Hacker sind bekanntlich faul, auch wenn Sie vielleicht etwas anderes denken. Sie streben nach großen Gewinnen mit minimalem Aufwand. Das Geheimnis liegt in der Auswahl ihrer Ziele. Das Ransomware-as-a-Service-Modell (RaaS) ist ein klassisches Beispiel dafür, wie sie maximale Effizienz bei Cyberkriminalität erreichen. Supply-Chain-Angriffe wurden kurz darauf erfunden und verbreiteten sich so stark, dass sie weltweit Infrastrukturen lahmlegten. Sogar der ehemalige US-Präsident Joe Biden war überrascht und erließ schließlich eine Durchführungsverordnung an Regierungsstellen, in der er eine Reform der Cybersicherheitsstandards für Lieferketten im ganzen Land anordnete.
Aber genug davon. Was ist das Besondere an Angriffen auf die Lieferkette? Warum sind sie so gefährlich? Warum sollten Sie sich Sorgen machen? Wie lassen sich Angriffe auf die Lieferkette verhindern? Wenn Sie diese Fragen noch nicht beantworten können, lesen Sie weiter. Wir werden es Ihnen bald verraten. 
Was ist ein Supply-Chain-Angriff?
Ein Angriff auf die Lieferkette ist ein Cybersicherheitsangriff, der nach Schwachstellen in Ihrer Lieferkette sucht. Eine Lieferkette verbindet Technologien, Menschen, Ressourcen, Produkte, Nutzer und organisatorische Aktivitäten miteinander. Sie hält Ihr Unternehmen zusammen, und diese Komponenten sorgen dafür, dass Ihr Unternehmen funktioniert.
Wenn es zu plötzlichen Unterbrechungen bestehender Arbeitsabläufe kommt oder etwas Ihrem Unternehmen schadet, kann dies eine Bedrohung für die Lieferkette darstellen. Angriffe auf die Lieferkette suchen nach Schwachstellen in Ihrer Lieferkette und nach Möglichkeiten, die schwache Sicherheitsvorkehrungen von Anbietern auszunutzen. Anbieter arbeiten mit gemeinsam genutzten Daten. Wenn diese also kompromittiert werden, sind auch die Nutzer und alle mit ihnen verbundenen Personen betroffen.
Wenn Ihre Lieferkette wächst, erweitert sich auch Ihr Netzwerk. Wenn also ein Angriff erfolgt, entstehen mehrere Ziele, die kompromittiert werden können.
Wie funktionieren Angriffe auf die Lieferkette?
Angriffe auf die Lieferkette zielen darauf ab, vertrauensvolle Beziehungen zu zerstören. Anstatt direkt das Unternehmen selbst anzugreifen, nehmen sie Lieferanten und Anbieter ins Visier, mit denen eine Organisation zusammenarbeitet. Softwarebasierte Supply-Chain-Angriffe können bösartigen Code in die neuesten Bibliotheken, Updates und Komponenten einschleusen, um Sicherheitszertifikate und Entwicklungstools zu kompromittieren.
Hardwarebasierte Supply-Chain-Angriffe können Fertigungs- und Vertriebsprozesse stören, indem sie Malware einschleusen oder Komponenten ausspionieren. Einige Supply-Chain-Angriffe nutzen Schwachstellen wie Schwächen in Build-Pipelines, Zugriffstoken und fest codierten Geheimnissen aus. Sie können Berechtigungen eskalieren und versuchen, laterale Bewegungen über Netzwerke hinweg zu verursachen.
Der SolarWinds-Supply-Chain-Angriff ist ein klassisches Beispiel dafür, wie diese Bedrohungen funktionieren. Angreifer hatten sich Zugang zu den Build-Servern eines Unternehmens verschafft und eine Hintertür in dessen Updates eingeschleust. In einem anderen Fall hatten Angreifer einen Managed Service Provider kompromittiert und mehrere Unternehmen mit Ransomware infiziert.
Wie lassen sich Supply-Chain-Angriffe erkennen?
Supply-Chain-Angriffe lassen sich nicht mit nur einer Methode oder Technologie erkennen. Unternehmen müssen verschiedene Ansätze kombinieren und die neuesten KI-Techniken zur Erkennung von Bedrohungen einsetzen, um ihre Fähigkeit zur Erkennung und Abwehr dieser Art von Bedrohungen erfolgreich zu verbessern. Sie müssen kontinuierliche Überwachung, globale Bedrohungsinformationen und eine proaktive Sicherheitsstrategie einsetzen – allesamt wichtige Elemente zur Abwehr von Angriffen auf die Lieferkette.
Es ist von entscheidender Bedeutung, Echtzeit-Transparenz in Netzwerken zu erlangen, den Netzwerkverkehr kontinuierlich zu überwachen und den Sicherheitsteams die notwendigen Mittel zur Verfügung zu stellen, um umgehend auf diese Vorfälle und andere verdächtige Aktivitäten reagieren zu können.
Hier sind einige Möglichkeiten, wie Sie Angriffe auf die Lieferkette erkennen können:
Einige Angriffe können Schwachstellen im Abhängigkeitsmanagement ausnutzen. Angreifer können Pakete mit Namen registrieren, die mit internen Modulen identisch oder diesen ähnlich sind, jedoch höhere Versionsnummern aufweisen. Wenn Entwickler diese externen Pakete unwissentlich herunterladen, wird der bösartige Code in die Software eingeschleust. Selbst die routinemäßige Paketverwaltung kann eine Schwachstelle darstellen, wenn externe Repositorys nicht sorgfältig kontrolliert und überwacht werden.
Angreifer können private Schlüssel für die Codesignierung erlangen. Mit diesen Schlüsseln könnten sie bösartige Software digital signieren und sie so vertrauenswürdig erscheinen lassen. Dies untergräbt die Sicherheit, die herkömmliche Signaturzertifikate bieten. Vertrauensmechanismen wie Codesignaturzertifikate sind nur so sicher wie die Prozesse, die ihre privaten Schlüssel schützen.
Moderne Netzwerküberwachungs- und Reaktionssysteme (NDR) können Abweichungen vom normalen Verhalten überwachen. Maschinelle Lernmodelle können typische Datenflüsse in Ihrem Netzwerk erlernen. Plötzliche Änderungen – selbst wenn der Datenverkehr verschlüsselt ist – sollten Warnmeldungen auslösen. Sie können Hardware-Sicherheitsmodule (HSMs) oder ähnliche Lösungen zum Schutz privater Schlüssel verwenden. Darüber hinaus sollten Sie regelmäßige Sicherheitsüberprüfungen und Audits durchführen. Führen Sie Übungen durch, die Angriffe auf die Lieferkette simulieren, und stellen Sie sicher, dass Ihr Team schnell auf solche Vorfälle reagieren und sie erkennen kann.
Verbessern Sie Ihre Threat Intelligence
Erfahren Sie, wie der SentinelOne-Service WatchTower zur Bedrohungssuche mehr Erkenntnisse liefert und Ihnen hilft, Angriffe abzuwehren.
Mehr erfahrenBewährte Methoden zur Verhinderung von Angriffen auf die Lieferkette
Mit den folgenden Maßnahmen können Sie lernen, wie Sie Angriffe auf die Lieferkette verhindern können:
Beginnen Sie mit der Verwendung von Honey Tokens
Diese funktionieren wie Stolperdrähte und warnen Unternehmen vor verdächtigen Aktivitäten im Netzwerk. Honey Tokens sind gefälschte Ressourcen, die sensible Daten darstellen. Angreifer könnten sie für echte Ziele halten und mit ihnen interagieren. Wenn etwas passiert, löst der Honey Token Warnmeldungen über einen vermuteten Angriffsversuch aus. Er warnt Unternehmen vor Datenverletzungen und zeigt ihnen die Details dieser Angreifer und ihre Angriffsmethoden auf.
Sichere Verwaltung privilegierter Zugriffe
Cyberangreifer bewegen sich in der Regel lateral durch Netzwerke, nachdem sie privilegierten Zugriff auf ihre Konten erhalten haben. Sie versuchen, ihre Berechtigungen zu erweitern und Zugriff auf sensiblere Ressourcen zu erhalten. Dieser Angriffspfad wird auch als privilegierter Pfad bezeichnet. Es handelt sich um eine typische Angriffsstrategie. Sie können ein Framework für privilegierten Zugriff verwenden, um dieses Angriffsmuster zu unterbrechen und das Risiko weiterer Bedrohungen zu mindern. Dies kann dazu beitragen, sowohl Ihre internen als auch Ihre externen Abwehrmaßnahmen zu sichern. Wenden Sie detaillierte Zugriffskontrollrichtlinien an und überprüfen Sie den Anbieter, mit dem Sie zusammenarbeiten. Aktualisieren Sie das Inventar, die Asset-Management-Praktiken und -Richtlinien Ihres Unternehmens und führen Sie Sicherheitsupdates und -upgrades durch.
Schulen Sie Ihre Mitarbeiter
Die Mitarbeiter und Angestellten Ihres Unternehmens sind die Hauptziele, wenn es um Bedrohungen in der Lieferkette geht. Sie sollten wissen, wie bösartige Code-Injektionen funktionieren, und sich vor den neuesten Betrugs-E-Mails und Phishing-Versuchen in Acht nehmen. Angreifer senden ihnen E-Mails, die scheinbar von vertrauenswürdigen Kollegen stammen, und fordern sie auf, bösartigen Code zu aktivieren oder versuchen, interne Anmelde-IDs zu stehlen. Wenn die Mitarbeiter über gängige Angriffsmethoden, einschließlich Social-Engineering-Techniken, aufgeklärt sind, können sie diese Verstöße erfolgreich identifizieren und melden. Sie fallen nicht darauf herein und wissen genau, wie sie sich verhalten und mit diesen Bedrohungen umgehen müssen. Verwenden Sie eine Identity Access Management (IAM)-Lösung
Sie sollten alle internen Daten verschlüsseln und Standards wie den Advanced Encryption Standard-Algorithmus verwenden, um es Kriminellen zu erschweren, Hintertüren zu schaffen, um Daten während Supply-Chain-Angriffen zu exfiltrieren. Auch die Regierung der Vereinigten Staaten nutzt die AES-Verschlüsselungstechnik, um sich zu schützen. Sie sollten sich außerdem auf die Implementierung einer Zero-Trust-Architektur konzentrieren und davon ausgehen, dass alle Netzwerkaktivitäten standardmäßig bösartig sind. Vertrauen Sie niemandem, überprüfen Sie jeden. Jede Verbindungsanfrage muss eine Liste strenger Richtlinien durchlaufen. Und Ihre Richtlinien-Engine sollte entscheiden, ob der Netzwerkverkehr zugelassen werden soll. Sie sollte alle Regeln durchlaufen lassen, die der Vertrauensalgorithmus festlegt. Der Richtlinienadministrator ist dafür verantwortlich, seine Entscheidungen und Änderungen zu kommunizieren.
Ebenso wichtig ist es, von Natur aus von einer Sicherheitsverletzung auszugehen. In diesem Fall gehen Sie davon aus, dass eine Sicherheitsverletzung stattgefunden hat, und handeln entsprechend. Dies hilft Ihnen dabei, aktive Cyberabwehrstrategien für alle anfälligen Angriffsvektoren einzusetzen. Die drei Angriffsflächen mit dem höchsten Risiko einer Kompromittierung sind Prozesse, Menschen und Technologien. Eine gute Schulung zum Thema Cybersicherheit ist eine der Grundsäulen für den Schutz vor und die Bekämpfung von Angriffen auf die Lieferkette.
Beispiele für Angriffe auf die Lieferkette aus der Praxis
Hier sind einige Beispiele für Angriffe auf die Lieferkette aus der Praxis, aus denen Sie lernen können:
1. Datenpanne bei Target
Erinnern Sie sich an die amerikanische Supermarktkette Target? Bei einem Datenleck um das Jahr 2013 wurden die Kreditkartendaten von Kunden gestohlen. Auch wenn dies schon lange zurückliegt, wurde Target zu einem der weltweit bekanntesten Beispiele für Angriffe auf die Lieferkette.
Was ist passiert? Auf den Systemen von Target wurde Malware installiert.
Wie gelangte sie dorthin? Über ihren HLK-Lieferanten Fazio Mechanical Services.
Das Ergebnis? 18,5 Millionen Dollar an Vergleichszahlungen, Diebstahl von 40 Millionen Kredit- und Debitkartendaten und erheblicher Reputationsschaden.
2. Der Hack von CCleaner 2017
Hacker griffen direkt auf die Server zu und ersetzten die Originalsoftware durch bösartige Kopien. Der Code wurde an 2,3 Millionen Benutzer weitergegeben, die Datei-Updates heruntergeladen und installiert hatten. Sie wussten nichts davon und wurden schwer infiziert.
Was hätte man tun können? CCleaner hätte die Eskalation des Problems verhindern können, indem es einfach einen Patch-Fix veröffentlicht hätte, bevor dies geschah. Ein ähnlicher Vorfall ereignete sich mit der Ransomware WannaCry, bei der vor dem Angriff ein Patch veröffentlicht wurde, der jedoch nicht rechtzeitig auf alle Endbenutzer angewendet wurde.
Fazit
Angriffe auf die Lieferkette gehören zu den größten Sicherheitsbedrohungen, die Unternehmen nicht übersehen dürfen. Wenn Sie die in diesem Artikel beschriebenen Schritte befolgen – von der Bereitstellung von Honey Tokens und der Absicherung privilegierter Zugriffe bis hin zu Mitarbeiterschulungen und einer Zero-Trust-Architektur – können Sie Ihr Risiko für diese komplexen Angriffe minimieren.
Die Sicherheit der Lieferkette muss proaktiv sein, da Angreifer ständig neue Methoden entwickeln. Durch regelmäßige Überprüfung Ihrer gesamten Lieferkette auf Schwachstellen mit aktuellen Sicherheitskontrollen und neuen Sicherheitslösungen wie SentinelOne verhindern Sie, dass Ihr Unternehmen das nächste Opfer einer Schlagzeilen machenden Sicherheitsverletzung wird.
"FAQs
Supply-Chain-Angriffe können in unzähligen verschiedenen Formen auftreten. Bei softwarebasierten Angriffen wird bösartiger Code in legitime Updates oder Software eingeschleust. Hardwarebasierte Angriffe nutzen Schwachstellen in der Hardware während der Produktion aus. Angriffe durch Dritte zielen auf Anbieter ab, die Zugriff auf Ihre Systeme haben. Bei Code-Signing-Angriffen werden gefälschte digitale Signaturen verwendet, um Malware als legitim erscheinen zu lassen. Jeder dieser Angriffe nutzt unterschiedliche Schwachstellen in Ihrer Lieferkette aus und erfordert unterschiedliche Sicherheitsmaßnahmen, um sie zu beheben.
Angreifer suchen nach der schwächsten Stelle in Ihrer Lieferkette, oft sind dies kleinere Lieferanten, die weniger sicher sind. Sie greifen diese Lieferanten an und nutzen dann deren legitimen Zugang, um an ihre primären Ziele zu gelangen. Sie können Software-Updates stören, Hintertüren in Entwicklungsumgebungen einbauen oder Zugangsdaten von Drittanbietern stehlen. Sobald sie drinnen sind, beginnen sie, sich lateral zu bewegen, ihre Berechtigungen auf die Ebene wertvoller Vermögenswerte zu erhöhen oder Ransomware einzusetzen.
Überwachen Sie den Netzwerkverkehr auf verdächtige Muster. Implementieren Sie Verhaltensanalysen, um verdächtige Muster im Vergleich zu typischen Vorgängen zu erkennen. Überprüfen Sie regelmäßig die Sicherheitsprozesse Ihrer Lieferanten und integrieren Sie explizite Sicherheitsanforderungen. Implementieren Sie fortschrittliche Endpunkt-Erkennungssoftware in Ihrem Netzwerk. Verwenden Sie künstliche Intelligenzsysteme, um in Echtzeit nach potenziellen Bedrohungen zu suchen. Überprüfen Sie die Integrität von Software-Updates vor der Installation. Richten Sie ein Security Operations Center mit 24/7-Überwachung ein.
Isolieren Sie kompromittierte Systeme sofort, um eine seitliche Ausbreitung zu verhindern. Aktivieren Sie Ihr Incident-Response-Team, um das Ausmaß der Verletzung zu ermitteln. Identifizieren Sie den Angriffsvektor und die betroffene Komponente der Lieferkette. Benachrichtigen Sie betroffene Lieferanten und Kunden gemäß den gesetzlichen Bestimmungen. Bewahren Sie forensische Beweise für die Analyse auf. Ergreifen Sie Gegenmaßnahmen, um ähnliche Angriffe zu verhindern. Stellen Sie die Systeme aus bekannten sauberen Backups wieder her. Aktualisieren und passen Sie die Sicherheitsrichtlinien auf der Grundlage der gewonnenen Erkenntnisse an.
Isolieren Sie zunächst die betroffenen Systeme, um die Sicherheitsverletzung einzudämmen. Lokalisieren Sie die Schwachstelle in Ihrer Lieferkette. Arbeiten Sie mit Sicherheitsexperten zusammen, um den bösartigen Code zu entfernen. Benachrichtigen Sie die Beteiligten gemäß den Compliance-Anforderungen. Stellen Sie die Systeme anhand sauberer Backups wieder online. Dokumentieren Sie den Vorfall detailliert. Führen Sie strengere Überprüfungsverfahren für Lieferanten ein. Erwägen Sie die Einführung von Sicherheitsbewertungen für Lieferanten. Überprüfen Sie Verträge, um strengere Sicherheitsanforderungen hinzuzufügen.
Angriffe auf die Lieferkette nutzen Vertrauensbeziehungen zwischen den Parteien aus und sind schwer zu entdecken. Sie können durch einen einzigen Verstoß Tausende von Unternehmen beeinträchtigen. Sie umgehen normale Sicherheitskontrollen, indem sie über vertrauenswürdige Kanäle eindringen. Sie haben eine hohe Verweildauer, bevor sie entdeckt werden. Die Komplexität der heutigen Lieferketten bietet Angreifern viele potenzielle Angriffspunkte. Mit einem einzigen erfolgreichen Angriff können Angreifer auf mehrere Opfer zugreifen und so mit minimalem Aufwand maximalen Schaden anrichten.