Meta-Analysis of Incident Response Failures Due to Telemetry Misconfigurations in SME Networks

Stellen Sie sich das Internet als eine riesige, belebte Stadt vor, in der Datenpakete wie Autos umherrasen und Sicherheitswächter (genannt „Security Operations Centers“ oder SOCs) ständig den Verkehr beobachten, um die Bösewichte zu stoppen. Aber hier ist der Haken: Diese Wächter können ihren Job nicht machen, wenn ihre Werkzeuge kaputt sind. Sie brauchen drei spezifische Dinge, damit sie richtig funktionieren: einen Weg zu wissen, wer fährt (Identität), eine perfekt synchronisierte Uhr, um zu wissen, wann Dinge passiert sind (Zeit), und ein Notizbuch, um jede einzelne Bewegung aufzuschreiben (Protokolle/Logs). Wenn die Uhr falsch geht, können die Wächter nicht feststellen, was zuerst geschah. Wenn sie nicht wissen, wer fährt, können sie nicht die richtige Person festnehmen. Und wenn das Notizbuch leer ist, wissen sie nicht einmal, dass ein Unfall passiert ist. Dieses Papier untersucht, was passiert, wenn diese drei Werkzeuge in kleinen und mittleren Unternehmen durcheinandergeraten, und wie eine „Übungsstadt“ (eine Computersimulation) helfen kann, das Problem zu lösen, bevor eine echte Katastrophe eintritt.

Das Paper: Was passiert, wenn die Werkzeuge des Sicherheitswächters kaputtgehen?

Dieser Forschungsartikel, geschrieben von Dr. Kazi Abdul Mannan und Nusrat Jahan Mim, befasst sich mit einem beängstigenden, aber häufigen Problem: Was passiert, wenn die grundlegenden Werkzeuge, die ein Sicherheitsteam zum Erraten von Hackern nutzt, versagen? Die Autoren untersuchten eine Reihe bestehender Studien und führten ihre eigenen Experimente mit einem beliebten Computerprogramm namens Cisco Packet Tracer durch. Denken Sie bei diesem Programm an ein superfortgeschrittenes Videospiel, in dem man ein fiktives Büronetzwerk mit vier Etagen, verschiedenen Abteilungen und Servern aufbauen kann, ohne einen einzigen echten Computer oder ein einziges Kabel kaufen zu müssen.

Die Forscher richteten zwei Versionen dieses fiktiven Büros ein. Die erste Version war der „Gute Zustand“ (Good State), in dem alles perfekt funktionierte: Die Uhren waren synchronisiert, die Ausweise wurden überprüft und die Notizbücher waren voll. Die zweite Version war der „Chaos-Zustand“ (Chaos State), in dem sie die drei wichtigsten Werkzeuge nacheinander absichtlich manipulierten, um zu sehen, wie das Sicherheitsteam scheitert.

Hier ist das, was sie fanden, als sie die Werkzeuge defekt machten:

1. Die kaputte Uhr (NTP-Fehler)
Als die Uhren im Netzwerk aufhörten, miteinander übereinzustimmen, verlor das Sicherheitsteam die Fähigkeit, die Zeit zu bestimmen. In der realen Welt ist die Reihenfolge wichtig – wenn ein Hacker um 14:00 Uhr einbricht und eine Firewall ihn um 14:05 Uhr blockiert. Aber im „Chaos-Zustand“ waren die Uhren völlig durcheinander. Das Ergebnis? Das Sicherheitsteam konnte die Geschichte des Angriffs nicht rekonstruieren. Es war wie der Versuch, ein Mysterium zu lösen, bei dem der Zeuge sagt, das Verbrechen geschah gestern, aber der Verdächtige sagt, es geschah nächste Woche. Das Paper nennt dies „Forensisches Versagen“ (Forensic Failure), was bedeutet, dass das Team die Tat nicht analysieren oder sich angemessen erholen konnte, weil die Zeitlinie ein Chaos war.

2. Der fehlende Ausweis (AAA-Fehler)
Das zweite Werkzeug, das sie manipulierten, war das System, das prüft, wer man ist (Authentifizierung, Autorisierung und Abrechnung, oder AAA). In dem fiktiven Büro schalteten sie das System aus, das die Ausweise überprüft. Plötzlich konnte jeder in den Serverraum laufen, und die Sicherheitswächter wüssten nicht, wer es war. Das Paper fand heraus, dass das Sicherheitsteam ohne dies die „Nicht-Abstreitbarkeit“ (Non-Repudiation) verlor. Das ist ein schicker Begriff für: „Du kannst nicht leugnen, dass du es warst!“ Wenn ein böswilliger Akteur eine Einstellung ändert und das System nicht aufzeichnet, wer sie geändert hat, kann der böswillige Akteur einfach sagen: „Das war ich nicht!“ Das Sicherheitsteam war machtlos, niemanden zur Rechenschaft ziehen zu können, was es unmöglich machte, die Bedrohung einzudämmen oder herauszufinden, wer verantwortlich war.

3. Das leere Notizbuch (Syslog-Fehler)
Das dritte Werkzeug war das Protokollierungssystem (Syslog), welches im Grunde das Notizbuch des Sicherheitsteams ist, das jedes Ereignis aufzeichnet. Im „Chaos-Zustand“ stoppten sie die Füllung der Notizbücher. Das Ergebnis war „Totale Sichtbarkeitsblindheit“ (Total Visibility Blindness). Selbst wenn die Uhren perfekt und die Ausweise funktionsfähig waren, war das Sicherheitsteam völlig blind. Sie konnten den Hacker nicht kommen sehen, sie konnten ihn nicht gehen sehen und sie konnten nicht sehen, wie er Dinge änderte. Es ist wie ein Sicherheitswächter, der in einem pechschwarzen Raum ohne Licht steht; egal wie gut sein Training ist, er kann nichts sehen, um etwas zu stoppen.

Die große Lektion: Nicht vertrauen, sondern prüfen!

Die wichtigste Erkenntnis dieses Papers ist, dass man nicht einfach davon ausgehen kann, dass die Sicherheitstools funktionieren. Die Autoren argumentieren, dass viele kleine Unternehmen diese drei Werkzeuge (Zeit, ID und Protokolle) so behandeln, als wären sie „magisch“ und würden immer funktionieren. Aber dieses Paper zeigt, dass das gesamte Sicherheitssystem zusammenbrechen kann, wenn man sie nicht überprüft, wenn man sie am dringendsten braucht.

Um dies zu beheben, schlägt das Paper die Verwendung eines „Virtuellen Sandkastens“ (Virtual Sandbox) vor. Dies ist nur ein schicker Begriff für eine sichere, künstliche Umgebung (wie den verwendeten Cisco Packet Tracer), in der man absichtlich Dinge kaputt macht, um zu sehen, was passiert. Man kann die Uhren ausschalten oder das ID-System löschen, in der Simulation beobachten, wie das Sicherheitsteam scheitert, und dann das Problem beheben, bevor man es jemals im echten, lebenden Büro tut.

Die Autoren kommen zu dem Schluss, dass Investitionen in teure, hochtechnologische Sicherheitssoftware reine Geldverschwendung sind, wenn das grundlegende Fundament (die Uhren, IDs und Protokolle) kaputt ist. Durch die Nutzung dieser sicheren, virtuellen Übungsstädte können Unternehmen sicherstellen, dass ihr Fundament stabil ist und sie sicherstellen, dass das Sicherheitsteam tatsächlich über die Werkzeuge verfügt, die es braucht, um einen echten Hacker zu fangen, wenn dieser auftaucht.