Homepage › SIEM › Advanced Persistent Threats (APTs): Was sie sind und wie SIEM sie erkennt

SIEM

Advanced Persistent Threats (APTs): Was sie sind und wie SIEM sie erkennt

Securevisio
21.10.2026

Einleitung

Wir leben in einer Zeit rasanter Fortschritte in der Informations- und Kommunikationstechnologie (IKT), und unsere Abhängigkeit davon wächst in nahezu allen Lebensbereichen weiter. Leider schafft der technologische Fortschritt auch neue Möglichkeiten für Cyberangriffe. IKT-Systeme verarbeiten riesige Datenmengen, und Daten sind zu einer wertvollen Ressource geworden, die sich relativ leicht zu Geld machen lässt. Hinzu kommt, dass die Entwicklung großer Sprachmodelle (Large Language Models, LLMs) es Angreifern erleichtert hat, in großem Maßstab zu operieren. Die Erstellung automatisierter Skripte, Exploits oder Phishing-Kampagnen erfordert nicht mehr dasselbe Maß an Können und Aufwand wie früher. Für Cybersicherheitsteams, die für den Schutz von IKT-Systemen verantwortlich sind, bedeutet dies immer größere Herausforderungen im Arbeitsalltag. Es wird zunehmend schwieriger, einen Cyberangriff zu erkennen, bevor er seine Endphase erreicht.

Typische Cyberkriminalitätskampagnen sind „Smash-and-Grab“-Operationen. Beim Start eines Cyberangriffs konzentriert sich der Angreifer nicht auf ein bestimmtes Ziel – er setzt auf die Größe des Angriffs, um daraus Profit zu schlagen. Außerdem ist sein Ziel in der Regel, die Kampagne schnell zu Geld zu machen. Ob es um den Verkauf gestohlener Daten, die Forderung eines Lösegelds oder ein anderes Ergebnis geht – der Gewinn fließt nahezu sofort.

Die eigentliche Bedrohung ist jedoch anderer Natur. Es handelt sich um eine Advanced Persistent Threat (APT). Nach der Veröffentlichung 800-39 des National Institute of Standards and Technology (NIST)[1] ist eine APT definiert als ein Gegner mit hochentwickeltem Fachwissen und erheblichen Ressourcen, der durch den Einsatz mehrerer unterschiedlicher Angriffsvektoren (z. B. Cyber, physisch und Täuschung) Gelegenheiten schafft, seine Ziele zu erreichen. Typische Ziele einer APT sind es, ihre Präsenz in der Informationstechnik-Infrastruktur von Organisationen zu etablieren und auszubauen, um fortlaufend Informationen zu exfiltrieren und/oder kritische Aspekte einer Mission, eines Programms oder einer Organisation zu untergraben oder zu behindern oder sich in die Lage zu versetzen, dies in Zukunft zu tun. Darüber hinaus verfolgt die APT ihre Ziele wiederholt über einen längeren Zeitraum, passt sich den Abwehrmaßnahmen des Verteidigers an und ist entschlossen, das für die Umsetzung ihrer Ziele erforderliche Maß an Interaktion aufrechtzuerhalten.

Sicherheitsteams stehen einem fähigen und erfahrenen Gegner gegenüber – oft mit staatlicher Unterstützung –, dessen Priorität nicht die schnelle Monetarisierung ist, sondern vielmehr, den Angriff bis zur letzten Phase durchzuziehen und um jeden Preis unentdeckt zu bleiben. APT-Operationen sind präzise, erstrecken sich über lange Zeiträume und sind hochgradig zielgerichtet. Ihre Hauptziele sind meist Cyberspionage, der Diebstahl von geistigem Eigentum (Intellectual Property, IP) und Staatsgeheimnissen, die Ausübung geopolitischen Einflusses sowie die strategische Störung des Funktionierens kritischer nationaler Infrastrukturen.

Für Sicherheitsteams und Werkzeuge wie SIEM-Systeme liegt die größte Herausforderung bei der Erkennung von APT-Bedrohungen in den langen Pausen zwischen den Aktivitäten eines Angreifers während eines Angriffs. Einzelne Aktionen können durch Wochen oder sogar Monate der Inaktivität der APT-Gruppe voneinander getrennt sein.

Die Anatomie einer APT

Dass die Aktionen eines Angreifers in einer kompromittierten Umgebung zeitlich gestreckt sind, ist kein Zufall. Es ist eine bewusste Taktik, die darauf abzielt, im normalen Netzwerkverkehr und in den typischen Aktivitäten von Benutzern und Administratoren der kompromittierten Organisation unterzugehen. All dies dient dazu, die Entdeckung einer feindlichen Präsenz in der IT-Umgebung zu erschweren. Auch die langen Intervalle zwischen den Aktivitäten erschweren den Erkennungsprozess.

APT-Angriffe sind sorgfältig geplant. Das macht sie extrem gefährlich, offenbart aber zugleich ihre größte Schwäche: Da der Angreifer seine Aktionen plant, folgt er dabei in der Regel einem bestimmten Muster. Durch die Analyse zahlreicher Vorfälle können wir dieses Muster aufdecken und dadurch die nächsten Schritte des Angreifers vorhersagen.

Zur Beschreibung von APT-Angriffen werden üblicherweise mehrere Ansätze verwendet. Am weitesten verbreitet sind die Cyber Kill Chain und MITRE ATT&CK (Adversary Tactics, Techniques, and Common Knowledge).

Die Cyber Kill Chain[2] gliedert einen Einbruch in eine festgelegte Abfolge von sieben Phasen, von der Aufklärung (Reconnaissance) bis zu den Aktionen zur Zielerreichung (Actions on Objectives). Sie wurde 2011 von Lockheed Martin entwickelt. Die Cyber Kill Chain ist das erweiterte militärische Konzept der Kill Chain, angepasst an die Cybersicherheit. Sie wird weiterhin verwendet, konzentriert sich aber auf die traditionelle Perimeterverteidigung.

Das MITRE-ATT&CK-Framework[3] – 2015 veröffentlicht – ist ein lebendiges, wachsendes Framework der gängigen Taktiken, Techniken und Prozeduren (Tactics, Techniques and Procedures, TTP), die von Advanced Persistent Threats (APTs) und anderen Cyberkriminellen eingesetzt werden. Das Framework erhält von seinen Entwicklern mindestens zwei größere Aktualisierungen pro Jahr. MITRE ATT&CK stellt seine Matrizen der Privatwirtschaft, Regierungen, der Gemeinschaft der Anbieter von Cybersicherheitsprodukten und -dienstleistungen sowie der breiten Öffentlichkeit zur Verfügung. Das Framework enthält Daten zu Bedrohungsgruppen und deren TTPs und liefert sogar Referenzen und Beispiele – detaillierte Berichte über beobachtete und dokumentierte APT-Kampagnen sowie daraus abgeleitete Kompromittierungsindikatoren (Indicators of Compromise, IOCs).

Gemäß dem MITRE-ATT&CK-Framework lässt sich ein APT-Angriff als aus mehreren Phasen bestehend betrachten:

Phase 1: Aufklärung und Ressourcenentwicklung

In dieser Phase wählt der Angreifer ein Ziel aus – eine Organisation oder eine Einzelperson. Zugleich bereitet er den Angriff vor. Diese Aktivitäten finden vollständig außerhalb der IT-Infrastruktur des Ziels statt und sind daher für herkömmliche Sicherheitssysteme praktisch nicht erkennbar. Nur durch den Einsatz von Cyber-Threat-Intelligence-(CTI-)Diensten lassen sich Informationen über die möglichen Vorbereitungen des Angreifers gewinnen.

In Phase 1 erstellen Bedrohungsakteure ein Profil der Organisation, indem sie aktiv und passiv Daten über die Organisation und ihre Mitarbeiter sammeln. Sie suchen Informationen über die IKT-Infrastruktur, öffentliche IP-Adressen, genutzte Cloud-Dienste und Geschäftsbeziehungen. Über das Internet erreichbare IKT-Infrastruktur kann zum Ziel von Scans werden, mit denen laufende Dienste oder bestehende Schwachstellen identifiziert werden. Die Angreifer untersuchen außerdem die Sicherheitslösungen, Abwehrmaßnahmen und bekannten Angriffssignaturen, die das Opfer möglicherweise einsetzt.

Gleichzeitig werden Mitarbeiter (insbesondere IT-Administratoren und das Management) durch die Analyse sozialer Medien (darunter LinkedIn, Twitter und Facebook) profiliert.

Im Rahmen der Angriffsvorbereitung werden Domains und IP-Adressen erworben, und häufig werden spezielle Schadsoftware oder Skripte entwickelt. Auf Grundlage der gesammelten Daten kann eine Spear-Phishing-E-Mail-Kampagne erstellt oder es können Exploits entwickelt werden, um in der IKT-Infrastruktur entdeckte Schwachstellen auszunutzen.

Phase 2: Erstzugriff

Sobald ein Angreifer zu dem Schluss kommt, genügend Informationen über sein Ziel gesammelt und die notwendigen Ressourcen für einen Angriff vorbereitet zu haben, unternimmt er den ersten Schritt der Kampagne – den Versuch, Zugriff auf irgendeine Komponente der IKT-Umgebung des Ziels zu erlangen. In dieser Angriffsphase setzt der Angreifer Techniken ein, die verschiedene Einstiegsvektoren nutzen, um einen ersten Brückenkopf im Netzwerk zu gewinnen.

In den meisten Szenarien verleiten Angreifer die Mitarbeiter des Zielunternehmens per Phishing dazu, einen schädlichen Anhang zu öffnen oder auf eine präparierte URL zu klicken, in der Hoffnung, eine Schadlast (Payload) auszuliefern, indem sie eine Schwachstelle in einem gängigen Browser oder einer gängigen Anwendung wie Adobe Acrobat oder Microsoft Office ausnutzen. Alternativ können sie Schwachstellen in aus dem Internet erreichbarer Infrastruktur ausnutzen, etwa in VPN-Konzentratoren oder Mailservern.

Phase 3: Persistenz und Umgehung der Verteidigung

Für eine APT-Gruppe ist der Zugriff auf die Infrastruktur erst der Anfang. Sie wissen genau, dass IT-Systeme und Benutzerrechner häufig aktualisiert, in Wartungsfenstern gewartet und neu gestartet werden. Daher ist es ihre Priorität, den erlangten Zugriff auf die IKT-Infrastruktur sofort abzusichern. Dazu ändern sie Autostart-Einstellungen und Startskripte, die mit dem Systemstart oder der Benutzeranmeldung verbunden sind, und legen geplante Aufgaben in der Aufgabenplanung (Task Scheduler) an.

Ebenso wichtig ist es für sie, nicht entdeckt zu werden und daher möglichst wenige Spuren zu hinterlassen. Dazu können sie Ausnahmen in Antivirensoftware und lokal installierten Firewalls hinzufügen oder sogar Einträge aus dem Ereignisprotokoll löschen.

Im Rahmen der Bemühungen, einer Entdeckung zu entgehen, wird die Taktik „Living off the Land“ (LotL)[4] immer häufiger eingesetzt. Dieser Ansatz konzentriert sich darauf, integrierte bzw. vorhandene, legitime Administrationswerkzeuge des Betriebssystems auszunutzen, wie PowerShell, die Windows-Verwaltungsinstrumentation (Windows Management Instrumentation, WMI) oder PsExec. Für Überwachungssysteme erscheint eine solche Aktivität wie normale Arbeit eines IT-Administrators und löst keinen Alarm aus.

Phase 4: Erkundung, laterale Bewegung und Rechteausweitung

Der zuerst kompromittierte Host ist selten das eigentliche Ziel des Angreifers. Der Angreifer muss daher im internen Netzwerk der Opferorganisation interessante Hosts oder Daten finden und Domänencontroller, Datenbankserver oder Relay-Stationen identifizieren, die zur Verwaltung der OT-Infrastruktur dienen. In den meisten Fällen wird jeder vom Angreifer in der Erkundungsphase identifizierte Host ebenfalls kompromittiert.

Auf jedem kompromittierten Host konzentriert sich der Angreifer darauf, möglichst viele Zugangsdaten zu stehlen. Mithilfe von Werkzeugen zum Auslesen des Arbeitsspeichers (z. B. Varianten von Mimikatz) oder Techniken wie Kerberoasting erlangen Angreifer Passwörter oder Passwort-Hashes anderer Benutzer. Anschließend bewegen sie sich mit den gestohlenen Identitäten nahtlos und unbemerkt von Rechner zu Rechner im Netzwerk, umgehen die Entdeckung und weiten ihre Berechtigungen bis zur Ebene des Domänenadministrators aus.

Phase 5: Command & Control (C2)

Die meisten APT-Angriffe werden im „Hands-on“-Verfahren durchgeführt, das heißt, der Angreifer agiert interaktiv, indem er Befehle erteilt oder entscheidet, automatisierte (skriptgesteuerte) Aktionen auszulösen. Aus diesem Grund baut der Angreifer eine Verbindung zu seiner eigenen Infrastruktur auf. Über diesen Kanal sendet der Angreifer Befehle, die auf den Hosts ausgeführt werden sollen, exfiltriert aber auch Daten. Um der Erkennung durch IDS/IPS-Systeme und Firewalls zu entgehen, setzen APT-Gruppen ausgefeilte Techniken zur Verschleierung des Datenverkehrs ein, darunter unter anderem die Verschlüsselung der gesamten Kommunikation oder das Tunneln der Kommunikation über Standardports (z. B. HTTPS/443, DNS). Sie nutzen zudem bekannte und beliebte legitime Dienste als C2-Zwischenstationen (z. B. Kommunikation über öffentliche Telegram-Kanäle, Google Drive und sogar das Verstecken von Befehlen in GitHub-Kommentaren). Dadurch geht der vom Bedrohungsakteur erzeugte Netzwerkverkehr im typischen Netzwerkverkehr unter.

Phase 6: Datensammlung, Exfiltration und Auswirkung

Nach Wochen oder Monaten unentdeckter Präsenz in der IKT-Infrastruktur, in denen der Angreifer das Netzwerk kartiert und die höchsten Berechtigungen erlangt hat, geht er zur letzten Phase des Angriffs über. Diese umfasst in der Regel die Datenexfiltration. Um keine Alarme wegen eines plötzlichen Transfers von Gigabytes an Daten auszulösen, werden die Daten zunächst an einem unauffälligen Ort gesammelt, langsam komprimiert, verschlüsselt und in kleinen, unauffälligen Paketen versendet – ein Prozess, der ebenfalls Wochen dauern kann. Bei rein destruktiven Kampagnen können Angreifer schließlich Schadsoftware vom Typ Wiper starten, die Daten unwiederbringlich zerstört und Spuren verwischt.

APT-Aktivitäten in Deutschland und Polen

Aufgrund seiner starken wirtschaftlichen Stellung und zahlreicher Forschungsprojekte ist Deutschland Ziel verschiedener staatlich gesteuerter Akteure (Russland, Nordkorea, China), die von industrieller Cyberspionage und dem Diebstahl geistigen Eigentums motiviert sind. Nachfolgend finden sich Kurzprofile der in Deutschland aktivsten staatlich gesteuerten APT-Gruppen:

APT29 – die APT-Gruppe, die dem russischen Auslandsnachrichtendienst (SVR) zugeschrieben wird[5] und sich seit mindestens 2008 auf die Beschaffung von Informationen konzentriert, um Entscheidungen in Bezug auf Russlands Außen- und Sicherheitspolitik zu unterstützen. APT29 nimmt vor allem westliche Regierungen und ihnen angeschlossene Organisationen ins Visier, etwa Ministerien und Behörden, politische Denkfabriken, die Luftfahrt-, Finanz- und Gesundheitsbranche, Nichtregierungsorganisationen, die Medien, die Telekommunikation und das Transportwesen. Zu ihren Zielen zählten auch die Regierungen der Mitgliedstaaten der Gemeinschaft Unabhängiger Staaten sowie Regierungen in Asien, Afrika und im Nahen Osten. Ende Februar und Anfang März 2024 führte die Gruppe hochgradig zielgerichtete Angriffe auf politische Parteien in Deutschland[6] (darunter die CDU) durch. Als erster Vektor dienten maßgeschneiderte Einladungen zu Abendessen, mit denen eine eigens entwickelte Backdoor namens WINELOADER verbreitet wurde.

Turla – die Cyberspionagegruppe, die dem russischen Inlandsgeheimdienst (FSB) zugeschrieben wird[7]. Seit mindestens 2004 hat sie Cyberangriffe auf Ziele in mehr als 50 Ländern durchgeführt. Die Hauptziele der Gruppe sind staatliche Stellen, Streitkräfte und Botschaften. Im Laufe der Jahre hat die Gruppe ihre Aktivitäten jedoch auf Opfer aus einem breiten Spektrum von Branchen ausgeweitet, darunter Bildung, Hochtechnologie, Finanzwesen, Gesundheitswesen, Pharmazie und Einzelhandel. Berichte von Mitte 2026[8] bestätigen den Einsatz hochentwickelter Schadsoftware (z. B. STOCKSTAY und Kazuar) gegen akademische Netzwerke, Forschungsinstitute und diplomatische Plattformen in Deutschland und der Ukraine. Zu den Zielen gehörten unter anderem Innovationen im Pharma- und Verteidigungssektor.

Lazarus Group – die Gruppe, die mit dem nordkoreanischen Militärnachrichtendienst[9] – dem Reconnaissance General Bureau (RGB) – in Verbindung gebracht wird. Sie ist seit mindestens 2009 aktiv und für eine Reihe von Spionage-, Sabotage- und Finanzangriffen verantwortlich. Ihre Aktivitäten dienen sowohl nachrichtendienstlichen Zwecken als auch der Erwirtschaftung von Einnahmen für das Regime – einschließlich der Finanzierung des Atomwaffenprogramms und der Umgehung internationaler Sanktionen. Lazarus nimmt ein breites Spektrum von Branchen ins Visier: staatliche und militärische Einrichtungen, den Finanzsektor (Banken, SWIFT), Unternehmen der Unterhaltungsindustrie (z. B. der Angriff auf Sony Pictures im Jahr 2014), den Technologiesektor, die Medien und die internationale Schifffahrt; in den letzten Jahren mit besonderer Intensität auch Blockchain-Unternehmen, Kryptobörsen und Anbieter von Dienstleistungen rund um digitale Vermögenswerte. Im August 2026 wurde bestätigt[10], dass die Gruppe fortgeschrittene 0-Day-Exploits für die Windows-Umgebung gegen die Lieferkette im Luft- und Raumfahrt- sowie im Verteidigungssektor in Deutschland und weltweit eingesetzt hat.

Mustang Panda – die mit China in Verbindung stehende APT-Gruppe[11], die seit 2012 aktiv ist und sich auf ausgefeilte Spear-Phishing-Kampagnen konzentriert, in denen die Muttersprachen der Ziele verwendet wurden, um sich als Organisationen auszugeben, die staatliche Dienstleistungen erbringen. Im Rahmen dieser Kampagnen nutzte die Gruppe aktuelle internationale Ereignisse aus, etwa die COVID-19-Pandemie und den russisch-ukrainischen Konflikt. Zu den Zielen der Gruppe zählen ausländische Regierungen, Nichtregierungsorganisationen und andere Einrichtungen, die vom chinesischen kommunistischen Regime als Feinde betrachtet werden. Berichte zur Bedrohungslage (Threat Intelligence) aus der ersten Hälfte des Jahres 2026 zeigen, dass Mustang Panda eine groß angelegte Kampagne durchführte, bei der neue Varianten von PlugX sowie über Wechselmedien (USB) gesteuerte Vektoren eingesetzt wurden, um in Netzwerke der Ingenieur- und Fertigungsbranche (insbesondere der Automobilindustrie) in Deutschland und Europa einzudringen.

Die Aktivitäten von APT-Gruppen in Polen sind überwiegend politisch und militärisch motiviert, und die wichtigsten Bedrohungsakteure sind Gruppen, die mit russischen (GRU, FSB, SVR) und belarussischen Nachrichtendiensten in Verbindung stehen. Nachfolgend stellen wir kurz die Merkmale der aktivsten staatsnahen APT-Gruppen dar:

APT28 – die APT-Gruppe, die der russischen Hauptverwaltung des Generalstabs der Streitkräfte (GRU), dem 85. Hauptzentrum für Spezialdienste (GTsSS), Militäreinheit 26165, zugeschrieben wird[12]^,[13]. Diese Gruppe ist seit mindestens 2004 aktiv. APT28 sammelt Informationen und hat Interesse an Regierungen und Sicherheitsorganisationen in Osteuropa gezeigt. Die Aktivitäten der Gruppe zielen darauf ab, der russischen Regierung zu ermöglichen, die Absichten von Entscheidungsträgern zu antizipieren und deren Fähigkeit zur Beeinflussung der öffentlichen Meinung einzuschätzen. Die Gruppe hat Organisationen aus den Branchen Automobil, Luftfahrt, Chemie, Bauwesen, Verteidigung, Bildung, Energie, Ingenieurwesen, Finanzen, Gesundheitswesen, Fertigung, IT sowie Öl und Gas ins Visier genommen. Darüber hinaus hat sie Botschaften, Medien, Nichtregierungsorganisationen, Denkfabriken und Nachrichtendienste angegriffen. Im Mai 2024 fielen EU-Institutionen (darunter polnische Regierungsstellen) einer ausgefeilten Cyberspionagekampagne zum Opfer, die vom Rat der EU offiziell verurteilt wurde. 2025 wurde die Gruppe dabei beobachtet, wie sie neue, KI-gestützte Varianten von Schadsoftware (darunter die Familie LAMEHUG) einsetzte, die darauf optimiert sind, die Sicherheitsmaßnahmen von Netzwerken der öffentlichen Verwaltung zu umgehen.

Sandworm – die APT-Gruppe, die der Militäreinheit 74455 des Hauptzentrums für Spezialtechnologien (GTsST) der russischen Hauptverwaltung des Generalstabs der Streitkräfte (GRU) zugeschrieben wird[14]^,[15]. Die Gruppe ist seit etwa 2009 aktiv. Obwohl sie als Militäreinheit agiert, nutzt sie häufig prorussische Hacktivisten-Personas als Fassade für ihre Operationen. Das Sandworm Team nimmt vor allem Einrichtungen im Energiesektor, industrielle Steuerungssysteme, SCADA, Regierungsstellen und die Medien ins Visier. Das Sandworm Team wurde mit einem Angriff auf den ukrainischen Energiesektor Ende 2015 sowie mit der Schadsoftware NotPetya im Jahr 2017 in Verbindung gebracht. Darüber hinaus wird der Gruppe der Angriff auf die Olympischen Winterspiele 2018 in Pyeongchang nach dem Ausschluss russischer Athleten wegen Dopings zugeschrieben, ebenso wie wahlbezogene Aktivitäten in mehreren Ländern, darunter die USA 2016, Frankreich 2017 und Georgien 2019. In den vergangenen Monaten hat die Gruppe begonnen, fortgeschrittene Umgehungstechniken einzusetzen, darunter die automatisierte Erzeugung von Schadcode. Um den Jahreswechsel 2025/2026 griff die Gruppe den polnischen Energiesektor an[16]. Anders als bei herkömmlichen Angriffen auf Betreiber von Übertragungsnetzen waren diesmal Heizkraftwerke (Kraft-Wärme-Kopplung) und moderne Managementsysteme für Anlagen zur Nutzung erneuerbarer Energiequellen – Wind- und Solarparks – das Ziel. Der Angriff richtete sich sowohl gegen Systeme der Informationstechnik (IT) als auch der Betriebstechnik (Operational Technology, OT).

UNC1151 (Ghostwriter) – die APT-Gruppe, die mit der belarussischen Regierung in Verbindung steht und zudem Verbindungen zu russischen Nachrichtendiensten hat [17]^,[18]^,[19]. Die Ziele der Angriffe sind vor allem Personen mit Bezug zu Politik und Militär sowie solche, die indirekte Verbindungen zu Russland und Belarus haben könnten – etwa zertifizierte Übersetzer für Russisch, Rechtsanwälte, Mitarbeiter von NGOs, orthodoxe Geistliche und Journalisten. Diese Operationen richteten sich vorwiegend an Zielgruppen in Litauen, Lettland und Polen und enthielten Narrative, die die Präsenz der Nordatlantikvertrags-Organisation (NATO) in Osteuropa kritisieren; gelegentlich wurden im Rahmen dieser breiteren Anti-NATO-Agenda auch andere Themen genutzt, etwa antiamerikanische und COVID-19-bezogene Narrative. Diese Kampagnen erhielten den Namen „Ghostwriter“. Die Hauptmotivation der Gruppe ist es, Informationen für nachrichtendienstliche Zwecke zu stehlen und Desinformationskampagnen durchzuführen. Die Gruppe ist in Polen weiterhin aktiv[20].

Gamaredon – eine APT-Gruppe, die mit dem russischen Inlandsgeheimdienst (FSB) in Verbindung steht[21], genauer gesagt mit dessen 16. Zentrum – in dem die wichtigsten Fähigkeiten der Behörde in der elektronischen Aufklärung und Fernmeldeaufklärung angesiedelt sind – und dessen 18. Zentrum, das als Informationssicherheitszentrum dient[22]. Die Gruppe konzentriert sich auf Informationsdiebstahl und Spionagekampagnen gegen militärische Ziele sowie gegen politische und staatliche Einrichtungen in der Ukraine und in Ländern, die die Ukraine in ihrem Konflikt mit Russland unterstützen.

Die Herausforderung, mit SIEM die Punkte zu verbinden

Jede Organisation, die ein wirksames Überwachungssystem für ihre Sicherheitsinfrastruktur aufbaut, benötigt einen zentralen Punkt, an dem die Logs aller Hosts gesammelt werden. Nur dann ist es möglich, die auf verschiedenen Hosts im Netzwerk der Organisation aufgezeichneten Ereignisse zu korrelieren. Nur dann können Mitglieder des Sicherheitsteams Anzeichen eines laufenden Sicherheitsvorfalls – eines Cyberangriffs – erkennen. Im Zentrum jedes Cybersicherheits-Ökosystems steht ein SIEM. Bei der Erkennung von Advanced Persistent Threats (APTs) steht eine SIEM-Plattform jedoch vor großen Herausforderungen: der Unterscheidung zwischen normaler Administratoraktivität und den Aktionen eines Bedrohungsakteurs sowie dem Umgang mit den Einschränkungen, die sich aus dem weiten Zeitfenster ergeben, das bei APT-Angriffen ausgenutzt wird.

Da LotL-Techniken in APT-Kampagnen häufig eingesetzt werden, können sich einzelne Aktionen eines Angreifers praktisch nicht von den täglichen Aktivitäten autorisierten IT-Personals – etwa Helpdesk-Mitarbeitern oder Administratoren – unterscheiden. Die Herausforderung für SIEM-Systeme wird noch größer dadurch, dass APT-Gruppen „langsam“ vorgehen, mit der Absicht, um jeden Preis unentdeckt zu bleiben. Eine APT-Gruppe kann am Montag einen ersten Brückenkopf gewinnen, am Freitag still interne Aufklärung betreiben und einen ganzen Monat oder noch länger warten, bevor sie versucht, auf einem kompromittierten Host einen LSASS-Speicherabzug (Memory Dump) zu erstellen oder die Phasen der Erkundung und der lateralen Bewegung des Angriffs zu beginnen.

Standardmäßige Korrelationsregeln in SIEM-Systemen sind in der Regel darauf ausgelegt, Logs innerhalb kurzer Zeitfenster – üblicherweise 5 bis 15 Minuten – zu analysieren, um die Verarbeitungslast und den Speicherverbrauch der Datenbank zu begrenzen. Verteilt ein Angreifer seine Aktivitäten über mehrere Wochen, versagt daher eine Standard-Korrelations-Engine. Die ersten Ereignisse der Angriffskette verfallen aus dem aktiven Speicherpuffer, bevor die nachfolgenden schädlichen Aktivitäten stattfinden, und die für die Auslösung eines Alarms notwendige Ursache-Wirkung-Kette wird unterbrochen.

Um diese Einschränkungen zu überwinden, setzen moderne SIEM-Plattformen auf Korrelation in Kombination mit Zustandsverfolgung (State Tracking). Anstatt Ereignisse nach Ablauf eines definierten Zeitfensters zu ignorieren, hält das System verdächtige Attribute – etwa bestimmte IP-Adressen, Hostnamen oder Benutzerkonten – in dynamischen Referenzmengen (Reference Sets) oder Watchlists mit verlängerten Ablaufzeiten fest, die oft zwischen 90 und 180 Tagen liegen. Meldet sich ein Angreifer am Montag von einer ungewöhnlichen ASN aus an, wird diese Entität markiert. Führt dasselbe Konto einen Monat später ein verschleiertes PowerShell-Skript aus, prüft die Korrelations-Engine die Referenzmenge und verknüpft so effektiv isolierte Ereignisse über die gesamte Dauer einer APT-Kampagne hinweg.

Da „Living off the Land“-Techniken in den Arbeitsalltag von Administratoren eingebettet sind, kann ein Alarm bei jedem Start administrativer Werkzeuge – oder von Werkzeugen, die als doppelt verwendbar gelten (für administrative oder schädliche Zwecke) – zu zahlreichen Fehlalarmen (False Positives) führen. Eine Funktion, die Sicherheitsteams bei dieser Herausforderung hilft, ist das risikobasierte Alarmieren (Risk-Based Alerting, RBA) in Kombination mit der Analyse des Verhaltens von Benutzern und Entitäten (User and Entity Behavior Analytics, UEBA). Ein modernes SIEM-System legt für jedes Konto und jeden Host in der IT-Umgebung der Organisation eine Basislinie für normale Aktivität fest. Ein Administrator, der während der Geschäftszeiten Netzwerkdiagnosen durchführt, passt in dieses Modell. Dieselben Befehle, um 3:00 Uhr nachts ausgeführt, oder der Versuch, sie von einem anderen Konto aus auszuführen, erhöhen sofort den Risikowert dieser Entität. Ein handlungsrelevanter Alarm wird erst erzeugt, wenn dieser kumulierte Wert eine festgelegte kritische Schwelle überschreitet.

Mechanismen wie Zustandsverfolgung und risikobasiertes Alarmieren ermöglichen es einem SIEM zwar, die Punkte über die Zeit zu verbinden, doch sie setzen voraus, dass überhaupt die richtigen Punkte vorhanden sind, die sich verbinden lassen. Selbst die verdeckteste APT-Gruppe hinterlässt unweigerlich eine Spur digitaler Brotkrumen auf Hosts und im Netzwerk. Die Herausforderung für Verteidiger besteht darin, genau diese Spuren zu erfassen, ohne das SIEM mit irrelevanten Daten zu überfluten.

Der Spur der Brotkrumen folgen

Die IKT-Infrastruktur erzeugt eine enorme Anzahl von Ereignissen, die in Logdateien protokolliert werden. Ein Administrator kann einzelne IT-Systeme so konfigurieren, dass nahezu jede Operation protokolliert wird. Folglich wird diese riesige Menge an Ereignissen an das SIEM-System gesendet. Da es im Wesentlichen eine Engine zur Aggregation und Korrelation von Daten ist, wird es diese Ereignisse verarbeiten; die Organisation wird jedoch mit Problemen bei Leistung und höheren Kosten konfrontiert sein (SIEM-Lizenzen werden häufig nach dem Volumen der verarbeiteten Logs vergeben). Außerdem sind die Ergebnisse möglicherweise nicht sehr genau. Denn die Wirksamkeit eines SIEM-Systems hängt vollständig von der Qualität der verarbeiteten Daten und davon ab, wie gut die Korrelationsregeln darin umgesetzt wurden.

Um Advanced Persistent Threats (APTs) zu erkennen, muss ein SIEM-System hochwertige Logs erhalten – das heißt Logs mit Ereignissen zu Benutzeraktivitäten auf Hosts (einschließlich ausgeführter Skripte), zu Benutzeridentitäten und zum Netzwerkverkehr. APT-Gruppen wie Sandworm und APT29 operieren hauptsächlich mit legitimen Administrationswerkzeugen (LotL) und kompromittierten Konten mit hohen Berechtigungen.

Das SIEM-System und seine Korrelationsregeln sollten so konfiguriert sein, dass sie jegliche Anomalien im normalen Netzwerkverkehr, in der Softwareausführung und in der Benutzeraktivität erkennen. Alarme etwa von Antivirensoftware dürfen selbstverständlich nicht ignoriert werden; bei der Erkennung von APT-Angriffen sind es jedoch gerade diese Anomalien und Abweichungen vom normalen Betrieb der Umgebung – selbst minimale –, die das Fundament einer wirksamen Erkennung bilden.

Auf Host-Ebene sind Logs zur Prozesserstellung entscheidend – jeder erteilte Befehl, jedes ausgeführte Skript und jedes gestartete Programm führt zur Erstellung eines neuen Prozesses. Das SIEM sollte daher Event-IDs 4688 oder Daten von Sysmon 1 samt den vollständigen Befehlszeilenargumenten erhalten. Die Überwachung von Zugriffen auf den Prozessspeicher (Sysmon 10) ermöglicht zudem die Erkennung von Versuchen, LSASS-Zugangsdaten mit Werkzeugen wie Mimikatz auszulesen.

PowerShell dürfen wir nicht vergessen. Es sollte in die Überwachung einbezogen werden, da es in jeder Windows-Umgebung nativ verfügbar ist. Die Logs sollten die folgenden Ereignisse umfassen:

Script Block Logging (Event-ID 4104) – der gesamte Skriptblock zum Zeitpunkt der Ausführung. Das Ereignis zeichnet den dekodierten Inhalt des Skripts auf (nach der Dekodierung, z. B. aus Base64).
Module Logging (Event-ID 4103) – Streams, Module und API-Funktionsaufrufe, die von PowerShell geladen werden. Diese Ereignisse sind nützlich, um fortgeschrittene Code-Injektionen und den Einsatz von Werkzeugen wie PowerSploit oder Empire nachzuverfolgen.

Zusätzlich sollten Administratoren das Transcription Logging aktivieren – es zeichnet ein vollständiges Textprotokoll der PowerShell-Sitzung (einschließlich der Benutzereingaben und der Ergebnisse ausgeführter Befehle) in Dateien auf dem Datenträger an einem festgelegten Speicherort auf. Es ist empfehlenswert, hierfür eine dedizierte Netzwerkfreigabe einzurichten, damit es einem Angreifer erschwert wird, seine Spuren zu verwischen (ein Angreifer, der lokale Administratorrechte erlangt, kann lokal gespeicherte Daten löschen). Dies kann bei der Analyse nach einem Vorfall (Post-Incident-Analyse) sehr nützlich sein.

Bei einem APT-Angriff ist eines der zentralen Ziele der Cyberkriminellen, Persistenz herzustellen. Deshalb sollten Ereignisse, die bei der Installation eines neuen Dienstes (Event-ID 7045 oder 4697) oder der Erstellung einer geplanten Aufgabe (Event-ID 4698) protokolliert werden, an das SIEM gesendet werden. Erwägen Sie außerdem, Änderungen an bestehenden geplanten Aufgaben (Event-ID 4702) und Änderungen an Registrierungsschlüsseln (Sysmon 12/13) zu protokollieren.

Das SIEM sollte zudem jedes Ereignis erhalten, das mit dem Löschen des Ereignisprotokolls zusammenhängt (Event-ID 1102) – dies ist ein mögliches Indiz dafür, dass ein Angreifer seine Spuren verwischt, da die Rotation oder das Löschen von Logs in der Regel automatisiert und gemäß den organisatorischen Verfahren erfolgt.

Bedrohungsakteure wollen ihre Berechtigungen ausweiten und sich lateral durch das Netzwerk bewegen, wozu sie weitere Konten und Zugangsdaten an sich bringen müssen. Daher ist der für den Authentifizierungsprozess zuständige Dienst – Kerberos – häufig Ziel von „Golden Ticket“- oder „Kerberoasting“-Angriffen. Um diese Aktivitäten zu erkennen, sollten Ereignisse des Kerberos-Dienstes (Event-IDs 4768, 4769) an das SIEM weitergeleitet werden. Empfohlen wird außerdem die Überwachung von Zugriffen auf Active-Directory-Objekte (Event-ID 4662).

Zur Erkennung lateraler Bewegungen sollten zudem Ereignisse zu Zugriffen auf Netzwerkfreigaben (Event-IDs 5140, 5145) aufgezeichnet werden, jedoch nur jene, die sich auf versteckte administrative Freigaben wie IPC$ und C$ beziehen.

Auch Logs von Netzwerkgeräten liefern Daten, die zur Erkennung eines laufenden APT-Angriffs genutzt werden können. Angreifer verbergen ihren Netzwerkverkehr in der normalen Aktivität der Organisation; tatsächlich unternehmen sie oft große Anstrengungen, damit ihre Kommunikation zu ähnlichen Zeiten stattfindet und ähnliche IP-Adressen oder Domains nutzt. Um einen möglichen APT-Angriff zu erkennen, muss ein SIEM Anomalien auf der Netzwerkebene mit dem Verhalten von Prozessen auf dem Host korrelieren.

Die Analyse von Netzwerkverkehrsflüssen (NetFlow, IPFIX, sFlow), die Metadaten enthalten – etwa wer mit wem, über welchen Port, wie lange und mit welcher übertragenen Datenmenge kommuniziert hat –, hilft dabei, Anomalien auf Netzwerkebene zu erkennen.

Angreifer nutzen häufig vertrauenswürdige Cloud-Plattformen wie Mega, Dropbox oder Google Drive. In solchen Fällen sollten Logs von Proxyservern oder Secure Web Gateways (SWGs) an das SIEM gesendet werden, insbesondere solche, die Header und Zieldomains enthalten.

DNS-Verkehr wird sehr häufig für Exfiltration oder C2-Kommunikation genutzt. Angreifer verwenden DNS-Tunneling, um Daten langsam und unauffällig aus Netzwerken zu exfiltrieren, in denen der HTTP/HTTPS-Verkehr streng gefiltert wird. Daher sollten auch Logs interner Resolver an das SIEM gesendet werden.

Es ist nicht die eine Lösung – es ist ein ganzes Ökosystem

Keine einzelne Cybersicherheitsplattform kann vollständige Transparenz, zuverlässige Erkennung, Kontextanalyse oder wirksame Reaktion gewährleisten – insbesondere nicht bei einem APT-Angriff.

Ein in einer Organisation eingesetztes SIEM-System unterstützt die Arbeit des Sicherheitsteams selbstverständlich, bietet jedoch weder ein ausreichendes Maß an Ereigniserkennung noch gewährleistet es eine sofortige Reaktion auf einen potenziellen Vorfall. Wir haben es schlicht mit einem zu großen Volumen potenzieller Vorfälle zu tun, von denen sich viele als Fehlalarme herausstellen können. Eine zusätzliche Herausforderung ist hier die lange Dauer von APT-Angriffen.

Deshalb bauen Organisationen Cybersicherheits-Ökosysteme auf, die aus vielen Elementen bestehen, welche synergetisch zusammenwirken. Dazu gehören SIEM-Systeme, EDR/XDR-Lösungen, SOAR, UEBA und Cyber Threat Intelligence (CTI). Jedes dieser Elemente tauscht Daten mit den anderen aus und unterstützt sie über den gesamten Zyklus der Erkennung von und Reaktion auf Vorfälle hinweg.

Die EDR-Lösung bietet ein hohes Maß an Transparenz auf Host-Ebene und ergänzt das SIEM-System, indem sie Daten von Hosts normalisiert und Prozessbäume automatisch abbildet. EDR identifiziert zudem zentrale Systemprozesse, schützt deren Integrität und bietet einen Mechanismus für die sofortige, automatisierte Reaktion auf schädliche Ereignisse. Wird eine Anomalie oder ein potenzieller Vorfall erkannt, kann der EDR-Agent den infizierten Host unmittelbar an der Netzwerkschnittstelle isolieren und so wirksam verhindern, dass sich der Angreifer weiter durch das Netzwerk bewegt, bevor ein Analyst überhaupt die Gelegenheit hat, den Alarm im SIEM-System zu prüfen.

XDR-Systeme erweitern die Funktionalität von EDR-Systemen auf weitere Infrastrukturkomponenten – sie gehen über die Host-Umgebung hinaus und erstrecken sich auf Netzwerkgeräte, Cloud-Dienste und so weiter.

Network Detection and Response (NDR) konzentriert sich auf die Überwachung des Netzwerkverkehrs in Echtzeit, um potenzielle Bedrohungen zu erkennen und darauf zu reagieren. Sobald eine Bedrohung erkannt wird, kann NDR eine sofortige Reaktion einleiten, etwa die Isolierung betroffener Netzwerkteile, um eine weitere Ausbreitung zu verhindern.

SOAR-Plattformen sind eine weitere Komponente des Cybersicherheits-Ökosystems. Sie dienen dazu, die Klassifizierung von Vorfällen und die Reaktionsprozesse zu automatisieren. Erzeugt ein SIEM-System einen Alarm mit hohem Risikowert, wird die SOAR-Plattform ausgelöst, um über APIs ein vordefiniertes Reaktionsszenario auszuführen. Diese Synergie verkürzt die mittlere Reaktionszeit (Mean Time to Respond, MTTR) auf einen Vorfall erheblich und entlastet das Sicherheitsteam.

Die Erkennung von Anomalien in der IT-Umgebung und im Benutzerverhalten ist entscheidend, um Bedrohungen vom Typ APT zu identifizieren. Ohne geeignete Werkzeuge könnten Sicherheitsteams diese Herausforderung nicht bewältigen. Deshalb wurden Systeme zur Analyse des Verhaltens von Benutzern und Entitäten (User and Entity Behavior Analytics, UEBA) entwickelt. UEBA verwendet fortgeschrittene Algorithmen des maschinellen Lernens, um für jeden Benutzer, jedes Dienstkonto und jedes Gerät in der gesamten Organisation ein „normales“ Verhaltensmuster festzulegen. Dabei werden zusätzlich Logs, Active-Directory-Ereignisse und Netzwerkverkehr genutzt. Anschließend werden alle Aktivitäten in der IT-Umgebung mit diesem Muster verglichen. Jegliche Abweichungen oder Anomalien werden dem Sicherheitsteam auf der SIEM-Plattform sofort gemeldet, und die Reaktion kann durch die Integration mit SOAR-Systemen automatisiert werden.

Ohne Kenntnis aktueller Cyberbedrohungen beschränkt sich die Aufgabe jedes Sicherheitsteams darauf, auf erkannte Alarme und potenzielle Vorfälle zu reagieren. Unterstützen wir diese Bemühungen jedoch mit Informationen über Cyberbedrohungen, können Teams einen proaktiven Ansatz verfolgen. Cyber-Threat-Intelligence-(CTI-)Dienste liefern genau diese Art von Daten – aktuelle Kompromittierungsindikatoren (IOCs) sowie die von Angreifern genutzten Taktiken, Techniken und Prozeduren (TTPs), außerdem Informationen aus dem Darknet über bevorstehende Kampagnen oder gestohlene Daten (Data Breaches). Diese Informationen lassen sich direkt in SIEM- und EDR/XDR-Systeme einspeisen. Eine solche Integration ermöglicht die automatische Analyse aktueller Ereignisse im SIEM-System auf neue IOCs und TTPs sowie retrospektive Suchen – sobald ein neuer Bedrohungsbericht erscheint, können historische Daten nach neuen IOCs und TTPs durchsucht werden. Als Ergebnis dieser Analyse können Sicherheitsteams Sicherheitsverletzungen identifizieren, die zum Zeitpunkt ihres Auftretens nicht erkannt wurden.

CTI ist die Grundlage für einen proaktiven Ansatz zur Gewährleistung der Sicherheit einer Organisation. Die von CTI bereitgestellten Bedrohungsinformationen können für das Threat Hunting genutzt werden, um unbekannte Schwachstellen, unentdeckte Angriffe und neue Angriffstechniken aufzuspüren. Dies ermöglicht es Sicherheitsteams, proaktiv Abwehrmaßnahmen zu ergreifen, um diese zu blockieren.

Gibt es Einschränkungen?

Eine Organisation kann ein gut funktionierendes Cybersicherheits-Ökosystem aus SIEM-, EDR/XDR-, SOAR-, UEBA- und CTI-Lösungen unterhalten und dennoch für einen Cyberangriff anfällig sein. Einer der Hauptgründe dafür ist, dass jede Komponente innerhalb bestimmter technischer, architektonischer und operativer Beschränkungen arbeitet. Diese Beschränkungen können blinde Flecken erzeugen, die Qualität der Datenkorrelation verringern und dazu führen, dass Sicherheitsteams Entscheidungen auf Grundlage eines unvollständigen Kontexts treffen.

Diese Situation ist nicht immer auf das Fehlen eines Sicherheitsprodukts oder dessen fehlerhafte Konfiguration zurückzuführen. Oft verfügen Organisationen über die richtigen Werkzeuge, sind aber nicht in der Lage, die Daten, auf die sie Zugriff haben, zu erfassen, zu entschlüsseln, zu korrelieren oder wirksam zu nutzen.

Die erste Einschränkung ist die Verschlüsselung des Netzwerkverkehrs. Mehr als 90 % der C2-Kommunikation und der Datenabflüsse erfolgen über das HTTPS-Protokoll. Außerdem nutzen APT-Gruppen häufig legitime Cloud-Dienste (AWS, Azure, OneDrive, Mega), und auch der Verkehr zu und von diesen Diensten ist verschlüsselt. Die Antwort auf diese Situation erfordert die Entschlüsselung des Netzwerkverkehrs, gefolgt von einer Inhaltsanalyse und einer erneuten Verschlüsselung. Die Ergebnisse dieser Analyse müssen in SIEM- und NDR-Systeme eingespeist werden. Setzt eine Organisation diesen Mechanismus nicht um, können selbst ordnungsgemäß bereitgestellte und konfigurierte SIEM-, NDR- und SOAR-Systeme Malware-Downloads, C2-Kommunikation oder Datenexfiltration möglicherweise nicht erkennen.

Eine weitere Herausforderung ist die enorme Datenmenge, die von IT-Umgebungen erzeugt wird. SIEM-Systeme werden häufig nach der Anzahl der Ereignisse pro Sekunde, dem täglichen Volumen der verarbeiteten Daten, der Menge der indizierten Daten, der Speicherkapazität oder der Aufbewahrungsdauer lizenziert. Ist die Zahl der in das SIEM-System einfließenden Ereignisse zu hoch, beginnen Organisationen unter Umständen, Datenquellen einzuschränken (indem sie bestimmte Systeme ausschließen), den Detailgrad der Logs zu verringern oder die Aufbewahrungsdauer von Ereignissen zu verkürzen. Diese Entscheidungen mögen aus finanzieller oder leistungsbezogener Sicht notwendig erscheinen, können die Qualität der Sicherheitsüberwachung jedoch erheblich mindern. Erreichen bestimmte Ereignisse das SIEM-System nicht, behält es möglicherweise nur die letzte verdächtige Aktivität und verliert den Kontext, der zum Verständnis der Angriffskette notwendig ist. Dadurch kann es unmöglich werden, den ursprünglichen Einstiegspunkt zu identifizieren, den Angriffsverlauf zu rekonstruieren, festzustellen, welche Konten oder Systeme kompromittiert wurden, oder zu klären, ob auf Daten zugegriffen wurde. Unter diesen Umständen arbeitet das SIEM-System weiter und erzeugt Alarme, doch das Sicherheitsteam kann die Daten nicht zusammentragen, die nötig sind, um Ausmaß und Umfang des Vorfalls zu bestimmen.

Organisationen im Bereich kritischer Infrastrukturen und in der Fertigungsindustrie stehen vor einer weiteren Herausforderung. Sie betrifft Umgebungen der Betriebstechnik (OT) und industrieller Steuerungssysteme (Industrial Control Systems, ICS). OT- und ICS-Netzwerke werden passiv überwacht, da aktives Scannen und automatisierte Reaktionen auf erkannte Ereignisse (EDR, SOAR) die Kontinuität kritischer oder fertigungsrelevanter Systeme stören können, was zu massiven finanziellen Verlusten oder sogar lebensbedrohlichen Situationen führen kann. Passive Netzwerküberwachung und NDR-Lösungen liefern wertvolle Informationen; diese Überwachung kann jedoch durch proprietäre oder verschlüsselte Industrieprotokolle eingeschränkt sein.

Dies ist nicht die einzige Herausforderung in OT/ICS-Umgebungen. Nach dem PURDUE-Modell[23] ist die OT/ICS-Infrastruktur vollständig von der IT-Umgebung getrennt. Ein OT-NDR-System kann über eine eigene Konsole, ein eigenes Asset-Inventar, eine eigene Alarmklassifizierung und eigene Reaktionsverfahren verfügen, während das IT-Sicherheitsteam SIEM, EDR/XDR, UEBA, SOAR und die Identitätsüberwachung unabhängig davon verwaltet. In diesem Modell erreicht ein OT-Alarm unter Umständen die IT-Sicherheitssysteme nicht, und ein IT-Alarm enthält möglicherweise keine Informationen über den Schweregrad oder die Rolle des industriellen Assets. Dies kann die Erkennung eines APT-Angriffs erschweren. Ein verdächtiges Ereignis in der IT-Umgebung kann wie eine routinemäßige Verwaltungsaufgabe erscheinen, bis es mit dem Zugriff auf ein Gateway verknüpft wird, das dem Zugang zum OT/ICS-Netzwerk dient.

OT- und IT-Überwachung sowie der Plan zur Reaktion auf Vorfälle sollten in einem einzigen Prozess integriert werden. Dieser Prozess sollte die gemeinsame Identifizierung von Ressourcen, eine konsistente Zeitsynchronisierung, einen gemeinsamen Identitätskontext, Informationen zur Geschäfts- und Prozesskritikalität sowie eine klar definierte Verantwortlichkeitsmatrix zwischen dem Sicherheitsteam, den Netzwerkteams, den OT-Ingenieuren, den Anlagenbetreibern und dem Personal für die Reaktion auf Vorfälle umfassen. Zugleich sollte der Prozess getrennte Verfahren zur Reaktion auf Vorfälle für die IT- und die OT-Umgebung enthalten.

Fazit

SIEM-Systeme unterstützen Sicherheitsteams bei der Erkennung von APT-Angriffen, vor allem bei der Analyse von Ereignissen in der IT-Umgebung und der Alarmierung bei erkannten Anomalien. Diese Systeme alarmieren Sicherheitsteams bei Ereignissen, die zuvor als verdächtig definiert wurden, etwa solchen, die auf eine unbefugte Präsenz im Netzwerk oder auf einem Host oder auf den Missbrauch von Berechtigungen hindeuten.

Ein SIEM-System wird dann wirksam sein, wenn die Organisation die Qualität der eingespeisten Daten und die Qualität der Korrelationsregeln sicherstellt, nach denen es arbeitet. Das bedeutet: Wenn die Organisation entscheidet, was protokolliert, was an das SIEM weitergeleitet wird und was einen Alarm auslösen soll, muss sie wissen, welchen Bedrohungen sie ausgesetzt ist und wo diese Bedrohungen in ihrer Infrastruktur auftreten könnten. Solche Informationen sollten vom CTI-Dienst und von der Bedrohungsmodellierung (Threat Modeling) geliefert werden, die die Organisation regelmäßig unter Berücksichtigung ihres spezifischen Kontexts und der CTI-Daten durchführen sollte.

Damit SIEM-Systeme APT-Bedrohungen erfolgreich erkennen können, müssen die in solche Systeme eingespeisten Logs und die Korrelationsregeln CTI-Informationen über die Aktivitäten von Bedrohungsakteuren sowie Daten zu den von diesen Akteuren genutzten TTPs und Werkzeugen verwenden. Darüber hinaus muss das SIEM-System sich der Bereiche bewusst sein, die besonders anfällig für Kompromittierung sind – all jener, in denen wertvolle Daten gespeichert sind oder die für die Funktionsfähigkeit der Organisation kritisch sind.

Organisationen müssen außerdem alle ihre Systeme überwachen, einschließlich derjenigen, die sowohl Teil des IKT-Netzwerks als auch der OT/ICS-Netzwerke sind. Obwohl das Purdue-Modell von einer vollständigen Trennung der industriellen Umgebung von der Büroumgebung ausgeht und die Besonderheiten von OT-Netzwerken und ICS-Systemen einen passiven Ansatz erforderlich machen, müssen der Überwachungsprozess für beide Umgebungen und die Reaktionspläne als ein einziger, integrierter Mechanismus funktionieren.

Wir müssen auch die Grenzen von SIEM-Systemen im Blick behalten. APT-Angriffe sind komplex und langwierig. Ohne ergänzende Lösungen wird ein SIEM-System bei der Erkennung dieser Art von Bedrohungen weniger wirksam sein. Durch den Einsatz von Werkzeugen wie UEBA, EDR/XDR und NDR können wir die Bedrohungserkennung jedoch verbessern und die Qualität der in das SIEM eingespeisten Logs steigern. Zudem können wir durch den Einsatz von SOAR-Technologie und deren Integration mit dem SIEM die Reaktionszeit verkürzen, indem wir den Prozess automatisieren.

Wie lautet also die endgültige Antwort auf die Frage, ob und wie SIEM bei der Erkennung eines APT-Angriffs helfen kann? Sie ist eigentlich ganz einfach: Wenn es Teil eines ausgereiften Cybersicherheits-Ökosystems ist, das auf Informationen über die IKT-Infrastruktur, OT/ICS und auf Wissen über potenzielle Bedrohungen beruht, und wenn sein Betrieb durch andere Cybersicherheitslösungen unterstützt wird, dann ist es in der Lage, einen laufenden APT-Angriff zu erkennen und darauf aufmerksam zu machen.

[1] NIST Special Publication 800-39, Managing Information Security Risk: Organization, Mission, and Information System View, National Institute of Standards and Technology https://csrc.nist.gov/pubs/sp/800/39/final

[2] Lockheed Martin, The Cyber Kill Chain®: https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html

[3] MITRE ATT&CK® Framework: https://attack.mitre.org/

[4] CISA, Identifying and Mitigating Living Off the Land Techniques: https://www.cisa.gov/resources-tools/resources/identifying-and-mitigating-living-land-techniques

[5] https://attack.mitre.org/groups/G0016/

[6] https://cloud.google.com/blog/topics/threat-intelligence/apt29-wineloader-german-political-parties

[7] https://attack.mitre.org/groups/G0010/

[8] https://cloud.google.com/blog/topics/threat-intelligence/stockstay-turla-intelligence-gathering

[9] https://attack.mitre.org/groups/G0032/

[10] https://labs.cloudsecurityalliance.org/research/csa-research-note-lazarus-windows-kernel-zeroday-defense-202/

[11] https://attack.mitre.org/groups/G0129/

[12] https://media.defense.gov/2020/Aug/13/2002476465/-1/-1/0/CSA_DROVORUB_RUSSIAN_GRU_MALWARE_AUG_2020.PDF

[13] https://media.defense.gov/2021/Jul/01/2002753896/-1/-1/1/CSA_GRU_GLOBAL_BRUTE_FORCE_CAMPAIGN_UOO158036-21.PDF