| 10.10.2022 | Prof. Dr. Bernd Ruhland
Cyber Security
Akteure, Maßnahmen, Tendenzen
Prof. Dr. Bernd Ruhland
Fachbereich Informatik
Hochschule Worms
Dieser Vortrag wurde von diesem PDF in eine revealjs Präsentation übertragen. Blame: Michael Wegener
lange her, aktuell wie nie
Insel Ré, französische Atlantikküste
Kirche der Stadt Ars-en-Ré
Geschwärzte Kirchturmspitze gegen Irritation durch reflektiertes Leuchtturmlicht, falsche Feuer am Strand von Piraten führten die Schiffe auf Grund
„Fake Information“, zur Sabotage, schon im Mittelalter
Vorwort
- manche von Ihnen werden Manches von dem was ich vorstelle schon kennen
- ich versuche es zu neuen Perspektiven zu verbinden
als mit der Wahrsagekugel
IT-Manipulationen 1/2
Geflecht aus vielfältigen Abhängigkeiten
- jede für sich IT-gelenkt
- Zusammenspiel ebenfalls IT-gelenkt
- sensibel für Schwachstellen/Flaschenhälse (Beispiel Suez-Kanal oder DB-Tunnelbaustelle Rastatt für Logistik-Eskalationen)
- anderes überraschendes Beispiel: Stau in Moskau durch Massenbestellung von Taxis
IT-Manipulationen 2/2
- noch eines: Fahrrad-App lässt Stadtverkehr in Tilburg in NL lenken
- ganz aktuell: Sabotage des Zugbahnfunks der DB durch Kabelschädigung
⇒ zeigt die Verwundbarkeit auch an unerwarteten Stellen (Weitblick gefragt)
Crime-as-a-Service 1/2
Was ist das, wie weit geht das?
- Beispiel DDoS
- Ransomware / Verschlüsselungstrojaner / „Wiper“
- Identitätsdiebstahl, bis hin zum CEO Fraud
- professionelle „Verbrechens-Industrie“: Dienstleistungsgewerbe mit Service-Hotline, Rund-um-sorglos-Service, Geld-zurück-Garantie usw.
- ganz öffentlich für den Anfang: crimemarket[DOT]is
Crime-as-a-Service 2/2
- 2019: ca. 312000 neue Malware-Varianten pro Tag! BSI-Statistik
- komplex und flexibel
- Beispiel Emotet (Stufe1, Infektion System) mit Trickbot (Stufe2, Ermittlung Infos, Schaffung Zugänge) und mit Ryuk (Stufe3, konkreter Angriff „lohnender“ Opfer); bis zu 300 C&C-Server parallel in Betrieb (in D)
unscharfe Grenzen der Akteure 1/6
staatlich gelenkte Angriffe: Beweggründe, Ziele, Abläufe politisch indiziert
- ab wann ist das Cyberwar? Krieg ohne Kriegserklärung? Sabotage statt Bomben?
- neueres Beispiel USA / China
unscharfe Grenzen der Akteure 2/6
-
- auch zur Geldbeschaffung, wie ESET vermutet.
- öffentlicher Disput, z.B. Tagesschau
- CyberCrime-Gruppen und vermuteter staatlicher Zusammenhang, CW im Mai 2021
unscharfe Grenzen der Akteure 3/6
- Lazarus-Gruppe (Hidden Cobra, Guardians of Peace, APT38, Whois Team, Zinc), z.B. Wannacry: Nordkorea?
- UNC2452 (Dark Halo, Nobelium, SilverFish, StellarParticle), z.B. Solarwinds: Russland?
- Cozy Bear (APT29), Fancy Bear, Turla, Snake, Uroboros: alle Russland? (Supply Chain)
- Spiral: China?
unscharfe Grenzen der Akteure 4/6
- Equation Group (EQGRP, Housfly, Remsec): NSA, USA?
- Buckeye (Gothic Panda, APT3, UPS Team): chinesische Cyberspione? (nutzen Exploits der EQGPR !)
- Zirconium (APT31): China? (nutzen ebenfalls Exploits der EQGPR !)
- Carbanak (Anunak, Cobalt, FIN): Ukraine?
- Sandworm, z.B. NotPetya: GRU, Russland?
unscharfe Grenzen der Akteure 5/6
- Evil Corp (Indrik Spider): Russland? (betreiben ein „Franchise“-Modell)
- Wizard Spider: Russland? (greift Gesundheitsorganisationen an)
- LuckyMouse (Emissary Panda, Iron, Tiger, APT27): China?
- Winnti (Barium, Double Dragon, Wicked Panda, APT41, Lead, Bronze Atlas): China?
- REvil (Sodinokibi, Pinchy Spider): Land unklar? (hohe Lösegelder, nur kommerziell?)
unscharfe Grenzen der Akteure 6/6
⇒ was ist mit Israel, Indien, Großbritannien uvm.?
Sabotage 1/2
Zweck und Ziele der Sabotage:
- Erfüllen von Leistungen unterbinden (Ausfälle)
- oder physische Zerstörungen erreichen Mechanismen, Beispiele:
- Manipulation GPS am 24.02.2022, Flugzeuge mussten auf Bodenfeuerzurückgreifen
- Geofencing Attacken, nicht sichtbare Grenzen tun sich auf
Sabotage 2/2
- Missbrauch des el. Diebstahlschutzes zum Stilllegen von Fahrzeugen, analog zum Einbruch in Traktoren
- kritische Infrastruktur (SCADA-Systeme als Einstiegsbeispiele, sieht Golem)
- Standardpasswörter als krasses Versagen
- oder über das Infotainment (in diesem Beispiel noch versehentlich)
Internet of Things, alles wird smart
IoT-Geräte als Einbruchsportal ins Firmennetz (Kameras, Drucker usw.)
- es gibt tausende Meldungen über miserabel geschützte IoT-Geräte
- ganz besonders im „Smart Home“ (Beispiel smarte Türschlösser)
- hier ist das einzige wirklich sichere Smart Home Gerät:
Internet of Things, was noch
- Banden, die defekte SmartHome-Leuchtmittel einsammeln
- und autonome Staubsauger um an den Lageplan der Immobilie zu kommen
⇒ Unbedingt sicher entsorgen bei der Verschrottung, analog Speichermedien
Künstliche Intelligenz
Wie spielen Künstliche Intelligenz / Machine Learning / Deep Learning hier mit rein?
- Entscheidungen werden von Maschinen getroffen
- nicht immer nachvollziehbar („Black Box Phänomen“)
- fortschreitende Perfektionierung macht Fehler schwerer erkennbar
Künstliche Intelligenz Fragen
- welche Merkmale und Korrelationen wurden herangezogen
- wie sehen die „Algorithmen“ aus?
Künstliche Intelligenz Beispiele
- Strafzettel für‘s Kopfkratzen in China
Quantencomputer (Exkurs)
Sind Verschlüsselungstechniken noch sicher wenn Quantencomputer kommen?
- Suche nach „quantenresistenten“ Algorithmen
- Vorbereitungen für „quantensichere“ Verfahren laufen, haben aber Rückschläge
- Perspektive: (Un-)Gleichgewichte / Wettläufe
- gilt auch für Blockchain-Ansätze (bei der Erstellung, wie beim Angriff)
⇒ Bedeutung für IT-Security stand heute noch schwer einzuschätzen
Cryptowährungen (Exkurs)
können in die Betrachtung mit reinspielen:
-
- oder indirekt über die bekannten CyberCrime-Mechanismen
- provozierte Kursschwankungen
- Verschleierung von Geldtransaktionen
⇒ eher eigenes Thema, aber im Blick behalten
… immer wieder gern genommen
gehört auch noch in den Themenkreis:
gezielter Missbrauch der DSGVO- zum Aufbauschen (wieviele Klicks hätten‘s denn gern?)
- oder Vortäuschen von Bequemlichkeitsverlusten („nein“ jedesmal neu bestätigen, „ja“ nur einmalig)
- ⇒ greift „Schwachpunkt Mensch“ auf
IT-Security: eigene Maßnahmen
eigene Maßnahmen:
- Redundanzen, Redundanzen, Redundanzen ( Fallbacks)
- die Menschen schulen (Einfallspunkt 1, gerne unterschätzt)
- Anomalieerkennung
- Simulation von Angriffen
IT-Security: Bewusstseinsfindung
„wer sein Fahrrad vor dem Bäckerladen nicht abschließt, hat am Ende als einziges mit zwei Rädern und einer Stange die eben gekaufte Brezel“
⇒ IT-Security ist nicht der Luxus, den man sich gönnt „wenn es passt“
digitale Souveränität: „Zero Trust“ 1/2
Abhängigkeiten von Monopolisten vermeiden (Beispiel Microsoft Windows / Office)
- um die eigenen Dateien nicht aus der Hand zu geben
- um Massen-Exploits zu umgehen
- aber auch Linux-Internet-Server werden zunehmend attackiert. CW: Eine zentrale Rolle spielt die „Zero-Trust-Security“
digitale Souveränität: „Zero Trust“ 2/2
- Konzept des europäischen IT-Security-Herstellers ESET
- mehrstufiges Reifegradmodell, Teilziele erreichbar und messbar
- für Organisationen jeder Art und Größe, von Kommunen über kleine und mittlere Unternehmen bis zum Großkonzernen
- TeleTrusT-Verband / Bundesinnenministerium
EU-Kommission möchte mit dem "Cyber Resilience Act" Hersteller über den ganzen Lebenszyklus der Produkte zu IT-Sicherheit verpflichten
externe Maßnahmen / Organisationen
Staatliche Instrumente und Forschungsinstitutionen
- Eurojust/Europol (wo ziehen Staaten am selben Strang, wo nicht?)
- Behördenergänzung, Beispiel Cyberbunker Traben-Trarbach 26.09.2019: Presseportal, Spiegel
- internationale Zusammenarbeit, Beispiel: „operation ladybird“ gegen Emotet
externe Maßnahmen / Trojaner
externe Maßnahmen / privatwirtschaftlich
oder mehr oder weniger ehrenamtlich:
- „friendly hackers“ / „white hat hackers“ / „Hacktivisten“ (Aktivisten, Fachjournalisten)
- z.B. CCC, Anonymous, 4chan (Occupy, Scientologen, Kinderpornografie)
Grenzbereiche „reloaded“
Hackbacks: unkontrollierte Selbstjustiz? als Lösung?
- Beispiel des Knackens eines Microsoft Help Fake Callcenters durch einen ITSecurity-Forscher im März 2020
- ab wann staatlich gelenkt oder akzeptiert? was sagt das über die Rechtsstaatlichkeit solcher Staaten aus? Beispiel: Lockbit vs. Entrust (23.08.2022)
Nachschlag: politische Randaspekte 1/2
Datenhoheits-Diskussion (Data Ownership), z.B. bei Bewegungsdaten von Frachteinheiten oder Fahrzeugen wem gehören sie?:
- den bezahlenden Kunden?
- den dienstleistenden Logistikern?
- Fahrzeugherstellern? Navigationsdienstleistern? zentralen kommerziellen oder staatlichen Datensammlungen?
- wer kann sie wofür nutzen oder missbrauchen (s.o.)?
Nachschlag: politische Randaspekte 2/2
So lange sich die Gesellschaften/Staaten von Google, Meta & Co. an der Naseherumführen lassen, wird es keine Klarheit geben ⇒ Handlungsbedarf!
Fragen / Anregungen / Diskussion?
(Schlussbild aus einem französischen Stummfilm)