Schutz vor böswilligen Insidern im hybriden Zeitalter

Die Gefahr kommt von innen

Die meisten internen Sicherheitsvorfälle sind das Ergebnis eines ehrlichen Fehlers. Aber manchmal, aus dem einen oder anderen Grund, stiehlt ein Mitarbeiter absichtlich oder manipuliert Unternehmensressourcen, um sich einen Vorteil zu verschaffen. Ganz gleich, ob sie eine Schwachstelle ausnutzen oder Daten stehlen, die ihnen in Zukunft zugutekommen könnten, die durchschnittlichen Kosten dieser böswilligen Insider-Angriffe belaufen sich laut einer Studie des Ponemon Institute über Insider-Bedrohungen auf 648.062 US-Dollar. Diese Kosten ergeben sich aus einer Vielzahl von Faktoren, darunter der Verlust von Daten und Systemen, der Aufwand für die Wiederherstellung dieser Daten und Systeme sowie Lösegeldzahlungen an Angreifer. Abgesehen von den finanziellen Auswirkungen können diese Angriffe einem Unternehmen in mehrfacher Hinsicht schaden: Ruf, Wettbewerbsvorteil, Kundenvertrauen usw.

Einige aktuelle Schlagzeilen zeigen, dass kein Unternehmen vor dem Risiko böswilliger Insider sicher ist. Sie machen deutlich, wie wichtig es ist, geeignete Sicherheitsmaßnahmen zu ergreifen, um das Risiko zu verringern:

  • Pfizer behauptete, ein Angestellter habe 12.000 Dateien auf ein Google Drive-Konto hochgeladen, darunter auch Daten, die Geschäftsgeheimnisse des Impfstoffs COVID-19 betreffen. Der Mitarbeiter hatte angeblich ein Stellenangebot von einem anderen Unternehmen.

  • Ein Unternehmen in Connecticut behauptete, dass ein ausscheidender Mitarbeiter einen Ransomware-Angriff auf die Systeme des Unternehmens durchführte, indem er Dateien verschlüsselte und eine anonyme Zahlungsaufforderung ausstellte.

  • Ein leitender Entwickler in New York wurde verhaftet, weil er angeblich Daten über VPN gestohlen und versucht hat, seinen Arbeitgeber zu erpressen, während er sich als externer Hacker ausgab.

Böswillige Insider gibt es schon seit Jahrzehnten, aber das Risiko, das von diesen Angreifern ausgeht, hat sich mit der Umstellung auf Remote-Arbeit erhöht. Da viele Mitarbeiter, Auftragnehmer und Partner heute außerhalb des Büros und des traditionellen Unternehmensnetzwerks arbeiten, ist es viel schwieriger, zwischen einem bösartigen Insider und normalem Verhalten zu unterscheiden.

Forrester Research beschreibt den pandemiebedingten Anstieg der Remote-Arbeit als Teil eines „perfekter Sturm für böswillige Insider.“ Wie bei vielen anderen Angriffsarten hat die Pandemie ein Umfeld geschaffen, das es böswilligen Insidern erleichtert, ihre Handlungen zu verbergen, aber das Risiko ist nicht allein auf die Pandemie zurückzuführen. Mehrere Faktoren tragen dazu bei:

  • Mangelnde physische Sichtbarkeit: Remote-Nutzer sind schwerer zu überwachen – sie könnten zum Beispiel Fotos von vertraulichen Informationen auf einem Computerbildschirm machen, ohne Spuren zu hinterlassen oder die Beobachtung durch einen Kollegen zu riskieren. Darüber hinaus sind frühere Warnzeichen für potenziellen Datendiebstahl, wie z. B. der Zugriff auf Unternehmensressourcen zu ungewöhnlichen Zeiten oder das Verlassen des Arbeitsplatzes zu ungewöhnlichen Zeiten, bei Remote-Teams schwieriger zu erkennen und können aufgrund „flexibler“ Arbeitszeiten sogar überhaupt nicht verdächtig sein.

  • Persönliche Gerätenutzung: Mehr Unternehmen unterstützen „Bring-your-own-Device“ (BYOD). Es ist jedoch schwieriger, den Zugriff auf Daten und Anwendungen auf persönlichen Geräten zu kontrollieren, wodurch ein weiterer Ansatzpunkt für Datendiebstahl entsteht. Wenn das Sicherheitsteam nicht über eine Endpunkt-Software verfügt, die eine gewisse Sichtbarkeit und Kontrolle des Zugriffs auf persönliche Geräte ermöglicht, bemerkt es möglicherweise nicht, dass ein unbeabsichtigter Datenzugriff stattfindet.

  • Verstärkte Adoption von SaaS-Anwendungen: SaaS-Anwendungen werden in der Cloud-Infrastruktur eines Drittanbieters gehostet, außerhalb des traditionellen Unternehmensnetzwerks. Mitarbeiter greifen häufig über das öffentliche Internet auf diese Anwendungen zu. Wenn das Unternehmen die öffentliche Internetnutzung nicht über ein Secure Web-Gateway überwacht, kann es nicht nachvollziehen, wer auf welche Daten zugreift.

  • Die „Great Resignation“: Einige Mitarbeiter sehen die Kündigung leider als Gelegenheit, vertrauliche Informationen mit in ihre nächste Position zu nehmen. In einer Umfrage von Tessian gaben 45 % der Befragten an, dass sie Dateien heruntergeladen haben, bevor sie ihren Arbeitsplatz verließen oder nachdem sie entlassen wurden. Speziell für die IT-Abteilung: Eine kürzlich durchgeführte Umfrage von Gartner ergab, dass nur 29 % der IT-Mitarbeiter „die feste Absicht haben, bei ihrem derzeitigen Arbeitgeber zu bleiben“. Da sich dieser Trend fortsetzt, wird der Diebstahl sensibler Informationen durch ausscheidende Mitarbeiter zu einem größeren potenziellen Risiko.

Zusätzlich zu diesen Trends haben sich auch die Taktiken bösartiger Insider schnell weiterentwickelt. Ein kürzlich veröffentlichter Insider Risk Report stellte fest, dass 32 % der böswilligen Insider "ausgeklügelte Techniken" verwendeten, darunter die Verwendung von Burner-E-Mail-Adressen, die Verschleierung ihrer Identität, langsames Vorgehen, das Speichern von Dateien als Entwürfe in persönlichen E-Mail-Konten und die Verwendung bestehender genehmigter Tools innerhalb des Unternehmens, um Daten zu finden und zu exfiltrieren.

Operative Schritte zur Schadensminderung

Im Annual Data Exposure Report von Code42 wird erwähnt, dass 39 % der Unternehmen kein Programm zum Management von Insiderrisiken haben. Für diese Unternehmen wird die Implementierung ein wichtiger erster Schritt sein. Um einige unmittelbare Sicherheitsvorkehrungen zu treffen, sollten Sie einige bewährte Verfahren einführen:

  • Reduzierung des Zugriffs auf die sensibelsten Anwendungen und Daten, sobald ein Mitarbeiter kündigt.

  • Sofortige Sperrung der Unternehmensressourcen für entlassene Mitarbeiter.

  • Obligatorische Neuanmeldung während der Inaktivität.

  • Verpflichtung zur Verwendung eines Passwort-Manager-Programms.

  • Aufklärung der Mitarbeiter über verdächtiges Verhalten.

  • Einführung eines anonymen Verfahrens zur Meldung verdächtigen Verhaltens.

Zero Trust zur Bedrohungsabwehr

Böswillige Insider sind per Definition mit den Sicherheitspraktiken ihres Unternehmens vertraut. Das bedeutet, dass die zuvor erwähnten operativen Protokolle das Risiko niemals vollständig verhindern können. Vielmehr erfordert die Vorbeugung einen umfassenderen, modernen Sicherheitsrahmen wie Zero Trust. Ein Kernprinzip von Zero Trust ist, dass keinem Nutzer und keiner Anfrage standardmäßig vertraut wird, selbst wenn sie sich bereits im Netzwerk befindet bzw. von dort kommt.

Zero Trust-Sicherheit kann Unternehmen dabei helfen, die Anfälligkeit für böswillige Insider zu verringern, indem sie Folgendes verlangen:

  • Die Abschaffung von VPNs: VPNs geben Nutzern oft einen Freibrief für den Netzwerkzugang. Diese übermäßige Privilegierung schafft ein unnötiges Risiko für böswillige Insider, Bedrohungen lateral zu verbreiten und Daten zu exfiltrieren. Die Abschaffung von VPNs ist ein üblicher erster Schritt zur längerfristigen Einführung von Zero Trust.

  • Die Überwachung und Anwendung von Sicherheitskontrollen für das Surfen im Internet: Das bedeutet, dass die Aktivitäten des Nutzers im Internet transparenter werden und Kontrollen angewendet werden, um zu verhindern, dass böswillige Insider sensible Daten eingeben, z. B. auf verdächtigen Websites oder bei persönlichen Mandanten von Cloud-Storage-Anbietern. Diese Kontrollen können über Secure Web Gateways (SWGs) und Remote Browser Isolation (RBIs) erreicht werden.

  • Authentifizierter Zugriff auf der Grundlage der Identität und anderer kontextbezogener Signale: Durch die Festlegung von Zugriffsrichtlinien mit den geringsten Privilegien, die Nutzern den Zugriff auf Ressourcen erst nach einer Überprüfung der Identität, der Multi-Faktor-Authentifizierung (MFA) und anderer kontextbezogener Signale, wie z.B. dem Zustand des Geräts, erlauben. Das Übereinanderlagern dieser kontextbezogenen Signale kann helfen, böswillige Insider zu erkennen. Die Überprüfung auf diese kontextbezogenen Signale kann dazu beitragen, verdächtige, nicht vertrauenswürdige Aktivitäten von potenziell bösartigen Insidern zu erkennen.

Cloudflare unterstützt Unternehmen dabei, eine umfassende Zero Trust-Sicherheit zu erreichen, die identitäts-, lage- und kontextabhängige Regeln zum Schutz von Anwendungen durchsetzt und sicherstellt, dass Nutzer nur auf die Anwendungen und Daten zugreifen, die sie für ihre Arbeit benötigen.

Dieser Beitrag ist Teil einer Serie zu den neuesten Trends und Themen, die für Entscheidungsträger aus der Tech-Branche heute von Bedeutung sind.

Wichtigste Eckpunkte

Folgende Informationen werden in diesem Artikel vermittelt:

  • Wie Remote-Arbeit das Erkennen von Insider-Bedrohungen erschwert

  • Faktoren, die böswilligen Insidern die Arbeit erleichtern

  • Diese ausgefeilten Methoden setzen Insider zur Ausschleusung von Daten ein

  • Wie Zero Trust-Sicherheit laterale Bewegungen verhindern kann

Vertiefung des Themas


Vertiefung des Themas

Erfahren Sie mehr über Zero Trust-Netzwerkzugriff mit dem E-Book „Sieben Tipps für das mobile Arbeiten“.

Get the eBook!

Erhalten Sie eine monatliche Zusammenfassung der beliebtesten Internet-Insights!