Wie Hacker-News Cyberangriffe vorbeugen

In einem Meer der Schwachstellen und Sicherheitslücken ist es nahezu unmöglich herauszufinden, welche IT-Security-Probleme als erstes anzugehen sind. Zwar stellen IT-Hersteller und Systemhäuser regelmäßig Infos zu neuen Angriffsvektoren zur Verfügung, allerdings gibt es da eine sehr nützliche Option: Belauschen Sie doch einfach die Hacker.

Hacker-Foren als Frühwarnsystem

Aufgrund der sich immer weiter zuspitzenden Bedrohungslage legen die meisten Unternehmen ihr Vulnerability Management in die Hände der IT-Hersteller. Allerdings werden Security-Schwachstellen oft nicht zuerst von diesen entdeckt - und auf ein offizielles Statement zu warten, kann Unternehmen Tage oder gar Wochen zurückwerfen.

Denn die Hacker diskutieren nur Stunden nach Bekanntwerden einer Sicherheitslücke über diese und tauschen Tutorials darüber aus, wie sich die Schwachstelle optimal ausnutzen lässt, weiß Levi Grundert, Vice President of Threat Intelligence beim Bedrohungsanalyse-Dienstleister Recorded Future: "Typischerweise beginnen die Diskussionen innerhalb von 24 bis 48 Stunden, nachdem die Schwachstelle öffentlich bekannt geworden ist." Woher er das weiß? Bei Recorded Future hat man sich die Mühe gemacht und die Kommunikation innerhalb halbseidener Foren tiefgehend analysiert.

Die Hinweise der Anbieter, Blogposts, Mailing-Listen und sonstige Alerts werden auch von den Angreifern gelesen. Umso wichtiger ist es also, herauszufinden, was das Interesse der Hacker weckt und wie sie planen, bestimmte Sicherheitslücken auszunutzen. Mit dieser Methode können sich Unternehmen optimal auf die nächste Welle von Cyberattacken vorbereiten.

Faktor Zeit als Einfallstor für Cyberkriminelle

Eine im letzten Jahr aufgetretene Java-Sicherheitslücke ist ein gutes Beispiel dafür, wie schnell die Hacker arbeiten: Auf einer Konferenz im Januar 2015 wurde die Schwachstelle erstmals bekannt, blieb jedoch bis Anfang November unbeachtet. Zu diesem Zeitpunkt stellten Forscher von FoxGlove Security fest, dass die Sicherheitslücke einige wichtige Enterprise-Applikationen wie WebSphere und JBoss betrifft. Oracle und Jenkins brauchten im Anschluss zwölf beziehungsweise neunzehn Tage, bis sie eine Stellungnahme veröffentlichten.

Innerhalb der Hacker-Community entbrannte dagegen innerhalb von Stunden einen Diskussion um den Blogpost von FoxGlove. Sechs Tage später wurde ein "proof-of-concept exploit code" verbreitet, bevor am 13. November ein detailliertes Exploit Tutorial auftauchte - fünf Tage vor der ersten Stellungnahme Oracles. In der ersten Dezemberwoche tauschten die Hacker bereits Namen von betroffenen Unternehmen und Organisationen aus - inklusive spezifischen Links, über die die Schwachstelle ausgenutzt werden konnte.

"Offensichtlich ist der zeitliche Abstand zwischen Bekanntwerden einer Sicherheitslücke und dem Patch Release oder Workaround für Angreifer enorm wertvoll. Für Unternehmen kann dieses kleine Zeitfenster desaströse Folgen haben, insbesondere wenn detaillierte, mehrsprachige Exploit-Tutorials auftauchen", kommentiert Grundert.

Ein weiteres Beispiel dafür, dass Hacker die ausgedehnten Reaktionszeiten ganz gezielt für sich nutzen, ist die OPcache Binary Webshell-Schwachstelle in PHP 7: Am 27. April beschrieb man beim Security-Anbieter GoSecure die Schwachstelle, am 30. April fanden die Spezialisten von Recorded Future ein Tutorial, dass genau beschrieb, wie die Schwachstelle auszunutzen ist - inklusive Referenzen zu dem Blog-Beitrag von GoSecure. Zwar betraf die Sicherheitslücke nicht generell alle PHP-Applikationen, dennoch hätten Angreifer mit Hilfe des Tutorials Server mit potentiell gefährlichen Konfigurationen deutlich leichter identifizieren können.

Wie Grundert sagt, werden selbst die kleinsten, unbedeutendsten Blogs von den Hackern durchleuchtet. So geschah es auch bei dem Beitrag von GoSecure, der nahezu keine Aufmerksamkeit erregte. Wenn ein solcher Beitrag über eine bestehende Schwachstelle in der Community der "Verteidiger" nicht wahrgenommen wird, wird damit der potentielle Angriffsvektor schlicht übersehen. Das ist wiederum ein gefundenes Fressen für Hacker, die neue Schwachstellen sofort diskutieren, analysieren, sich darüber austauschen und Tools erstellen und verbreiten, um diese auszunutzen.

Fehler im System: Der CVE-Verzug

Einer der Gründe, warum die Hacker den Herstellern und Security-Profis oft einen Schritt voraus sind, ist der eigentliche Prozess, wie Security-Schwachstellen in den USA bekannt gemacht werden. Die Alerts der IT-Systemhäuser orientieren sich üblicherweise daran, ob eine Sicherheitslücke einen sogenannten 'Common Vulnerability and Exposure' (CVE) -Identifier erhalten hat. Das CVE-System wird dabei von der Non-Profit-Organisation MITRE verwaltet.

Wenn irgendjemand eine Sicherheitslücke findet - egal ob Sicherheitsforscher, Hersteller der Applikation oder Dritte - geht bei MITRE eine Anfrage für einen neuen CVE ein. Wenn MITRE einmal den Identifier vergeben hat, können Sicherheits-Experten, Anbieter und Unternehmen sich mit Hilfe dieser "Sozialversicherungsnummer für Security-Schwachstellen" zum Thema austauschen, mit dem Ziel das Leck zu stopfen. In Fällen wie bei der Java-Lücke, in denen die Schwachstelle nicht von den Herstellern selbst aufgedeckt wird, haben die Hacker also einen wesentlichen Vorteil gegenüber den Angegriffenen, die erst einmal auf die Zuteilung eines CVE warten müssen.

Diese Zeitdifferenz ist mehr als kritisch. Auf der anderen Seite gibt es enorm viele Schwachstellen zu ergründen und zu identifizieren, aber in den meisten Fällen endliche Ressourcen, um dies zu tun. Für Unternehmen und Organisationen erscheint es daher durchaus sinnvoll, Reports über Sicherheitslücken dahingehend zu analysieren, ob eine CVE vergeben worden ist. Die Implikation: Wenn eine Schwachstelle eine CVE besitzt, existiert diese tatsächlich und muss geschlossen werden.

Dennoch ist das CVE-System über die letzten Jahre zu einem Flaschenhals geworden: Zahlreiche Security-Experten haben sich bereits darüber beschwert, dass CVEs nicht zeitnah zugeteilt werden. Diese Verzögerung hat Auswirkungen, denn Software-Hersteller, Partner und Forscher können sich nur schwer über die Beseitigung einer Sicherheitslücke koordinieren, wenn kein System besteht, das sicherstellt, dass sich alle Beteiligten auf dasselbe Problem beziehen.

Ein Teil des Problems liegt dabei auch in der Skalierung: Der Software-Markt ist wesentlich größer, als er es noch vor zehn Jahren war und Security-Schwachstellen treten in gesteigerter Häufigkeit auf. Wie die Untersuchungen von Recorded Future zeigen, gibt die Zeitverzögerung bei der Zuteilung einer CVE den Hackern die Zeit, um ihre Tools und Angriffstechniken zu entwickeln, zu verfeinern und auf den jeweiligen Vektor auszurichten. Jake Kouns, CISO bei Risk Based Security, bringt es auf den Punkt: "Es gibt viele Leute die glauben, dass eine Schwachstelle ohne CVE kein wirkliches Problem ist. Und das ist ein riesiges Problem."

Dazu kommt allerdings noch, dass nicht alle Arten von Security-Löchern überhaupt CVEs zugeteilt bekommen. Web Applications beispielsweise, die über den Server gepatcht werden können, was keine Interaktion mit den Kunden notwendig macht. Unglücklicherweise bekommen auch die Schwachstellen auf mobilen Endgeräten keinen Identifier zugewiesen - obwohl hier der Endnutzer das nötige Update installieren muss. Aktuelle Zahlen von Risk Based Security belegen das Problem: im Jahr 2015 wurden insgesamt 14.185 Sicherheitslücken gemeldet - satte 6000 mehr, als CVEs vergeben wurden.

"Der Mehrwert des CVE-Systems für Konsumenten und Security-Experten liegt in der Katalogisierung aller bekannten Risiken für bestimmte Systeme - unabhängig von der Schwere der Sicherheitslücke", betont Kymberlee Price, Senior Director of Researcher Operations bei BugCrowd.

Zum Video: Wie Hacker-News Cyberangriffe vorbeugen

So beugen Sie Unternehmens-Hacks vor

Wie sich die zeitlichen Relationen beispielsweise nach der vollständigen Umsetzung des deutschen IT-Sicherheitsgesetzes - auch den für viele Branchen noch in der Debatte befindlichen Regelungen - hierzulande verändern könnten, wird sich noch weisen müssen. Es ist jedoch davon auszugehen, dass auch weiterhin längst nicht jede Schwachstelle rechtzeitig erfasst werden kann. Deswegen sollten Sie über den Tellerrand der offiziellen Meldungen hinausschauen.

Richten Sie das Schwachstellen-Management ihres Unternehmens nicht ausschließlich an Meldungen der Systemhäuser aus, sondern suchen Sie andere Informationsquellen, um auf dem aktuellen Stand der Dinge zu sein. Ihr Team, das mit der Aufgabe des Vulnerability Managements betreut ist, sollte stattdessen im Web ganz gezielt nach "Proof of Concepts" Ausschau halten und zeitgleich die Netzwerkumgebung auf Anzeichen illegaler Aktivitäten überprüfen.

Natürlich gibt es jede Menge öffentlich zugänglicher Informationen zu Security-Schwachstellen - so viele, dass es nahezu unmöglich ist, über jede Bescheid zu wissen. Statt unzählige Newsletter und RSS-Feeds zu abonnieren, kann Ihr Security-Team in einschlägigen Foren direkt mitverfolgen, was potentielle Angreifer "bewegt".

Das ist die beste Art, sich auf kommende Bedrohungen vorzubereiten, wie auch Levi Grundert nochmals betont: "Wäre ich in meinem Unternehmen für Vulnerability Management zuständig, würde ich die Threads in Foren im Auge behalten, insbesondere die, in denen von spezifischen Schwachstellen die Rede ist. Natürlich werden Sie so keine Zero-Day-Lücken aufdecken, aber Sie werden unter Umständen auf Sicherheitslücken aufmerksam, von denen Sie sonst erst nach Wochen erfahren hätten."

Es gibt diverse Spezial-Foren, IRC-Chatrooms und andere Online-Quellen, die Unternehmen im Auge behalten können. Wie die Analysten von Recorded Future herausgefunden haben, gibt es bestimmte Personen, die in Hacker-Kreisen offenbar als zuverlässige Quellen gelten und immer wieder referenziert werden. Sich auf die "Verfolgung" dieser Experten zu fokussieren, wäre ein weiterer Ansatz. Zudem sollten Sie auch im Auge behalten, welche Inhalte auf der Filehosting-Plattform GitHub geteilt werden.

Grundsätzlich gilt außerdem: Behalten Sie stets Ihr Netzwerk im Auge - insbesondere was Scanning-Aktivitäten angeht. Sollte in diesem Bereich ein Anstieg festzustellen sein, ist das wahrscheinlich ein Hinweis darauf, dass derzeit Diskussionen über mögliche Angriffsvektoren stattfinden. Remote Exploits sind innerhalb der Hacker-Community übrigens am beliebtesten und sorgen sehr schnell für explodierende Foren-Threads. Lokale Exploits, für die Angreifer zunächst Zugang zum Device benötigen, werden hingegen kaum online diskutiert.

Dieser Artikel basiert auf einem Beitrag unserer US-Schwesterpublikation InfoWorld.com.