Merkblatt Internet Security Awareness
ADVANCED
Herausgeber:
SUISSEDIGITAL - FortIT
Datum:
06.04.2021
SUISSEDIGITAL ist der Wirtschaftsverband der Schweizer Kommunikationsnetze.
Ihm gehören rund 200 privatwirtschaftlich und öffentlich-rechtlich organisierte Unternehmen aus der ganzen Schweiz und aus dem Fürstentum Liechtenstein an. Diese sind dank ihren hochleistungsfähigen Netzen in der Lage, ihren Kundinnen und Kunden zeitgemässe Kommunikationsdienstleistungen aus einer Hand anzubieten: Breitbandinternet, Festnetz- und Mobiltelefonie sowie Radio und Fernsehen mit allen Vorteilen der digitalen Technik.
www.suissedigital.ch
Secure Digital Business
Die Vielfalt der Technologien, Business- und Sicherheitsanforderungen in Digitalisierungsvorhaben, stellen oft eine grosse Herausforderung dar. Verschaffen Sie sich einen Vorsprung durch unsere Kompetenz und Erfahrung.
Wir ermöglichen Secure Digital Business und unterstützen Sie dabei, Ihre Digitalisierungsvorhaben effizienter umzusetzen und dabei Kosten zu sparen.
www.fort-it.ch
Security-Check
Der Security-Check ist unter https://securitycheck.suissedigital.ch/ erreichbar.
Inhalt
Einleitung ... 3
Phishing ist oftmals der erste Schritt einer umfangreichen Attacke ... 3
Ransomware-Attacken nehmen weiter zu ... 3
Social Engineering ermöglicht gezieltere Attacken ... 4
Zero Trust Sicherheitsmodelle erleichtern die Sicherstellung der Sicherheit auch im Homeoffice ... 4
DeepFake läutet ein neues Kapitel im Bereich Identitätsdiebstahl ein ... 5
Die biometrische Absicherung von Anmeldeinformationen ist auf dem Vormarsch ... 5
Drive-by-Infection kann jedem passieren ... 6
Gute Passwörter sind nach wie vor wichtig ... 6
Passwordless-Ansätze sind benutzerfreundlich und sicher zugleich ... 7
Hacking für mehr Sicherheit ... 7
Glossar ... 8
Einleitung
Die Sicherheit im Cyberraum (Cybersicherheit) wird auch in der Schweiz immer wichtiger.
Unternehmen und Organisationen bauen ihre digitalen Dienstleistungen aus; Kommunikation und Zusammenarbeit in den Unternehmen werden weiter digitalisiert. Das ist auch jenen Leuten nicht entgangen, die daraus unrechtmässig Profit schlagen wollen. Entsprechend nimmt die Cyberkriminalität stark zu. Dabei geben sich die Angreifer erfinderisch und passen sich den aktuellen Umständen und Themen rasch an.
Dieses Merkblatt fasst den Security-Check «ADVANCED» zusammen, welcher aktuelle Themen und moderne Technologien in den Fokus stellt.
Phishing ist oftmals der erste Schritt einer umfangreichen Attacke
Bei Phishing-Attacken wird versucht über betrügerische oder gefälschte E-Mails und Webseiten Zugang zu sensiblen Daten wie Kreditkartennummern oder Passwörter zu erlangen. Dabei gibt sich der Täter als legitimes Unternehmen oder seriöse Person aus.
Oftmals werden E-Mails und Webseiten bekannter Unternehmen gefälscht, um das Opfer in Sicherheit zu wiegen und zur Eingabe von persönlichen Daten zu bewegen.
Misstrauen Sie E-Mails welche unaufgefordert kommen, insbesondere wenn diese Anhänge oder Links enthalten. D.h. Anhänge und Links nur dann öffnen, wenn man absolut sicher ist, dass diese vertrauenswürdig sind.
Es gibt eine Vielzahl von Verschleierungstechniken, sodass sie sich nicht sicher sein können, dass sie nicht auf eine gefälschte Webseite gelockt werden:
• Erweiterungen durch Subdomains:
Aus meinshop.ch wird meinshop.chhop.xxx
• Einbetten von Tippfehlern:
z.B. meinsshop.ch
• Einbetten von Zahlen, Buchstaben oder Unicode-Zeichen anstelle von ähnlich aussehenden Buchstaben: z.B. me1nshop.ch, melnshop.ch, meǐnshop.ch
(für Fortgeschrittene: Punycode)
Ransomware-Attacken nehmen weiter zu
In den letzten Jahren sind Bezeichnungen wie „Petya“, „WannaCry“ und „Locky“ um die Welt gegangen. Dabei handelt es sich um sogenannte Ransomware, welche von den Angreifern dazu genutzt werde, Lösegeld von Personen oder Unternehmen zu erpressen.
In den meisten Fällen verschlüsselt Ransomware Daten und macht diese damit unzugänglich.
Anschliessend wird Lösegeld verlangt mit der Aussicht, dass die Daten wiederhergestellt werden.
Sollte dieser Fall eintreten, wenden sie sich am besten sofort an ihren IT-Support. Von der Zahlung des Lösegelds wird abgeraten.
Ein guter Schutz vor Ransomware sind regelmässige Backups auf Speichermedien, welche nach der Sicherung nicht mehr mit dem Computer verbunden sind. Ansonsten besteht die Gefahr, dass auch das Backup verschlüsselt wird.
Wie bei den meisten Arten von Schadsoftware (Malware), wird diese oftmals per E-Mail-Anhang verbreitet. Vorsicht also bei E-Mails welche unaufgefordert kommen, insbesondere wenn diese Anhänge oder Links enthalten.
Social Engineering ermöglicht gezieltere Attacken
Bei Social Engineering wird das menschliche Verhalten ausgenutzt, um eine Person zu einer bestimmten Handlung zu bewegen, um beispielsweise sensible Informationen oder unbefugten Zugriff zu erlangen. Dabei wird die Person mit geschicktem Vorgehen getäuscht und beeinflusst.
Nachfolgend drei Arten von Social Engineering:
Beim sogenannten Baiting wird das Opfer mit einem physischen Köder in die Falle gelockt. Das kann u.a. mit einem absichtlich liegengelassenen USB-Stick passieren, welcher – wenn er eingesteckt wird – heimlich Schadsoftware (Malware) installiert.
Beim Tailgating verschafft man sich Zutritt zu einem sonst gesicherten Bereich, indem man einer autorisierten Person eng folgt und durch die geöffnete Türe mit durchschlüpft. Gegebenenfalls fragt man sogar, ob einem die Tür aufgehalten werden kann, weil man den Badge zuhause vergessen hat.
Beim Watering-Hole infiziert ein Angreifer eine bestimmte Website, von der er weiss, dass das Opfer diese häufig besucht. So wird zum Beispiel die Website eines Vereins infiziert, so dass bei einem Besuch automatisch Schadsoftware (Malware) installiert wird.
Zero Trust Sicherheitsmodelle erleichtern die Sicherstellung der Sicherheit auch im Homeoffice
Homeoffice ist ein zunehmender Trend. Neben unzweifelhaft vorhandenen Vorteilen wie eine flexiblere Arbeitsgestaltung gibt es allerdings auch Herausforderungen im Bereich Informationssicherheit. Homeoffice-Umgebungen haben meistens weniger starke Security- Massnahmen umgesetzt und werden auch nicht regelmässig geprüft. Trotzdem greift man über diese Umgebungen auf sensible Unternehmensdaten zu. Unternehmen sind allerdings zunehmend darauf vorbereitet, dass Mitarbeitende nicht nur innerhalb ihrer offiziellen Standorte auf Unternehmensprozesse und -daten zugreifen, sondern auch über potenziell unsichere Umgebungen.
Im Zero Trust Sicherheitsmodell geht man davon aus, dass Benutzern sowie Geräten ohne regelmässige, feingranulare und adaptive Authentifizierung und Autorisierung nicht vertraut werden kann. Im Zero Trust Sicherheitsmodell ist damit z.B. der Standort der zugreifenden Person nur noch ein Faktor aus vielen, um zu entscheiden ob und wie jemand auf Unternehmensprozesse und -daten zugreifen kann. Es wird unter anderem folgendes geprüft:
• Auf was soll zugegriffen werden?
• Wer will darauf zugreifen?
• Von welchem Gerät wird zugegriffen?
• Was ist der Standort der zugreifenden Person und welche Uhrzeit ist es? Ist das plausibel oder weicht das vom üblichen Verhalten ab?
Konsequenterweise führt diese zu weiteren Ansätzen wie Microsegmentierung im Netzwerk und risikobasierten Authentifizierungsmethoden.
DeepFake läutet ein neues Kapitel im Bereich Identitäts- diebstahl ein
Oftmals reichen Username und Passwort, um im Namen einer anderen Person Schaden anzurichten und zum Beispiel eine Zahlung auszulösen. Da ist es beruhigend zu wissen, dass wir Personen, welche wir besser kennen, per Telefon oder Videotelefonie eindeutig identifizieren können. Oder?
Lange war die Fälschung von Bildern, Audio und Video harte, manuelle Arbeit durch das geschickte Schneiden und Ersetzen von Medienmaterial. Heutzutage können Computer durch selbstständiges Lernen, die Stimme und auch das Gesicht einer Person täuschend echt imitieren. Dazu benötigt der Algorithmus sehr viel Bild-, Audio- oder Videomaterial, welches analysiert wird. Um damit eine Stimme zu imitieren reichen Tonaufnahmen von ein paar Minuten. Bei Video ist es etwas anspruchsvoller, da es unter anderem auf Dauer, Belichtung und Blickwinkel ankommt.
DeepFake ist Ende 2017 erstmals als Methode zur Fälschung von Medieninhalten publik geworden.
Zuvor war die realistisch wirkende Abänderung von Bildern, Audio und Video ein intensiv manueller Vorgang. Mittels Deep Learning, einer Form des maschinellen Lernens, können diese nun aber zum
grössten Teil vom Computer selbst erstellt werden.
So glaube Anfang 2019 der CEO eines Energieunternehmens, mit dem Chef der Muttergesellschaft zu telefonieren und überwies 220’000 € auf das Bankkonto eines ungarischen Lieferanten.
Die biometrische Absicherung von Anmeldeinformationen ist auf dem Vormarsch
Biometrie ist eine Authentifizierungsmethode, die zur Identifikation von Benutzern biologische Merkmale wie Fingerabdruck, Iris (Regenbogenhaut im Auge) oder Stimme verwendet. Ein biometrischer Scanner liest die biologischen Merkmale eines Benutzers – zum Beispiel sein Irismuster oder seinen Fingerabdruck – und wandelt das Ergebnis in digitale Informationen um, so dass ein Computer diese interpretieren und verifizieren kann.
Nachfolgend finden Sie vier der beliebtesten Verfahren zur biometrischen Authentifizierung:
• Fingerabdrucksensoren
• Gesichtserkennungssysteme
• Spracherkennung
• Iris- und Netzhaut-Scans
Aber auch biometrische Authentifizierungen bergen Risiken und sollten darum nicht allein als einzigen Faktor verwendet werden:
• Die digitalen Daten, welche aus einem biometrischen Merkmal abgeleitet werden, können gestohlen werden.
• Biometrische Daten haben Falschakzeptanzraten: Personen können unter gewissen Umständen vom System nicht erkannt werden oder mehrere Personen weisen dieselben digitalen Abbildungen ihrer biologischen Merkmale auf.
• Biometrische Daten sind schwer zurückzusetzen (zum Beispiel, wenn sie gestohlen werden), da sie etwas darstellen, was Sie sind und nicht etwas, was Sie kennen
Drive-by-Infection kann jedem passieren
Viele Attacken von Cyberkriminellen basieren darauf, dass ein Anwender unvorsichtig E-Mail-Anhänge öffnet, Links anklickt oder persönliche Informationen preisgibt.
Eine oftmals unterschätzte Gefahr ist allerdings, sich auf Webseiten eine Schadsoftware (Malware) einzufangen. Dabei muss es nicht zwingend auf einer extra dafür geschaffenen Webseite sein, sondern es ist auch möglich, dass eine dem Anwender bekannte Webseite gehackt wurde und mit Schadsoftware modifiziert wurde. Das kann grössere Webportale treffen oder z.B. auch kleinere Vereins-Webseiten.
Man spricht dabei von einer Drive-by-Infection oder einem Drive-by-Download auf diesen mit Schadsoftware modifizierten Webseiten. Dabei werden Sicherheitslücken des Webbrowsers ausgenutzt, um sich automatisch nur schon beim Besuch einer Webseite Schadsoftware zu installieren.
Deshalb ist es sehr wichtig seinen Webbrowser auf dem aktuellen Stand zu halten.
Gute Passwörter sind nach wie vor wichtig
Anmeldeinformationen mit Username und Passwort ist seit jeher eine wichtige Grundlage für die Nutzung von Onlinediensten mit persönlichem Benutzerkonto.
Was sich am Anfang noch einfach gestaltete, wird aber zunehmend anspruchsvoller:
• Die Anzahl genutzter Onlinedienste und damit auch dafür benötigte Passwörter nimmt bei den meisten Personen stetig zu
• Die Anforderungen an ein sicheres Passwort steigen (Anzahl Stellen, Komplexität)
• Gleichzeitig werden die damit benutzten Onlinedienste immer kritischer resp. enthalten entweder persönliche Informationen oder können bei Missbrauch grösseren finanziellen Schaden anrichten
Auch Tricks wie Passwort-Merksätze verlieren bei mehr als 10 Stellen und geforderten Sonderzeichen schnell ihre Wirkung resp. sind nur noch für die 1-2 sehr oft genutzten Passwörter umsetzbar.
Passwörtern sollte trotzdem nicht mehrmals genutzt werden. Es kommt immer wieder vor, dass Anmeldeinformationen von Onlinediensten gehackt oder unabsichtlich veröffentlicht werden. Diese Informationen werden dann sehr schnell auch in kriminellen Kreisen ausgetauscht oder sogar verkauft.
Meistens wird dann auch schnell versucht, mit den gleichen Anmeldeinformationen bei anderen Onlinediensten einzuloggen.
Ein Passwort Manager oder ein Identitätsanbieter kann helfen die Oberhand über seine Anmeldeinformationen zu behalten. Es ist bei beiden Varianten darauf zu achten, dass seriöse Anbieter gewählt werden und das Tool mit einem sehr starken Passwort oder einem zusätzlichen Faktor (siehe Multi Faktor Authentifizierung) geschützt wird.
Passwordless-Ansätze sind benutzerfreundlich und sicher zugleich
Es wird immer anspruchsvoller sich alle Passwörter zu merken. Das verleitet dazu einfachere und damit unsichere Passwörter oder mehrmals das gleiche Passwort zu nutzen.
Bereits nutzen viele Onlinedienste die Möglichkeit einer Multi Faktor Authentifizierung (MFA), mit welcher bereits ein Grossteil von automatisierten Angriffen blockiert werden kann. Dabei wird meistens neben dem Faktor «Etwas was sie wissen» (z.B. Passwort) weitere Faktoren wie «Etwas was sie besitzen» (z.B. Mobilgerät) oder «Etwas was sie sind» (z.B. Fingerabdruck) genutzt - Something you know, something you have, something you are.
Nach wie vor spielt dabei aber das Passwort eine zentrale Rolle. Neuerdings ist «Passwordless» immer mehr auf dem Vormarsch. Diese kennwortlosen Sicherheitsstandards erhöhen die Sicherheit und verbessern gleichzeitig auch die Benutzerfreundlichkeit. Kennwortlose Methoden basieren auf der Multi Faktor Authentifizierung und dem Einsatz von kryptographischen Schlüsseln:
• 1. Faktor: Auf einem Gerät dass Sie besitzen, wird je Onlinedienst ein kryptographisches Schlüsselpaar erstellt
• 2. Faktor: Mit einem biometrischen Merkmal von Ihnen (z.B. Fingerabdruck, Gesichtserkennung) wird die Authentifizierung mittels der kryptographischen Schlüssel aktiviert
Ein bekannter, internationaler Standard für Passwordless ist FIDO2. FIDO2 ist der übergreifende Begriff für die neuesten Spezifikationen der FIDO-Allianz. FIDO2 ermöglicht es Benutzern, gängige Geräte zur einfachen Authentifizierung bei Online-Diensten sowohl in mobilen als auch in Desktop-Umgebungen zu nutzen.
Hacking für mehr Sicherheit
Die Anzahl der im Internet zur Verfügung gestellten digitalen Plattformen und Services nimmt kontinuierlich zu. Dabei ist «Time to Market» und eine schnelle Weiterentwicklung wichtig – das führt dazu, dass Schwachstellen oftmals erst im Betrieb entdeckt werden können. Es ist entscheidend, dass diese Schwachstellen schnell gefunden und nicht von bösartigen Angreifern ausgenutzt werden können.
Der Ansatz, bei welchem Sicherheitsexperten und «Friendly Hacker» Schwachstellen von digitalen Services identifizieren und gegen eine definierte Belohnung dem betroffenen Unternehmen melden, nennt sich «Bug Bounty». Bug-Bounty-Programme ergänzen traditionelle Ansätze zur Absicherung von digitalen Plattformen. Im Gegensatz zum Beispiel zu regulären Penetrationstests mit einem Fixpreis funktionieren Bug-Bounty-Programme erfolgsbasiert.
Glossar
Fachwort Beschreibung
Authentisierung, Authentifizierung
Vorgang zur Erkennung und Überprüfung der Identität eines Benutzers. Dabei authentisiert sich der Benutzer beim System, und das System authentifiziert den Benutzer.
Autorisierung Nach der Authentifizierung werden einer Identität durch die Autorisierung Zugangs- und Nutzungsrechte zugewiesen.
Baiting Beim sogenannten Baiting wird das Opfer mit einem physischen Köder in eine Falle gelockt. Das kann zum Beispiel mit einem liegengelassenen USB-Stick passieren, welcher – wenn er eingesteckt wird – heimlich Schadsoftware installiert.
DDoS, Distributed Denial of Service
Eine Vielzahl von (infizierten) Systemen greift gleichzeitig auf einen Service zu und schränkt damit die Nutzbarkeit für reguläre User ein.
Typischerweise werden entweder die zur Verfügung stehende Netzwerk-Bandbreite oder auch die Server im Hintergrund überlastet.
Deepfake Deepfake ist Ende 2017 erstmals als Methode zur Fälschung von Medieninhalten publik geworden. Zuvor war die realistisch wirkende Abänderung von Bildern, Audio und Video ein aufwändiger manueller Vorgang. Mittels Deep Learning, einer Form des maschinellen Lernens, können Fälschungen nun aber zum grössten Teil vom Computer selbst erstellt werden.
Drive-by-Infection, Drive-by-Download
Eine oftmals unterschätzte Gefahr ist, sich auf Webseiten eine Schadsoftware (Malware) einzufangen. Dabei muss es nicht zwingend auf einer extra dafür geschaffenen Webseite sein, sondern es ist auch möglich, dass eine dem Anwender bekannte Webseite gehackt und mit Schadsoftware modifiziert wurde. Dies kann grössere Webportale treffen oder z.B. auch kleinere Vereins-Webseiten. Man spricht dabei von einer Drive-by-Infection oder einem Drive-by-Download auf diesen mit Schadsoftware modifizierten Webseiten.
E-Banking E-Banking ermöglicht das Erledigen von Bankgeschäften online über das Internet: Kontoauszüge prüfen, Zahlungen ausführen etc.
FIDO2 FIDO2 ist der übergeordnete Begriff für die neuesten Spezifikationen der FIDO-Allianz (fidoalliance.org). FIDO2 ermöglicht Benutzern die einfache und sichere Authentifizierung bei Online-Diensten sowohl in mobilen als auch in Desktop-Umgebungen. Es sind auch Standards definiert, die eine kennwortlose Authentifizierung ermöglichen.
Identitätsanbieter, Identity Provider
Ein Identitätsanbieter ist ein Dienst, über den man sich an anderen Onlinediensten anmelden kann.
Kryptographisches Schlüsselpaar
Ein kryptographisches Schlüsselpaar wird in diesem Zusammenhang unter anderem für die sichere Authentifizierung genutzt. Grundlage bilden zuverlässige asymmetrische Public-Key- Verschlüsselungsverfahren.
Fachwort Beschreibung
Malware Software, welche auf Computern, Mobiltelefonen oder anderen Geräten Schaden anrichtet.
MFA, Multi-Faktor- Authentifizierung
Bereits nutzen viele Onlinedienste die Möglichkeit einer Multi-Faktor- Authentifizierung (MFA), mit der bereits ein Grossteil von automatisierten Angriffen blockiert werden kann. Dabei werden meistens neben dem Faktor «Etwas was sie wissen» (z.B. Passwort) weitere Faktoren wie «Etwas was sie besitzen» (z.B. Mobilgerät) oder
«Etwas was sie sind» (z.B. Fingerabdruck) genutzt.
Passwordless Kennwortlose Sicherheitsstandards, die einerseits erhöhte Sicherheit und andrerseits verbesserte Usability bieten.
Phishing Bei Phishing-Attacken wird versucht, über betrügerische oder gefälschte E-Mails und Webseiten Zugang zu sensiblen Daten wie Kreditkartennummern oder Passwörter zu erlangen. Dabei gibt sich der Täter als legitimes Unternehmen oder seriöse Person aus. Oftmals werden E-Mails und Webseiten bekannter Unternehmen gefälscht, um das Opfer in Sicherheit zu wiegen und zur Eingabe von persönlichen Daten zu bewegen.
Ransomware In den letzten Jahren sind Bezeichnungen wie „Petya“, „WannaCry“
und „Locky“ um die Welt gegangen. Dabei handelt es sich um sogenannte Ransomware, welche von den Angreifern dazu genutzt wird, Lösegeld von Personen oder Unternehmen zu erpressen.
Sextortion Erpresser behaupten, Zugang zu Computer oder Webcam zu haben und drohen damit, kompromittierendes Bild- oder Videomaterial zu veröffentlichen.
Social Engineering Bei Social Engineering wird eine Person getäuscht und beeinflusst, um zum Beispiel sensible Informationen zu erlangen, unbefugten Zugriff zu erlangen oder die Person zu einer bestimmten Handlung zu bewegen.
Software Defined “Software Defined” wird als Präfix genutzt für Systeme, welche mittels entkoppelter, oftmals auch zentraler Software flexibler gesteuert werden können.
Spam Als Spam werden umgangssprachlich E-Mail-Nachrichten bezeichnet, welche unerwünscht zugestellt werden und meistens Werbung enthalten.
Spear Phishing Beim Spear-Phishing werden bereits über das Opfer gesammelte Informationen dazu genutzt, um noch überzeugendere Phishing- Attacken durchführen zu können, z.B. indem real existierende Vereinsmitgliedschaften, das Geburtsdatum oder die private Telefonnummer angezeigt werden.
Tailgating Beim Tailgating verschafft man sich Zutritt zu einem sonst gesicherten Bereich, indem man einer autorisierten Person eng folgt und durch die geöffnete Türe mit durchschlüpft. Ggf. fragt man sogar, ob einem die Tür aufgehalten werden kann, weil man das Badge zuhause vergessen hat.
Fachwort Beschreibung
Trojaner Eine Schadsoftware, die sich als nützliche, ungefährliche Software tarnt.
Watering-Hole Beim Watering-Hole infiziert ein Angreifer eine bestimmte Webseite, von der er weiss, dass das Opfer diese häufig besucht. Z.B. wird die Webseite eines Vereins infiziert, sodass bei einem Besuch automatisch Schadsoftware (Malware) installiert wird.
Zero Trust Sicherheitsmodelle, die davon ausgehen, dass Benutzern sowie Geräten ohne regelmässige, feingranulare und adaptive Authentifizierung und Autorisierung nicht vertraut werden kann. Im Zero Trust Sicherheitsmodell ist z.B. der Standort der zugreifenden Person nur noch ein Faktor von vielen, um zu entscheiden, ob und wie jemand auf Unternehmensprozesse und -daten zugreifen kann. Es wird unter anderem Folgendes geprüft: Auf was soll zugegriffen werden? Wer will darauf zugreifen? Von welchem Gerät wird zugegriffen? Was ist der Standort der zugreifenden Person und welche Uhrzeit ist es? Ist der Zugriff plausibel oder weicht er vom üblichen Verhalten ab? Konsequenterweise führt diese Methode zu weiteren Ansätzen wie Microsegmentierung im Netzwerk, risikobasierten Authentifizierungsmethoden etc.
