Im Jahr 2017 erlitt Equifax, eine der weltweit größten Kreditauskunfteien, einen Cyber-Verstoß von beispielloser Bedeutung und Größe. Mehr als 145 Millionen Datensätze mit personenbezogenen Daten wurden von Cyberkriminellen gestohlen. Aufgrund der Art dieses Verstoßes trat der CEO von Equifax zurück, eine Untersuchung des Kongresses wurde eingeleitet, die Aktien von Equifax wurden getroffen und eine Sammelklage in 50 Bundesstaaten wurde eingereicht.
The Breach
Am 2. März 2017 entdeckte ein Sicherheitsforscher eine Schwachstelle in der Webanwendung Apache Tomcat Struts 2, die als CVE-2017-5638 identifiziert wurde. Equifax nutzte diese Anwendung, um Verbrauchern die Meldung von Unstimmigkeiten in ihren Kreditberichten zu ermöglichen. Wenige Tage nach der Entdeckung der Schwachstelle wurde am 7. März 2017 ein Software-Patch veröffentlicht. Innerhalb von 24 Stunden erschien ein Blogbeitrag, der beschrieb, wie man diese Schwachstelle ausnutzen kann, um Fernzugriff auf Computer mit der ungepatchten Software zu erlangen. Am 10. März 2017 wurde der Exploit als Plugin für das beliebte Open-Source-Exploit-Toolkit Metasploit veröffentlicht. Hacker begannen daraufhin, das Internet nach Servern mit dieser Schwachstelle zu durchsuchen. Mitte Mai 2017 wurden sie fündig – der betroffene Server gehörte Equifax. Es wurde unbefugter Zugriff erlangt, und die Hacker blieben im Netzwerk von Equifax und exfiltrierten Daten, bis sie am 29. Juli 2017 entdeckt wurden .
Warum ist der Verstoß aufgetreten?
Man könnte meinen, dass eine Organisation von der Größe von Equifax, die für den Schutz der Daten von 145 Millionen Amerikanern zuständig ist, diesen Verstoß hätte erkennen können, bevor Daten gestohlen wurden, geschweige denn 2.5 Monate lang unbewusst waren. Also was ist passiert? Berichten zufolge wurde Equifax auf die Sicherheitsanfälligkeit aufmerksam gemacht, ergriff jedoch keine Maßnahmen, um den Server zu patchen. Sobald der Server nicht mehr gepatcht war und Hacker die Sicherheitsanfälligkeit ausnutzten, wurden "verdächtige Warnungen" ausgelöst, aber Equifax ergriff keine Maßnahmen. Um den ehemaligen CEO von Equifax zu paraphrasieren: Sie erhalten jedes Jahr Tausende von Warnungen, und es ist schwierig, die wichtigen von den weniger wichtigen zu quantifizieren. Dies zeigt deutlich ein Problem mit Sicherheitstools und ein Problem mit Personen. Die Tools, die Unternehmen heute bereitstellen, haben Schwierigkeiten, kritische Ereignisse anhand der weniger kritischen Ereignisse zu identifizieren, und es wird immer menschliches Versagen geben und nicht genügend Personen, um auf Bedrohungen zu reagieren.
Was hätte getan werden können?
Zunächst einmal hätte menschliches Versagen vermieden werden können, wenn Equifax die Sicherheitswarnung mit der Bezeichnung CVE-2017-5638 beachtet und seine Server umgehend gepatcht hätte. Zweitens müssen Unternehmen veraltete Tools, die ein falsches Sicherheitsgefühl vermitteln, durch neue ersetzen, die den heutigen Problemen gerecht werden. Dazu gehören beispielsweise Intrusion Detection Systems (IDS) und Security Information & Event Manager (SIM).SIEMUnabhängig voneinander betriebene Malware-Sandboxes, die nicht flächendeckend in die Infrastruktur integriert sind, führen lediglich zu Fehlalarmen, blinden Flecken und eingeschränkter Erkennungsfähigkeit. Intrusion-Detection-Systeme (IDS) basieren größtenteils auf signaturbasierter Erkennung und können daher bekannte Angriffe erkennen. Für die Erkennung von Zero-Day-Schwachstellen, für die keine Signaturen verfügbar sind, sind IDS jedoch ungeeignet. SIEM Werkzeuge sind zu Müllhalden für Baumstämme, Baumstämme und noch mehr Baumstämme geworden. SIEM Tools sind zwar nützlich, müssen aber so programmiert werden, dass sie Abfragen ausführen, um die gewünschten Informationen zu finden. Doch was ist mit den unbekannten, schädlichen Dingen, die man aufspüren möchte?
Eine Methode, die hätte angewendet werden können, besteht darin, ein Sichtbarkeits-Framework in der gesamten Equifax-Infrastruktur bereitzustellen, um blinde Flecken zu beseitigen, mehrere Arten von Infrastrukturdaten zu erfassen und dann Algorithmen für maschinelles Lernen über dem Datensatz auszuführen, um Anomalien zu erkennen. Diese neuen Frameworks werden als Breach Detection Systems bezeichnet und basieren auf Big-Data-Technologie und künstlicher Intelligenz.
SCHLUSSBEMERKUNGEN
Was wir alle in der Cybersicherheitsbranche gelernt haben, ist, dass Datenlecks unvermeidbar sind, Netzwerke sich ständig verändern, hundertprozentiger Schutz nie erreicht werden kann und Cyberangriffe jedes Jahr zunehmen. Daher müssen Unternehmen ständig nach neuen Wegen suchen, um ihre wertvollen Daten zu schützen. Wir bei Stellar Cyber sind überzeugt, dass die heute verwendeten Tools zur Erkennung von Sicherheitsverletzungen, wie IDS, APT und … SIEMwird sich in naher Zukunft radikal verändern und ganz anders aussehen.
