Bending the Curve: Operational Cyber Epidemiology for Ransomware
Dieses Paper schlägt ein operationales Cyber-Epidemiologie-Framework vor, das das SEIR-Modell an das Management von Ransomware-Vorfällen anpasst und eine gemeinsame Sprache sowie Echtzeit-Metriken wie Reproduktionszahlen bereitstellt, um Eindämmungsentscheidungen zu leiten und die Ausbreitungsdynamik über diverse Vorfälle hinweg zu reduzieren.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich eine Welt vor, in der Computerviren nicht einfach nur still auf einer Festplatte liegen und darauf warten, von einem Scanner gefunden zu werden. Stellen Sie sich stattdessen vor, sie würden sich wie ein heimlicher Gripevirus in einer überfüllten Schule verhalten. Ein Schüler steckt sich an, niest im Flur, und plötzlich hustet das ganze Mensa-Personal. In der realen Welt der Cybersicherheit funktioniert Ransomware oft genau so. Sie trifft nicht nur einen Computer; sie springt von Maschine zu Maschine und nutzt gestohlene Passwörter und gemeinsam genutzte Tools, um sich schneller auszubrehen, als man sie aufhalten kann. Lange Zeit versuchten Sicherheitsteams, diese Angriffe wie ein einfaches „Erkennen und Löschen“-Spiel zu behandeln, bei dem man nach dem Bösewicht sucht und ihn rauswirft. Aber die Autoren dieses Papers schlagen vor, dass dieser Ansatz so ist, als würde man versuchen, einen Grippeausbruch zu stoppen, indem man nur die Person behandelt, die zuerst geniest hat, während man ignoriert, dass das Virus bereits durch die Lüftungsschächte verbreitet wird.
Um die Lösung zu verstehen, benötigen wir drei einfache Ideen aus der Welt der öffentlichen Gesundheit. Erstens gibt es die „Inkubationszeit“, die Zeit zwischen dem Einfangen eines Keims und dem eigentlichen Ausbruch von Symptomen oder der Weitergabe an andere. In Computern ist dies die „Dwell Time“ (Verweildauer), in der Hacker bereits im System sind und im Stillen ihre Werkzeuge vorbereiten, bevor sie Chaos anrichten. Zweitens gibt sich es die „Reproduktionszahl“, eine schicke Art zu fragen: „Wenn ein infiziertes Objekt andere berührt, wie viele Neuinfektionen verursacht es?“ Wenn die Antwort mehr als eins ist, wächst das Problem; wenn sie weniger als eins ist, stirbt das Problem aus. Schließlich gibt es die Idee der „Herdenimmunität“, bei der genügend Menschen geschützt sind (oder in diesem Fall genügend Computer gepatcht und isoliert sind), sodass das Virus keinen neuen Wirt finden kann, zu dem es springen kann. Das Paper stellt eine große Frage: Können wir diese altmodischen Gesundheitstools nutzen, um moderne Computerkatastrophen zu bewältigen?
Die Autoren, angeführt von Stephen V. Flowerday und Kollegen, schlagen einen neuen Weg vor, um gegen Ransomware vorzugehen, die „Operational Cyber Epidemiology“ (Operationale Cyber-Epidemiologie). Sie schlagen vor, dass Sicherheitsteams, anstatt nur nach Malware zu suchen, wie Detektive für Krankheitsausbrüche handeln sollten. Sie führen ein Framework ein, das die Ausbreitung eines Cyberangriffs auf ein klassisches Gesundheitsmodell namens SEIR (Susceptible, Exposed, Infectious, Removed – Anfällig, Exponiert, Infektiös, Entfernt) abbildet. In dieser digitalen Version ist ein Computer „Anfällig“ (Susceptible), wenn er verwundbar ist, „Exponiert“ (Exposed), wenn Hacker eingeschlichen sind, aber noch nicht mit der Verbreitung begonnen haben, „Infektiös“ (Infectious), wenn er aktiv zu anderen Maschinen springt, und „Entfernt“ (Removed), wenn er isoliert und bereinigt wurde.
Die Hauptfindung des Papers ist, dass Sicherheitsteams durch das Verfolgen dieser Stadien klügere und schnellere Entscheidungen treffen können. Sie argumentieren, dass der kritischste Moment nicht der Beginn der Verschlüsselung ist, sondern die „Exponierte“ Phase, in der die Hacker noch im Verborgenen agieren. Die Autoren schlagen vor, einen einfachen mathematischen Trick anzuwenden, um zu sehen, ob der Angriff gewinnt oder verliert. Sie berechnen eine Zahl namens „effektive Reproduktionszahl“ (Re). Wenn diese Zahl über 1 liegt, wächst der Angriff und das Team muss panisch reagt und mehr Systeme isoliert. Wenn die Zahl unter 1 fällt, verlangsamt sich der Angriff und man kann sich auf die Bereinigung konzentrieren. Das Paper zeigt, dass Teams das Netzwerk als eine Population von Menschen statt als eine Liste von Geräten behandeln können, um die „Kurve“ der Infektionen daran zu hindern, nach oben zu biegen.
Die Autoren sind jedoch vorsichtig, kein Wunderheilmittel versprechen zu wollen. Sie schließen explizit die Idee aus, dass dies eine perfekte, präzise Wissenschaft für jeden einzelnen Computer sei. Sie geben zu, dass echte Computernetzwerke chaotisch und kompliziert sind, wobei einige Maschinen als „Super-Spreader“ fungieren (wie ein beliebter Schüler, der mit jedem spricht), während andere nur Zuschauer sind. Die Mathematik, die sie verwenden, ist ein „Faustpfahl“ oder ein grober Leitfaden, der Führungskräften helfen soll zu entscheiden, wann sie die Notbremse ziehen sollen, und kein Kristallball, der die Zukunft mit 100-prozentiger Genauigkeit vorhersagt. Sie stellen auch klar, dass diese Methode am besten für Angriffe funktioniert, die tatsächlich von Maschine zu Maschine springen; wenn ein Hacker lediglich Daten stiehlt, ohne sich zu verbreiten, greift die „Reproduktionszahl“ nicht wirklich.
Das Paper nutzt reale Beispiele, um seinen Punkt zu beweisen, indem es berühmte Angriffe wie WannaCry, NotPetya und den SolarWinds-Einbruch betrachtet. Es zeigt, wie WannaCry wie ein Lauffeuer verbreitet wurde, weil es von selbst springen konnte, während NotPetya einen „Supply-Chain“-Trick nutzte, indem es sich über ein vertrauenswürdiges Software-Update verbreitete. Durch die Anwendung ihrer neuen „epidemiologischen“ Brille zeigen sie, dass verschiedene Arten von Angriffen unterschiedliche Heilmittel benötigen. Für die schnell verbreitenden Angriffe muss man Löcher schnell schließen. Für diejenigen, die über vertrauenswürdige Konten verbreitet werden, muss man kontrollieren, wer die Schlüssel besitzt.
Letztendlich legt das Paper nahe, dass der beste Weg, eine Ransomware-Krise zu bewältigen, darin besteht, aufzuhören zu raten und anzfangen zu messen. Es bietet eine Checkliste der „Essentiellen Informationselemente“ – einfache Dinge wie wie viele neue Computer pro Stunde infiziert werden oder wie viele neue Netzwerksegmente betroffen sind. Wenn diese Zahlen steigen, weiß das Team, dass es sofort mehr Bereiche isolieren muss. Wenn sie sinken, weiß das Team, dass seine Eindämmung funktioniert. Die Autoren glauben, dass durch die Verwendung einer gemeinsamen Sprache der „Ausbrüche“ statt nur von „Bugs“ Sicherheitsteams, Chefs und sogar nicht-technische Führungskräfte die Situation besser verstehen und schnellere, lebensrettende Entscheidungen für die Organisation treffen können. Es geht nicht darum, jeden einzelnen Einbruch zu verhindern, sondern darum sicherzustellen, dass ein einzelner Vorfall nicht zu einer totalen Katastrophe wird.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.