Warum erfahren Unternehmen so oft von außen von einem Einbruch?
Weil intern niemand an der richtigen Stelle hingesehen hat. Ein Kunde erhält eine gefälschte Rechnung aus Ihrem gehackten Postfach, eine Bank meldet seltsame Überweisungen, Polizei oder ein nationales CERT finden Ihre Daten auf einem Server von Kriminellen, oder die Angreifer verkünden es auf ihrer Leak-Seite. Im Unternehmen waren die Zeichen oft da, aber ungelesen: Firewall-Logs, die niemand prüft, ein als Rauschen geschlossener Virenschutz-Alarm, ein Server, der nachts hochlädt. Die M-Trends-Berichte von Mandiant haben wiederholt gezeigt, dass Einbrüche, die eine externe Stelle entdeckt, länger liefen als solche, die ein Unternehmen selbst fand. Wer es von außen erfährt, verliert zudem die Kontrolle über Zeitplan und Botschaft. Wer liest, was ohnehin durch das Netz läuft, ändert das; NetSenX macht daraus erklärte Alarme zu Beaconing, Scans, lateraler Bewegung und ungewöhnlichen Uploads, in jedem Plan, auch im Free-Plan.
Weiterlesen
Verwandte Fragen
- Wie unterscheiden wir einen Netzangriff von einem großen Update oder Backup?
- Woher wissen wir, wie der Normalzustand in unserem Netz aussieht?
- Was ist ein Indicator of Compromise (IOC)?
- Unser Virenschutz zeigt überall Grün. Können wir trotzdem kompromittiert sein?
- Ein Administratorkonto ist aufgetaucht, an dessen Anlage sich niemand erinnert. Was nun?