Prävention gegen Zero-Day-Exploits Best Practices zur Abwehr von Zero-Day-Bedrohungen

Anbieter zum Thema

Cohesity GmbH

Pathlock Deutschland GmbH

Arctic Wolf Networks Germany GmbH

Bei Zero-Day-Angriffen handelt es sich um neu geschaffene Schwachstellen, für die es bisher „null Tage Zeit“ gab, sie zu beheben und daher noch keine Patches entwickelt wurden. Hacker nutzen dabei das enge Zeitfenster zwischen der Entdeckung einer Schwachstelle und der Veröffentlichung von Patches aus.

Software-Anbieter sind in der Regel ständig auf der Suche nach Schwachstellen in ihren Produkten. Bei Entdeckung durch den Hersteller oder auch sogenannten White Hats erfolgt die Veröffentlichung eines Patch, um ihre User davor zu schützen. Eine Zero-Day-Schwachstelle ist also eine Software-Schwachstelle, die von Angreifern entdeckt wird, bevor der Anbieter davon Kenntnis erlangt. Somit gibt es keinen Patch für Zero-Day-Schwachstellen und die Benutzersysteme verfügen im Grunde über keine Abwehrmechanismen, sodass Angriffe meist sehr wahrscheinlich erfolgreich sind.

Ziele von Zero-Day-Exploits

Ein Zero-Day-Angriff kann Schwachstellen in einer Vielzahl von Systemen ausnutzen:

• Betriebssysteme: Aufgrund der Möglichkeiten, die sie Hackern bieten, um die Kontrolle über Benutzersysteme zu erlangen, gehören Betriebssysteme zu den attraktivsten Zielen für Zero-Day-Angriffe.

• Webbrowser: Eine nicht gepatchte Schwachstelle kann es Hackern ermöglichen, Drive-by-Downloads zu realisieren, Skripte auszuführen oder sogar ausführbare Dateien auf Rechnern von Usern zu starten.

• Office-Anwendungen: In Dateien eingebettete Malware nutzt häufig Zero-Day-Exploits in einer jeweiligen Anwendung aus.

• Open-Source-Komponenten: Nicht selten werden Open-Source-Komponenten nicht aktiv gepflegt oder sind keinen IT-Security-Maßnahmen unterworfen. Selbst Software-Anbieter verwenden diese Komponenten, ohne sich der darin enthaltenen Schwachstellen bewusst zu sein.

• Internet der Dinge (IoT): Vernetzte Geräte aller Art, von Sensoren bis hin zu Autos mit Assistenzsystemen und Fabrikmaschinen, sind häufig anfällig für Zero-Day-Exploits. Denn nicht alle IoT-Geräte verfügen über einen zuverlässigen Mechanismus zum Patchen oder Aktualisieren ihrer Software.

Wesentliche Schutzmaßnahmen vor Zero-Day-Exploits

Zero-Day-Angriffe sind naturgemäß schwer abzuwehren. In der Folge sind einige der wichtigsten Best Practices skizziert, die dazu beitragen, die Bedrohung durch viele, wenn nicht alle Zero-Day-Angriffe zu verringern oder sogar zu beseitigen:

Next-Generation Antivirus (NGAV)

Herkömmliche Antivirenlösungen, die Malware anhand von Datei-Signaturen erkennen, sind gegen Zero-Day-Exploits nicht wirksam. Sie können erst nützlich sein, wenn der Antivirus-Anbieter seine Malware-Datenbank aktualisiert und der User das neue Patch aufgespielt hat.

Dagegen verwenden sogenannte Antivirus-Lösungen der „nächsten Generation“ Bedrohungsinformationen bzw. Verhaltensanalysen, die ein übliches Verhalten für ein System festlegen und dadurch verdächtiges anomales Verhalten erkennen können. Ferner kommen Code-Analysen für maschinelles Lernen (ML) zum Einsatz, um zu erkennen, dass ein System mit einem unbekannten Malware-Strang infiziert ist.

Bei der Identifikation solcher Malware kann NGAV bösartige Prozesse blockieren und verhindern, dass sich der Angriff auf andere Endpunkte ausbreitet. Mithilfe der aktuellen NGAV-Technologien lassen sich zwar nicht alle Zero-Day-Malwares erkennen, aber sie sind dazu in der Lage, die Wahrscheinlichkeit erheblich zu verringern.

Patch-Management implementieren

Jede Unternehmung sollte über Richtlinien und Prozesse für ein solides Patch-Management verfügen, die allen involvierten Mitarbeitern klare Vorgaben zur Verfügung stellen und mit Entwicklungs-, IT-Betriebs- und Sicherheitsteams koordiniert werden. Nicht nur in größeren Unternehmungen ist es wichtig, Prozesse der Automatisierung für die Administration und das Patchen zu verwenden.

Es empfiehlt sich, Patch-Management-Lösungen für den automatischen Bezug von Patches zu verwenden und die aufgespielten Änderungen zu testen. Dies vermeidet Verzögerungen und verhindert, dass vielleicht manche Teile eines Systems unberücksichtigt bleiben. Auch das Patch-Management kann Zero-Day-Angriffe nicht verhindern, aber es kann das Expositionsfenster erheblich verkürzen. Im Falle einer schwerwiegenden Schwachstelle können Software-Anbieter sogar innerhalb von Stunden oder Tagen einen Patch herausgeben.

Incident Response Plan implementieren

Alle Unternehmungen profitieren von einem Incident-Response-Plan, der einen organisierten Prozess zur Identifizierung und Bewältigung von Hacker-Attacken bietet. Spezielle Routinen, die sich auf Zero-Day-Exploits konzentrieren, verschaffen im Falle eines Angriffs einen großen Vorteil, verringern die Verwirrung und erhöhen die Chancen, Schäden zu vermeiden oder zu reduzieren. Bei der Ausarbeitung eines solchen Plans sollten folgende Phasen der Reaktion auf einen Vorfall berücksichtigt werden:

• Vorbereitung: Durchführung einer gründlichen Risikobewertung sowie Identifikation der sensibelsten Assets, die das IT-Security-Team fokussieren sollte. Vorbereitung einer Dokumentation für die jeweiligen Aufgaben, Verantwortlichkeiten und Prozesse.

• Identifizierung: Das Team muss festlegen, wie eine mögliche Zero-Day-Attacke von den jeweiligen Tools und/oder betrieblichen Prozessen erkannt werden kann. Validierungen, ob es sich wirklich um einen Angriff handelt, und welche zusätzlichen Daten gesammelt werden müssen, um die Bedrohung zu beseitigen.

• Bereinigung: Sobald das System einen Sicherheitsvorfall erkennt, muss es sofort angemessene Maßnahmen ergreifen, um den Angriff einzudämmen, zu bereinigen und weitere Schäden zu verhindern. Zudem müssen entsprechende Schritte unternommen werden, damit ähnliche Angriffe in der Zukunft verhindert werden.

• Wiederherstellung: Es ist ein Procedere zu entwickeln, wie beispielsweise Produktionssysteme oder Websites wieder zum Laufen gebracht, Tests ausgeführt bzw. Systeme über eine gewisse Zeit überwacht werden können, um sicherzustellen, dass sie wieder normal funktionieren.

• Retrospektive: Spätestens etwa zwei Wochen nach dem Ende des Vorfalls empfiehlt es sich, eine Retrospektive durchzuführen, um angewandte Tools und organisatorische Prozesse zu überprüfen und zu sehen, wie das Unternehmen auf den nächsten Angriff besser vorbereitet sein kann.

(ID:49433651)