{"id":42285,"date":"2022-12-07T09:23:46","date_gmt":"2022-12-07T08:23:46","guid":{"rendered":"https:\/\/www.skaylink.com\/?p=42285"},"modified":"2025-03-14T15:55:10","modified_gmt":"2025-03-14T14:55:10","slug":"top-5-verdachtsfalle-it-security","status":"publish","type":"post","link":"https:\/\/www.skaylink.com\/de\/insights\/blog\/top-5-verdachtsfalle-it-security\/","title":{"rendered":"Die Top 5-Verdachtsf\u00e4lle in der IT-Security"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Home<\/a><\/span><\/span><\/p>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Blog<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Die Top 5-Verdachtsf\u00e4lle in der IT-Security<\/h1>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\tJeden Tag analysiert das CSC gro\u00dfe Mengen von Verdachtsf\u00e4llen, um Kunden zu sch\u00fctzen. Diese f\u00fcnf Szenarien sind typisch f\u00fcr Angriffe. \t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t7. Dezember 2022\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\n\t\t\t\t\t\t\tSkaylink\t\t\t\t\t\t<\/span>\n\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t
\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Wann SOCs und Sicherheitsbeauftragte besonders aufmerksam sein sollten<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Angriffe auf die IT-Infrastruktur von Unternehmen und Organisationen werden immer komplexer und durchdachter. Eine einfache Firewall? Das reichte in den 80ern vielleicht noch. Heute braucht es ein Zusammenspiel aus Sicherheitsl\u00f6sungen und dem menschlichen Blick, um Attacken fr\u00fchzeitig zu erkennen und abzuwehren. Das Cyber Security Center<\/a> (CSC) von Skaylink analysiert jeden Tag gro\u00dfe Mengen von Vorg\u00e4ngen und Verdachtsf\u00e4llen, um Kunden vor Datenverlusten und Erpressung zu sch\u00fctzen. Diese f\u00fcnf Szenarien sind dabei besonders typisch f\u00fcr Angriffe:<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t
Heute braucht es eine tiefe, d.h. mehrstufige Sicherheitsarchitektur, um Angriffe abzuwehren. Moderne L\u00f6sungen mit KI- und Machine Learning-Elementen sind perfekt darauf ausgerichtet. <\/figcaption>\n\t\t\t\t\t\t\t\t\t\t<\/figure>\n\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

1.\tAccounts werden in schneller Folge erstellt und gel\u00f6scht<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Ein potenzieller Angreifer kann seine Anwesenheit \u00fcber Identit\u00e4tsdiebstahl verschleiern. Er verursacht dadurch nur schwer erkennbare Verhaltensmuster, die eine Detektion erschweren.<\/p>

Um gew\u00f6hnliches von ungew\u00f6hnlichem Verhalten, oder sogar schadhaften Verhalten zu differenzieren, werden Verhaltensmuster erstellt. Das Erstellen und L\u00f6schen von Accounts generiert ein so genanntes Event. Diese Events werden mit Hilfe von Schwellwerten \u00fcberwacht und miteinander verglichen. KI-gest\u00fctzte L\u00f6sungen, wie Azure Active Directory, sind besonders hilfreich beim Erstellen von vordefinierten Schwellwerten. Werden verh\u00e4ltnism\u00e4\u00dfig viele Events innerhalb einer kurzen Zeitspanne generiert, so l\u00e4sst dies auf ein Verhalten schlie\u00dfen, welches ungew\u00f6hnlich und vermutlich ungew\u00fcnscht ist. In diesem Fall wird ein Alarm ausgel\u00f6st. Die Skaylink-Expert*innen k\u00f6nnen hier eingreifen, um das Problem zu l\u00f6sen oder geben eine konkrete Empfehlung ab, die bei der L\u00f6sung des Problems weiterhelfen kann.\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

2. Ungew\u00f6hnlich hoher Datenverkehr<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Ein ungew\u00f6hnlich hohes Aufkommen an Datenvolumen, etwa nach dem Installieren einer neuen App, kann auf einen Angriffsversuch hindeuten. Auch hier erfassen unsere L\u00f6sungen, die teils mit KI arbeiten \u2013 wie Microsoft Defender for Cloud Apps<\/a> \u2013 Schwellenwerte. Sollte das \u201eGrundrauschen\u201c, also der normale Durchsatz an Datenverkehr ad hoc ansteigen, wird ein Alarm ausgel\u00f6st. Das ungew\u00f6hnliche und atypische Verhalten wird erkannt und beseitigt. Unser Security-Team wird der Ursache auf den Grund gehen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t
Das Volumen des Datenverkehrs kann Aufschluss dar\u00fcber geben, ob im System ein Angriff l\u00e4uft<\/figcaption>\n\t\t\t\t\t\t\t\t\t\t<\/figure>\n\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

3. Ungew\u00f6hnliche Ortswechsel<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Melden sich Nutzer*innen in schneller zeitlicher Folge an unterschiedlichen Standorten an, kann sich dahinter ein Angreifer verbergen, der seine Spur verwischen will. Der Maschine Learning-Algorithmus in Azure AD<\/a> erkennt diese verd\u00e4chtigen \u201eLocation\u201c-Spr\u00fcnge, auch \u00fcber VPN-Verbindungen und aus L\u00e4ndern, die ungew\u00f6hnlich erscheinen. Der Algorithmus lernt bei jedem neuen User innerhalb k\u00fcrzester Zeit das Anmeldeverhalten kennen und entwirft darauf basierend ein Verhaltensmuster. In einer Anlernphase werden typische Ereignisse identifiziert: Hierzu geh\u00f6ren regelm\u00e4\u00dfig genutzte VPN\u00b4s von Service Accounts oder bekannte Standorte von Niederlassungen. Diese bekannten Ereignisse werden dann aus dem Bericht herausgefiltert. Das System registriert, wenn einer der Orte f\u00fcr den User untypisch ist oder wenn der Zeitraum zwischen den Sign-ins f\u00fcr einen einzigen User physikalisch nicht m\u00f6glich ist. L\u00f6st der Algorithmus eine Warnung aus, \u00fcberpr\u00fcft das CSC den Vorfall und handelt im Sinne des betroffenen Kunden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t
Verd\u00e4chtige Aktivit\u00e4ten rund um das Erstellen und das Sign-in in User-Konten erfassen L\u00f6sungen wie Azure Active Directory<\/figcaption>\n\t\t\t\t\t\t\t\t\t\t<\/figure>\n\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

4. Ungew\u00f6hnliche Anmeldeeigenschaften<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Jeder Nutzer und jede Nutzerin hat eine Art \u201eFingerabdruck\u201c in der IT, bestehend aus Eigenschaften wie IP, ASN, Standort, Ger\u00e4t, Browser und Mandanten-IP-Subnetz. \u00c4ndern sich pl\u00f6tzlich eine oder mehrere dieser Eigenschaften bei einer Anmeldung, erkennen L\u00f6sungen wie Microsoft Defender for Identity<\/a> dies und geben eine Risikowarnung an das CSC. Verd\u00e4chtige Sign-ins werden dabei sowohl bei interaktiven als auch bei nicht-interaktiven Anmeldungen erkannt.<\/p>

F\u00fcr neu angelegte User braucht das System zun\u00e4chst eine Lernphase, um die typischen Anmeldeeigenschaften zu erkennen und zu speichern. Selbst User, die l\u00e4ngere Zeit inaktiv waren, k\u00f6nnen wieder in diesen \u201eLernmodus\u201c wechseln. Ein Erkennen von Verdachtsf\u00e4llen ist auch f\u00fcr die Standardauthentifizierung m\u00f6glich. Ein Umstieg auf eine moderne Authentifizierung ist empfehlenswert.<\/p>

Eine intelligente Device- und Endpoint-Politik kann hier pr\u00e4ventiv entgegenwirken. Ungenutzte und alte Devices sollten dazu regelm\u00e4\u00dfig aus dem System entfernt werden. Die CSC-Expert*innen empfehlen einen kleinen Asset Management-Check alle sechs bis neun Monate: Reagiert ein angepingtes Ger\u00e4t dabei nicht, sollte es aus der Liste der Managed Devices entfernt werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t
Moderne L\u00f6sungen markieren verd\u00e4chtige Profile, bei denen sich der \u201eFingerabdruck\u201c des Users pl\u00f6tzlich \u00e4ndert<\/figcaption>\n\t\t\t\t\t\t\t\t\t\t<\/figure>\n\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

5. Ungew\u00f6hnliche Dateiaktivit\u00e4t durch externe User<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Ein externer User speichert, versendet, l\u00f6scht oder \u00f6ffnet in kurzer Zeit ungew\u00f6hnlich viel Office-Dateien wie Excel, SharePoint, OneDrive usw. Dahinter kann der Versuch stecken, Daten abzugreifen. Das System erkennt solche ungew\u00f6hnlichen Datentransfers und meldet sie dem CSC mit einer hohen Sicherheitswarnung. Hierf\u00fcr dienen L\u00f6sungen wie etwa Microsoft Defender for Office 365<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t
Was mit Daten im System geschieht, kann wichtige Hinweise auf m\u00f6gliche Angriffe geben<\/figcaption>\n\t\t\t\t\t\t\t\t\t\t<\/figure>\n\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Security Operations Center (SOCs) und Security-Admins sollten in der Lage sein, solche Vorg\u00e4nge zu erfassen, um m\u00f6gliche Angriffe fr\u00fchzeitig zu bemerken. Als von Microsoft zertifizierter Security-Partner und Mitglied der Microsoft Intelligent Security Assoziation bietet Skaylink hier tiefe Expertise. Das Cyber Security Center<\/a> (CSC) \u00fcbernimmt auf Wunsch auch gern das gesamte Sicherheitsmanagement f\u00fcr Kunden. Melden Sie sich jetzt bei uns<\/a> und lassen Sie sich beraten!<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Case Stories<\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t