Wer angesichts ausländischer Medienberichte über Sandbox-Ausbrüche und autonome Agenten, die Kontrollnetze durchbrochen haben, geseufzt hat, sollte die Realität nüchern betrachten. Zero-Day-Schwachstellen auf Forschungsebene oder Speicherfehlerangriffe sind eher Hollywood-Filme, während die Haupttäter, die morgen unsere Unternehmensserver zum Einsturz bringen werden, woanders zu suchen sind. Laut dem Verizon Data Breach Investigations Report beginnen 22 Prozent aller Sicherheitsvorfälle mit dem Missbrauch gültiger Konten. Hinzu kommen Schwachstellen bei Integrationen mit Drittanbietern, die im Vergleich zum Vorjahr um das Zweifache gestiegen sind und 30 Prozent aller Vorfälle ausmachen. Bevor man teure KI-Sicherheitslösungen ins Feld führt, müssen vernachlässigte Administratorenkonten und eine flache Netzwerkstruktur in den Griff bekommen werden, um Schäden abzuwenden.
Das hierarchische Zugriffsmodell von Microsoft sollte direkt in der Praxis umgesetzt werden. Der Kontrollbereich, in dem sich der Domänencontroller befindet, und der Verwaltungsbereich mit der Produktionsdatenbank müssen vollständig voneinander getrennt werden. Administratorrechte, die an die Anmeldekonten von Arbeitsplatz-PCs gebunden sind, sollten sofort entfernt und durch separate, dedizierte Administratorenkonten ersetzt werden. Priorität hat es, Konten von ehemaligen Mitarbeitern sowie seit Jahren vernachlässigte Dienstkonten aufzuspüren und zu sperren. Die Root-Konto-Berechtigungen von Datenbanken, die mit externen KI-Automatisierungstools verbunden sind, müssen auf Nur-Lesen herabgestuft werden. Schon allein durch diese drei Maßnahmen sinkt das Risiko eines unbefugten Zugriffs auf interne Systeme und der lateralen Bewegung autonomer Agenten um bis zu 70 Prozent. 97 Prozent der nicht-menschlichen Identitäten halten übermäßige Berechtigungen in ihren Händen. Entwicklerteams, die API-Schlüssel im Quellcode hinterlegen, müssen sofort gestoppt und dazu gedrängt werden, diese im 90-Tage-Rhythmus automatisch zu aktualisieren.
Durch die Kombination der Open-Source-Plattform Wazuh und Microsoft Sysmon lässt sich auch ohne finanzielle Mittel eine respektable Protokollsammlung einrichten. Installieren Sie Sysmon auf jedem Server und Endpunkt, um Protokolle zur Prozesserstellung und Netzwerkverbindungen zu erfassen. Auch die Skriptblock-Protokollierung von PowerShell sollte aktiviert werden. Um ungewöhnliche externe API-Aufrufe oder Anzeichen für massive Datenabflüsse zu erkennen, müssen Schwellenwertalarme in der Konfigurationsdatei von Wazuh hinterlegt werden. Wenn innerhalb von 5 Minuten mehr als 20 Verbindungsversuche nach extern festgestellt werden, ist das ein Signal für laufende Bitadmin- oder benutzerdefinierte Skripte. Sobald der Alarm ausgelöst wird, trennt die aktive Reaktion von Wazuh den Host vom Netzwerk und verwirft die Sitzung in der zentralen IDP-Console. Wird dieser Ablauf perfektioniert, lässt sich die initiale Erkennungszeit bei einem Sicherheitsvorfall auf unter 2 Stunden drücken.
Phishing-Mails, die generative KI ausnutzen, stehlen interne Informationen nahtlos und ohne jegliche grammatikalische Fehler, um Menschen zu täuschen. 82,6 Prozent der Phishing-Mails werden inzwischen mithilfe von generativer KI erstellt, und Vishing (Voice Phishing) ist um bis zu 442 Prozent angestiegen. Es kommt regelmäßig vor, dass Mitarbeiter unbemerkt Shadow-AI nutzen und personenbezogene Kundendaten oder essenziellen Quellcode vollständig an öffentliche Chatbots übergeben. Auf Ebene des Web-Proxys muss der Zugriff auf öffentliche Chatbots blockiert und eine unternehmensweite Nutzungsuntersagung verankert werden. Die Durchführung von simulierten Phishing-Trainings über einen Zeitraum von 12 Monaten, um die Phishing-Infektionsrate auf unter 5 Prozent zu senken und die Meldungsrate für Bedrohungen zu erhöhen, stellt die sicherste Verteidigungslinie dar, die ein praktizierender Sicherheitsverantwortlicher aufbauen kann.
