«Das Missbrauchspotenzial ist gestiegen»

Einen alles entscheidenden Sieg über die Cyberkriminellen wird es nicht geben. Stattdessen liefern sich Angreifer und Verteidiger ein ewiges Wettrüsten mit neuen Technologien und Konzepten. Jüngst haben Fortschritte bei der generativen KI das Spiel verändert. Aber auch dagegen, davon ist InfoGuard-Analyst Stephan Berger überzeugt, können sich die Unternehmen schützen – mit weniger Aufwand, als viele befürchten.

Stephan Berger: Die meisten Angreifer – abgesehen von staatlichen – gehen nicht besonders raffiniert vor. In Wahrheit setzen viele Firmen zu wenige Überwachungsmittel ein oder suchen gar nach den falschen Spuren. Die vorgestellten forensischen Artefakte können helfen, Kompromittierungen und Infektionen im eigenen Netzwerk schneller und zuverlässiger zu identifizieren.

Berger: Interessanterweise zeigen die forensischen Spuren der zehn Malware-Familien relativ starke Überschneidungen. Für uns als Sicherheitsexperten und -expertinnen ist das natürlich ein Vorteil: Wir können weniger Alarme für eine grössere Anzahl von Malware-Familien setzen und dadurch die Wahrscheinlichkeit erhöhen, eine Infektion oder einen Angreifer frühzeitig zu erkennen.

Berger: Bei unserer Untersuchung haben wir ausschliesslich Open-Source-Programme zur Suche und Analyse der vorgestellten Spuren eingesetzt. Diese Programme können kostenfrei aus dem Internet heruntergeladen und genutzt werden. Der richtige Einsatz erfordert ein gewisses Know-how, aber grundsätzlich sollten die Kosten kein Hindernis für eine effiziente Cyberüberwachung darstellen.

Berger: Künstliche-Intelligenz-Modelle, wie ChatGPT, machen es Angreifern einfacher, auf «Befehl» Schadcode generieren zu lassen. Das Missbrauchspotenzial ist daher gestiegen und Angreifer können auch ohne um­fassendes Vorwissen potenzielle Angriffe durchführen. Je nach Entwicklung der KI könnte sogar eine vollständig automatisierte Kompromittierung von Netzwerken realisierbar werden.

Berger: Noch bedeutender als KI – und meiner Ansicht nach am wichtigsten – ist eine Härtung der Betriebssysteme, des Active Directory und allgemein des Netzwerks. Basierend auf meinen Erfahrungen aus Hunderten von Incident-Response-Fällen kann ich sagen, dass viele Unternehmen der Cyberhygiene innerhalb ihrer Netzwerke noch immer ungenügend Beachtung schenken. Dazu zählen klassischerweise Patchmanagement, zu hohe Benutzerberech­tigungen und fehlende Multi-Faktor-Authentisierung.

Berger: Ein starker Security-Partner, der das Netzwerk 24/7 überwacht, ist unerlässlich. Die aktuelle Bedrohungslage lässt nicht mehr zu, dass kritische Alarme über Nacht oder gar über das Wochenende unbearbeitet bleiben. Viele Angreifer erlangen, sobald sie Zugang zum internen Netzwerk haben, innerhalb weniger Stunden höchste Berechtigungen. Schnelles und professionelles Handeln ist daher zwingend.