Suchergebnisse

Nachdem wir im ersten Teil unserer Reise die Anwendungs-, Identitäts- und Passwortsicherheitsfunktionen von Windows 11 erkundet haben, wagen wir uns nun in den Bereich der Hardware- und Speicher Schutzmaßnahmen. Die Core-Isolation, ein wichtiger Akteur in diesem Bereich, verbessert unsere Verteidigung gegen Malware und Angriffe, indem sie Computerprozesse vom zugrunde liegenden Betriebssystem und Gerät isoliert. Ebenso dient die Memory Integrity, eine Komponente der Core-Isolation, als Schutz für wichtige Systemprozesse und nutzt Virtualization Based Security (VBS), um eine sichere Umgebung aufrechtzuerhalten. Wenn wir tiefer eintauchen, werden wir herausfinden, wie Windows 11 Exploit-Schutzmechanismen einsetzt, um Code, Anwendungen und Speicher zu stärken, das Risiko von Ausnutzungen zu mindern und den Benutzern ein sichereres Computing-Erlebnis zu bieten. Core Isolation Die Kernisolierung, eine hardwarebasierte Sicherheitsfunktion, stärkt die Verteidigung gegen Malware und Angriffe, indem sie Computerprozesse vom zugrunde liegenden Betriebssystem und Gerät isoliert und dabei Hardwarevirtualisierung nutzt. Speicherintegrität, eine Komponente der Kernisolierung, schützt wichtige Systemprozesse, verhindert unbefugten Zugriff, indem sie sie vom Betriebssystem trennt. Dadurch wird verhindert, dass Malware während eines Angriffs auf Systemprozesse zugreifen kann. Die Speicherintegrität nutzt die Virtualization Based Security (VBS), die den Windows-Hypervisor verwendet, um eine isolierte virtuelle Umgebung zu schaffen, die das Vertrauensdach des Betriebssystems bildet, das davon ausgeht, dass der Kernel kompromittiert werden kann. Die Speicherintegrität analysiert die Codeintegrität im Kernelmodus innerhalb der isolierten Umgebung und bestimmt, ob der Code sicher ist oder nicht. Ist er sicher, wird der Code an Windows zurückgegeben, um ausgeführt zu werden. Zudem werden Kernel-Speicherzuweisungen eingeschränkt, die zur Kompromittierung des Systems verwendet werden könnten. Die Speicherintegrität kann auch über Gruppenrichtlinienobjekte (GPO) oder MEM verwaltet werden und bietet so mehrere Verwaltungsoptionen für IT-Administratoren. Beachten Sie jedoch, dass einige Programme und Treiber möglicherweise nicht mit der Speicherintegrität kompatibel sind, was zu Bluescreens führen kann. Exploit Protection Windows 11 bietet eine Reihe von Funktionen, um Code, Anwendungen und Speicher auf Ausführungsebene zu stärken und das Risiko von Ausnutzungen zu mindern. Control Flow Guard Wenn Anwendungen in den Speicher geladen werden, wird ihnen basierend auf mehreren Faktoren wie Größe des Codes, angefordertem Speicher usw. eine bestimmte Speichergröße zugeordnet. Der zugeordnete Speicher befindet sich möglicherweise nicht in einer Reihe, sondern kann verschiedene Speicherblöcke mit unterschiedlichen Adressen enthalten. Wenn die Anwendung beginnt, Code auszuführen, ruft sie Code an verschiedenen Speicheradressen auf. In der Vergangenheit konnten Bedrohungsakteure dieses Verhalten ausnutzen, indem sie die Funktionsaufrufe änderten und auf ein anderes Ziel zeigten, um ihre Bedürfnisse zu erfüllen. Diese Möglichkeit wird in Windows 11 für Anwendungen, die für die Verwendung von CFG kompiliert wurden, gemindert. Wenn eine solche Anwendung den Code aufruft, überprüft CFG, ob der Codeort für die Ausführung vertrauenswürdig ist. Wenn der Ort nicht vertrauenswürdig ist, wird die Anwendung beendet. Da die Anwendung mit Unterstützung für CFG entwickelt werden muss, können Administratoren CFG nicht konfigurieren, sondern die Anwendungsentwickler müssen in Betracht ziehen, Anwendungen mit aktiviertem CFG zu kompilieren. Die Unterstützung für CFG ist besonders wichtig für Anwendungen, die ein hohes Risiko darstellen, wie Internetbrowser. Data Execution Prevention Datenausführungsverhinderung (DEP) ist eine systemweite Speicherschutzfunktion, die es dem Betriebssystem ermöglicht, eine oder mehrere Speicherseiten als nicht ausführbar zu kennzeichnen, was bedeutet, dass Code in diesen Bereichen nicht ausgeführt werden kann. Dies hilft, die Ausführung von Malware zu verhindern, da sich Malware in der Regel darauf verlässt, eine bösartige Nutzlast in den Speicher einzufügen, in der Hoffnung, später ausgeführt zu werden. Wenn diese Nutzlast in den nicht ausführbaren Teil des Speichers eingefügt wird, kann diese Nutzlast nicht ausgeführt werden, DEP stoppt und beendet die Anwendung. Standardmäßig schützt DEP nur wesentliche Windows-Programme und -Dienste. Einige Anwendungen könnten Probleme mit DEP haben. In diesem Fall kann die einzelne Anwendung von DEP-Schutz ausgeschlossen werden, entweder lokal auf dem Computer in den Systemeinstellungen -> Erweiterte Systemeinstellungen -> Erweitert (Leistung) -> Datenausführungsverhinderung oder Systemadministratoren können auch GPO für DEP-Ausnahmen nutzen. Die Ausnahmen können unter Administrative Vorlagen\System\Milderungsoptionen\Einstellungen für Prozessmilderungsoptionen vorgenommen werden. Weitere Informationen zu GPO-Ausnahmen finden Sie in folgendem Microsoft-Artikel -https://learn.microsoft.com/en-us/windows/security/operating-system-security/device-management/override-mitigation-options-for-app-related-security-policies Address Space Layout Randomization ASLR verhindert die Ausnutzung von Speicherkorruptions-Schwachstellen, indem es die Basisadresse eines Programms jedes Mal, wenn das Programm ausgeführt wird, zufällig ändert, was verhindert, dass ein Exploit auf allen Maschinen wirksam ist. Die Schwäche von ASLR besteht darin, dass das gesamte Programm als eine Einheit verschoben wird. Ein Beispiel für ASLR ist im folgenden Foto zu sehen. Force randomization for images Dies ist ein Unterabschnitt von ASLR, bei dem Windows eine Neupositionierung aller DLLs innerhalb des Prozesses und aller DLLs und EXE-Dateien erzwingt, wenn das Abbild in den Prozess eingebunden wird. Diese Neupositionierung hat keine Entropie, und die Positionen könnten vorhergesagt werden. Die erzwungene Zufälligkeit kann sich auf ältere Anwendungen auswirken, die mit Compilern erstellt wurden, die Annahmen über die Basisadresse einer Binärdatei getroffen haben oder Basirelokationsinformationen entfernt haben. Dies kann zu unvorhersehbaren Fehlern führen. Randomize memory allocations Zufällige Speicherzuweisungen (Bottom-up ASLR) fügen Entropie zu Umplatzierungen hinzu, sodass ihre Position zufällig ist und daher weniger vorhersehbar ist. Diese Milderung erfordert, dass Mandatory ASLR wirksam wird. High-entropy ASLR High-Entropy ASLR fügt 24 Bits Entropie in die Bottom-up-Zuweisung für 64-Bit-Anwendungen hinzu, was die Adressvorhersage noch schwieriger macht. Structured Exception Handling Overwrite Protection Eine Ausnahme ist ein Ereignis in einem Programm, das den normalen Ablauf unterbricht und eine Ausführung von Code außerhalb des Standardpfads erfordert. Es gibt zwei Arten: Hardwareausnahmen, die vom Prozessor aufgrund von Problemen wie Division durch Null oder ungültigem Speicherzugriff ausgelöst werden, und Softwareausnahmen, die von Anwendungen oder dem Betriebssystem ausgelöst werden, oft aufgrund ungültiger Parameter. Strukturierte Ausnahmehandhabung ist eine Methode zur Verwaltung beider Arten von Ausnahmen. Sie ermöglicht eine einheitliche Behandlung von Hardware- und Softwareausnahmen, bietet volle Kontrolle über das Ausnahmemanagement, unterstützt Debugging und ist kompatibel mit verschiedenen Programmiersprachen und Maschinen. Strukturierte Ausnahmehandhabungsschutz (SEHOP) hilft dabei, zu verhindern, dass Angreifer bösartigen Code verwenden, um die strukturierte Ausnahmehandhabung (SEH) auszunutzen, die integraler Bestandteil des Systems ist und (nicht bösartigen) Apps ermöglicht, Ausnahmen angemessen zu behandeln. Wenn Anwendungen Probleme mit SEHOP haben, können Ausnahmen in GPO unter Administrative Templates\System\Mitigation Options\Process Mitigation Options konfiguruert werden. Validate Heap Integrity Der Heap ist ein Speicherbereich, den Windows verwendet, um dynamische Anwendungsdaten zu speichern. Die Milderung zur Validierung der Heapsicherheit erhöht das Schutzniveau der Heapsicherungen in Windows, indem sie bewirkt, dass die Anwendung beendet wird, wenn eine Heapkorruption erkannt wird. Die Milderungen umfassen: Verhindern, dass ein HEAP-Handle freigegeben wird Durchführung einer weiteren Validierung der erweiterten Blockheader für Heapspeicherzuweisungen Überprüfen Sie, ob Heapspeicherzuweisungen nicht bereits als in Verwendung gekennzeichnet sind Hinzufügen von Schutzseiten zu großen Zuweisungen, Heapsegmenten und -subsegmenten über einer Mindestgröße. Die Überprüfung der Heapsicherheit wird standardmäßig bereits für 64-Bit- und 32-Bit-Anwendungen nach Windows Vista angewendet. Daher sind keine großen Kompatibilitätsprobleme zu erwarten. Kompatibilitätsprobleme können nur bei Anwendungen von Windows XP oder früher auftreten. Zusammenfassend unserer Erkundung der Sicherheitsfunktionen von Windows 11 haben wir uns mit zwei entscheidenden Aspekten beschäftigt: Anwendungs-, Identitäts- und Passwortsicherheit sowie Hardware- und Speicherschutz. Der erste Teil unserer Reise bot Einblicke in die Maßnahmen von Windows 11 zur Abwehr von Cyberbedrohungen auf Softwareebene und gewährleistete robusten Schutz für digitale Identitäten und sensible Informationen der Benutzer. Im Übergang zum zweiten Teil haben wir die hardwarebasierten Sicherheitsmaßnahmen von Windows 11 aufgedeckt, wie z.B. die Kernisolierung und die Mechanismen zum Schutz vor Ausnutzungen, die unsere Verteidigung gegen Malware und Angriffe durch Prozessisolierung und Stärkung der Codesicherheit verstärken. Gemeinsam schaffen diese umfassenden Sicherheitsfunktionen eine robuste Verteidigungshaltung für Windows 11 und schützen die digitalen Erlebnisse der Benutzer auf allen Ebenen. Während wir die digitale Landschaft durchqueren, ist es beruhigend zu wissen, dass Windows 11 sowohl die Software- als auch die Hardware-Sicherheit priorisiert, um eine sicherere Computing-Umgebung für alle Benutzer zu gewährleisten.

Im heutigen schnelllebigen digitalen Umfeld erfordert das Aufkommen neuer Sicherheitsrisiken, dass Organisationen robuste Sicherheitsmaßnahmen ergreifen. Ein solches Modell, das an Bedeutung gewinnt, ist das Sicherheitsmodell des Zero-Trust, das auf dem Konzept beruht, dass der Zugriff erst gewährt werden sollte, wenn die Sicherheit und Integrität einer Person oder eines Geräts überprüft wurden. Windows 11 basiert auf den Prinzipien des Zero Trust und bietet eine Plattform, die hybride Produktivität und neue Arten von Erfahrungen ermöglicht, ohne die Sicherheit zu beeinträchtigen. Dieser Artikel geht auf die integrierten Sicherheitsfunktionen von Windows 11 ein und erklärt, wie sie die Sicherheit der Organisation verbessern können, ohne zusätzliche Kosten zu verursachen. Der Artikel besteht aus 2 Teilen: Im ersten Teil werden die Sicherheitsfunktionen für Anwendungen, Identitäten und Passwörter behandelt, während im zweiten Teil Hardware- und Speicherschutzmaßnahmen betrachtet werden. Windows Hello for Business Phishing ist derzeit immer noch die beliebteste Angriffsmethode neben gestohlenen Zugangsdaten. Dies ist einer der Gründe, warum eine phish-resistente Authentifizierung entwickelt werden musste. Ein Beispiel dafür ist Windows Hello for Business, das durch phish-resistente Zwei-Faktor-Authentifizierung und integrierten Schutz vor Brute-Force-Angriffen sowie zertifikatsbasierte Authentifizierung, bedingte Zugriffsrichtlinien und Sicherheits- und Verwaltungsmerkmale für Unternehmen eine verbesserte Sicherheit bietet. Windows Hello for Business kann auch zum Anmelden bei unterstützten Websites verwendet werden, was die Notwendigkeit verringert, sich an mehrere komplexe Passwörter zu erinnern. Windows Hello for Business wird als Zwei-Faktor-Authentifizierung betrachtet, die auf den Authentifizierungsfaktoren basiert: etwas, das Sie haben, etwas, das Sie wissen, und etwas, das Sie sind/Teil von Ihnen ist. Die Zwei-Faktor-Authentifizierungsmethode von Windows Hello for Business wird durch die Kombination von gerätespezifischen Anmeldeinformationen mit einer biometrischen oder PIN-Geste erstellt. Diese Anmeldeinformation ist an Ihren Identitätsanbieter wie Entra ID oder Active Directory gebunden und kann zum Zugriff auf Apps, Websites und Dienste verwendet werden. Smart App Control Lieferkettenangriffe oder einfaches Herunterladen von Software können Malware auf Geräte einschleusen, die herkömmliche Sicherheitslösungen wie signaturbasierte Antimalware-Lösungen umgehen können. Microsoft hat eine Funktion eingeführt, die jede Anwendung analysiert und die Anwendung mit einer Cloud-Datenbank vergleicht, um ihren Ruf zu bestimmen. Wenn eine Anwendung als sicher bekannt ist, darf sie ausgeführt werden. Falls die Anwendung als unsicher oder bösartig betrachtet wird, verhindert Windows ihre Ausführung. Wenn die Anwendung nicht in der Cloud-Datenbank enthalten ist oder wenn man offline arbeitet und keine Verbindung zur Cloud-Datenbank hergestellt werden kann, verwendet Windows die Signatur der Anwendung als sekundäres Validierungsmittel. Wenn die Signatur der Anwendung gültig ist, darf die Anwendung ausgeführt werden, andernfalls wird die Anwendung blockiert, wenn sie nicht signiert ist oder die Signatur ungültig ist. Smart App Control hat 3 Betriebsmodi: Ein, Aus und Bewertung. Die Smart App Control kann nur bei einer Neuinstallation von Windows 11 aktiviert werden. Wenn die Smart App Control deaktiviert ist, kann sie nur durch Neuinstallation von Windows 11 wieder aktiviert werden. Bei einer frischen Installation von Windows 11 läuft die Smart App Control im Bewertungsmodus, um festzustellen, ob sie aufgrund der verwendeten Anwendungen geeignet ist. Wenn Windows feststellt, dass die Smart App Control die reguläre Nutzung behindern würde, wird sie automatisch deaktiviert, ansonsten wird sie schließlich automatisch aktiviert. Es gibt einen wichtigen Nachteil der Smart App Control abgesehen davon, dass sie nur bei frischen Installationen von Windows 11 funktioniert. Es gibt keine Möglichkeit zur "Überschreibung" für Smart App Control. Wenn Windows feststellt, dass eine Anwendung bösartig ist und sie blockiert, kann man die Blockierung nicht entfernen. Das Deaktivieren der Smart App Control ist eine dauerhafte Maßnahme, die ohne Zurücksetzen oder Neuinstallation von Windows 11 nicht rückgängig gemacht werden kann. Obwohl die Smart App Control die Windows-Sicherheit auf ein neues Niveau hebt, empfehle ich für Unternehmensumgebungen weiterhin die Verwendung von AppLocker oder Richtlinien für die Anwendungssteuerung von Windows Defender, die mehr Freiheit bieten. Bei verwalteten Unternehmensgeräten wird die Smart App Control automatisch deaktiviert, es sei denn, der Benutzer hat sie zuerst aktiviert. Microsoft Defender SmartScreen Früher haben wir gesehen, wie Endgeräte geschützt werden, wenn Anwendungen ausgeführt werden. Nun wollen wir uns damit befassen, wie Endgeräte vor Malware geschützt werden können, die aus dem Internet heruntergeladen wird, sowie wie Benutzer vor Phishing-Angriffen geschützt werden können, indem sie auf bösartige Websites gelockt werden. Microsoft Defender SmartScreen kann Benutzer davor schützen, potenziell bösartige Websites zu öffnen. Dies geschieht in 2 Schritten, je nach Zuversicht: Zuerst wird eine Website auf Anzeichen verdächtigen Verhaltens analysiert. Wenn die Website als verdächtig eingestuft wird, zeigt Microsoft Defender SmartScreen eine Warnseite an, um zur Vorsicht zu raten. Zweitens wird eine Website mit einer dynamischen Liste von Phishing-Websites und bösartigen Software-Websites verglichen. Wenn eine Übereinstimmung festgestellt wird, zeigt Microsoft Defender SmartScreen eine Warnung an, um den Benutzer darüber zu informieren, dass die Website möglicherweise bösartig ist. Ähnliche Schutzmaßnahmen werden auch für Dateidownloads getroffen, bevor Dateien heruntergeladen werden: Zuerst wird eine Datei mit einer Liste von gemeldeten bösartigen Software-Websites und unsicheren Programmen überprüft. Wenn eine Übereinstimmung festgestellt wird, wird eine Warnung angezeigt, um den Benutzer darüber zu informieren, dass die Website möglicherweise bösartig ist. Die Datei wird mit einer Liste von Dateien überprüft, die bekannt und häufig heruntergeladen werden. Wenn die Datei nicht auf der Liste steht, wird eine Warnung angezeigt, die zur Vorsicht rät. Microsoft Defender SmartScreen ist eine sehr gute Out-of-the-Box-Lösung für alle Windows 11 Geräte, da sie Geräte und Benutzer angemessen vor Phishing-Angriffen, Malware und potenziell unerwünschten Anwendungen (PUAs) schützt, indem sie Dateien vor dem Herunterladen und URLs vor dem Zugriff analysiert. Microsoft Defender SmartScreen unterstützt auch das Unternehmensmanagement entweder über GPO oder MEM. Unternehmensadministratoren können Einstellungen so konfigurieren, dass Benutzer Microsoft Defender SmartScreen-Warnungen nicht umgehen können, wodurch die Sicherheit der Organisation zusätzlich verbessert wird. Phishing-Schutz Passwörter sind nach wie vor das schwächste Glied der Identitätssicherheit, da sie Phishing-Angriffen ausgesetzt sein können. Eine weitere hervorragende Funktion von Microsoft Defender SmartScreen ist der erweiterte Phishing-Schutz, der verhindert, dass Sie Ihr Arbeits-/Schulkonto-Passwort (Anmeldeinformationen) auf einer bösartigen Website eingeben. Wenn eine solche Aktion auftritt, wird außerdem eine Aufforderung zur Änderung des Passworts angezeigt, da es potenziell kompromittiert wurde. Wenn Sie Ihre Anmeldeinformationen auf anderen Websites oder Apps wiederverwenden, warnt Sie der erweiterte Phishing-Schutz und fordert Sie auf, Ihr Passwort zu ändern. Eine ähnliche Warnung wie im untenstehenden Foto wird angezeigt, wenn Sie Ihre Anmeldeinformationen in eine Anwendung wie Notepad oder eine Microsoft 365 Office-Anwendung eingeben. Der erweiterte Phishing-Schutz fügt den Windows-Identitäten eine zusätzliche Schutzschicht hinzu, um es schwieriger zu machen, sie zu phishen oder zu kompromittieren. Die Lösung kann sowohl über GPO als auch über MEM verwaltet werden. In der heutigen schnelllebigen digitalen Welt ist es äußerst wichtig, unsere Daten vor neuen Online-Gefahren zu schützen. Windows 11 sorgt dafür, dass unsere Computer sicher bleiben, während wir arbeiten und spielen. Wir haben den ersten Teil behandelt, wie Windows 11 uns schützt, indem wir uns mit Dingen wie dem Aussperren schädlicher Anwendungen und der Sicherstellung befassen, dass unsere Identitäten nicht gefährdet sind. Als nächstes werden wir uns damit befassen, wie Windows 11 die inneren Werte unseres Computers schützt, wie z.B. seine Hardware und seinen Speicher. Bleiben Sie dran, um mehr darüber zu erfahren, wie Windows 11 uns vor Cyber-Problemen schützt, während wir unsere Computer jeden Tag nutzen.

Dieser Blog untersucht den Einfluss von LLM (Large Language Model)-Modellen auf Phishing-Angriffe weltweit. In letzter Zeit haben sowohl die IT-Community als auch Unternehmensbenutzer aktiv über LLM-Modelle diskutiert und ihre zahlreichen Vorteile für Unternehmen anerkannt. Es ist jedoch wichtig anzuerkennen, dass diese gleichen Modelle auch den Angreifern erhebliche Vorteile bieten, insbesondere bei der Entwicklung von Phishing-Angriffen. Entwicklung von Phishing-Angriffen Ein Blick auf die Geschichte von Phishing-Angriffen offenbart eine bemerkenswerte Veränderung. Früher wurden E-Mails, insbesondere solche in nicht-englischen Sprachen, durch zahlreiche Fehler gekennzeichnet, die sie leicht identifizierbar machten. Die Einführung von Google Translate markierte einen Wendepunkt, der die Fähigkeit der Angreifer zur Verfassung kohärenterer Phishing-E-Mails in nicht-englischen Sprachen erleichterte und damit das Phishing-Risiko eskalierte. Das Aufkommen von LLM-Modellen verstärkt dieses Risiko weiter, indem es eine beispiellose Kapazität für Sprachübersetzung und ausgefeilte Formulierungen einführt, wodurch aktuelle Phishing-Angriffe äußerst professionell und außergewöhnlich schwer zu erkennen sind. LLM-Modelle ermöglichen es Benutzern, Inhalte in Sprachen zu verfassen, die herkömmliche Übersetzungstools nicht verstehen können. Beispielsweise kann ein Benutzer seinem bevorzugten LLM-Modell anweisen, einen professionellen Brief an den CEO eines Unternehmens auf Schweizerdeutsch zu verfassen, einem Dialekt, der für einen bestimmten Kanton spezifisch ist. Das Ergebnis ist ein gut ausgearbeiteter Text, der äußerst schwer als betrügerisch zu erkennen ist. Saisonales Bewusstsein und Phishing Besonderes Augenmerk sollte auf das Bewusstsein der Mitarbeiter während der Festzeiten, wie Weihnachten oder dem Black Friday, gelegt werden. In diesen Zeiträumen nutzen Angreifer die erhöhte Nutzeraktivität aus, indem sie mehrere bösartige Websites erstellen, um Benutzer anzulocken, die nach Angeboten oder Urlaubsinformationen suchen. Als Folge werden diese Zeiten zu Brutstätten für erhöhte Phishing-Aktivitäten, die die festliche Aufregung und den Wunsch, Freude mit Freunden und Familie zu teilen, ausnutzen. HTML-E-Mail-Schwachstellen Ein wesentlicher Faktor für die Komplexität der Erkennung von Phishing-Angriffen liegt in der Anpassungsfähigkeit von HTML-E-Mails. Die inhärente Fähigkeit von HTML-Inhalten, mithilfe von CSS-Code modifiziert zu werden, bietet Angreifern die Möglichkeit, wichtige Warnbanner zu verschleiern. Insbesondere enthalten E-Mail-Sicherheitsgeräte oft interne Banner in externen E-Mails, die Benutzer darauf hinweisen, vorsichtig zu sein, wenn sie diese öffnen. Diese Sicherheitsmaßnahme wird kompromittiert, wenn Angreifer den HTML-Code manipulieren, um solche Indikatoren zu verbergen. Die Behebung dieser HTML-E-Mail-Schwachstelle erfordert einen proaktiven Ansatz. Eine wirksame Maßnahme zur Reduzierung besteht darin, sich auf die Vorschau-Funktion zu verlassen, bevor E-Mails angezeigt werden. Durch die Nutzung der E-Mail-Vorschau-Funktion können Benutzer mögliche Manipulationen umgehen und direkt die Anwesenheit oder Abwesenheit von Warnbannern beobachten. Mehr dazu kann im folgenden Artikel gelesen werden. Aktuelle Einschränkungen Zum jetzigen Zeitpunkt gibt es nur begrenzte Lösungen und Workarounds, um dieses spezifische Problem anzugehen. Angesichts der Verbreitung und Bequemlichkeit von HTML-E-Mails ist es möglicherweise keine praktikable Option für viele Organisationen, sich vollständig davon zu entfernen. Daher müssen Benutzer und Sicherheitsfachleute wachsam bleiben und zusätzliche Abwehrschichten priorisieren, um den potenziellen Risiken im Zusammenhang mit versteckten Bannern in HTML-E-Mails entgegenzuwirken. Die menschliche Komponente in der Cybersicherheit Phishing steht heute als das herausragende Risiko für Organisationen im Vordergrund, da die Stärke der Cybersicherheit nur so robust ist wie ihr schwächstes Glied – oft die menschliche Komponente. In Anerkennung dieser Verwundbarkeit müssen Unternehmen einen erheblichen Schwerpunkt darauf legen, eine proaktive Sicherheitskultur durch Benutzersicherheitsbewusstseinsprogramme und Schulungsinitiativen zu entwickeln. Allerdings muss erkannt werden, dass eine alleinige Benutzerschulung nicht ausreicht. Organisationen müssen dies durch robuste technische Kontrollen ergänzen, um Geräteinfektionen zu verhindern. Gängige Phishing-Techniken Eine verbreitete Phishing-Taktik besteht darin, Links in E-Mails einzubetten, die Benutzer auf bösartige Websites umleiten, die Browser-Schwachstellen ausnutzen oder bösartige Dateien enthalten. Um dem entgegenzuwirken, können Organisationen technische Kontrollen implementieren, wie z. B. Link-Überprüfungstools, die den Ruf und das Verhalten verlinkter Websites bewerten. Browser-Isolation wird als eine weitere effektive Abwehrmechanismus aufgebaut, indem potenziell unsichere Links in eine containerisierte Umgebung eingeschränkt werden, was das Herunterladen von Dateien und Geräteinfektionen verhindert. Phishing-Angriffe nutzen häufig bösartige Office-Dokumente, die entweder Makros oder Links enthalten. Für Dokumente mit Links können Sicherheitslösungen diejenigen, die auf E-Mail-Links angewendet werden, nachahmen, indem sie den Zugriff auf sichere Ziele umleiten. In Fällen, in denen Makros enthalten sind, sollten die Makros deaktiviert oder Benutzer gewarnt werden, bevor sie aktiviert werden. Standardmäßig werden alle extern bezogenen Office-Dokumente, die Makros enthalten, in Windows blockiert, es sei denn, sie sind anders konfiguriert. Andernfalls sollten Benutzer zumindest durch Warnungen alarmiert werden, die als erste Abwehrlinie dienen. Dies fügt eine zusätzliche Schutzschicht hinzu, die es Benutzern ermöglicht, Vorsicht walten zu lassen, bevor sie potenziell schädlichen Inhalt aktivieren. Die Bedeutung von Schichtensicherheit Angesichts der dynamischen Natur von Phishing-Angriffen wird die Implementierung von Schichtensicherheit zwingend erforderlich. Dieser Ansatz ermöglicht es Organisationen, Bedrohungsakteure bereits in den frühen Phasen eines Angriffs zu unterbrechen und die Wirksamkeit von Sicherheitskontrollen und Benutzerschulungen zu verbessern. Die Synergie zwischen robusten Sicherheitsmaßnahmen und informierten Benutzern bildet eine formidable Verteidigung gegen die sich entwickelnden Taktiken, die von bösartigen Akteuren eingesetzt werden. Bei der Gestaltung ihrer Cybersicherheitsarchitektur sehen sich Organisationen zwangsläufig Überlegungen zu Preis-Leistungs-Verhältnissen gegenüber. Die Bestimmung der potenziellen Angriffsvektoren und die Identifizierung von grundlegenden Regeln werden entscheidend. Folglich müssen Organisationen den Schutz bestimmter Angriffsflächen priorisieren. Zum Beispiel ist die Sicherung von Endpunktgeräten von größter Bedeutung, da Malware oft von Internet zu diesen Geräten durch Benutzerinteraktionen eindringt. Die Implementierung fortschrittlicher Endpoint Detection and Response (EDR)-Lösungen, wie Microsoft Defender for Endpoint, Cortex XDR oder SentinelOne, bietet mehr als herkömmliche Antivirensysteme. Diese Lösungen untersuchen Verhaltensweisen von Prozessen und verwenden maschinelles Lernen, um zwischen legitimen und bösartigen Aktivitäten zu unterscheiden, was Organisationen gegen Bedrohungen in ihren frühen Stadien stärkt. Die Landschaft der EDR-Lösungen hat sich erheblich weiterentwickelt. Die heutigen Lösungen zeichnen sich nicht nur durch Bedrohungserkennung aus, sondern bieten auch Möglichkeiten zur Behebung durch Skripte oder Rückgängigmachen. Dieser vielschichtige Ansatz gewährleistet, dass Geräte sowohl vor gängigen als auch vor schwerwiegenden Angriffen, einschließlich Ransomware-Vorfällen, geschützt bleiben. Im Falle eines Ransomware-Angriffs bietet die Möglichkeit, Geräte auf einen vorverschlüsselten Zustand zurückzusetzen, eine leistungsstarke Gegenmaßnahme, die mögliche Schäden minimiert. Kontinuierliche Überwachung für Echtzeit-Erkennung Die Statistiken zeigen ein bemerkenswertes Muster, bei dem Bedrohungsakteure strategisch Freitagnachmittage für ihre Angriffe wählen. Diese zeitliche Planung ermöglicht es ihnen, ein Zeitfenster von 2 1/2 Tagen zu haben, bevor der Angriff wahrscheinlich bemerkt wird, was die Zeit bis zur Erkennung und Reaktion erheblich verlängert. Dieses Problem wird verstärkt durch die Tatsache, dass viele Organisationen keine kontinuierlichen Überwachungsprozesse haben, was die Notwendigkeit proaktiver Sicherheitsmaßnahmen weiter unterstreicht. Erkenntnisse aus aktuellen Statistiken, insbesondere im Zusammenhang mit Kriegszeitangriffen, zeigen die alarmierende Effizienz von Bedrohungsakteuren. In diesen Szenarien benötigen Bedrohungsakteure weniger als 30 Minuten, um Schwachstellen auszunutzen und Daten abzuziehen. Diese bemerkenswerte Geschwindigkeit unterstreicht die Notwendigkeit, dass Verteidiger mit der Agilität der Bedrohungsakteure Schritt halten müssen, wobei die rasche Reaktion und effektive Sicherheitskontrollen eine entscheidende Rolle spielen. Bedrohungsakteure nutzen strategisch die Reaktionszeit der Benutzer aus, wobei sie davon ausgehen, dass gut vorbereitete Organisationen robuste Sicherheitskontrollen haben. Angreifer zielen darauf ab, das kurze Zeitfenster zu nutzen, was die Erkennung erschwert. Mit der Implementierung umfassender Kontrollen und gut entwickelter Prozesse können Organisationen jedoch auch die anspruchsvollsten Angriffe effektiv abwehren, potenzielle Kompromisse verhindern und bösartige Aktivitäten blockieren. Kontinuierliche Überwachung ist für alle Organisationen entscheidend, auch für kleinere, die ausschließlich ein EDR-System implementiert haben. Ob intern oder extern verwaltet, die Einrichtung eines dedizierten Überwachungsteams wird unerlässlich. Eine konsequente Überwachung der Umgebung spielt eine entscheidende Rolle bei der Echtzeit-Bedrohungserkennung, wodurch das Risiko und der potenzielle Einfluss eines vollständigen Kompromisses minimiert werden. Dieser proaktive Ansatz gewährleistet, dass Anomalien oder potenzielle Bedrohungen, auch in kleineren Setups mit nur einem EDR-System, schnell identifiziert und angegangen werden. Zusammenfassend bleibt Phishing-Angriffe eine weit verbreitete Bedrohung für die Unternehmenssicherheit, was die dringende Notwendigkeit kontinuierlicher Investitionen in Bewusstseinsbildung und robuste technische Sicherheitslösungen unterstreicht. Dazu gehört die Implementierung von E-Mail-Antiviren-Systemen, fortschrittlichen E-Mail-Technologien zur Verhinderung und Analyse von Anhängen und Links sowie Endpunkt-Lösungen. Darüber hinaus müssen Organisationen die Zusammenarbeit mit externen Partnern fördern oder interne Teams zur kontinuierlichen Überwachung und schnellen Reaktion auf aufkommende Bedrohungen unterhalten. Angesichts der raschen Entwicklung der Bedrohungsakteure müssen Sicherheitsteams auf dem Laufenden bleiben. Premrn Security steht bereit, professionelle Unterstützung anzubieten, indem sie Fachkenntnisse im Bereich Mitarbeiterschulung und Implementierung umfassender Sicherheitssysteme bereitstellt. Unsere Cybersicherheitsexperten sind darauf bedacht, die Umgebungen unserer Kunden zu schützen, um sicherzustellen, dass sie sicher und widerstandsfähig bleiben angesichts sich entwickelnder Cyberbedrohungen. Kontaktieren Sie uns noch heute, um Ihre zukünftige Sicherheitsposition zu stärken.

In einer zunehmend vernetzten digitalen Welt sind Cyberbedrohungen immer ausgefeilter, hartnäckiger und potenziell verheerender geworden. Da Organisationen bestrebt sind, ihre kritischen Vermögenswerte und sensiblen Informationen zu schützen, ist eine robuste Cybersicherheitsstrategie von größter Bedeutung. Die Fusion von Zero Trust-Prinzipien mit Schweizer Cybersicherheitspraktiken bietet eine umfassende Lösung, um diesen sich entwickelnden Bedrohungen entgegenzuwirken. Zero Trust: Ein Paradigmenwechsel in der Cybersicherheit Zero Trust ist nicht nur ein Sicherheitsrahmen; es ist ein Paradigmenwechsel. Traditionelle Sicherheitsmodelle, die auf der Perimeterverteidigungsstrategie beruhen, reichen nicht mehr aus, um den fortgeschrittenen Cyberbedrohungen von heute zu begegnen. Zero Trust basiert auf der Annahme, dass keiner Entität, ob innerhalb oder außerhalb des Netzwerks, grundsätzlich vertraut werden sollte. Das Vertrauen muss kontinuierlich überprüft und niemals vorausgesetzt werden. Kernprinzipien von Zero Trust Die Sicherheitsarchitektur von Zero Trust basiert auf mehreren Schlüsselprinzipien: Identität überprüfen: Jeder Benutzer, jedes Gerät und jede Anwendung, die versucht, auf das Netzwerk zuzugreifen, muss authentifiziert werden, um sicherzustellen, dass sie wirklich diejenigen sind, für die sie sich ausgeben. Zugriff mit geringsten Rechten: Benutzern und Geräten werden nur die minimalen Zugriffsrechte gewährt, die für ihre Aufgaben erforderlich sind, um die potenzielle Angriffsfläche zu verringern. Mikrosegmentierung: Netzwerke werden in kleinere Segmente unterteilt, um die laterale Bewegung innerhalb des Netzwerks im Falle eines Eindringens zu begrenzen. Kontinuierliche Überwachung: Die kontinuierliche Überwachung der Netzwerkaktivität stellt sicher, dass jede anomale Verhaltensweise schnell erkannt wird. Schweizer Cybersicherheit: Eine Tradition der Exzellenz Die Schweiz hat den Ruf, sich nachhaltig für den Schutz von Daten und Sicherheit einzusetzen. Das Cybersicherheitsumfeld ist dabei keine Ausnahme. Hauptmerkmale der Schweizer Cybersicherheit Datenschutz: Die Schweiz verfügt über strenge Datenschutzgesetze, einschließlich des neuen Bundesgesetzes über den Datenschutz (FADP) und der Einhaltung der EU-DSGVO-Standards. Dadurch bleibt die Kundendaten hochsicher und privat. Proaktive Bedrohungsintelligenz: Schweizer Cybersicherheitsunternehmen investieren kontinuierlich in Bedrohungsintelligenz, um aufkommende Bedrohungen frühzeitig zu erkennen und sind somit gut gerüstet, die Interessen ihrer Kunden zu schützen. Innovative Technologie: Schweizer Cybersicherheitslösungen nutzen die neueste Technologie und bieten den Kunden fortschrittliche Sicherheitsoptionen, darunter Verschlüsselung, erweiterte Authentifizierung und Einbruchserkennungssysteme. Die Synergie: Zero Trust im Schweizer Kontext Zero Trust Network Access (ZTNA) Zero Trust Network Access (ZTNA) ist eine grundlegende Komponente des Zero Trust-Frameworks. Es etabliert strikte Zugangskontrollen, die es Organisationen ermöglichen, den Zugriff auf bestimmte Anwendungen oder Daten basierend auf Benutzeridentität, Gerätegesundheit und Echtzeit-Sicherheitslage zu gewähren oder zu verweigern. ZTNA passt perfekt zu den Schweizer Cybersicherheitspraktiken, die den Schutz sensibler Daten und der Privatsphäre der Benutzer priorisieren. Kontinuierliche Überwachung und Anomalieerkennung Sowohl Zero Trust als auch Schweizer Cybersicherheit betonen die Bedeutung der kontinuierlichen Überwachung und Anomalieerkennung. Schweizer Cybersicherheitsunternehmen haben fortschrittliche KI- und maschinelle Lernlösungen übernommen, um die Netzwerkaktivität in Echtzeit zu überwachen, genauso wie es Zero Trust fördert. Adaptive Authentifizierung Zero Trust integriert adaptive Authentifizierung, die verschiedene Faktoren wie das Verhalten des Benutzers und die Gesundheit des Geräts vor der Gewährung des Zugriffs bewertet. Schweizer Cybersicherheitsunternehmen haben ebenfalls diesen Ansatz übernommen und die Sicherheit durch die Verwendung mehrerer Faktoren für die Identitätsprüfung erhöht. Umsetzung von Zero Trust in Schweizer Organisationen Die Umsetzung von Zero Trust-Prinzipien im Schweizer Cybersicherheitsumfeld kann äußerst effektiv sein, um die kritischen Vermögenswerte einer Organisation zu schützen. Hier ist, wie: Zugriffskontrollrichtlinien: Schweizer Unternehmen können Zero Trust-Prinzipien durch die Einführung granularer Zugangskontrollen übernehmen, um sicherzustellen, dass Benutzern und Geräten nur die minimal erforderlichen Zugriffsrechte gemäß dem Prinzip des geringsten Privilegs gewährt werden. Identitätsüberprüfung: Eine robuste Identitätsüberprüfung, einschließlich Multi-Faktor-Authentifizierung und adaptiver Authentifizierung, kann integriert werden, um die Sicherheitsmaßnahmen zu stärken. Kontinuierliche Überwachung: Schweizer Cybersicherheitsunternehmen können ihre Sicherheitslösungen durch eine verbesserte Echtzeitüberwachung auf anomales Verhalten stärken. Fallstudien: Anwendungen in der realen Welt Banken- und Finanzwesen Der Banken- und Finanzsektor in der Schweiz, bekannt für seine Sicherheit und Vertraulichkeit, kann seine Verteidigung mit Zero Trust weiter stärken. Zero Trust-Prinzipien passen nahtlos zu den strengen behördlichen Anforderungen und Datenschutzverpflichtungen des Sektors. Gesundheitswesen Die Gesundheitsbranche steht vor zahlreichen Herausforderungen beim Schutz von Patientendaten. Schweizer Gesundheitsorganisationen können von der kontinuierlichen Überwachung und den robusten Zugangskontrollen, die das Zero Trust-Framework bietet, profitieren. Regierungsbehörden Schweizer Regierungsbehörden können ihre Sicherheitslage verbessern, indem sie Zero Trust-Prinzipien übernehmen, um sensible Informationen, kritische Infrastrukturen und die Privatsphäre der Bürger zu schützen. Herausforderungen und Überlegungen Die Umsetzung von Zero Trust im Schweizer Cybersicherheitsumfeld ist nicht ohne ihre Herausforderungen: Integrationskomplexität: Der Übergang zu einer Zero Trust-Architektur kann für einige Schweizer Organisationen, insbesondere solche mit Altssystemen, komplex sein. Ressourcenanforderungen: Zero Trust kann eine erhebliche Investition in Bezug auf Technologie, Personal und Schulung erfordern. Kultureller Wandel: Der Übergang von traditionellen Sicherheitsmodellen zu einem Zero Trust-Paradigma erfordert eine Änderung der Denkweise und ein starkes Engagement für kontinuierliche Überprüfungen. Die Verbindung von Zero Trust-Prinzipien und Schweizer Cybersicherheitspraktiken bietet eine leistungsstarke Kombination, um der sich entwickelnden Landschaft der Cyberbedrohungen entgegenzuwirken. Die strengen Datenschutzgesetze, die fortschrittliche Technologie und das Streben nach Exzellenz in der Schweiz machen sie zu einem idealen Umfeld für die Umsetzung von Zero Trust. Während sich Organisationen in der Schweiz und darüber hinaus an eine digitale Welt voller Unsicherheiten anpassen, wird ein proaktiver Ansatz für die Cybersicherheit, der Zero Trust und Schweizer Cybersicherheit kombiniert, zu einem strategischen Imperativ. Die Synergie dieser beiden Ansätze ermöglicht es Organisationen, ihre kritischen Vermögenswerte zu schützen, sensible Informationen zu sichern und die Vertraulichkeit, Integrität und Verfügbarkeit von Daten in einer sich ständig verändernden digitalen Landschaft aufrechtzuerhalten. Premrn Security bietet professionelle Unterstützung auf Ihrem Weg zur Implementierung eines Zero Trust-Sicherheitsmodells. Unser Team von Cybersicherheitsexperten ist bestrebt, den Schutz Ihrer sensiblen Daten sicherzustellen und die Sicherheitslage Ihrer Organisation gegen hochentwickelte Bedrohungen zu verbessern. Ergreifen Sie jetzt proaktive Maßnahmen; kontaktieren Sie uns noch heute, um Ihre Zukunft zu sichern.

In letzter Zeit sind Cyberangriffe erfolgreich, aufgrund einer oder mehrerer Gründe, aber in den meisten Fällen sind die Gründe entweder nicht gepatchte Systeme oder Löcher in der Konfiguration von IT-Systemen, insbesondere Active Directory (AD) und Azure Active Directory (AAD). In diesem Artikel werden wir skizzieren, warum Schwachstellenmanagementverfahren eine entscheidende Rolle bei der Sicherung von Organisationen spielen, wie wir Schwachstellen erfolgreich erkennen können und wie wir die Sicherheitslage unserer Organisation bewerten können. Änderung im Schwachstellenmanagement Jede Woche lesen wir über neue Schwachstellen, aber das Wichtigste, was sich in den letzten Jahren geändert hat, ist, dass Schwachstellen, die öffentlich bekannt sind, höchstwahrscheinlich bereits seit einigen Monaten ausgenutzt werden. Ein sehr bekanntes Beispiel ist der Hafnium-Angriff, der Schwachstellen im Microsoft Exchange Server ausnutzte, aber es gibt auch viele andere wie CVE-2022-22965 (Spring4Shell). Die chinesische staatlich geförderte Bedrohungsgruppe begann im Januar 2021, Schwachstellen in Exchange-Servern auszunutzen, aber die Schwachstellen wurden im März 2021 öffentlich bekannt gegeben, als Microsoft auch Sicherheitsupdates und Abhilfemaßnahmen veröffentlichte. Der Hafnium-Angriff richtete sich gegen Exchange-Server, die über Outlook Web Access (OWA) für das Internet geöffnet waren. Obwohl Microsoft Sicherheitsupdates veröffentlichte, half dies nicht, wenn Ihre Organisation eine der 21.000 betroffenen war. Aufgrund einer Änderung im Zeitplan für die Ausnutzung von Schwachstellen, der öffentlichen Offenlegung und der Abhilfe/Patch müssen Organisationen ein gut entwickeltes Schwachstellenmanagementverfahren haben, damit sie alle Schwachstellen in ihren Systemen identifizieren können, einschließlich IoT- und Netzwerkgeräten, ein Threat-Hunting-Team, das Artefakte bereits ausgenutzter Schwachstellen finden kann, und einen umfassenden Vorfallreaktionsplan, um den Schaden für die Organisation zu begrenzen und Systeme wiederherstellen zu können. Richtlinien für das Schwachstellenmanagementprogramm Um Schwachstellen in der Umgebung zu finden und zu beheben, müssen Organisationen einen entwickelten Schwachstellenmanagementprozess haben. Der Prozess muss alle Schritte umfassen - Identifizierung, Klassifizierung/Risikobewertung und Behebung. Schwachstellen können am einfachsten mit einer dedizierten Schwachstellenbewertungslösung wie Tenable oder Rapid7 oder einer Endpoint Detection & Response (EDR)-Lösung wie Microsoft Defender for Endpoint oder Palo Alto Networks Cortex XDR identifiziert werden. Bei der Entscheidung, welchen Ansatz man wählen soll, müssen Organisationen berücksichtigen, dass alle Geräte gescannt werden müssen, einschließlich Netzwerk- und IoT-Geräten, die keine Agenteninstallation unterstützen, aber mit Anmeldeinformationen oder nicht angemeldeten Scan-Techniken gescannt werden müssen. Nachdem Schwachstellen identifiziert wurden, wird automatisch eine CVSS-Bewertung (Common Vulnerability Scoring System) zugewiesen. Die CVSS-Bewertung zeigt die Kritikalität einer spezifischen Schwachstelle. Sie setzt sich aus mehreren Metriken zusammen, wie z.B. Zugriffsanforderung für Ausnutzung, Komplexität, erforderliche Privilegien, Benutzerinteraktion, Auswirkungsbereich, … Weitere Informationen zur CVSS-Bewertung finden Sie auf der folgenden NIST-Website. Nach der Klassifizierung der Schwachstellen muss jede Organisation die Auswirkungen der Schwachstellen auf die Umgebung bewerten. Die Ergebnisse dieses Schritts beeinflussen auch den Behebungsprozess jeder Schwachstelle. Um die Auswirkungen der Schwachstellen zu bewerten, müssen Organisationen überprüfen, welche Systeme betroffen sind, wie diese Systeme geschützt sind, ob bereits vollständige oder teilweise Kontrollen vorhanden sind, die eine Ausnutzung der Schwachstellen verhindern, und welche Auswirkungen eine erfolgreiche Ausnutzung der Schwachstellen auf die Organisation haben könnte. Der letzte Schritt des Schwachstellenmanagements ist die Behebung, die auf verschiedene Arten erfolgen kann, wie z.B. Patchen, Hostisolierung oder Implementierung anderer Kontrollen wie Firewall-Regeln. Der Behebungsprozess wird je nach Version des Systems, der Kritikalität der Schwachstelle, den potenziellen Auswirkungen des Patchens auf die Organisation und den internen Patch-Richtlinien variieren. Zum Beispiel patchen einige Unternehmen Geräte nur einmal im Monat, wenn zum Beispiel umfangreiche Tests für jeden Patch erforderlich sind, und wenn zwischen den Patch-Tagen Schwachstellen entdeckt werden, müssen sie mit anderen Kontrollen gemildert werden. Wenn das System nicht mehr unterstützt wird oder Komponenten hat, die eine verwundbare Version der Software erfordern, ist eine der besten Möglichkeiten zur Behebung der Bedrohung, das System zu isolieren und nach Ersatz zu suchen. Der Behebungsteil des Schwachstellenmanagements umfasst in der Regel die Zusammenarbeit zwischen Anwendungs-/Bereitstellung und Cyber-Sicherheitsteam. Der Kollaborationsprozess muss einfach und gut definiert sein, so dass jede Partei die Verantwortlichkeiten kennt. Microsoft Defender for Endpoint (MDE) bietet zum Beispiel eine Integration mit Microsoft Endpoint Manager (MEM), so dass das Cyber-Sicherheitsteam bei der Entdeckung einer Schwachstelle problemlos eine Anfrage zur Behebung an das Anwendungs-/Bereitstellungsteam mit einer Erläuterung der Schwachstelle und einem Kommentar senden kann. Diese Integration ermöglicht es den Teams, agil zusammenzuarbeiten und auf schnelle und effiziente Weise zu kooperieren. Bestimmung der Cybersicherheitslage der Organisation Der zweithäufigste Grund für einen erfolgreichen Angriff sind Fehlkonfigurationen in Systemen, insbesondere im eigenen Bereich. Die häufigsten Gründe für Fehlkonfigurationen sind die Komplexität von IT-Umgebungen, da sie mehrere Systeme, Plattformen und Anwendungen umfassen, die integriert, korrekt konfiguriert und auf dem neuesten Stand sein müssen, menschliche Fehler, mangelnde Standardisierung zwischen den Regionen oder Standorten des Unternehmens, Schwierigkeiten bei der Aufrechterhaltung der neuesten Entwicklungen und unzureichende Tests von Konfigurationen. Fehlkonfigurationen sind oft nicht sofort erkennbar, da es in IT-Umgebungen keine Indikatoren dafür gibt und falls Organisationen keine Bewertungen von Umgebungen durchführen, können Fehlkonfigurationen lange Zeit unentdeckt bleiben und zusätzliche unbekannte Risiken mit sich bringen. Um die IT-Umgebung in einem optimalen Zustand zu halten, müssen kontinuierlich, mehrmals im Jahr Bewertungen durchgeführt werden. Wir sehen Fehlkonfigurationen als ein großes Risiko, deshalb empfehlen wir Organisationen, Umgebungen regelmäßig zu bewerten, und wir bieten auch eine kostenlose Sicherheitsbewertung an. Die Bewertung der Umgebung kann entweder mit benutzerdefinierten Skripten oder durch die Nutzung professioneller Lösungen wie Ping Castle oder Purple Knight durchgeführt werden. Andererseits erhalten Kunden, die bereits Microsoft-Sicherheitslösungen wie Microsoft Defender for Endpoint, Microsoft Defender for Identity oder Microsoft Defender for Cloud implementiert haben, bereits als Teil des Secure Score und der Empfehlungen, die Microsoft Kunden zur Verfügung stellt, eine gute Bewertung der Umgebung. Sobald Fehlkonfigurationen identifiziert sind, müssen Organisationen Pläne zur Milderung dieser erstellen. Die Milderung einiger Fehlkonfigurationen wie Kerberos Unconstrained Delegation kann herausfordernd sein, da viele Organisationen alte Systeme haben, die von früheren Mitarbeitern eingerichtet wurden und oft nicht dokumentiert sind. Eine Änderung der Delegierungseinstellung kann auch einen großen Einfluss auf die Verfügbarkeit von Systemen in der Umgebung haben. Aufgrund der möglichen Herausforderungen wird empfohlen, einen Profi um Rat zu fragen, anstatt die Konfiguration ohne Kenntnis der potenziellen Auswirkungen zu ändern. Eine sichere Umgebung mit einem entwickelten Schwachstellenmanagementprogramm aufrechtzuerhalten, kann eine Herausforderung sein. Neben diesem müssen Organisationen auch die Konfigurationen der bereitgestellten Systeme bewerten und verbessern, falls Probleme identifiziert werden. Wenn Sie Hilfe bei der Entwicklung eines Schwachstellenmanagementprogramms benötigen oder daran interessiert sind, die Sicherheitslage Ihrer Umgebung zu sehen, wenden Sie sich an Premrn Security, und unsere Experten werden Ihnen helfen.

Im Bereich der Cybersicherheit ist die Entwicklung eines umfassenden Plans oder einer Roadmap von entscheidender Bedeutung. Dieser Plan sollte technische Lösungen, Protokolle für den Vorfallumgang und das menschliche Element umfassen. Bevor der Plan initiiert wird, muss man sich der verschiedenen Lösungen, Software, Prozesse, Aktivitäten und Risiken bewusst sein, die in ihrer Umgebung vorhanden sind. Um eine Cybersicherheits-Roadmap von Grund auf aufzubauen, ist der erste Schritt die Sammlung von Informationen über die Umgebung. Dies kann auf verschiedene Arten geschehen, je nach Größe, Struktur und IT-Fähigkeiten der Organisation. Typischerweise erhalten Organisationen die erforderlichen Informationen durch Kommunikation mit verschiedenen Abteilungen, Nutzung von Windows Event Log/Syslog, Ausführung von Skripten und Erstellung von Berichten. Eine andere Möglichkeit besteht darin, eine Endpoint Detection & Response (EDR)-Lösung wie Crowdstrike, Microsoft Defender for Endpoint oder Sentinel One zu nutzen, die auf den meisten Endgeräten installiert werden muss, um brauchbare Informationen zu sammeln. Dieser Ansatz gewährleistet die Sicherheit der Geräte und liefert gleichzeitig eine Liste aller installierten Software sowie Versionen und Schwachstellen. Kleinere und mittelgroße Organisationen, die nicht weit verstreut sind und eine einfache und schnelle Kommunikation zwischen den Standorten haben, nutzen in der Regel den ersten Ansatz. Im Gegensatz dazu können größere Organisationen, die bereits eine EDR-Lösung implementiert haben, sich für den letzten Ansatz entscheiden, da sie Informationen aus verschiedenen Regionen sammeln müssen, was aufgrund von Bandbreitenbeschränkungen, Satellitenverbindungen und Zeitunterschieden herausfordernd sein kann. Die von einer EDR-Lösung gesammelten Informationen werden direkt in die Cloud gesendet, anstatt an einen zentralen Ort weitergeleitet zu werden, und der Datenupload ist optimiert, um Staus zu minimieren, insbesondere in Satellitenverbindungen. Sobald die erforderlichen Informationen mithilfe einer EDR-Lösung gesammelt wurden, müssen die Informationen nur noch von den Standorten bestätigt werden. Die Entwicklung eines Cybersicherheitsplans, der Sicherheit und Transparenz in allen Bereichen der IT gewährleistet, einschließlich Kommunikation (E-Mail, MS Teams, Cisco Webex, Slack, etc.), Server und Arbeitsstationen, Identitäten, Cloud-Ressourcen und SaaS-Anwendungen, muss als eine einzige, symbiotische Lösung für die nächsten drei Jahre entwickelt werden. CISOs und IT-Sicherheitsteams müssen die Benutzerfreundlichkeit der vorgeschlagenen Lösungen, ihre Integration in die Umgebung und untereinander, ihre Auswirkungen auf aktuelle operative Prozesse und Mitarbeiter, das für Bereitstellung und Verwaltung der Lösungen erforderliche Wissen und wer die Umgebung überwachen wird, berücksichtigen. Das Nichtbefolgen dieser Richtlinien kann dazu führen, dass suboptimale Lösungen bereitgestellt werden, die nicht symbiotisch zusammenarbeiten und zu zusätzlichen Kosten führen. Ein weiterer entscheidender Aspekt der Cybersicherheit, der gleichzeitig angegangen werden muss, ist die Vorbereitung eines Vorfallreaktionsplans und -teams. Organisationen müssen einen klar definierten Prozess für die Erkennung und Reaktion auf Vorfälle haben, einschließlich regelmäßiger Überprüfungen von Vorfällen, die von Sicherheitstools generiert oder von einem externen Security Operation Center (SOC) gemeldet wurden, Threat Hunting und Tischübungen, um die Wirksamkeit des Plans zu testen. Das Incident-Response-Team muss klare Rollen und Verantwortlichkeiten haben und darauf trainiert sein, Vorfälle effektiv zu handhaben. Der dritte Bereich der Cybersicherheit, der oft übersehen wird, ist das menschliche Element und das Management. Cybersicherheit ist nicht nur ein IT-Problem, sondern ein Geschäftsproblem. Die Bedeutung der Cybersicherheit muss dem Management und allen Mitarbeitern kommuniziert werden. Schulungen zur Sicherheitsaufklärung sollten allen Mitarbeitern angeboten werden, um ihnen zu helfen, ihre Rolle bei der Aufrechterhaltung der Sicherheit der Organisation zu verstehen. Das Management spielt eine entscheidende Rolle dabei, sicherzustellen, dass Cybersicherheit innerhalb der Organisation ernst genommen wird, indem es die erforderlichen Ressourcen und Unterstützung für die IT-Abteilung bereitstellt, um die richtigen Sicherheitslösungen bereitzustellen und sicherzustellen, dass Prozesse implementiert sind, um Vorfälle zu erkennen und darauf zu reagieren. Sie müssen auch sicherstellen, dass Cybersicherheit Teil der Gesamtgeschäftsstrategie ist. Zusammenfassend umfasst Cybersicherheit mehrere Säulen: IT-Lösungen, Menschen und Führung, die zusammenarbeiten müssen, um eine gut gesicherte Umgebung zu schaffen. Die IT-Abteilungen müssen eine Cybersicherheits-Roadmap und einen Vorfallreaktionsplan durch eine Kombination von Tools, Prozessen und Menschen entwickeln. Das Management spielt eine entscheidende Rolle dabei, sicherzustellen, dass Cybersicherheit innerhalb der Organisation ernst genommen wird, und jeder innerhalb der Organisation hat eine Rolle bei der Aufrechterhaltung der Sicherheit der Organisation.

Die Windows-Firewall ist ein entscheidendes Windows-Feature, das oft vernachlässigt wird und nur dann betrachtet wird, wenn zusätzliche Ports für neue Software geöffnet werden müssen. Die kürzliche Outlook-Sicherheitslücke (CVE-2023-23397) hat jedoch gezeigt, dass es riskant sein kann, sich ausschließlich auf Netzwerk-Firewalls zum Schutz zu verlassen, da die Bewertung und Konfiguration der Hunderte von Netzwerk-Firewalls in einer Organisation eine herausfordernde Aufgabe sein kann. In diesem Artikel werden wir die Bedeutung der Windows-Firewall und wie Organisationen sie nutzen können, um eine robuste erste Verteidigungslinie zu schaffen, erörtern. Standardkonfiguration Standardmäßig geht die Windows-Firewall davon aus, dass Bedrohungen für eine Organisation externen Ursprungs sind, und blockiert daher Verbindungen zu Windows-Geräten, es sei denn, sie werden ausdrücklich zugelassen, während ausgehende Verbindungen zugelassen werden, es sei denn, sie werden ausdrücklich blockiert. Im Fall von CVE-2023-23397 erstellt jedoch eine bösartige E-Mail, die in Outlook heruntergeladen wird, eine TCP/445-Verbindung vom Gerät zum Server des Angreifers, die vom Gerät selbst ausgeht und standardmäßig nicht von der Windows-Firewall blockiert wird. Dies ist nur ein Beispiel dafür, wie Angreifer die Standardkonfigurationen der Windows-Firewall ausnutzen können und verdeutlicht die Notwendigkeit, dass Cybersecurity-Ingenieure mit den Windows-Firewall-Konfigurationen vertraut sind und diese absichern. Was die Windows-Firewall bietet Die Windows-Firewall ermöglicht es uns, Regeln für bestimmte Programme/Dienste unter Verwendung des Protokolltyps und der Portnummer, einer Kombination aus beidem oder vordefinierten Regeln zu konfigurieren. Bei der Regel-Erstellung können wir auch angeben, welche IP-Ziele in die Regel einbezogen oder ausgeschlossen werden, was es uns ermöglicht, die Kommunikation auf eine bestimmte Gruppe von Geräten zu beschränken, unter anderem. Abmilderung von CVE-2023-23397 Durch die Konzentration auf die Absicherung des Domänenprofils in der Windows-Firewall erlaubt standardmäßig eine Firewall-Regel namens Core Networking - Gruppenrichtlinie (NP-Out) TCP/445-Verbindungen zu jedem Ziel, wobei herkömmliche Netzwerk-Firewalls zum Schutz des Perimeters genutzt werden. Eine schnelle und einfache Lösung besteht jedoch darin, die Regel so zu ändern, dass SMB-Verbindungen nur zu Netzwerken zugelassen werden, die Domänencontroller, Dateiserver und Druckinfrastruktur enthalten. Nachdem dies erfolgt ist, konfigurieren Sie das Domänenprofil der Windows-Firewall so, dass ausgehende Verbindungen blockiert werden, wobei zu beachten ist, dass keine Standardregel vorhanden ist, die ausgehenden ICMP-Verkehr zulässt. Fazit Zusammenfassend hat dieser Artikel die Bedeutung und Auswirkung der Windows-Firewall hervorgehoben, eines Features, das von Organisationen oft übersehene Funktionen bietet. Die Absicherung der Konfigurationen der Windows-Firewall kann herausfordernd sein, insbesondere in Umgebungen mit vielen Anwendungen, aber die Vorteile können immens sein. Die Windows-Firewall kann als starke erste Verteidigungslinie in einer Cybersicherheitsstrategie dienen, und Organisationen sollten ihre Fähigkeiten nutzen, um ihre Gesamtsicherheitslage zu verbessern.

Cyberangriffe sind eine wachsende Bedrohung in der heutigen Welt und werden zunehmend verbreitet. Wie es in der Cybersicherheitsgemeinschaft heißt: "Es gibt diejenigen, die gehackt wurden, und diejenigen, die gehackt werden." Wenn ich Einzelpersonen frage, ob sie Angst haben, gehackt zu werden, antworten etwa 75% mit: "Warum sollte ein Hacker mich zum Ziel haben? Ich habe nichts Wertvolles zu verbergen." Diese gleichgültige Einstellung veranlasste mich, diesen Artikel zu schreiben, in dem ich die Motivationen hinter dem Hacken, die verschiedenen Arten von Hackern und die Gewinne, die sie erzielen können, beleuchten möchte. Hacker können basierend auf ihren Zielen und Motivationen in mehrere Kategorien unterteilt werden. Die gefährlichste und erfahrenste Gruppe wird als "Staatsakteure" bezeichnet. Diese Hacker werden finanziell von Regierungen unterstützt, hauptsächlich von den Vereinigten Staaten, Russland, China und Nordkorea, und verfügen über nahezu unbegrenzte Ressourcen und Zeit. Ihre Hauptziele sind Spionage und Cyberkriegsführung. Viele ihrer Angriffe erhalten aufgrund ihrer groß angelegten Auswirkungen weitreichende mediale Aufmerksamkeit. Ein herausragendes Beispiel für einen Angriff von Staatsakteuren ist der SolarWinds-Hack im Jahr 2020, der mehrere US-Regierungsbehörden ins Visier nahm. Ihre Ziele sind in der Regel Regierungsbehörden, elektrische Netzsysteme, Kraftwerke und Unternehmen, die mit der Regierung als Software- oder Hardwareanbieter oder -berater zusammenarbeiten. Die nächste Gruppe sind Cyberkriminelle, deren Hauptmotivation finanzieller Gewinn ist. Cyberkriminalität ist der größte Bereich des Hackens, da viele Personen zum Hacken greifen, um schnell Geld zu verdienen. Die häufigste Art von Angriff, die von diesen Gruppen durchgeführt wird, ist Erpressung mit Ransomware. Sie verfügen über moderate bis hohe Ressourcen und Kenntnisse und können ihren Zielen erheblichen Schaden zufügen. Ihre Ziele sind Organisationen, die wertvolle Daten besitzen, wie Fluggesellschaften, Banken, IT-Unternehmen und Krankenhäuser. Die letzten beiden Gruppen sind "Hacktivisten" und "Script Kiddies". Beide Gruppen verfügen über geringe bis moderate Ressourcen und Kenntnisse. Hacktivisten sind Hacker, die aus ideologischen oder religiösen Gründen Cyberkriminalität betreiben. Ihre Angriffe nehmen oft die Form von Fake News, Denial-of-Service und Ransomware an. Script Kiddies sind unerfahrene Hacker, die Programme und Malware verwenden, die sie online finden, um ihre Fähigkeiten zu verbessern. Es handelt sich in der Regel um junge Personen, oft Teenager, die aus Spaß oder um sich vor ihren Peers zu brüsten, hacken. Ihre Hacks umfassen das Stehlen von WLAN-Passwörtern und College-Prüfungen. Nun, da wir die verschiedenen Arten von Hackern verstehen, wollen wir uns mit dem Wert der von ihnen gestohlenen Daten beschäftigen. Kreditkarteninformationen sind ein häufig gestohlenes Gut. Die meisten Kreditkartendiebstähle erfolgen auf gefälschten Websites, die Personen dazu verleiten, ihre Kreditkarteninformationen einzugeben. Der Wert gestohlener Kreditkarten auf dem Schwarzmarkt reicht von 5 bis 110 US-Dollar pro Karte. Online-Zahlungsdienste wie PayPal werden ebenfalls häufig gestohlen. Diese Diebstähle erfolgen, indem Personen dazu verleitet werden, ihre Anmeldedaten auf gefälschten Websites einzugeben, oder durch die Verwendung von Anmeldedaten, die aus anderen gehackten Konten stammen, wie Facebook oder E-Mail. Der Wert eines Online-Zahlungsdienstkontos kann bis zu 200 US-Dollar betragen. Gmail-Konten sind auch für Cyberkriminelle wertvoll und werden für rund 156 US-Dollar verkauft. Viele Personen verwenden ihre E-Mail-Anmeldeinformationen erneut, wodurch Gmail-Konten leicht zu Zielen werden. Gesundheitsorganisationen sind ebenfalls häufige Ziele von Cyberangriffen. Cyberkriminelle suchen in diesen Angriffen nach geschützten Gesundheitsdaten (PHI). Das Stehlen von PHI ist lukrativer als das Stehlen von Kreditkarten, da Gesundheitsorganisationen über keine fortschrittlichen Betrugserkennungssysteme verfügen und PHI viel mehr persönliche Informationen als eine Kreditkarte liefert. Durch die Verwendung von PHI können Cyberkriminelle Krankenversicherungsbetrug begehen, verschreibungspflichtige Medikamente und medizinische Geräte illegal erhalten und gefälschte Identitäten und Pässe erstellen, die mit beträchtlichem Gewinn verkauft werden können. Daher kann PHI bis zu 1000 US-Dollar pro Stück wert sein. Das lukrativste Geschäft für Cyberkriminelle ist Ransomware, daher werden diese Art von Angriffen immer häufiger. Ransomware ist eine Taktik, die von Cyberkriminellen angewendet wird, bei der sie Ihre Daten verschlüsseln, manchmal sogar stehlen, und dann eine Lösegeldzahlung im Austausch für den Entschlüsselungsschlüssel fordern. Ein erfolgreicher Ransomware-Angriff auf ein mittelständisches Unternehmen kann dem Angreifer eine Auszahlung von bis zu 300.000 US-Dollar einbringen. Nun, da wir ein besseres Verständnis dafür haben, warum sich Cyberkriminelle an diesen Handlungen beteiligen, und welchen Wert sie auf unsere persönlichen Informationen legen, müssen wir wachsamer werden und uns gegen mögliche Angriffe schützen. Unser Expertenteam für Cybersicherheit steht Ihnen zur Seite, um Ihre persönlichen Daten zu schützen oder Ihre Organisation vor diesen Bedrohungen zu sichern. Warten Sie nicht, bis es zu spät ist, nehmen Sie noch heute Kontakt mit uns auf.

In der heutigen digitalen Welt entwickelt sich die Bedrohungslandschaft ständig weiter, und Organisationen sehen sich täglich neuen und raffinierten Cyberbedrohungen gegenüber. Um sensible Informationen und Systeme zu schützen, ist es entscheidend, einen umfassenden Ansatz für die Cybersicherheit zu übernehmen. Genau hier setzt Zero Trust an. Zero Trust ist ein Sicherheitsmodell, das davon ausgeht, dass alle Geräte und Benutzer potenzielle Bedrohungen darstellen, unabhängig von ihrem Standort oder davon, ob sie sich innerhalb oder außerhalb des Netzwerks befinden. Anstatt sich auf sicherheitsrelevante Maßnahmen basierend auf Perimeter zu verlassen, überprüft Zero Trust die Identität und das Verhalten von Benutzern und Geräten, bevor diesen der Zugriff auf sensible Ressourcen gewährt wird. Die Bedeutung von Zero Trust liegt darin, dass traditionelle Sicherheitsmodelle nicht mehr ausreichen, um Organisationen vor modernen Cyberbedrohungen zu schützen. Sicherheit, die auf Perimeter basiert, geht davon aus, dass alle Geräte innerhalb des Netzwerks vertrauenswürdig sind und dass der Netzwerkperimeter ausreichend Sicherheit bietet. Mit dem Aufkommen von Remote-Arbeit und der zunehmenden Nutzung von Cloud-Diensten ist der Netzwerkperimeter jedoch durchlässig geworden, was es Angreifern erleichtert, in das Netzwerk einzudringen. Eine der Schlüsselkomponenten von Zero Trust ist die kontinuierliche Überwachung und Verifizierung. Zero-Trust-Lösungen sind darauf ausgelegt, das Verhalten von Benutzern und Geräten zu überwachen und ihr Risikoniveau in Echtzeit zu bewerten. Dies ermöglicht es Organisationen, potenzielle Bedrohungen schnell zu erkennen und darauf zu reagieren, selbst wenn sie bereits innerhalb des Netzwerks sind. Die Umsetzung von Zero Trust erfordert einen erheblichen Wandel in der Sicherheitskultur einer Organisation und erfordert eine Änderung in der Art und Weise, wie sie Sicherheit betrachten. Es erfordert von Organisationen, einen risikobasierten Ansatz zur Sicherheit zu übernehmen, bei dem das Risikoniveau jedes Benutzers und Geräts bewertet wird, bevor diesen der Zugriff auf sensible Ressourcen gewährt wird. Ist das Risikoniveau höher als die Schwelle, wird kein Zugriff auf sensible Ressourcen gewährt. Die Herausforderungen bei der Implementierung von Zero Trust umfassen die Notwendigkeit einer erhöhten Sichtbarkeit und Kontrolle, die Notwendigkeit einer besseren Identitäts- und Zugriffsverwaltung sowie die Notwendigkeit einer kontinuierlichen Überwachung und Verifizierung. Diese Herausforderungen können durch die Einführung eines mehrschichtigen Sicherheitsansatzes bewältigt werden, der verschiedene Sicherheitslösungen wie XDR-Systeme, Identitätsschutzmechanismen, MFA und UEBA-Schutz kombiniert, um einen umfassenden Schutz zu gewährleisten. Eine der wichtigen Herausforderungen, mit denen Organisationen konfrontiert sind, besteht in der Verwaltung, Schulung und Bereitschaft der Benutzer, das Konzept von Zero Trust zu übernehmen. Die erste Hürde besteht in der Regel in der Implementierung von MFA für Benutzer, die kein Firmenhandy besitzen, da viele von ihnen keine Authentifizierungs-App auf ihrem privaten Telefon installieren oder eine private Telefonnummer für den Empfang von SMS-Nachrichten verwenden möchten. In den meisten Fällen ist dieses Verhalten bzw. diese Reaktion ein Hebel, um ein Firmenhandy zu erhalten. Wenn eine Organisation es sich nicht leisten kann oder nicht bereit ist, Mobiltelefone an alle Mitarbeiter auszugeben, ist eine gute Alternative, physische Sicherheitsschlüssel für die MFA-Authentifizierung auszugeben. Zusammenfassend ist Zero Trust ein entscheidender Schritt zur Erreichung umfassender Cybersicherheit. Durch die Übernahme eines Zero-Trust-Ansatzes können Organisationen ihre sensiblen Informationen und Systeme vor modernen Cyberbedrohungen schützen, ihre Sichtbarkeit und Kontrolle erhöhen und die Sicherheit ihrer Benutzer und Geräte gewährleisten. Egal, ob Sie gerade erst Ihre Reise beginnen oder bereits auf dem Weg zu Zero Trust sind, die Zusammenarbeit mit einem erfahrenen Sicherheitsberater kann Ihnen dabei helfen, Ihre Sicherheitsziele zu erreichen und der Bedrohungslandschaft immer einen Schritt voraus zu sein.