Ein wenig Vertrauen in den Menschen = ein großes E-Mail-SicherheitsproblemE-Mail-Sicherheit, Spear Phishing, Cyber-Angriff, E-Mail-Angriff, Spear Phishing-Angriff, Malware-Angriff, Schutz vor Bedrohungen, Cloud-Ausfälle UE

wurde Anfang des Monats berichtet, dass russische Hacker auf das E-Mail-System von Präsident Barack Obama im Weißen Haus zugegriffen haben. Als er gebeten wurde, den Angriff zu kommentieren, sagte der stellvertretende nationale Sicherheitsberater Ben Rhodes : "Wir glauben nicht, dass unsere geheimen Systeme kompromittiert wurden."

Unabhängig davon, ob ein E-Mail-System als geheim eingestuft ist oder nicht, können die Folgen eines Cyberangriffs verheerend sein. Nach der jüngsten Flut von Datenschutzverletzungen in den USA - in der Einzelhandels-, Unterhaltungs- und Gesundheitsbranche und nun auch bei der Regierung - ist es für Unternehmen an der Zeit, Maßnahmen in Bezug auf die E-Mail-Sicherheit zu ergreifen und insbesondere die Mitarbeiter für die bestehenden Bedrohungen zu sensibilisieren. Hier ist der Grund dafür:

Der Hack im Weißen Haus wurde ausgelöst, als ein kompromittiertes E-Mail-Konto im Außenministerium dazu benutzt wurde, eine Spear-Phishing-E-Mail an eine Person im Weißen Haus und im Büro des Präsidenten zu senden. Das Außenministerium war sich des Einbruchs bewusst und zwang sein Netzwerk offline um zu versuchen, die Hacker loszuwerden.

Einige kommen zu dem Schluss, dass menschliches Versagen die Ursache war - die Ausnutzung von Personen im Weißen Haus ermöglichte es den Hackern, ihren Netzwerkzugang in ein sensibleres und sichereres Netzwerk zu verlagern als das, in das sie ursprünglich eingedrungen waren. Bei komplexen langwierigen Angriffen wie diesem, bei denen sich Bedrohungsakteure über einen langen Zeitraum in einem Netzwerk aufhalten, ist es fast unvermeidlich, dass jemand ihnen schließlich (und unwissentlich) hilft, ihr ultimatives Ziel zu erreichen. Vertrauen wird schnell durch E-Mails aufgebaut, und es ist wahrscheinlich, dass die Angreifer das Vertrauen in eine @state.gov-E-Mail-Adresse ausgenutzt haben, um Zugang zum Weißen Haus und zum Präsidenten der Vereinigten Staaten zu erhalten. Diese Nutzung einer vertrauenswürdigen dritten Partei wird immer häufiger und ist etwas, über das ich bereits geschrieben habe.

Was mich an Rhodes' Aussage beunruhigt, ist, dass er auf die Sicherheit der als geheim eingestuften Systeme im Weißen Haus anspielt. Zweifellos wurden Kontrollen durchgeführt, um sicherzustellen, dass es keine offensichtlichen Kompromisse gibt. Aber so wie Menschen benutzt wurden, um vom Außenministerium ins Weiße Haus zu gelangen, könnte dasselbe sicherlich auch für einen weiteren Angriff innerhalb des Weißen Hauses gelten, um Zugang zu den geheimen Systemen zu erhalten. Es würde die Hacker nicht allzu viel Mühe kosten, von den nicht klassifizierten zu den klassifizierten Systemen überzugehen. Es ist einfach, die Schwächen der Menschen auszunutzen, wenn man nur ein wenig Vertrauen hat, aber wenn man viel mehr Vertrauen hat, ist es sehr einfach, die Privilegien intern zu erhöhen.

Halten Sie mich für einen Moment bei Laune. Wenn ich ein Angreifer gewesen wäre und Erfolg gehabt hätte, hätte ich dafür gesorgt, dass Mr. Rhodes und seine Kollegen vom FBI und vom Secret Service meine Anwesenheit nie entdecken würden. Während Rhodes also nicht glaubt dass seine geheimen Systeme kompromittiert wurden, bin ich sicher, dass er immer noch auf der Jagd nach Eindringlingen ist.

Angesichts der Komplexität dieses Angriffs, der sich gegen eine der am besten geschützten Regierungen der Welt richtet, kann man mit Fug und Recht behaupten, dass keine noch so gute Technologie geschickte und entschlossene Hacker abhalten kann. Sollen wir die Technologie aufgeben? Oder kehren wir vielleicht zu Stift und Papier oder Schreibmaschinen zurück? Nein, natürlich nicht.

Es sollte für jeden CISO, CIO und IT-Manager oberste Priorität sein, die Menschen so zu sensibilisieren, dass sie und nicht auf das Social Engineering in einer Spear-Phishing-E-Mail reagieren. Der Einsatz eines neuen Spear-Phishing-Gateways ist wichtig, reicht aber möglicherweise nicht aus. Sie müssen dafür sorgen, dass die Benutzer - die Menschen - das Risiko und die Bedrohung verstehen und wissen, wie sie einen Angriff erkennen können.

Sobald Sie dieses Verständnis erlangt haben, werden Sie einen wichtigen Teil Ihrer Sicherheitsinfrastruktur eingerichtet haben - Ihre eigene menschliche Firewall . Und es sind die Menschen, die Ihren wichtigsten Schutz gegen diese neuen und aufkommenden Bedrohungen darstellen.