How to hack your critical infrastructure Was kann man aus den Angriffen der Vergangenheit lernen? IT-SecX - 4.11.2016 Thomas Bleier t@b-sec.net +43 664 3400559 B-SEC better secure KG https://www.b-sec.net/ office@b-sec.net
Agenda Fast schon wöchentlich hört man von neuen Angriffen auf die kritischen IT-Infrastrukturen von Unternehmen oder Organisationen Oft aber nur sehr oberflächlich und ohne Details Aber wie laufen solche Angriffe tatsächlich ab? Und was kann man daraus für die Verbesserung der eigenen Sicherheitskonzepte lernen? 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 2
Sony Pictures Entertainment, 2014 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 3
Ausgangslage Daten Server Mail Server Management Server Angreifer Internet Firewall Office-PC s Office-PC s Internes Netzwerk 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 4
Der Angriff Terabytes an Datendiebstahl Daten Server E-Mails gelöscht Mail Server Clients Infiziert + gelöscht Management Server Lateral Movement Angreifer Internet Firewall Phishing-Mail mit Schadsoftware Office-PC s Office-PC s Internes Netzwerk 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 5
Target (USA) - 2013 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 6
Ausgangslage POS (Point-of-Sale) Systeme (Registrierkassen) Angreifer Internet Backend-Server Lieferanten- Portal Lieferanten-Netzwerk Unternehmensnetzwerk 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 7
Der Angriff Angreifer Stehlen von Kreditkartendaten POS (Point-of-Sale) Systeme (Registrierkassen) Installation POS Malware Phishing-Mail mit Schadsoftware Internet Backend-Server Trojaner stiehlt Zugangsdaten für Lieferantenportal Mit Zugang: suchen einer Sicherheitslücke Im Lieferantenportal Lieferanten- Portal Zugang zu Backend-Servern Lieferanten-Netzwerk Unternehmensnetzwerk 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 8
Anunak/Carbanak 2013/2014 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 9
Ausgangslage Angreifer Client- Administrator Backend-Server Internet E-Mail Server Bankomat Office-PC s Backend- Administrator Banknetzwerk 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 10
Der Angriff Angreifer Client- Administrator Backend-Server spezielle Schadsoftware Internet Lateral Movement Admin Credentials Übernahme Backend-Server Mailserver! E-Mail Server Phishing-Mail o. Drive-By Download Bankomat Office-PC s Backend- Administrator Banknetzwerk 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 11
Stahlwerk Deutschland 2014 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 12
Ausgangslage Angreifer Automatisierungs- Technik (PLC s, etc.) Office-PC s Internet SCADA Systeme Bedienpersonal IT (Office-Netzwerke) OT (Automatisierungsnetzwerke) 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 13
Der Angriff Angreifer Phishing-Mail Automatisierungs- Technik (PLC s, etc.) Office-PC s Lateral movement Remote Control Tunnel Sabotage der Anlage Internet SCADA Systeme Bedienpersonal Zugang Automatisierungssystem IT (Office-Netzwerke) OT (Automatisierungsnetzwerke) 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 14
Verteilnetzbetreiber - Ukraine Dez. 2015 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 15
Ausgangslage Automatisierungs- Technik (PLC s, etc.) Angreifer Umsetzer, Konverter Internet SCADA Systeme Office-PC s VPN-Tunnel IT (Office-Netzwerk) OT (Operational Technology) 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 16
Der Angriff Automatisierungs- Technik (PLC s, etc.) Angreifer Manipuliertes Word-Dokument Manipulierte Firmware Umsetzer, Konverter Internet Schadsoftware (RAT) Office-PC s Zugangsdaten VPN-Tunnel HMI Client Systeme gelöscht SCADA Systeme IT (Office-Netzwerk) OT (Operational Technology) 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 17
Demo 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 18
Fazit: Die wichtigsten Angriffsvektoren Spear Phishing Konfigurationsdaten Software- Schwachstellen Zugangs daten 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 19
Also was tun? Bedrohungs- und Risikoanalyse Sicherheitsaspekte im gesamten Systemlebenszyklus Organisatorische Maßnahmen und Sicherheitsprozesse Technische Sicherheitsmaßnahmen bei Installation und Betrieb Erkennung und Behandlung von Sicherheitsvorfällen 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 20
Konkret - The Cyber Kill Chain 1. Reconnaisance 2. Weaponization 3. Delivery 4. Exploitation 5. Installation 6. Command & Control 7. Actions on Objectives Öffentlich verfügbare Infos, Social Engineering Security by Obscurity als zusätzliche Schicht Erkennung bekannter Angriffstools Threat Intelligence Filtern am Perimeter (Mail, Web, USB) Abschottung/Hardening der Systeme Vulnerability- und Patch-Management Die eigene Angriffsfläche kennen Least Privilege Konfigurationsmanagement Baseline Detektive & Reaktive Maßnahmen Intrusion Detection, SIEM, etc. Reduktion des Risikos - Defense in Depth AAA, Separation of Privileges, etc. Quelle Cyber Kill Chain: Lockheed Martin - http://www.lockheedmartin.com/us/what-we-do/aerospace-defense/cyber/cyber-kill-chain-v3.html 01.11.2016 [PUBLIC] Thomas Bleier, B-SEC better secure KG 21
Thank You! Questions? Contact Thomas Bleier DI MSc CISSP CISA CISM CEH zpm Chief Security Improvement Officer, Managing Director E-Mail: t@b-sec.net Phone: +43 664 3400559 B-SEC better secure KG https://www.b-sec.net/ office@b-sec.net