IT-Sicherheitsbedrohungen im Jahr 2022

CyberArk nennt vier Angriffsvektoren, die wachsende Bedeutung gewinnen und stärkere beziehungsweise ergänzende Sicherheitsvorkehrungen auf Unternehmens- und Behördenseite erfordern.

Die Nutzung von Open Source Software (OSS) liegt klar im Trend. Die Vorteile sind die hohe Flexibilität und Skalierbarkeit sowie die Innovationskraft. Nahezu alle aktuellen Entwicklungen rund um Cloud Computing, Internet der Dinge, Autonomes Fahren, Big Data oder Künstliche Intelligenz sind Open-Source-basiert. Aber unzählige "offene" und "kostenlose" OSS-Bibliotheken bedeuten auch eine dramatisch erweiterte Angriffsfläche. Die Codecov-Attacke im April 2021 hat gezeigt, wie eine einfache Änderung in einer Codezeile eine völlig harmlose Bibliothek in eine bösartige verwandeln kann – und damit jedes Unternehmen, das sie nutzt, in Gefahr bringt. Auch die Log4j-Schwachstelle dürfte die Industrie noch länger in Atem halten.

Die Kompromittierung von Open-Source-Bibliotheken stellt generell eine große Sicherheitsgefahr dar – und die Möglichkeiten für Angreifer sind vielfältig. Sie haben beispielsweise bereits Code-Pakete mit raffinierten Namensänderungen erstellt, etwa atlas-client versus atlas_client. Dabei handelt es sich in Wirklichkeit um trojanisierte Versionen der ursprünglichen Pakete, die eine Hintertür oder Funktionen zum Diebstahl von Zugangsdaten implementieren. Und natürlich ist die Einbindung der OSS-Bibliotheken eine Wette auf die Sicherheit des fremden Codes an sich: Auch wenn der Code öffentlich verfügbar ist, kann nicht jede Zeile kontrolliert werden, ohne den Produktivitätsvorteil von OSS wieder zu verspielen.

Immer mehr Unternehmen nutzen die Cloud sowie Virtualisierungs- und Container-Technologien. Infolgedessen steigen auch die Sicherheitsgefahren. Die Mikrovirtualisierung etwa bietet Angreifern die Möglichkeit, Malware in virtuellen Systemen zu isolieren und damit vor Host-basierten Sicherheitskontrollen zu verstecken.

Solche Angriffstechniken sind noch nicht weit verbreitet. Allerdings wurde bereits publik, dass Angreifer nach Möglichkeiten suchen, Komponenten wie das Windows Subsystem for Linux (WSL für die Kompromittierung von Endgeräten zu nutzen.

Problematisch ist vor allem, dass EDR (Endpoint Detection and Response)- und andere Host-basierte Endpunkt-Sicherheitstools die Ausführung von Ransomware in einer Linux-Infrastruktur in der Regel nicht erkennen. Angreifer können so Daten problemlos verschlüsseln, und zwar im Verborgenen.

Die Entwicklung von Ransomware-as-a-Service (RaaS) hat gerade erst begonnen. Das Angebot an illegalen Services wird auch 2022 wachsen und spezialisierte Hacker werden dabei verstärkt zusammenarbeiten. Die meisten bekannten Ransomware-Familien basieren auf identischen Techniken, Taktiken und Verhaltensweisen, etwa im Hinblick auf das Löschen von Backup-Verschlüsselungsfunktionen oder die initiale Ausführung. Dadurch werden aktuelle Sicherheitstools in die Lage versetzt, Ransomware-Attacken zu erkennen und zu blockieren. Die zunehmende Einführung solcher Sicherheitstools wird Ransomware-Autoren dazu zwingen, neue und innovative Methoden zu finden, die die heute üblichen Erkennungsmöglichkeiten umgehen. Es wird also auch hier beim Katz-und Maus-Spiel zwischen Security-Forschern und Cyberkriminellen bleiben.

In den letzten Jahren haben vor allem Phishing-Attacken deutlich zugenommen. Dabei zielten Angreifer vielfach auf die Supply Chain eines Unternehmens ab. Die Vernetzung verschiedenster Unternehmen prägt die heutige Ökonomie und dabei erhalten Externe oft einen – teilweise indirekten – privilegierten Zugriff auf interne IT-Systeme, zum Beispiel auch auf sensible Daten im Kontext von Produktionsprognosen oder Qualitätskontrollen. Diese Zugriffsmöglichkeiten können auch Angreifer für ihre Ziele nutzen. Hauptsächlich Angriffe auf digitale Supply Chains sind in letzter Zeit verstärkt aufgetreten; die SolarWinds- und Kaseya-Attacken sind dafür nur zwei Beispiele. Es ist davon auszugehen, dass sich dieser Trend auch 2022 fortsetzt. Auch wenn solche Angriffe nicht vollständig zu verhindern sind, sollten Unternehmen doch einige zentrale Sicherheitsvorkehrungen treffen. Dazu zählen etwa Code-Signatur-Prüfungen, eine Multi-Faktor-Authentifizierung (MFA) bei Applikationszugriffen oder der Einsatz von Threat-Detection-Lösungen.