Cyberangriffe werden immer ausgefeilter und umfangreicher. Die Grenzen zwischen der digitalen und der physischen Welt verschwimmen immer mehr. Ausländische Cyberangreifer haben zerstörerische Malware eingesetzt, um Daten von Festplatten zu löschen, und haben versucht, in industrielle Systeme einzudringen. In Anbetracht der jüngsten politischen Ereignisse und verbalen Drohungen könnten sie in Zukunft ähnlich schädliche Aktionen durchführen.
Jeder, der für die Cyber-Bereitschaft eines Unternehmens verantwortlich ist, nimmt derzeit eine wichtige Position ein. Das Sprichwort „Der beste Angriff ist die beste Verteidigung“ trifft hier nicht zu. In diesem Fall ist die beste Verteidigung eine gute Verteidigung.
In der Praxis müssen Sie sowohl einen Plan incident response IR) als auch einen Plan zur Aufrechterhaltung des Geschäftsbetriebs (BCP) bereitstellen und testen. Es reicht nicht aus, Risiken lediglich zu identifizieren – und zu versuchen, sich mit Methoden wie der Multi-Faktor-Authentifizierung davor zu schützen sowie sie mit Virenscannern und SIEM-Systemen zu erkennen –, sondern Sie müssen auch darauf reagieren. Sie müssen den gesamten Prozess durchlaufen und im Voraus darüber nachdenken, wie Sie den Betrieb wiederherstellen werden.
Identitätsdienste stehen im Mittelpunkt der meisten Angriffe durch „Advanced Persistent Threats“ (APT). Vor diesem Hintergrund ist es ratsam, Ihren Business-Continuity-Plan (BCP) und Ihren Notfallwiederherstellungsplan (DRP) für Active Directory (AD) mindestens alle 13 Monate zu testen. Der Grund, warum dies nicht häufiger geschieht, liegt darin, dass es eine mühsame Aufgabe ist und sich nur schwer korrekt durchführen lässt. Die Durchführung eines Wiederherstellungstests in der Produktionsumgebung kommt nicht in Frage, und das Testen einer Standardumgebung ist nur bedingt hilfreich. Die Erstellung eines Backups der Produktionsumgebung und dessen Wiederherstellung in einer isolierten Laborumgebung stellt den effektivsten Ansatz dar.
Wir raten unseren Kunden, ihre BCP- und DRP-Pläne am besten zu testen, indem sie die kritischen Unternehmensprozesse den Anwendungen zuordnen, die sie unterstützen, und schließlich auch der Infrastruktur, die diese Anwendungen unterstützt. Kein Unternehmen gleicht dem anderen, und für einige hat die Wiederherstellung des Hauptsitzes (HQ) oberste Priorität, während die Zweigstellen folgen (ein gängiges Szenario für Finanzinstitute), während es bei anderen umgekehrt sein kann (ein gängiges Szenario für Produktionsunternehmen).
Die Entscheidung, für Ihre gesamte Infrastruktur dasselbe Service Level Agreement (SLA) festzulegen, ist zwar am einfachsten, bedeutet jedoch in den meisten Fällen, dass sich die kritischen Anwendungen in derselben Warteschlange befinden wie die nicht kritischen. In den meisten Unternehmen führt dies zwangsläufig zu AD. Dennoch haben wir festgestellt, dass die Planung der AD-Wiederherstellung häufig übersehen wird, obwohl sie eine der wichtigsten Komponenten eines jeden „Cyber-First“-Ansatzes für die Notfallwiederherstellung darstellt.
Die Wiederherstellung nach einem Datenverlust (AD DR) ist ein mühsamer Prozess. Das dänische Unternehmen Maersk benötigte neun Tage, um seine Daten nach dem NotPetya-Malware-Angriff im Jahr 2017 wiederherzustellen. Laut Andy Powell, dem CISO von Maersk, waren rund55.000Geräte im weltweiten Netzwerk von Maersk innerhalb von sieben Minuten vollständig infiziert.
Im Falle einer Cyberkatastrophe ist das Active Directory (AD) geschäftskritisch, da es die Grundlage für die Wiederherstellung aller anderen Komponenten im Netzwerk bildet. Solange Sie Ihr AD nicht erfolgreich wiederhergestellt haben, können Sie nicht viel weiter vorankommen. Es reicht nicht aus, die Systeme einfach herunterzufahren, sobald ein Angriff beginnt. Sie müssen die wahrscheinlichen Angriffsvektoren und potenziellen Schwachstellen kennen und davon ausgehen, dass sogar Ihre AD-Backup-Server kompromittiert werden könnten.
Der Rat von Andy Powell lautet, dass Sie sicherstellen sollten, dass Sie AD in weniger als 24 Stunden wiederherstellen können. Das wirft die Frage auf: Wann haben Sie das letzte Mal Ihren AD-Wiederherstellungsplan getestet? Genauso wichtig: Wurde Ihr AD-Wiederherstellungsplan aktualisiert, um Cyber-Szenarien wie einen Ransomware- oder Wiper-Angriff zu berücksichtigen?
Abschließend möchte ich sagen, dass es manchmal erst eine unmittelbare Bedrohung braucht, damit Unternehmen ihre Pläne zur Erkennung von und Reaktion auf Bedrohungen ernster nehmen. Jetzt ist ein guter Zeitpunkt, um zu versuchen, Lücken in Ihren BCP- und DRP-Plänen zu schließen, indem Sie nach den schwächsten Gliedern suchen, angefangen bei Ihrer AD-Infrastruktur und den Anwendungen, die sich darauf stützen.
AD-Sicherheitsexperten, jetzt ist Ihre Stunde gekommen. AD ist nicht nur genauso wichtig wie die anderen Ebenen einer Sicherheitsstrategie – wir würden sogar behaupten, dass es heutzutage noch wichtiger ist. Und es ist Ihre Aufgabe und Verantwortung, den Rest Ihres Teams davon zu überzeugen, dass AD im Mittelpunkt Ihres Verteidigungsplans stehen muss.
