Erkennung und erste Anzeichen

Ransomware-Angreifer verbringen Stunden oder Tage in einem Netzwerk, bevor sie verschlüsseln. Diese Verweildauer ist Ihr Erkennungsfenster. Wenn Sie den Eindringversuch während der Aufklärung oder der lateralen Bewegung erkennen, können Sie ihn eindämmen, bevor Dateien gesperrt werden.

Die Erkennung konzentriert sich auf das Verhalten und nicht nur auf Signaturen, da Angreifer legitime Tools missbrauchen, um unauffällig zu bleiben.

Frühe Indikatoren treten häufig am Perimeter und auf der Identitätsebene auf:

• Erfolgreiche Anmeldungen aus ungewöhnlichen geografischen Regionen oder mit unmöglichen Reisezeiten
• Ein Anstieg fehlgeschlagener RDP- oder VPN-Versuche durch Brute-Force-Angriffe
• Neue externe Verbindungen von Servern mit Internetzugang
• Ein Benutzer meldet eine Phishing-E-Mail, nachdem er auf einen Link geklickt hat

Die Korrelation von Identitätsprotokollen mit Netzwerkdaten macht diese Anzeichen sichtbar, bevor der Angreifer sich festsetzt.

Sobald Angreifer eingedrungen sind, kartieren sie die Umgebung. Diese Aufklärungsaktivität ist auffällig, wenn Sie gezielt danach suchen.

Die Ausbreitung zwischen Hosts hinterlässt charakteristische Spuren:

• Verwendung von Tools zur Remote-Ausführung auf vielen Rechnern innerhalb eines kurzen Zeitraums
• Privilegierte Konten melden sich an Hosts an, mit denen sie normalerweise nie interagieren
• Erstellung neuer Dienste oder geplanter Aufgaben auf mehreren Endpunkten
• Ungewöhnliche Zugriffsmuster auf SMB- oder Admin-Freigaben

Wenn sich ein einzelnes Konto plötzlich an Dutzenden Rechnern authentifiziert, ist das ein starkes Signal, sofort zu ermitteln.

Vor der Verschlüsselung versuchen Angreifer, Ihre Schutzmaßnahmen zu umgehen. Versuche, Sicherheitswerkzeuge zu deaktivieren, sind besonders verlässliche Warnsignale.

• Dienste von EDR oder Antivirus anhalten oder deinstallieren
• Protokollierung deaktivieren oder Ereignisprotokolle löschen
• Sicherheitsrichtlinien ändern oder Ausnahmen hinzufügen

Aktivieren Sie den Manipulationsschutz und lösen Sie bei jedem Versuch, Schutzmaßnahmen zu deaktivieren, einen Alarm aus; legitime Administratoren tun dies nur selten in großem Umfang.

Das Zerstören von Wiederherstellungsoptionen ist ein nahezu universeller Schritt vor der Verschlüsselung und ein hervorragendes Frühwarnsignal.

Double-Extortion-Gruppen stehlen Daten vor der Verschlüsselung. Überwachen Sie den ausgehenden Datenverkehr auf das Zusammenstellen und Übertragen von Daten.

• Große ausgehende Datenübertragungen zu unbekanntem Cloud-Speicher oder unbekannten IPs
• Archivierungswerkzeuge, die unerwartet große Datensätze komprimieren
• Neue Nutzung von Dateiübertragungsprogrammen auf Servern
• Spitzen beim ausgehenden Datenverkehr außerhalb der Geschäftszeiten

Die Überwachung des ausgehenden Datenverkehrs und DLP können die Diebstahlphase erkennen, selbst wenn frühere Phasen übersehen wurden.

Täuschung ermöglicht eine kostengünstige Erkennung mit hoher Signalqualität. Setzen Sie Köder ein, die kein legitimer Benutzer jemals berühren sollte.

• Canary-Dateien in Verzeichnissen, die bei Zugriff oder Änderung einen Alarm auslösen
• Honeytoken-Zugangsdaten, die bei jeder Verwendung einen Alarm auslösen
• Gefälschte Freigaben mit hohem Wert, die auf jede Interaktion überwacht werden

Wenn Ransomware Dateien massenhaft verschlüsselt, trifft sie früh auf die Canary-Dateien. So erhalten Sie sofort einen Alarm mit wenigen Fehlalarmen.

Die Verschlüsselungsphase selbst hinterlässt ein erkennbares Muster, das EDR und die Dateiüberwachung innerhalb von Sekunden erkennen können.

• Ein Prozess liest und schreibt viele Dateien schnell neu
• Massenhafte Umbenennungen von Dateien oder neue einheitliche Dateierweiterungen treten auf
• Plötzlicher Anstieg der Dateientropie (verschlüsselte Daten wirken zufällig)
• Dateien mit Lösegeldforderungen erscheinen in zahlreichen Verzeichnissen

Eine automatisierte Reaktion kann den Host isolieren, sobald dieses Muster einsetzt, und so die Zahl der verlorenen Dateien begrenzen.

Indikatoren helfen nur, wenn sie erfasst und korreliert werden. Zentralisieren Sie Telemetriedaten, damit einzelne Signale ein klares Gesamtbild ergeben.

• Leiten Sie Endpoint-, Identitäts-, Netzwerk- und Backup-Protokolle an ein SIEM weiter
• Erstellen Sie Erkennungsregeln für die oben genannten Verhaltensweisen und filtern Sie Rauschen heraus
• Ordnen Sie Warnungen den Angriffsphasen (MITRE ATT&CK) zu, um Kontext zu schaffen
• Stellen Sie sicher, dass Protokolle manipulationssicher sind, damit Angreifer ihre Spuren nicht löschen können

Erkennung ist nur dann wertvoll, wenn sie eine schnelle Reaktion auslöst. Bereiten Sie sich im Voraus vor:

• Legen Sie fest, bei welchen Warnungen eine automatische Host-Isolation erforderlich ist
• Definieren Sie klare Eskalationswege und eine Bereitschaftsabdeckung
• Üben Sie die Abläufe, damit Einsatzkräfte innerhalb von Minuten statt Stunden handeln

Je früher Sie einen Angriff in der Angriffskette erkennen, desto besser können Sie ihn eindämmen. In der nächsten Lektion erfahren Sie, was nach der Bestätigung eines Angriffs zu tun ist.

Ermitteln Sie das aussagekräftigste frühe Signal.

Sie haben gelernt, einen Angriff während seiner Verweildauer zu erkennen.

• Die Erkennung zielt auf Verhaltensweisen: ungewöhnliche Anmeldungen, AD-Aufklärung, laterale Bewegung
• Manipulation von Schutzmaßnahmen und Löschen von Schattenkopien sind besonders verlässliche Frühwarnsignale
• Überwachen Sie den ausgehenden Datenverkehr auf Exfiltration; platzieren Sie Canary-Dateien und Honeytokens
• Verhaltensbasierte Erkennung von Verschlüsselung (Entropie, Massenumbenennungen) ermöglicht die automatische Isolation
• Zentralisieren Sie die Daten in einem SIEM mit manipulationssicheren Protokollen und einem schnellen Weg von der Warnung zur Aktion

Als Nächstes: Reaktion auf und Wiederherstellung nach einem bestätigten Angriff.