Malware-Schutz für Finanzdienstleistungen
Durch die Hinzufügung einer zentralisierten, dedizierten TLS/SSL-Prüfung funktioniert das Zero-Trust-Modell
"Die Finanzdienstleistungsbranche weist kontinuierlich die höchsten Kosten für Cyberkriminalität auf." - Chris Thompson, Global Security and Resilience Lead - Financial Services, Accenture Security
Cybersicherheit ist zu einem Problem für alle geworden, denn niemand ist gegen Angriffe immun, und wie bei einer Reihe von Dominosteinen kann der Sturz einer Person oder Organisation die Sicherheit aller damit verbundenen Einrichtungen gefährden. Allerdings sind einige Organisationen als Ziel von Cyberangriffen viel interessanter und lukrativer als andere. In den letzten Jahren haben die Bösewichte ihre Angriffe auf große Unternehmen im Allgemeinen und Finanzinstitute im Besonderen verstärkt. Und warum? Der Grund ist derselbe wie bei Willie Sutton, einem Bankräuber in den 1920er und 1930er Jahren, der auf die Frage, warum er Banken ausraube, antwortete: "Weil dort das Geld ist".
Da ein direkter Angriff auf Verbraucher im Vergleich zu großen Unternehmen und Finanzorganisationen viel mehr Arbeit mit einem viel geringeren Gewinn bedeutet, haben wir zum Beispiel einen stetigen Rückgang bei der Verwendung von Banking-Malware zum Diebstahl von Benutzerdaten beobachtet. Laut Kaspersky, einem Anbieter von Anti-Malware-Sicherheitslösungen, ist die Zahl der Entdeckungen von Banking-Malware von 773.943 im Jahr 2019 auf 625.364 im Jahr 2020 gesunken - ein Rückgang von fast 20 Prozent.
Ein weiterer Faktor waren die sich verändernden Möglichkeiten für Cyberangriffe: Die Kombination aus der explosionsartigen Zunahme der Telearbeit im Jahr 2020 und dem damit einhergehenden Chaos bei der Anpassung der Unternehmen an das neue Umfeld bedeutete, dass Betrügern und Hackern eine ganze Reihe neuer Angriffsvektoren zur Verfügung standen. Viele der ehemals regionalen oder nationalen Hacker-Kooperationen wurden international und kommerziell, und infolgedessen wurde ein ganz neuer Katalog von Tools und Techniken, die das Starten von Malware-Angriffen vereinfachten, für ein weltweites Publikum von bösen Akteuren verfügbar.
Eine Studie der Boston Consulting Group aus dem Jahr 2020 ergab, dass Banken und Finanzinstitute einem 300-mal höheren Risiko eines Cyberangriffs ausgesetzt sind als andere Unternehmen, während eine Accenture-Studie feststellte, dass "die durchschnittlichen jährlichen Kosten der Cyberkriminalität für Finanzdienstleistungsunternehmen weltweit auf 18,5 Millionen US-Dollar gestiegen sind - die höchsten aller in die Studie einbezogenen Branchen und mehr als 40 Prozent höher als die durchschnittlichen Kosten von 13 Millionen US-Dollar pro Unternehmen in allen Branchen".
Das Sicherheitsrisiko im SSL/TLS-Verkehr
Da Finanzdienstleistungsunternehmen ihre Abläufe umgestalten, verstärkt auf die Cloud zurückgreifen und Mitarbeiter an entfernten Standorten einsetzen, ist die IT-Abteilung aufgrund des fehlenden Einblicks in den verschlüsselten Datenverkehr und die möglicherweise darin enthaltene Malware dem Risiko eines Cyberangriffs, der Datenexfiltration und der Nichteinhaltung von Vorschriften ausgesetzt.
Jüngste Cybersecurity-Angriffe
Zu den jüngsten Beispielen dafür, wie umfangreich und störend Malware-Angriffe geworden sind, gehören Cyberangriffe auf Colonial Pipeline, einen Betreiber von Treibstoffpipelines, der etwa 45 Prozent des an der Ostküste der USA verbrauchten Treibstoffs liefert, und JBS, den weltweit größten Fleischverarbeiter, der über 20 Prozent des US-Rindfleischs liefert. Beide Unternehmen wurden vor kurzem durch Ransomware lahmgelegt, bei der es sich um kostengünstige, in Schrumpffolie verpackte Malware handelt, die auf Schwarzmärkten im Dark Web erhältlich ist.
Cyberangriffe auf Infrastrukturunternehmen wie den Kraftstoffvertrieb und die Lebensmittelindustrie sind zwar ein großes Problem, doch der Finanzsektor stellt aufgrund des Verstärkungsfaktors eine noch größere Bedrohung für unsere Wirtschaft dar, da sich die Verletzung eines einzelnen Anbieters oder Dienstleisters auf viele Kunden auswirkt. Denken Sie nur an den Equifax-Betrug von 2017 , von dem 143 Millionen Verbraucher betroffen waren. Die Hacker gelangten über ein Verbraucherbeschwerdeportal und eine bekannte Software-Schwachstelle, die nicht gepatcht worden war, in das System von Equifax.
Der Angriff wäre damit beendet gewesen, wenn nicht die internen Systeme von Equifax nicht voneinander isoliert gewesen wären, so dass die Angreifer von ihrem Einstiegspunkt aus auf andere, wertvollere Server übergehen konnten. Da Equifax es versäumt hatte, ein Verschlüsselungszertifikat für eines seiner internen Sicherheitstools zu erneuern, konnten die Angreifer schließlich Daten in verschlüsselter Form aus dem Netzwerk exfiltrieren, was mehrere Monate lang unentdeckt blieb.
Der Equifax-Angriff war zwar aufgrund eines mangelhaften Netzwerkmanagements und -designs erfolgreich, aber Malware- und Ransomware-Angriffe werden aufgrund anderer systemischer Schwachstellen immer häufiger. Bluevoyant, ein Cybersicherheitsunternehmen, gab eine weltweite Umfrage zu Cyberrisiken bei 253 CIOs, CISOs und CPOs in der Finanzdienstleistungsbranche in Auftrag und stellte fest, dass:
- 85 % haben in den letzten 12 Monaten aufgrund von Schwachstellen in ihrer Lieferkette eine Datenschutzverletzung erlitten.
- 38 % nutzen Daten und Analysen zum Lieferantenrisiko in ihrem Programm zum Management von Cyberrisiken durch Dritte
- 38 % prüfen und melden Cyberrisiken Dritter alle sechs Monate oder seltener
- 89 % haben in den letzten 12 Monaten ihr Budget für das Management von Cyberrisiken erhöht.
Risiken der Zukunft
Zwar werden nach wie vor "traditionelle" Methoden zur Kompromittierung der Sicherheit von Zielen angewandt - dazu gehören Brute-Force-Angriffe, Exploits auf der Grundlage bekannter Schwachstellen usw. - werden die meisten Einbrüche heute durch Phishing und vor allem durch gezielte Phishing-Angriffe (auch "Spear-Phishing" genannt) sowie durch die Einführung von immer ausgefeilterer Malware verübt.
So wurden wir kürzlich Zeuge der nächsten Evolutionsstufe des Necro-Python-Bots, eines selbstreplizierenden, polymorphen Bots auf Python-Basis, der Anfang des Jahres entdeckt wurde und darauf ausgelegt ist, herkömmliche Malware-Schutzsysteme zu überwinden. Eine Analyse des Bots durch die Cisco Talos Intelligence Group ergab:
... die jüngsten Aktivitäten zeigen zahlreiche Änderungen am Bot, angefangen von verschiedenen Command-and-Control (C2)-Kommunikationen bis hin zur Hinzufügung neuer Exploits zur Verbreitung, insbesondere Schwachstellen in VMWare vSphere, SCO OpenServer, Vesta Control Panel und SMB-basierte Exploits, die in den früheren Versionen des Codes nicht vorhanden waren.
... Der Bot verbirgt seine Anwesenheit auf dem System, indem er ein Rootkit im Benutzermodus installiert, das den bösartigen Prozess und bösartige Registrierungseinträge verbirgt, die dafür sorgen, dass der Bot jedes Mal ausgeführt wird, wenn sich ein Benutzer bei dem infizierten System anmeldet.
Ein großer Teil des Codes ist dem Herunterladen und Ausführen des Monero-Mining-Programms XMRig gewidmet. Der Bot fügt außerdem den Code zum Herunterladen und Ausführen eines JavaScript-basierten Miners von einem vom Angreifer kontrollierten Server in HTML- und PHP-Dateien auf infizierten Systemen ein. Wenn der Benutzer die infizierte Anwendung öffnet, wird ein JavaScript-basiertes Monero-Mining-Programm im Prozessbereich des Browsers ausgeführt.
Der Umfang und die Fähigkeiten dieses Bots sollten jeden CIO, CISO und Sicherheitsexperten beunruhigen, denn dieser Grad an Raffinesse bedeutet, dass es nicht nur schwierig ist, den Bot zu entdecken, wenn er in Ihr Netzwerk eindringt, sondern dass es auch extrem schwierig ist, ihn wieder loszuwerden. Dies ist ein Beispiel für die Zukunft von Malware-Cyberangriffen. Um Ihr Unternehmen vor diesen Angriffen zu schützen und einen robusten Malware-Schutz bereitzustellen, ist ein weitaus disziplinierterer Ansatz erforderlich, als die meisten Unternehmen bisher umgesetzt haben.
Was können Finanzdienstleister tun, um sich zu schützen?
"Die Bedrohung der Cybersicherheit ist möglicherweise die größte Bedrohung für das US-Finanzsystem." Jamie Dimon, CEO von JP Morgan Chase, spricht auf dem Business Roundtable CEO Innovation Summit in Washington, D.C. am 6. Dezember 2018.
Die Europäische Zentralbank hat in der Ausgabe 2020 ihres Berichts über die Bankenaufsicht der EZB: Risikobewertung für 2020 " wurden die wichtigsten Risikofaktoren ermittelt, mit denen das Bankensystem der Eurozone in den nächsten drei Jahren konfrontiert sein dürfte. Die treibenden Kräfte dieser Risiken sind:
- Die fortschreitende Digitalisierung der Finanzdienstleistungen
- Die Veralterung bestimmter Bankinformationssysteme
- Die Verbindung mit Informationssystemen von Drittanbietern und damit auch die Migration in die Cloud
Angesichts der Komplexität von Computersystemen und Netzwerken im Finanzdienstleistungsbereich gibt es nur eine Strategie, die das für einen zukunftssicheren Malware-Schutz erforderliche Maß an tiefgreifender Verteidigung bietet: die Umsetzung des Zero-Trust-Modells.
Das Null-Vertrauens-Modell
Zero Trust (ZT) ist eine Sammlung von Konzepten und Ideen, die darauf abzielen, die Unsicherheit bei der Durchsetzung präziser Zugriffsentscheidungen mit den geringsten Rechten pro Anfrage in Informationssystemen und -diensten zu minimieren, wenn ein Netzwerk als gefährdet angesehen wird. Die Zero-Trust-Architektur (ZTA) ist der Cybersicherheitsplan eines Unternehmens, der Zero-Trust-Konzepte verwendet und Komponentenbeziehungen, Workflow-Planung und Zugriffsrichtlinien umfasst. Ein Zero-Trust-Unternehmen ist daher die Netzwerkinfrastruktur (physisch und virtuell) und die Betriebsrichtlinien, die für ein Unternehmen als Produkt eines Zero-Trust-Architekturplans vorhanden sind. - NIST Sonderveröffentlichung 800-207
Zero Trust und die neue Normalität für Cybersicherheit
Die Pandemie hat gezeigt, dass Zero-Trust-Implementierungen notwendig sind, um Netzwerke vor aktuellen Cyberangriffen zu schützen. Da jedoch der meiste Internetverkehr verschlüsselt ist, ist es schwierig, Zero-Trust-Richtlinien wirksam umzusetzen.
Ein Null-Vertrauensmodell, wie es vom NIST definiert wurde, basiert auf den folgenden Prinzipien:
- Alle Datenquellen und Rechendienste werden als Ressourcen betrachtet.
- Die gesamte Kommunikation ist unabhängig vom Standort des Netzes gesichert.
- Der Zugriff auf einzelne Unternehmensressourcen wird pro Sitzung gewährt.
- Der Ressourcenzugang wird durch dynamische Richtlinien bestimmt, die den beobachtbaren Zustand der Client-Identität, der Anwendung/des Dienstes und des anfragenden Assets umfassen und weitere Verhaltens- und Umgebungsattribute einschließen können.
- Das Unternehmen überwacht und misst die Integrität und die Sicherheitslage aller eigenen und zugehörigen Vermögenswerte.
- Alle Ressourcenauthentifizierungen und -autorisierungen sind dynamisch und werden streng erzwungen, bevor der Zugriff erlaubt wird.
- Das Unternehmen sammelt so viele Informationen wie möglich über den aktuellen Zustand der Anlagen, der Netzinfrastruktur und der Kommunikation und nutzt sie, um seine Sicherheitslage zu verbessern.
Der letzte Grundsatz ist der Schlüssel zur Umsetzung eines Zero-Trust-Modells in der Praxis. Durch die Überprüfung des gesamten Datenverkehrs, einschließlich der gesicherten Kommunikation mittels TLS/SSL-Entschlüsselung und -Inspektion (SSLi), können Finanzunternehmen verfolgen, was in ihre Netzwerke eindringt und was versucht, sie zu verlassen. Richtig implementiert und eingesetzt, kann SSLi effizient und kostengünstig das Eindringen von Malware und die Exfiltration sensibler Daten verhindern und so das Zero-Trust-Modell robust und vollständig machen.
Wie A10 helfen kann
Die Finanzdienstleistungsbranche und die Fintech-Märkte (Finanztechnologie) wachsen rasant und schaffen ein sich ständig erweiterndes und immer komplexeres Ökosystem. Wenn Ihr Unternehmen noch kein Zero-Trust-Modell in Kombination mit einer tiefgreifenden TLS/SSL-Verkehrsprüfung eingeführt hat, ist es jetzt an der Zeit, Ihre Sicherheitsposition zu überdenken, denn die Bedrohungslage wächst ebenso schnell. Wir haben erst den Anfang von ernsthaften Angriffen auf Finanzdienstleistungen weltweit gesehen.
A10 Networks Thunder® SSL Insight ermöglicht und verbessert das Zero-Trust-Modell, indem es durch eine zentralisierte TLS/SSL-Prüfung eine vollständige Transparenz des Datenverkehrs bietet. Mit dem Ansatz "einmal entschlüsseln, mehrmals prüfen" ermöglicht A10 Thunder SSL Insight den Cybersecurity-Systemen eine schnelle Prüfung des gesamten Datenverkehrs, um Leistungseinbußen und Komplexität zu vermeiden.