Man-in-the-Cloud

aus SecuPedia, der Plattform für Sicherheits-Informationen

Anzeige
Wechseln zu: Navigation, Suche

Mit zunehmender Verbreitung und Nutzung von Cloud-Services sind auch neue Arten von Cyberangriffen aufgetreten. Beim "Man-in-the-Cloud" (MitC)-Angriff wird versucht, ohne die erforderlichen Anmeldeinformationen Kontrolle über die Cloud-Konten der Opfer zu erlangen.

Arbeitsweise

Um auf das fremde Cloud-Konto Zugriff zu erhalten, machen MitC-Angriffe sich Token des von Cloud-Anwendungen genutzten OAuth-Synchronisierungssystems zu Nutze. Die meisten gängigen Cloud-Dienste wie Dropbox, Microsoft OneDrive oder Google Drive speichern einen solchen Synchronisations-Token nach einer erfolgten Authentifizierung auf dem Gerät des Benutzers. Dies geschieht aus Gründen der Benutzerfreundlichkeit, denn der OAuth-Token erspart Benutzern bei jedem weiteren Anwendungszugriff die erneute Eingabe ihres Passworts – und ermöglicht auf diese Weise den Zugriff von überall aus. Letzteres ist ein wichtiges Detail, denn: Gelingt es einem Angreifer, auf ein Token zuzugreifen und dieses zu kopieren, kann er die Cloud des Opfers aus der Ferne infiltrieren. Und zwar auf eine Weise, die legitim erscheint und so Sicherheitsmaßnahmen umgeht.


Zugangsmethoden

Der einfachste Zugang zu einem Token führt über Social Engineering. Typischerweise geschieht dies durch Malware, die per E-Mail verbreitet wird. Einmal auf dem Gerät des Opfers ausgeführt, installiert diese Malware einen neuen Token, der zu einem Konto gehört, das der Angreifer erstellt hat. Den echten Token des Opfers verschiebt die Schadware in den Cloud-Synchronisierungsordner des Angreifers. Wenn das Gerät des Opfers das nächste Mal synchronisiert wird, werden die Daten des Opfers mit dem Konto des Angreifers synchronisiert. Dabei wird dem Angreifer der echte Token von dem Account des Opfers offenbart.


Beseitigung der Spuren

An diesem Punkt kann die Malware dazu verwendet werden, den echten Account-Token wieder auf den Computer des Opfers zu kopieren und den bösartigen zu löschen. Damit sind alle Spuren des Sicherheitsverstoßes beseitigt, der Angreifer verfügt allerdings über den vollen Zugriff auf den Account des Opfers.


Gegenmaßnahmen

Auf Grund seiner besonderen Art lässt sich ein MitC-Angriff mit herkömmlichen Endpoint- und Netzwerkschutzmaßnahmen nur schwer verhindern. Es gibt jedoch eine Reihe von Schritten, mit denen Unternehmen das Risiko, ein MitC-Opfer zu werden, weitgehend beseitigen können:

1. Regelmäßige Security-Trainings durchführen
MitC-Angriffe setzen auf Taktiken des Social Engineering, welche allerdings bei aufgeklärten und wachsamen Mitarbeitern deutlich weniger Erfolgsaussichten haben. Mit regelmäßigen Schulungen, in denen anschaulich über gängige Angriffstaktiken informiert wird, schaffen Unternehmen ein erhöhtes Sicherheitsbewusstsein bei ihrer Belegschaft. Die Wahrscheinlichkeit, dass Mitarbeiter auf einen verdächtigen Link oder Anhang in einer Phishing-E-Mail klicken, sinkt damit deutlich.
2. Daten nur verschlüsselt in der Cloud speichern
Zwar kann die Verschlüsselung einen MitC-Angriff nicht verhindern, jedoch sorgt sie dafür, dass die Daten im Fall eines unautorisierten Zugriffs für den Angreifer unlesbar und damit unbrauchbar sind. Voraussetzung dafür ist natürlich, dass die Keys für die Verschlüsselung nicht im selben Ziel-Clouddienst gespeichert sind. Auch einem Sicherheitsverstoß im datenschutzrechtlichen Sinne kann mit Verschlüsselung vorgebeugt werden.
3. Multi-Faktor-Authentifizierung aktivieren
Multi-Faktor-Authentifizierung (MFA) ist ein weiterer einfacher, aber effektiver Weg, um die Bedrohung durch MitC-Angriffe zu minimieren. Diese Authentifizierungsfunktion ist sowohl bei führenden Cloud-Services wie Office 365 als auch speziellen Cloud-Sicherheitslösungen verfügbar. MFA fügt eine weitere Sicherheitsebene hinzu, die einen MitC-Angreifer, der nicht in der Lage ist, sich über einen OAuth-Token hinaus zu authentifizieren, leicht abwehren kann.
4. Cloud Access Security Broker (CASB) nutzen
Eine der umfassendsten Möglichkeiten, sich vor Bedrohungen wie MitC-Angriffen zu schützen, ist der Einsatz eines CASB. CASBs regeln den gesamten Datenverkehr zwischen den Cloud-Apps eines Unternehmens und den Endgeräten. Sie ersetzen automatisch die OAuth-Token jeder App durch verschlüsselte Token, bevor sie an die Endpunkte weitergeleitet werden. Wenn ein Gerät versucht, auf eine Cloud-App zuzugreifen, wird der eindeutige, verschlüsselte Token dem CASB präsentiert, der ihn entschlüsselt und an die App weiterleitet. Falls der Token eines Benutzers durch den eines Hackers ersetzt wurde, schlägt die Validierung und Entschlüsselung am Proxy mit dem bösartigen Token fehl, worauf der Zugriff auf das Konto des attackierten Opfers verweigert und der Angriff zunichte gemacht wird.


Siehe übergeordnete Stichworte


Siehe auch




Diese Seite wurde zuletzt am 18. Januar 2019 um 11:47 Uhr von Oliver Wege geändert. Basierend auf der Arbeit von Anurag Kahol.