Da sich Cyberkrieg zu einer anhaltenden Bedrohung für kritische Infrastrukturen entwickelt hat, sollten Cybersicherheitsexperten vielleicht noch einmal Stranger Things ansehen, um das eine oder andere (oder elf Dinge) zu lernen. Im fortwährenden Kampf zwischen Gut und Böse gibt es erstaunlich viele Parallelen zwischen der Serie und der modernen Bedrohungslandschaft.
Der Kalte Krieg bildet den Hintergrund, vor dem die Serie die Einsätze erhöht, doch in Wirklichkeit war das Risiko durch Cyberkrieg noch nie so hoch. Mit Russland verbundene Cyberangriffe auf Versorgungsunternehmen in der EU und mit China verbundene Cyberangriffe auf kritische Infrastrukturen in den USA zeigen ein geopolitisches Schlachtfeld mit weitaus höheren Einsätzen als jede Netflix-Serie.
Laut der Studie von Armis sind 87 % der IT-Führungskräfte besorgt über die Auswirkungen von Cyberkrieg auf ihre Organisationen.
Obwohl 81 % der IT-Führungskräfte den Wechsel zu einer proaktiven Cybersicherheitsstrategie als eines der wichtigsten Ziele ihrer Organisation bezeichnen, reagieren viele Sicherheitsteams angesichts dieser Bedrohungen erst, nachdem sie kompromittiert wurden.
Der Grund dafür ist, dass die Herausforderungen bei Transparenz und Segmentierung noch immer so viele Organisationen ausbremsen. Häufig dringen Angreifer in die IT-Infrastruktur von Organisationen ein, verwischen ihre Spuren und bewegen sich dann unauffällig seitwärts, um in OT-Umgebungen einzudringen und kritische Infrastrukturen zu gefährden.
Daher müssen Organisationen den Fokus auf die Zeit „vor dem Knall“ verlagern und sich auf Zero-Trust-Architekturen, präventive Abwehr und mehr konzentrieren. Dieses Paradigma der Cybersicherheit ist in Sektoren mit kritischen Infrastrukturen besonders dringend erforderlich, da Bedrohungen durch Nationalstaaten keine Anzeichen einer Abschwächung zeigen.
Wie sich Bedrohungen ständig verändern
2010 legte Google Beweise für Operation Aurora offen, eine der ersten öffentlich bekannt gewordenen Advanced Persistent Threats (APTs), die von chinesischen Bedrohungsakteuren gestartet wurden. Diese Angriffe zielten auf den Quellcode mehrerer Technologieunternehmen ab und waren ein Vorgeschmack auf die folgenden Angriffe auf die Lieferkette.
Zehn Jahre später war eines der berüchtigtsten Beispiele für Angriffe auf die Lieferkette der SolarWinds-Hack. Genau wie die Sowjets in Stranger Things einen geheimen Stützpunkt unter dem Starcourt-Einkaufszentrum errichteten, ermöglichte der SolarWinds-Angriff russischen Bedrohungsakteuren den geheimen Zugriff auf die US-Regierung.
Diese beiden Vorfälle veranschaulichen, wie sich Bedrohungen entwickeln, doch es gibt darüber hinaus noch viele weitere Beispiele für APTs.
Obwohl jede APT einzigartig ist, haben sie tendenziell einige Gemeinsamkeiten: Sie versuchen, den ersten Zugriff herzustellen, einer Entdeckung zu entgehen und ihre Persistenz sicherzustellen (so wie der Mind Flayer vom Geist seiner Opfer Besitz ergreift). Der Unterschied liegt in den Taktiken, Techniken und Verfahren (TTPs) die sie zum Erreichen dieser Ziele einsetzen.
So könnte ein Bedrohungsakteur sich den ersten Zugriff durch Phishing oder das Auslesen zwischengespeicherter Zugangsdaten verschaffen, möglicherweise aber auch durch die Ausnutzung verwundbarer Geräte.
Es ist wichtig zu verstehen, dass es eine Vielzahl von Angriffsvektoren gibt. Die grundlegenden Prinzipien der Cybersicherheit zielen darauf ab, eine besser zu verteidigende Architektur zu schaffen und so das Risiko zu senken.
Keine übersinnlichen Fähigkeiten? Dann kommt es auf Transparenz an
Spoilerwarnung: In der vierten Staffel von Stranger Things, wird enthüllt, dass Eleven mithilfe ihrer übersinnlichen Fähigkeiten versehentlich die Tore zur Schattenwelt geöffnet hat.
Wenn es um kritische Infrastrukturen geht, verstehen viele Organisationen nicht, was in ihrem Netzwerk geschieht.
Wie können wir etwas schützen, das wir nicht kennen?
Bedrohungsakteure werden immer versuchen, unbekannte Schwachstellen auszunutzen, und diese Transparenzlücken sind die Hauptursache für den ersten Zugriff und die seitliche Bewegung im Netzwerk.
Viele Organisationen reagieren derzeit auf Bedrohungen, statt Risiken proaktiv zu managen. Sie müssen ihren Fokus darauf verlagern, ihre Umgebungen zu verstehen, potenzielle Risiken zu identifizieren, erste Warnzeichen zu erkennen und der Schließung von Sicherheitslücken Priorität einzuräumen.
Helden bei der Arbeit für die Cybersicherheit
Wenn Helden angesichts von Widrigkeiten durchhalten, gibt es auch in der Cybersicherheit viele Helden.
Nachdem Google 2010 Ziel von Operation Aurora geworden war, begann das Unternehmen beispielsweise mit der Entwicklung seiner BeyondCorp-Initiative, die maßgeblich an der Entwicklung von Zero-Trust-Architekturen beteiligt war.
Heute können sich Organisationen an Frameworks wie NIST SP 800-207 orientieren, um Zero-Trust umzusetzen.
Zu den zentralen Zero-Trust-Prinzipien gehören die Erstellung eines Anlagenverzeichnisses, starke Authentifizierungs- und Autorisierungskontrollen sowie die Implementierung einer Netzwerksegmentierung.
Während Zero-Trust-Frameworks ursprünglich für IT-Umgebungen entwickelt wurden, wurden bei der Anpassung dieser Prinzipien an Operational Technology (OT), Cloud- und IoT-Systeme erhebliche Fortschritte erzielt – insbesondere bei einer ganzheitlichen, organisationsweiten Betrachtung.
Viele Organisationen haben Schwierigkeiten, ein aktuelles Anlagenverzeichnis zu erstellen und zu pflegen, weil sie auf Tabellenkalkulationen und manuelle Prozesse setzen, die häufig unvollständig und veraltet sind.
Wenn Organisationen jedoch KI-gestützte Lösungen zur Überwachung von Verhaltensanomalien einsetzen, können sie diese Transparenz erweitern und kontinuierlich alle Geräte in ihrem Netzwerk erfassen.
Eine umfassende Transparenz und Kontrolle des gesamten Netzwerkverkehrs und aller Geräte ist für Sektoren mit kritischen Infrastrukturen besonders wichtig, da OT-Netzwerke häufig anfällige Altsysteme enthalten, die bei einer Ausnutzung in Echtzeit physische Auswirkungen haben können.
Ein vollständiges Lagebild der Angriffsfläche ist eine Superkraft, die es Organisationen ermöglicht, die Cybersicherheit auf die Zeit „vor dem Knall“ auszurichten, damit sie Lücken schließen und sich auf präventiven Schutz konzentrieren können.
Indem diese Organisationen sich auf erste Warnzeichen konzentrieren, statt auf Bedrohungen zu reagieren, könnten sie über eigene übersinnliche Kräfte zu verfügen scheinen. Manchmal ist die Wahrheit seltsamer als die Fiktion.