Cyber-Readiness Checkliste

Nach dem russischen Einmarsch in die Ukraine warnen sowohl das BSI, als auch westliche Partner und Hersteller eindringlich vor Angriffen russischer Cyberkrieger – und das auf kritische Infrastrukturen UND Wirtschaftsunternehmen.

Insbesondere ruft das BSI Unternehmen, Organisationen und Behörden dazu auf, ihre IT-Sicherheitsmaßnahmen zu erhöhen.

In dieser Checkliste haben wir die wichtigsten Punkte zusammengestellt, die Sie berücksichtigen sollten. Sofern Sie nicht die Ressourcen haben, das in Eigenregie abzuwickeln, bieten wir Ihnen gerne professionelle Unterstützung unserer Experten an.

Cyber-Readiness Checkliste

• Patchen: Stellen Sie sicher, dass alle Systeme vollständige Patches und Updates erhalten haben
• Sicherheits-Datenbanken: Alle Ihre Sicherheits-Werkzeuge sollten aktuellste Daten nutzen
• Backup: Erstellen Sie Offline-Backups aller kritischen Systeme (oder aktualisieren Sie bestehende Backups)
• Phishing: Trainieren Sie Ihre Mitarbeiter mittels Cyber-Awareness-Trainings auf aktuelle Phishing-Bedrohungen
• Threat-Hunting: Schauen Sie in Ihrem Netzwerk proaktiv nach bekannten Vorgehensweisen russischer Angreifer
• Emulation: Testen Sie Ihre Verteidigung um sicherzustellen, dass die bekannten Vorgehensweisen russischer Angreifer entdeckt werden können
• Response: Testen Sie Ihre Incident-Responses gegen angenommene Angriffe anhand echter Beispiele
• Bleiben Sie up-to-date: Abonnieren Sie entsprechende Security-Feeds, um aktuell informiert zu bleiben

Was Sie im Detail unternehmen können:

• Patchen: Angreifer zielen häufig auf ungepatchte und verwundbare Systeme im Netzwerk ab. Darum sollte in erster Verteidigungslinie ein Patch-Management stehen und vollständig gepatchte Systeme gewährleisten.
  Bei Interesse an bestimmten Verwundbarkeiten, die in der Vergangenheit von russischen Angreifern genutzt werden, empfehlen wir einen Blick in diese CISA-Liste. Der bessere Ansatz bleibt jedoch, sich auf zügige Updates der Systeme zu fokussieren. Das trifft ebenfalls auf Air-Gap-Systeme zu, die in diesem Zuge direkt auch auf aktuelle Systemstände hin überprüft werden sollten. Denken Sie daran, dass Patchen nicht nur für Server und Arbeitsplatzrechner gilt, sondern insbesondere auch für Netzwerk-Infrastruktur und Security-Produkte.
  Wie kann Oberberg-Online Ihnen dabei helfen?
  Wir bieten im Rahmen unserer IT- und Security-Services sowohl Patch-Management-Lösungen, als auch Wartungsverträge für Ihre Netzwerke und Security-Lösungen an.
• Sicherheits-Datenbanken: Unsere Partner G DATA, Fortinet und Cisco betreiben personell stark besetzte Research-Teams und nutzen Millionen von Sensoren im weltweiten Netz, um aktuellste Bedrohungen zu analysieren und Gegenmaßnahmen auszurollen. Sofern Sie einen laufenden Vertrag unterhalten, werden Sicherheitsupdates in kürzester Zeit auf Ihre Systeme aufgespielt.
  Wie kann Oberberg-Online Ihnen dabei helfen?
  Unsere Mitarbeiter weisen Sie proaktiv auf auslaufende Sicherheitsupdates hin und bieten rechtzeitig Verlängerungen an. Im Rahmen mit uns vereinbarter Serviceverträge spielen wir proaktiv Sicherheitsupdates der Hersteller ein und halten die Bedrohungslage im Auge. Für die eigentlichen Datenbanken greifen automatische Updates – nahezu in Echtzeit.
• Backup: Viele Angriffe erfolgen in Form von Ransomware (Verschlüsselung Ihrer Daten und Lösegeldforderungen), oder Wiper-Malware (Ihre Daten werden unwiederbringlich gelöscht). Die beste Verteidigung gegen solche Schadsoftware sind aktuelle Backups. Dabei ist es von entscheidender Bedeutung, dass Backups offline verfügbar sind, denn Schadsoftware versucht oftmals speziell Backups im Netzwerk zu finden und unbrauchbar zu machen.
  Die aktuelle Bedrohungslage ist ein guter Zeitpunkt um zu prüfen, ob Backups wirklich vorhanden sind (und nicht nur auf dem Papier) und Wiederherstellungsmöglichkeiten mit Ihrem IT-Team zu testen.
  Wie kann Oberberg-Online Ihnen dabei helfen?
  Unsere Mitarbeiter erstellen gerne mit Ihnen ein passendes Backup-Konzept, oder prüfen Ihre bestehende Backup-Situation auf mögliche Verbesserungsmöglichkeiten. Im Rahmen unserer IT-Serviceverträge bieten wir Prüfungen der Backup-Durchführung und der Wiederherstellbarkeit aus Backup-Daten an.
• Phishing: Phishing-Attacken sind immer noch das erfolgreichste Einfallstor für Angreifer in Ihr Unternehmen. Jetzt wäre ein guter Ansatz, mit Ihren Mitarbeitern ein Awareness-Training durchzuführen, um die Erkennung und richtige Reaktion auf verdächtige Mails zu fördern.
  Wie kann Oberberg-Online Ihnen dabei helfen?
  Über unseren deutschen Sicherheitspartner G DATA bieten wir Awareness-Trainings online an. Dabei können Ihre Mitarbeiter in kurzen Lektionen aktuelle Bedrohungen kennenlernen und erhalten nach absolvierter Lektion eine Anerkennung. Sie können über das Dashboard Erfolge sehen und erkennen auch, wo eventuell noch nachgeschult werden kann.
• Threat-Hunting: Einbrüche in Netzwerke werden oftmals zu spät erkannt (>100 Tage Verweildauer sind keine Seltenheit) und Angreifer hatten bis dahin genug Zeit, Ihre Daten abzugreifen, Spyware zu installieren, oder auch ihr zerstörerisches Werk vorzubereiten. Eine frühzeitige Erkennung ist hier überlebenswichtig. Bedienen Sie sich bei der Erkennung der unter * angeführten Taktiken, Techniken und Vorgehensweisen bekannter russischer Akteure.
  Wie kann Oberberg-Online Ihnen dabei helfen? 
  Als Partner des deutschen Herstellers Cybersense bieten wir einen einfachen Weg der Früherkennung an. Advanced Deception bietet Ihnen eine Lösung nahezu ohne Fehlalarme und benötigt insbesondere keine Personalressourcen bei Ihnen. Die Lösung ist insbesondere auch für KRITIS-Unternehmen und öffentliche Verwaltung geeignet – aber selbstverständlich auch für Wirtschaftsunternehmen. Wer vorab Informationen haben mag, der wird hier und hier fündig.
• Emulation: Die unten angeführten Taktiken, Techniken und Vorgehensweisen können natürlich auch verwendet werden um zu prüfen, ob Ihre Sicherheit-Infrastruktur in der Lage ist, diese zu erkennen. Diese Tests können Konfigurationsprobleme aufdecken, die Angreifern eine unbeobachtete Bewegung in Ihrem Netzwerk ermöglichen.
  Wie kann Oberberg-Online Ihnen dabei helfen?
  Wir haben langjährige Partnerschaften mit Sicherheitsunternehmen, die unabhängige Penetrationstests durchführen und vermitteln Ihnen gerne den für Sie passenden Kontakt.
• Response: Eine schnelle und gut organisierte Vorgehensweise bei Sicherheitsvorfällen ist entscheidend, wenn ein entsprechender Vorfall entdeckt wird. Jetzt ist es an der Zeit, zurechtgelegte Vorgehensweisen im Ernstfall zu überprüfen. Dies beinhaltet sowohl Incident-Response, als auch Eisaster-Recovery und Business-Continuity.
  Wie kann Oberberg-Online Ihnen dabei helfen?
  Mit unserem Partner G DATA Advanced Analytics bieten wir Ihnen vertraglich abgesicherte Incident-Response-Retainer. Das beinhaltet sowohl garantierte Reaktionszeiten, als auch z.B. BSI-qualifizierte APT-Responder, die Ihnen zur Seite stehen.
• Bleiben Sie up-to-date: Alle die hier angeführten Aktionen sind keine Einmalaufnahme, sondern Sicherheit ist immer ein Prozess. Ein Weg die aktuellsten Bedrohungen im Auge zu behalten, ist der regelmäßige Blick auf z.B. diese Listen:
  FortiGuard Threat Signal, Cisco Tools Vulnerability Reports, G DATA Security Blog
  

*Tactics, Techniques, and Procedures

For hunting for adversaries in your networks CISA recommends the following TTPs:

Tactic	Technique	Procedure
Reconnaissance [TA0043]	Active Scanning: Vulnerability Scanning [T1595.002]
		Russian state-sponsored APT (Advanced Persistent Threat) actors have performed large-scale scans to find vulnerable servers.
	Phishing for Information [T1598]	Russian state-sponsored APT actors have conducted spearphishing campaigns to gain credentials of target networks.
Resource Development [TA0042]	Develop Capabilities: Malware [T1587.001]	Russian state-sponsored APT actors have developed and deployed malware, including ICS-focused destructive malware.
Initial Access [TA0001]	Exploit Public Facing Applications [T1190]	Russian state-sponsored APT actors target publicly known vulnerabilities, as well as zero-days, in internet-facing systems to gain access to networks.
	Supply Chain Compromise: Compromise Software Supply Chain [T1195.002]	Russian state-sponsored APT actors have gained initial access to victim organizations by compromising trusted third-party software. Notable incidents include M.E.Doc accounting software and SolarWinds Orion.
Execution [TA0002]	Command and Scripting Interpreter: PowerShell [T1059.003] and Windows Command Shell [T1059.003]	Russian state-sponsored APT actors have used cmd.exe to execute commands on remote machines. They have also used PowerShell to create new tasks on remote machines, identify configuration settings, exfiltrate data, and execute other commands.
Persistence [TA0003]	Valid Accounts [T1078]	Russian state-sponsored APT actors have used credentials of existing accounts to maintain persistent, long-term access to compromised networks.
Credential Access [TA0006]	Brute Force: Password Guessing [T1110.001] and Password Spraying [T1110.003]	Russian state-sponsored APT actors have conducted brute-force password guessing and password spraying campaigns.
	OS Credential Dumping: NTDS [T1003.003]	Russian state-sponsored APT actors have exfiltrated credentials and exported copies of the Active Directory database ntds.dit.
	Steal or Forge Kerberos Tickets: Kerberoasting [T1558.003]	Russian state-sponsored APT actors have performed “Kerberoasting,” whereby they obtained the Ticket Granting Service (TGS) Tickets for Active Directory Service Principal Names (SPN) for offline cracking.
	Credentials from Password Stores [T1555]	Russian state-sponsored APT actors have used previously compromised account credentials to attempt to access Group Managed Service Account (gMSA) passwords.
	Exploitation for Credential Access [T1212]	Russian state-sponsored APT actors have exploited Windows Netlogon vulnerability CVE-2020-1472 to obtain access to Windows Active Directory servers.
	Unsecured Credentials: Private Keys [T1552.004]	Russian state-sponsored APT actors have obtained private encryption keys from the Active Directory Federation Services (ADFS) container to decrypt corresponding SAML (Security Assertion Markup Language) signing certificates.
Command and Control [TA0011]	Proxy: Multi-hop Proxy [T1090.003]	Russian state-sponsored APT actors have used virtual private servers (VPSs) to route traffic to targets. The actors often use VPSs with IP addresses in the home country of the victim to hide activity among legitimate user traffic.