Erkennen von Sicherheitsrisiken
Lernziele
Nachdem Sie diese Lektion abgeschlossen haben, sind Sie in der Lage, die folgenden Aufgaben auszuführen:
- Erläutern, wie Ihr Unternehmen durch Cyberkriminalität geschädigt werden könnte
- Auflisten der von Eindringlingen am häufigsten ausgenutzten menschlichen Verhaltensweisen
- Beschreiben der gängigsten Methoden, mit denen sich Kriminelle Zugang zu Informationen verschaffen
Sicheres Mitarbeiterverhalten ist genauso wichtig wie sichere Technologie
In Anbetracht der Tatsache, dass wir den ganzen Tag über Technologie privat und beruflich nutzen, ist es nur logisch, dass Cyberkriminalität in aller Munde ist. Im Verizon-Untersuchungsbericht von 2021 zu Datenschutzverletzungen (in englischer Sprache, Registrierung erforderlich) wurde eine Rekordanzahl von 157.525 Vorfällen in Kategorien wie Schadsoftware, Hacking, Social-Engineering-Angriffe und Ransomware gemeldet. Und die Cyberkriminalität entwickelt sich ständig weiter. Einige der erfolgreichsten Angriffsvektoren der letzten Zeit – wie z. B. Phishing – zielen auf Menschen und nicht auf Technologie ab. Laut Bericht von 2022 waren Phishing und gestohlene Benutzeranmeldeinformationen 2021 die wichtigsten Bedrohungsarten.
Die Bedrohungslandschaft ist komplexer denn je und es wird für Sicherheitsteams zunehmend schwieriger, Bedrohungen zu verhindern, zu erkennen, zu analysieren und abzuwehren. Cyberkriminelle haben ihre Strategie verändert. Statt Technologien anzugreifen, haben sie jetzt Mitarbeiter ins Visier genommen, um menschliches Verhalten ausnutzen. Da Sicherheitstechnologien immer ausgefeilter werden, versuchen Hacker, sich über die schwächste Stelle im Netzwerk Zugang zu verschaffen, was sich meistens als menschliches Versagen entpuppt. Möglichkeiten zur Sicherheitsschulung, wie dieser Badge, sind wichtiger denn je. Da Mitarbeiter für Hacker das einfachste Ziel darstellen, ist es wichtig, dass alle Beteiligten lernen, wie sie sich und ihr Unternehmen schützen können. Jede Person beeinflusst die Sicherheit mehr als je zuvor, unabhängig von ihrer Funktion oder Position.
Ein einziger Mitarbeiter, der eine Phishing-E-Mail öffnet, genügt, um eine Kette von Ereignissen auszulösen, die die Daten Ihres Unternehmens gefährden können. Das bedeutet, dass das Thema Sicherheit ein integrierter Bestandteil der Aufgaben aller Mitarbeiter sein sollte. In diesem Modul sehen wir uns einige grundlegende Verhaltensweisen an, die jeder Mitarbeiter verinnerlichen kann, um das Unternehmen sicherer zu machen.
Eindringlinge nutzen menschliches Verhalten aus
Lassen Sie uns darüber sprechen, wie die menschliche Natur in die Cyberkriminalität hineinspielt. Kriminelle haben gelernt, dass sie typische menschliche Gefühle wie Neugierde und den Wunsch zu gefallen, ausnutzen können, um Anmeldedaten zu stehlen und Ihr Netzwerk zu infiltrieren. Schauen wir uns einige der Botschaften an, die diese Emotionen hervorrufen.
- Angst: "Wenn Sie mir die Informationen nicht geben, beschwere ich mich über Sie bei Ihrem Vorgesetzten."
- Vertrauen: "Ihr Bankkonto wurde soeben geschlossen. Klicken Sie hier, um es zu reaktivieren."
- Moral: "Können Sie diese Bürotür für mich offen halten? Mein Arm ist gebrochen und dieses Paket ist schwer."
- Belohnung: "Mein Unternehmen möchte vielleicht in Ihre Produkte investieren. Können Sie mir vorab ein paar Fragen zu Ihrer Organisation beantworten?"
- Konformismus: "Herr Steffens aus der Finanzabteilung hält mich immer über den Quartalsgewinn auf dem Laufenden, ich kann ihn aber nicht erreichen. Können Sie mir mit dem Bericht aushelfen?"
- Neugier: "Wow! Video einer Riesenschlange, die einen Tierpfleger verschlingt. Unbedingt ansehen!"
Erkennen einfacher Angriffsmethoden
Hacker verschaffen sich auf unterschiedliche Weise Zugang zu ihren Zielen. In der folgenden Liste der Zugangsmethoden sind gängige Techniken aufgeführt, die Cyberkriminelle nutzen, um unsere menschlichen Verhaltensweisen auszunutzen und sich Zugang zu sensiblen Informationen oder Netzwerken zu verschaffen.
- Phishing: Der Versuch, vertrauliche Informationen wie Benutzernamen und Kennwörter (auch Benutzeranmeldeinformationen genannt), Kreditkartendetails und Bankdaten zu erlangen, indem eine vertrauenswürdige Organisation vorgetäuscht wird. Es gibt unterschiedliche Arten von Phishing. Einige der am häufigsten verwendeten Methoden sind E-Mail-Phishing, Phishing per Telefon (sog. Vishing), Phishing per Textnachricht oder SMS (Smishing) und gezieltes Phishing, das sich an eine Person hohen Zugriffsrechten richtet (Spear Phishing).
- Schadsoftware: Verleiten von Benutzern zum Herunterladen von Schadsoftware (Malware), die darauf abzielt, auf ein Gerät oder Netzwerk zuzugreifen, es zu beschädigen oder zu kontrollieren, und oft über einen Link oder Anhang in einer Phishing-E-Mail übermittelt wird.
- Social Engineering: Manipulieren von Personen dergestalt, dass sie Maßnahmen ergreifen oder vertrauliche Informationen preisgeben.
- Ausnutzen öffentlicher Informationen: Nutzen von Informationen, die im Internet öffentlich zugänglich sind (z. B. auf einer Social-Media-Plattform) zum Starten eines Social-Engineering-Angriffs, um ein Kennwort zu knacken oder eine gezielte Phishing-E-Mail zu erstellen.
- Tailgating (Durchschlüpfen): Verschaffen von Zugang zu einem gesicherten Bereich, entweder indem einem rechtmäßigen Ausweisinhaber gefolgt wird oder jemand zum Gewähren von Einlass überredet wird.
- Lauschen: Das heimliche Mithören privater Gespräche.
- Mülltauchen: Abgreifen vertraulicher Informationen, die nicht ordnungsgemäß vernichtet wurden, aus dem Papierkorb oder der Mülltonne.
- Installation nicht autorisierter Geräte: Erlangen des Zugriffs auf ein sicheres Netzwerk durch Installation eines drahtlosen Routers oder eines USB-Sticks mit Schadsoftware.
