Warum gelingt es Unternehmen trotz steigender IT-Sicherheitsinvestitionen nicht, Sicherheitsverletzungen zu verhindern?

Cyber Security News

Werfen wir zunächst einen Blick zurück ins Jahr 2020!

Zusätzlich zu der Liste der Schwierigkeiten, die im letzten Jahr aufgetaucht sind, war 2020 auch düster für den Schutz persönlicher Daten, da es eine neue Rekordzahl von durchgesickerten Anmeldeinformationen und PI-Daten markiert hat.

Satte 20 Milliarden Datensätze wurden in einem einzigen Jahr gestohlen, ein Anstieg von 66 % gegenüber 12 Milliarden im Jahr 2019. Unglaublich, das ist eine 9-fache Steigerung gegenüber der vergleichsweise “kleinen” Menge von 2,3 Milliarden gestohlenen Datensätzen im Jahr 2018.

Dieser Trend scheint einer Exponentialkurve zu entsprechen; noch schlimmer ist, dass wir die Auswirkungen der “Solorigate”-Kampagne am Ende des Jahres noch nicht gesehen haben, die das Potenzial hat, selbst diese Zahlen bis Ende 2021 zu marginalisieren.

Unter den durchgesickerten Daten befinden sich Benutzernamen, Passwörter, Kreditkartennummern, Bankkontodaten, Gesundheitsinformationen und andere persönliche Daten. Böswillige Akteure nutzen diese Informationsschätze für Betrug und weitere Angriffe.

[Blocked Image: https://thehackernews.com/images/-15RJwply-uw/YCKqA5lbgSI/AAAAAAAAA10/nIYgSX5fwKokER6MjBazjFFXdHtJAKAZgCLcBGAsYHQ/s0/hacker-2.jpg]

Allein im ersten Quartal 2020 gelang es der niederländischen Regierung, eine Festplatte mit vertraulichen Bürgerdaten zu verlieren. In der Zwischenzeit gab die britische Regierung die Daten von 28 Millionen Kindern an Wettfirmen preis, und Microsoft legte 250 Millionen Datensätze des Kundensupports offen – darunter geografische Daten, IP-Adressen und andere private Informationen der Kunden.

Im April hatte Zoom 500.000 Passwörter verloren, als die weltweite Remote-Arbeit begann. Im Juni des 2. Quartals hatte auch Oracle Milliarden von Web-Tracking-Daten durch die Speicherung von Daten auf einem ungesicherten Server durchsickern lassen.

Das 3. Quartal begann damit, dass die Wahlkampf-App von Joe Biden die sensiblen Wählerdaten von Millionen von Nutzern preisgab. Es folgten 300.000 Spotify-Nutzer, die Opfer von Account-Takeover-Versuchen wurden, nachdem ihre Anmeldedaten öffentlich gemacht wurden.

Das Jahr endete mit Solorigate: ein Vorfall mit nachhaltigen Auswirkungen, die noch nicht vollständig abzusehen sind. Letztendlich endete das Jahr 2020 mit insgesamt 1.114 Vorfällen, wobei mehrere Regierungen und bekannte Marken – wie Estee Lauder, Marriott, Nintendo und GoDaddy – in groß angelegte Sicherheitsverletzungen verwickelt waren.

Warum scheitern Unternehmen und Organisationen immer noch?

Dieser Trend der Datenverletzungen ist ziemlich enttäuschend, wenn man ihn mit den schwindelerregenden 120 Milliarden Dollar vergleicht, die weltweit für IT-Sicherheit ausgegeben werden; laut Gartner ist diese Zahl jedes Jahr rapide gestiegen.

Die einzig mögliche Lösung für diese Ungereimtheit liegt in der Sensibilisierung der Benutzer und der Möglichkeit, dass die vorhandenen Technologien etwas Wesentliches vermissen lassen, um diesen Trends entgegenzuwirken.

Die häufigste Ursache für Datenschutzverletzungen ist das Leck einer Authentifizierungsmaßnahme – dies kann ein Benutzername, ein Passwort, ein Token, ein API-Schlüssel oder ein nachlässiger passwortloser Server oder eine Anwendung sein.

Jeden Tag melden sich Benutzer mit E-Mail-Adressen und Anmeldedaten von Unternehmen bei Websites und Diensten von Drittanbietern an. Im Zusammenspiel schaffen sie massive blinde Flecken in der Sichtbarkeit und ein Feld der Schatten-IT, das bisher kein Audit- oder Sicherheitstool eindämmen konnte. Jeder Mitarbeiter hat etwa 200 Konten – bei 1.000 Mitarbeitern sind das 200.000 potenziell unbekannte oder schwache Passwörter, von denen viele mit dem Unternehmen verbunden sein können.

Sobald diese Dritten kompromittiert werden, können die erlangten Anmeldedaten wiederverwendet werden, um unberechtigten Zugang zu anderen Unternehmensdiensten wie E-Mail-Konten oder VPN-Servern zu erhalten, wobei Angriffstechniken wie Credential Stuffing oder Password Spraying zum Einsatz kommen.

Genau das war der Fall bei British Airways, die eine Rekord-GDPR-Strafe von 20 Millionen Pfund erhielten, nachdem die Daten von 400.000 Passagieren über ein VPN-Gateway, auf das ein kompromittiertes Konto zugriff, abgegriffen wurden.

Die meisten großen Unternehmen setzen Technologien zur Verhinderung von Datenlecks ein, sind aber nicht in der Lage, sich vor Passwortlecks und Kontoübernahmen zu schützen. Dies zeigt, dass ein neuer Ansatz erforderlich ist – eine Mischung aus technologischen Kontrollen und einer unmittelbaren Verbesserung des Benutzerbewusstseins, die eine neue Perspektive für den Schutz von Konten implementiert.

Licht in die Schatten-IT bringen

Scirge wurde mit einem einfachen und klaren Fokus auf die Lösung eines übersehenen Aspekts bestehender IT-Sicherheitsmechanismen entwickelt: das Erkennen und Schützen von Konten, die von Mitarbeitern in der Cloud erstellt wurden. Dazu gehört die Fähigkeit, alle neuen Registrierungen zu überwachen sowie Anmeldungen mit bestehenden Anmeldedaten bei Websites und Webanwendungen einzusehen.

Darüber hinaus geht es um zentral verwaltete Stärke- und Komplexitätsprüfungen für alle Passwörter sowie um die Warnung der Benutzer für eine ordnungsgemäße Verwaltung der Anmeldeinformationen.

Es können richtlinienbasierte Kontrollen erstellt werden, um die Verwendung bestimmter E-Mail-Adressen oder Websites zu blockieren. Scirge macht Benutzer sofort darauf aufmerksam, wenn sie Unternehmensanmeldeinformationen missbrauchen oder die Anforderungen an die Passwortkomplexität missachten.

[Blocked Image: https://thehackernews.com/images/-TBeGQNTg4rs/YDKcSYadANI/AAAAAAAA3n0/zNfOyl_pemQgXw_6w8uaJXFdEsxJSQAoQCLcBGAsYHQ/s0/software.jpg]

Die zentrale Intelligenz hilft, wiederverwendete Passwörter und kompromittierte Konten aufzudecken, indem sie jedes unternehmensbezogene Konto mit undichten Datenbanken und lokal verwendeten (Active Directory) Konten vergleicht. Scirge kann den sonst verborgenen Cloud-Fußabdruck von Unternehmen beleuchten und gleichzeitig den Benutzern Wissen über Passworthygiene, Unternehmensrichtlinien und unerwünschtes Verhalten bei der Verwendung von Unternehmenskonten vermitteln.

Scirge erreicht jedes dieser Ziele mit einem sauberen, browserbasierten Ansatz. Es besteht keine Notwendigkeit, den Netzwerkverkehr zu kontrollieren oder einzusehen, SSL zu entschlüsseln oder Clients mit vollwertigen Agenten zu belasten – eine häufige Quelle für Leistungseinbußen und Kompatibilitätsprobleme mit anderen Sicherheitstools.

Mit seinen einzigartigen Funktionen schafft Scirge Transparenz für alle von Mitarbeitern erstellten Konten und deckt Probleme mit der Passworthygiene auf. Die Bestandsaufnahme für alle Benutzer – einschließlich ausscheidender Mitarbeiter – ist sofort verfügbar und deckt unerwünschte gemeinsame Nutzung von Konten durch andere Benutzer sowie potenzielle Bedrohungen durch Insider auf, die Identitäten beim Zugriff auf Online-Ressourcen missbrauchen.

Das Dashboard zeigt dem IT-Management auch, welche Cloud-Apps am häufigsten ohne Zustimmung genutzt werden, und hilft dem Unternehmen bei der Einhaltung von Vorschriften durch die Erfassung von Datenschutzrichtlinien und AGBs aller Dienste.

Erfahren Sie hier mehr über Account Protection und Shadow IT Awareness oder melden Sie sich zu einem unserer Webinare an.

Haben Sie diesen Artikel interessant gefunden? Folgen Sie THN auf Facebook, Twitter und LinkedIn, um weitere exklusive Inhalte zu lesen, die wir veröffentlichen.

Einige Teile dieses Artikels stammen aus:
thehackernews.com