Threat Hunting: Kombination aus menschlichem Know-how und KI rückt in den Fokus

Laut der Studie "The State of Ransomware 2021" von Sophos hat sich die Sicherheitslage zuletzt deutlich verschärft. Dies verdeutlichen die Wiederherstellungskosten nach einem Ransomware-Angriff. Sie haben sich laut Sophos weltweit mehr als verdoppelt. Lagen sie im Jahr 2020 noch bei durchschnittlich 630.000 Euro, betrugen sie 2021 rund 1,53 Millionen Euro. Gestiegen ist auch die Höhe des durchschnittlichen Lösegelds. Es lag weltweit bei 140.000 Euro.

Doch es gibt auch Lichtblicke. So zeigt die Umfrage, dass die gestiegenen Herausforderungen vielerorts zu besser ausgebildeten, motivierteren IT-Teams geführt haben. Nachdem in vielen Ländern außerdem die Pandemiebeschränkungen auslaufen, ist jetzt ein guter Zeitpunkt, neue IT- und Sicherheitsrichtlinien zu etablieren, Sicherheitsplattformen einzuführen, Teams aus internen und externen Experten aufzubauen und die Automatisierung mit menschlichem Know-how beim Threat Hunting zu kombinieren.

Aufgrund der Erfahrungen aus dem Jahr 2020 gehen viele Unternehmen dazu über, ihre IT-Teams zu verstärken und fortschrittliche Tools wie Künstliche Intelligenz einzubinden. Laut der Studie erwarten sogar 86 Prozent der Befragten, dass KI bei der Bewältigung von Bedrohungen helfen wird. Möglicherweise ist dies der Tatsache geschuldet, dass Cyber-Attacken mittlerweile so weit fortgeschritten sind, dass sie vom internen Team allein kaum noch gestoppt werden können. Fakt ist in jedem Fall, dass traditionelle Schutzmaßnahmen wie Firewalls und Anti-Viren-Software alleine keinen ausreichenden Schutz mehr bieten. Doch warum?

Zahlreiche Cyber-Angriffe sind heute sogenannte Blended Attacks – eine Kombination aus menschlichen und maschinellen Angriffstechniken. Oft kommen hierbei verschiedenste Einzelangriffe zum Einsatz, die unentdeckt bleiben und sich bei Hindernissen individuell anpassen. Identifizierbar sind solche Aktivitäten nur durch spezialisierte Threat Hunter und -Analysten.

Das Threat-Hunting-Team von Sophos hat Telemetriedaten von Blended Attacks ausgewertet – mit erstaunlichen Ergebnissen: Durchschnittlich haben Angreifer elf Tage Zeit, sich in einem Netzwerk aufzuhalten, bevor der Einbruch entdeckt wird. In dieser Zeitspanne kann ein immenser Schaden entstehen.

Die Telemetriedaten verrieten darüber hinaus, dass Kriminelle in 69 Prozent aller Fälle RDP (Remote Desktop Protocol) als Einfallstor nutzen. Ebenfalls beliebt ist die Nutzung von Admin-Tools als Deckmantel. Zur Abwehr solcher Attacken haben sich sogenannte Endpoint Detection & Response-Lösungen (kurz EDR-Lösungen) bewährt. Mithilfe von EDR können bereits Vorstufen von Angriffen und Hackeraktivitäten identifiziert werden. Allerdings sind zur Bedienung derartiger Lösungen Threat-Hunting-Spezialisten erforderlich – und zwar 24/7.