Wir stellen Maßnahmen vor, die dabei helfen das unmittelbare Risiko, das durch den Angriff auf die Snowflake-Umgebung entstanden ist, zu minimieren. Für die Zukunft ist es entscheidend auch die langfristige Sicherheit der Identitäten, nicht nur in den SaaS-Anwendungen im Blick zu haben.

Die Anzahl SaaS-bezogener Sicherheitsvorfälle hat sich im letzten Jahr vervierfacht, wobei eine Reihe von Vorfällen große Anbieter wie Microsoft und Okta betroffen haben. Auch Snowflake, ein amerikanisches Unternehmen, das sich auf Cloud-basierte Datenplattformen spezialisiert hat, war kürzlich aufgrund von Angriffen auf kundeneigene Systeme in den Nachrichten. Da viele Unternehmen die Snowflake-Plattform nutzen, um Datenanalysen durchzuführen, maschinelles Lernen zu unterstützen, personalisierte Kundenerlebnisse zu schaffen und Geschäftsentscheidungen auf der Grundlage von Daten zu treffen, hängen an den Angriffen auch eine Vielzahl betroffener Kunden. Umso wichtiger also den Ursprung und die Sicherheitslücken hinter den Angriffen zu verstehen.

Der gemeinsame Nenner dieser kriminellen Vorfälle ist die Identität oder vielmehr die fehlende Identitätssicherheit, da die Angreifer sich nicht mehr gewaltsam Zugang verschaffen, sondern sich einfach einloggen. SaaS ist mittlerweile ein sehr aktiver Bereich, in dem Attacken über das gesamte Angriffsspektrum hinweg erfolgen – von gezielten Advanced Persistent Threats (APTs) bis hin zu finanziell motivierten Angreifern – und jedes Unternehmen muss sein SaaS-Sicherheitsprogramm sorgfältig überprüfen. Für Snowflake-Nutzer speziell sind folgende Schritte aktuell essenziell.

Schritt 1:
Sofortige Unterbrechung risikoreicher Aktivitäten.

Potenziell gefährliche Zugänge sperren

Zunächst sollten riskante Zugangspunkte, wie Konten mit lokalem Zugriff, hinter dem jeweiligen Identity Provider (IDP) platziert werden. Angreifer nutzen häufig den lokalen Zugriff als Hintertür in die Systeme. Ungenutzte lokale Zugänge sollten abgeschafft und bestehende gegen moderne Cyberangriffe abgesichert werden – beispielsweise durch Client IDs und Multi-Faktor-Authentifizierung (MFA). Jedoch ist es alarmierend, wie häufig die MFA in Unternehmensnetzwerken fehlt oder nicht entsprechend konfiguriert ist, was Angreifern einen einfachen Zugang ermöglicht.

Netzwerkrichtlinien überprüfen

Besonders für hochprivilegierte Nutzer und Konten müssen diese Richtlinien kontrolliert werden, um zu verhindern, dass kompromittierte Konten Daten extrahieren können. Ist ein privilegiertes Konto erstmal von Angreifern übernommen, ist der Weg zu sensiblen Daten geebnet.

Rotieren von Passwörtern und Zugangsdaten

Es ist essenziell, die Passwörter von Benutzern mit lokalem Zugriff regelmäßig zu ändern, insbesondere die von lokalen Konten sollten nach dem kürzlichen Angriff sofort geändert werden, um unbefugten Zugriff zu verhindern. Ebenso ist es wichtig, die Zugangsdaten von Dienstkonten zu aktualisieren. Dabei ist sicherzustellen, dass alle betroffenen Personen und Dienste entsprechend informiert werden.

Vorübergehende Sperrung neuer Konten und Datenfreigaben

Alle Dienstkonten und Konten, die in den letzten 30 Tagen erstellt wurden, sowie alle Datenfreigaben aus demselben Zeitraum sollten gesperrt werden, es sei denn, es gibt eine dokumentierte Begründung, weshalb diese benötigt werden. So kann unbefugter Zugriff und mögliche Datenexfiltration verhindert werden, da Angreifer sich häufig Konten und Freigaben für dauerhaften Zugang bedienen.

Überprüfung ungewöhnlicher (Anmelde-)Aktivitäten, neuer Datenfreigaben und Privilegien.

Schritt 2:
Überprüfen und Erkennen, ob das Unternehmen kompromittiert ist.

Suche nach Indikatoren für eine Gefährdung (Indicators of Compromise, IOCs)

Nachdem potenziell risikobehaftete Aktivitäten gestoppt sind, geht es darum herauszufinden, ob das eigene Unternehmen bereits von Cyberkriminellen infiltriert wurde. Um dies zu erreichen, müssen verdächtige und bekannte IOCs, also Indikatoren, die auf eine Sicherheitsverletzung hinweisen, berücksichtigt werden. Dazu gehört unter anderem die Überprüfung von IP-Adressen, die möglicherweise mit bösartigen Aktivitäten in Verbindung stehen. Ebenso sollten alle Windows-Server-2022-Systeme auf das Vorhandensein bestimmter Software, wie zum Beispiel »rapeflake« oder »DBeaver«, untersucht werden.Um diesen Vorgang zu vereinfachen, hat Snowflake eine detaillierte Liste von IOCs in ihrer Wissensdatenbank veröffentlicht. Nutzer können anhand dieser Liste bekannte Indikatoren für Sicherheitsverletzungen identifizieren und feststellen, ob diese im eigenen Netzwerk vorhanden sind.

Alle Anmeldungen, die in den letzten 30 Tagen nur mit einem Passwort erfolgt sind, sollten überprüft werden. Manche SaaS-Security-Lösungen stellen einfache Abfrageoptionen zur Verfügung, um nach diesen IOCs zu suchen – so können beispielsweise Obsidian-Security-Nutzer folgenden OQL-Ausdruck mit der Plattform verwenden:

event:snowflake.LOGIN AND raw:”FIRST_AUTHENTICATION_FACTOR\”:\”PASSWORD” AND raw:”SECOND_AUTHENTICATION_FACTOR\”:\ null”

Nachdem die im letzten Monat erstellten Konten deaktiviert wurden, erfolgt die Analyse der Kontenaktivitäten. Hierfür gibt es Lösungen, die diesen Schritt erleichtern. So können beispielsweise Obsidian-Security-Nutzer genau diese Aktivitäten filtern und analysieren. Zum Beispiel sollten Abfragen auf sensible Tabellen, das Extrahieren von Daten und das Hinzufügen von Rechten betrachtet werden. Angreifer räumen sich oft selbst zusätzliche Privilegien für die Datenexfiltration und persistenten Zugang ein. Somit sind auch Konten, deren Privilegien erst kürzlich erweitert worden sind sowie neue Datenfreigaben ein Anzeichen für Eindringlinge im System – besonders verdächtig sind sie, wenn sie dem Regex-Muster entsprechen:

Das ist erst der Anfang: Laufende Sicherheit für Snowflake-Umgebungen. Während die genannten Maßnahmen dabei helfen das unmittelbare Risiko, das durch den Angriff auf die Snowflake-Umgebung entstanden ist, zu minimieren, ist es entscheidend für IT-Teams auch die langfristige Sicherheit der SaaS-Anwendung im Blick zu haben. Dazu gehört die Sicherung des Systems, eine klare Steuerung und regelmäßige Kontrolle von Datenflüssen und -bewegungen sowie der Schutz der mit Snowflake verbundenen Identitäten.

Glenn Chisholm ist Co-founder, Chairman and Chief Product Officer bei Obsidian Security. Vor seiner Tätigkeit bei Obsidian war er CTO bei Cylance und leitete die strategische Produktausrichtung des Unternehmens sowie die Forschungs- und Entwicklungsteams. Vor Cylance war er CISO und Director Security Operations bei Telstra, dem führenden Telekommunikationsanbieter in Australien und Asien. Er leitete die Sicherheit der 50 Milliarden Dollar schweren Organisation und ihrer Managed Services- und Verbraucherkunden im gesamten asiatisch-pazifischen Raum.

Illustration: © Nmedia | Dreamstime.com

628 Artikel zu „Sicherheitsvorfälle“

News | Trends 2023 | Trends Security | IT-Security | Tipps

Fehlendes Budget führt zu Cybersicherheitsvorfällen in 18 Prozent der Unternehmen

14. Dezember 2023

Ein nicht unerheblicher Teil der Cybersicherheitsvorfälle in Deutschland (18 Prozent) sind auf fehlende Cybersicherheitsinvestitionen zurückzuführen, wie eine aktuelle Umfrage zeigt [1]. Dennoch hält hierzulande die große Mehrheit (79 Prozent) den vorhandenen Etat für ausreichend. Im Europa-Vergleich wird deutlich, dass vor allem die Fertigungsindustrie und kritische Infrastrukturen deswegen mit Sicherheitsvorfällen zu kämpfen haben. Acht von zehn…