Können Angreifer Command-and-Control in vertrauenswürdigen Cloud-Diensten verstecken?

Ja, und sie tun es, weil Verkehr zu einem bekannten Cloud-Dienst selten gesperrt oder hinterfragt wird. Schadsoftware kann Anweisungen aus einer Datei in einem öffentlichen Cloud-Speicherkonto, einem geteilten Dokument, einer Code-Plattform, der Bot-Schnittstelle eines Messengers oder einem Content-Delivery-Netz holen und gestohlene Daten auf demselben Weg zurückschicken. Für eine Firewall, die Ziele nach Reputation beurteilt, sieht das aus wie ein gewöhnlicher Mitarbeiter, der einen beliebten Dienst nutzt. Was es dennoch verrät, ist das Verhalten. Ein Programm, das eine Cloud-Datei in regelmäßigen Abständen, Tag und Nacht, von einem Gerät abfragt, dessen Nutzer gerade nicht arbeitet, hat einen Rhythmus, den Menschen nicht haben; Uploads können für dieses Gerät ungewöhnlich groß sein; und der Client-Fingerprint im TLSTLS: Transport Layer Security. Die Verschlüsselung, die den Großteil des Internetverkehrs schützt, etwa HTTPS.-Handshake passt womöglich weder zu einem Browser noch zur offiziellen App des Dienstes. Praktische Schritte: Lassen Sie nur die Cloud-Dienste zu, die das Geschäft nutzt, wo Ihre Werkzeuge es erlauben je Mandant, und untersuchen Sie Geräte, die mit privaten Konten beliebter Dienste sprechen. NetSenX erkennt Beaconing und ungewöhnliches ausgehendes Volumen in jedem Plan, egal welches Ziel, und TLS-Fingerprints ab dem Starter-Plan, wo der Agent Pakete mitschneidet.

← Alle 25 Fragen zu Cloud- und SaaS-SicherheitAlle Themen