Was sind Kompromittierungsindikatoren (IoCs)?

In den meisten Organisationen gibt es konsistente Muster für Netzwerkdatenverkehr, der in die digitale Umgebung ein- und ausgeht. Wenn sich dies ändert, z. B. wenn deutlich mehr Daten das Unternehmen verlassen oder wenn Aktivitäten von einem ungewöhnlichen Ort im Netzwerk ausgehen, kann dies ein Zeichen für einen Angriff sein.

Ähnlich wie beim Netzwerkdatenverkehr sind die Arbeitsgewohnheiten der Menschen vorhersagbar. Sie melden sich in der Regel von den gleichen Standorten und ungefähr zu den gleichen Zeiten während der Woche an. Sicherheitsexperten können ein kompromittiertes Konto erkennen, indem sie auf Anmeldungen zu ungewöhnlichen Tageszeiten oder von ungewöhnlichen Orten aus achten, z. B. von einem Land aus, in dem ein Unternehmen keine Niederlassung hat. Es ist auch wichtig, mehrere fehlgeschlagene Anmeldungen aus demselben Konto zu notieren. Obwohl Benutzer in regelmäßigen Abständen ihre Kennwörter vergessen oder Probleme beim Anmelden haben, können sie diese in der Regel nach einigen Versuchen beheben. Wiederholte fehlgeschlagene Anmeldeversuche können darauf hinweisen, dass jemand versucht, mit einem gestohlenen Konto auf die Organisation zuzugreifen.

Viele Angreifer, egal ob es sich um interne oder externe Personen handelt, sind daran interessiert, auf administrative Konten zuzugreifen und sensible Daten zu erlangen. Ungewöhnliches Verhalten im Zusammenhang mit diesen Konten, wie z. B. der Versuch einer Person, ihre Privilegien zu erweitern, kann ein Anzeichen für einen Verstoß sein.

Schadsoftware ist oft so programmiert, dass sie Änderungen an der Systemkonfiguration vornimmt, z. B. die Aktivierung des Fernzugriffs oder die Deaktivierung von Sicherheitssoftware. Durch die Überwachung dieser unerwarteten Konfigurationsänderungen können Sicherheitsexperten einen Verstoß erkennen, bevor zu viel Schaden entstanden ist.

Viele Angriffe beginnen mit der Installation von Software, z. B. Schadsoftware oder Ransomware, die darauf ausgelegt ist, den Zugriff auf Dateien zu verhindern oder Angreifern Zugriff auf das Netzwerk zu gewähren. Durch die Überwachung ungeplanter Softwareinstallationen und -aktualisierungen können Unternehmen diese IoCs schnell erkennen.

Mehrere Anforderungen für eine einzelne Datei können darauf hindeuten, dass ein ungültiger Akteur versucht, sie zu stehlen, und hat mehrere Methoden versucht, darauf zuzugreifen.

Einige böswillige Akteure verwenden eine Angriffsmethode namens „Command and Control“. Sie installieren Schadsoftware auf dem Server einer Organisation, die eine Verbindung mit einem Server herstellt, den sie besitzen. Sie senden dann Befehle von ihrem Server an den infizierten Computer, um Daten zu stehlen oder den Betrieb zu stören. Ungewöhnliche DNS-Anforderungen (Domain Name Systems) helfen der IT, diese Angriffe zu erkennen.