotal zu teilen. Wahrscheinlich könnten Sie jedoch kaum mehr tun, als sie dort hochzuladen, bevor Sie sich wieder der dringlicheren Aufgabe widmen müssten, Ihr Unternehmen zu schützen (und vielleicht noch unmittelbarer: Ihren Arbeitsplatz). Im Idealfall stünde Ihnen ein Team qualifizierter Verstärkungskräfte zur Seite, das bereit und in der Lage ist, Sie bei der Bewältigung der Krise schnell zu unterstützen: engagierte Fachleute, die die Informationen analysieren, sofortige Empfehlungen zur Schadensbegrenzung geben und Ihnen (sowie anderen Internetnutzern) anschließend dabei helfen, das Netzwerk besser auf die Abwehr künftiger Angriffe vorzubereiten.
Zurück zum Tagesgeschäft
Hier kommt F5 ins Spiel. Als Kunde erhalten Sie im Rahmen Ihres Supportvertrags kostenlose (ja, KOSTENLOSE) Unterstützung bei der Reaktion auf akute Sicherheitsvorfälle. So bekommen Sie nicht nur in den entscheidenden Momenten die benötigte Hilfe, sondern es entsteht auch eine Grundlage dafür, die Erfahrungen mehrerer Organisationen zu analysieren, zusammenzuführen und zu abstrahieren – zum Nutzen der gesamten Gemeinschaft. Bei einer unmittelbar bevorstehenden Bedrohung genügt ein Anruf beim technischen Support von F5 mit dem Hinweis, dass Sie von einem Sicherheitsvorfall betroffen sind. Sie werden dann direkt mit dem F5 Security Incident Response Team (SIRT) verbunden. Dieses globale Team besteht aus Sicherheitsexperten, die mehr als ein Dutzend Sprachen unterstützen, über umfassende Erfahrung bei der Reaktion auf Sicherheitsvorfälle verfügen und rund um die Uhr an 365 Tagen im Jahr erreichbar sind. Natürlich wird das Team anschließend auch auf die relevanten übergeordneten Sicherheitsthemen eingehen, damit Sie auf künftige Vorfälle besser vorbereitet sind. Das Hauptziel des F5 SIRT besteht jedoch darin, den akuten Schaden einzudämmen und Ihnen Zeit zu verschaffen, um eine langfristige Lösung zur Risikominderung für Ihr Unternehmen zu entwickeln.
Die weltweit tätigen Mitarbeiter des F5 SIRT können zudem auf eine umfangreiche Auswahl an Abwehrmaßnahmen zurückgreifen, die durch F5-Produkte oder -Angebote in Kundenumgebungen ermöglicht werden, darunter Advanced WAF (einschließlich Proactive Bot Defense, CAPTCHA und mehr), AFM, IP Intelligence (IPI), GeoIP, verschiedene Optionen zum Schutz vor Brute-Force-Angriffen und zahlreiche weitere Möglichkeiten. Sie können außerdem das Silverline-Team von F5 hinzuziehen oder bei Bedarf zusätzlichen cloudbasierten DDoS- oder WAF-Schutz empfehlen. In geeigneten Fällen sind diese und weitere Lösungen über den F5-Vertrieb erhältlich.
Das SIRT-Team verfügt über besondere Expertise im Umgang mit den programmierbaren iRules von F5, die schnell entwickelt und bereitgestellt werden können, um Datenverkehrsflüsse anzupassen. Wie schnell? Auch wenn die Komplexität des Problems stets eine Rolle spielt, können anpassbare iRules innerhalb weniger Minuten erstellt und vom Kunden innerhalb weniger Stunden bereitgestellt werden (natürlich unter Einhaltung der ordnungsgemäßen Verfahren zur Kontrolle von Notfalländerungen).
Sehen wir uns dazu ein kurzes Beispiel an: Ein F5-Kunde war einem Brute-Force-Angriff auf RDP-Server ausgesetzt, denen ein F5-Gerät vorgeschaltet war. Die Server waren über das Internet erreichbar und mussten zur Unterstützung des Geschäftsbetriebs zugänglich sein, allerdings nur für bestimmte Netzwerkbereiche. Um den Angriff abzuwehren, wurde gemeinsam mit F5 SIRT eine iRule entwickelt. Diese nutzte eine Datengruppe, um die Client-IP mit einer Reihe „bekannter und vertrauenswürdiger“ externer Netzwerke abzugleichen und sämtlichen Datenverkehr zu verwerfen, der nicht aus einem dieser Netzwerke stammte. Dadurch wurde der Angriff wirksam abgewehrt und die Sicherheitslage des Kunden verbessert. Darüber hinaus konnten bei diesem Ansatz weiterhin Netzwerke zur Liste der vertrauenswürdigen Netzwerke hinzugefügt oder daraus entfernt werden. Der Kunde konnte dazu bestimmte Datengruppen in der grafischen Benutzeroberfläche konfigurieren und so ähnliche Angriffe künftig abwehren.
Zurück zur Community
Wenn im Zuge einer Untersuchung eines Sicherheitsvorfalls relevante Details entdeckt werden, etwa ein neuer Exploit, eine neue Kampagne, Schadsoftware oder eine Schwachstelle, die bislang noch nicht in freier Wildbahn beobachtet wurde oder noch nicht hinreichend bekannt ist, kann das F5 SIRT auf ein unternehmensweites Netzwerk von Teams zurückgreifen, um zusätzliche Einschätzungen einzuholen. Bei diesem Ansatz wird das Wissen der Bedrohungsforscher, Entwickler von Sicherheitsprodukten und anderer Experten von F5 gebündelt, um die Erkenntnisse zu analysieren und künftig verbesserte Abhilfemaßnahmen anzubieten. Wenn sich ein bestimmter Aspekt zur Veröffentlichung eignet und damit der gesamten Branche zugutekommt, werden keine Angaben zu konkreten Kunden oder einzelnen Vorfällen offengelegt. Die veröffentlichten Informationen beschränken sich auf die Entdeckung und das Verhalten einer bestimmten Bedrohung – wie im Fall von PyCryptoMiner – sowie gegebenenfalls auf allgemeine Handlungsempfehlungen.
Sie können Ihre Infrastruktur besser schützen und verwalten, weil Sie wissen, dass Teams von F5-Experten bereitstehen, um Sie zu unterstützen – und dass im Falle eines Angriffs kein Berg an Bürokratie und Papierkram zwischen Ihnen und der benötigten Hilfe steht. Darüber hinaus profitieren Sie von der Gewissheit, dass anderen Kunden nicht dasselbe Schicksal widerfahren muss und dass auch Ihr Unternehmen dank dieses Ansatzes, wertvolles Wissen zu teilen, langfristig besser geschützt sein wird.
Was also hat F5 davon? Natürlich möchten wir, dass Unternehmen erfolgreich arbeiten und ihre Geschäfte sicher abwickeln können; denn der Erfolg unserer Kunden ist die Grundlage für den Erfolg von F5. Darüber hinaus wissen wir, dass Sicherheitsvorfälle nicht nur das angegriffene Unternehmen betreffen. Häufig wirken sie sich auch auf dessen Kunden und Partner aus – und mitunter weit darüber hinaus. So verwenden Nutzer beispielsweise oft dieselben oder ähnliche Passwörter für mehrere Websites, wodurch sich das Ausmaß eines Sicherheitsvorfalls erheblich vergrößert. Bei Nutzern von Sony und Yahoo wurde etwa festgestellt, dass sie in 59 % der Fälle für beide Konten dasselbe Passwort verwendeten. Ohne allzu sehr zu übertreiben, kann dieser Dominoeffekt jeden treffen, der im Internet Geschäfte tätigt. (Noch eine Randbemerkung: Untersuchungen zufolge kommen heute auf jeden Internetnutzer durchschnittlich drei kompromittierte Datensätze.)
Wir – das heißt die gesamte Branche – können die zugrunde liegenden Probleme, die Systeme anfällig machen, besser angehen, indem wir Möglichkeiten schaffen, relevante Details zu Angriffen und wichtige Erkenntnisse auszutauschen. Beim F5 SIRT beginnt dies damit, Kunden in die Lage zu versetzen, einen gewinnbringenden Beitrag zum Gemeinwohl zu leisten und zugleich ihre eigene Position zu verbessern.
Weitere Informationen und Kontaktmöglichkeiten für das F5 Security Incident Response Team (SIRT) finden Sie auf dessen Webseite.