Um Cyberkriminelle zu besiegen, müssen Sie verstehen, wie sie denken

Getting inside the mind of a threat actor can help security pros understand how they operate and what they’re looking for — in essence, what makes a soft target.

Was denken Cyber-Kriminelle? Im Kopf eines Bedrohungsakteurs steckt der Teufel im Detail. Die Cybersicherheit besteht aus so vielen Details, dass man leicht einige davon übersehen kann. Selbst wenn beispielsweise alle anderen Mitarbeiter geschützt sind, kann eine einzige Person, die keine Zwei-Faktor-Authentifizierung verwendet, alle Mitarbeiter gefährden.

Früher galt eine Erfolgsquote von 99% für Sicherheitslösungen als gut. Aber das Problem ist, dass es immer noch eine 1% Chance gibt, dass ein Angriff durchkommt. Um diese 1%-Chance zu vereiteln, müssen Sie mehrere Sicherheitsebenen haben. Wenn man 10 Schichten mit einer Erfolgsquote von 99% hat, stehen die Chancen gut, dass man so gut wie jede Sicherheitsbedrohung abfangen kann.

Die Verteidigungssysteme werden immer fortschrittlicher, so dass Bedrohungsakteure immer nach dem Punkt des geringsten Widerstands suchen werden. In der heutigen Zeit ist dieser Punkt der Mensch. Laut IBM, 41% aller Vorfälle im Bereich der Cybersicherheit beginnen mit Phishing als ursprünglichem Angriffsvektor. Glücklicherweise ist aber nicht alles schlecht und düster. Wenn Sie den Feind verstehen, können Sie Ihr Unternehmen besser auf Cyberangriffe vorbereiten.

Der Stand der Sicherheit: Verstehen, worauf Bedrohungsakteure achten

Viele Bedrohungsakteure kehren zu den Grundlagen des Social Engineering zurück und nutzen Informationen, die sie von Datenbrokern erhalten. Sie sind Anwendung einfacher Phishing-Taktiken, um ein Ziel zu ködernweil es die automatisierten Cybersicherheitsinstrumente vermeidet und direkt den einzelnen Menschen einbezieht.

Cyberkriminelle verüben selten direkte Angriffe gegen eine bestimmte Zielperson. In der Regel suchen sie sich jemanden aus dem Unterstützungssystem der Zielperson: einen Assistenten der Geschäftsleitung, den Ehepartner, die Kinder oder die Großmutter im Haushalt. Derjenige, der das weichste Ziel in diesem Unterstützungssystem ist, wird derjenige sein, der auf einen Link klickt. Dabei spielt es keine Rolle, ob sie über das neueste und beste Sicherheits-Update verfügen. Denken Sie an die Geschichte vom trojanischen Pferd: Die Verteidigungsanlagen einer ummauerten Stadt waren einem cleveren Plan nicht gewachsen, der alle Verteidigungsanlagen umging. Vielmehr öffneten die Verteidiger die Tore weit und ließen die Bedrohung unwissentlich herein.

Trainieren Sie die Cyberspürnase des Unternehmens

Man muss bei den Mitarbeitern ein gewisses Maß an "Spionagesinn" entwickeln, und das kann so einfach sein wie die Erkenntnis, dass sie eine zweite Meinung brauchen, bevor sie auf einen Link klicken. Sie müssen keine Experten auf diesem Gebiet sein, sie müssen nur genug wissen, um zu erkennen, wann sie jemand anderen fragen sollten. Schließlich stellt der Verizon "2024 Data Breach Investigations Report" fest, dass mehr als zwei Drittel (68%) der analysierten Verstöße ein nicht bösartiges menschliches Element, das Insiderfehler oder das Ausnutzen von Social-Engineering-Methoden beinhaltet.

Ein Teil der Entwicklung dieses Gespürs ist die Suche nach roten Fahnen in E-Mails. Auch wenn dies mit der künstlichen Intelligenz immer schwieriger wird, gibt es immer noch einige offensichtliche Anzeichen. Rechtschreibfehler, merkwürdige Formulierungen, seltsame Schriftarten oder Anfragen, die aus dem Rahmen fallen, sind alles gute Indikatoren dafür, dass etwas nicht stimmt. Sie würden zum Beispiel nie eine E-Mail von Ihrer Mutter erhalten, in der steht: "Hallo, du musst mir Geschenkkarten kaufen". Außerdem sollten Sie Ihren Mitarbeitern beibringen, den Mauszeiger über den Namen des Absenders zu bewegen, um die E-Mail-Adresse zu sehen. Wenn in der Betreffzeile "Comcast" steht, die E-Mail-Adresse aber auf "gmail.com" endet, können sie davon ausgehen, dass es sich um einen Betrug handelt.

Wenn ein bösartiger Akteur durch Wi-Fi-Sniffing oder andere Mittel auf die Datenpakete einer Person zugreifen kann, muss der Akteur die Person nicht verfolgen - er kann einfach ein elektronisches Lebensmuster erstellen und herausfinden, wohin die Zielperson geht. Das gefährdet die physische und digitale Sicherheit. Daher müssen die Mitarbeiter wissen, dass sie sich nicht ohne VPN mit kostenlosem WLAN verbinden und das WLAN ausschalten sollten, wenn sie es nicht benutzen.

Die Menschen haben manchmal die irrige Vorstellung, dass sie keine Zielscheibe für schlechte Schauspieler sind, weil sie nicht berühmt sind und kein hohes Vermögen haben. Aber das ist heute einfach nicht mehr der Fall. Jeder, der online präsent ist, ist ein potenzielles Ziel für Angreifer. Das bedeutet, dass jeder seine Daten kennen muss. Cyber-Hygiene.

Eine grundlegende Cyber-Hygiene ist wichtig und einfach. Zu den Schritten, die Sie Ihren Mitarbeitern beibringen sollten, gehören:

Alle diese Punkte können im Rahmen von Fortbildungsmaßnahmen vermittelt und getestet werden.

Ausmanövrieren der Cyberkriminellen

Wenn man sich in die Denkweise eines Bedrohungsakteurs hineinversetzt, können Sicherheitsexperten besser verstehen, wie sie vorgehen und wonach sie suchen - im Wesentlichen also, was ein weiches Ziel ausmacht. Kriminelle haben es auf die niedrig hängenden Früchte abgesehen, z. B. auf Menschen, die auf verdächtige Links klicken. Ihre Aufgabe ist es, alle Ziele in Ihrer Organisation zu schützen. 

Eine der Sicherheitsebenen, die erforderlich sind, um die bereits erwähnte 1%-Lücke zu schließen, ist die kontinuierliche Schulung aller Mitarbeiter in Sachen Cyber-Hygiene, von der Basis bis zur Spitze. Dieser Aspekt eines umfassenden Sicherheitsplans ist von entscheidender Bedeutung, da Menschen in der Regel das schwächste Glied in der Sicherheitskette sind. Mit der richtigen Ausbildung und Schulung können sie jedoch zu einer soliden ersten Verteidigungslinie werden, die dazu beiträgt, die Sicherheit aller Mitarbeiter des Unternehmens zu gewährleisten.

Quelle