Die Angreifersicht: hinter dem Perimeter

In den letzten Jahren werden jedes Jahr Zehntausende neuer Schwachstellen veröffentlicht, in allem vom Internet-of-Things bis zu IT-Verwaltungsservern. Die unbequeme Schlussfolgerung: Die Wahrscheinlichkeit, dass ein Unternehmensnetzwerk bereits unbemerkt kompromittiert wurde, ist hoch.

Das verändert, was Netzwerksicherheit leisten muss. Darauf zu warten, auf eine Warnmeldung zu reagieren, setzt voraus, dass man eine erhält, und ein Angreifer, der bereits drin ist und sich vorsichtig bewegt, löst sie womöglich nie aus. Ein Umdenken von reaktiver zu proaktiver Netzwerksicherheit ist notwendig: eine, die von einer Kompromittierung ausgeht und das Netzwerk entsprechend auslegt.

Ein Innosuisse-Forschungsprojekt

In einem von der Innosuisse geförderten Projekt für angewandte Forschung machten narrowin und das Institut für angewandte Informationstechnologie (InIT) der ZHAW dieses abstrakte Risiko konkret. Gemeinsam entwickelten sie einen Expedition Node, ein Gerät, das aufzeigt, wie einfach und wie unbemerkt ein Angreifer agieren kann, sobald er bereits in einem Netzwerk ist, etwa nachdem er eine Schwachstelle wie Log4Shell ausgenutzt hat.

Was der Expedition Node zeigt

In ein Netzwerk eingebracht, durchläuft der Node die Schritte, die ein Eindringling unternimmt, sobald der Perimeter hinter ihm liegt, und zeigt, wie wenig Widerstand ein flaches internes Netzwerk leistet:

• Passives Mitlesen und aktive Erkundung, um jeden Host im Segment zu finden
• Geräte- und MAC-Inspektion sowie nmap-Scans, um zu bestimmen, was vorhanden ist
• Ein Man-in-the-Middle-Angriff, der den Datenverkehr zwischen zwei Geräten abfängt
• Export des gesamten Bildes, das er aufbaut, bereit zum Handeln

Als Abfolge betrachtet, machen diese Schritte das Argument unmissverständlich: Hinter dem Perimeter gewährt ein Netzwerk ohne interne Segmentierung einem Angreifer nahezu freie Bewegung.

Das Whitepaper

Ein Whitepaper aus dem Projekt stellt die Hintergründe und die Erkenntnisse vollständig dar. Es beschreibt die Angriffswege, die ein Eindringling von innen nehmen kann, und die konkreten Schritte hin zu einer Netzwerkarchitektur, die nicht darauf angewiesen ist, dass der Perimeter hält.

Whitepaper herunterladen (PDF, Deutsch)