Kolloquium Wi17-18

Um einen Angriff auf ein Unternehmen oder eine Privatperson durchzuführen, benötigt ein Krimineller eine Reihe von Ressourcen: für einen Phishing-Angriff muss z.B. ein E-Mail Template erstellt, eine Malware entwickelt werden, ein Command & Control Server übersendet Steuerungsbefehle und es bedarf einer Infrastruktur, um die Beute zu exfiltrieren. Um Ressourcen zu sparen und ihren Gewinn zu optimieren, verwenden Angreifer diese Ressourcen im Rahmen von mehreren Kampagnen.    

Innovationen wie polymorphe Viren und Malware-Kits machen die robuste Erkennung von Schadsoftware jedoch zusehends schwieriger. Darüberhinaus sorgt eine Diversifizierung von Angriffskanälen, wie z.B. drive-by-attacks, dass eine Detektierung nicht mehr an einem zentralen Punkt erfolgen kann. In diesem Talk zeige ich anhand von Beispielen, wie ein Kill-Chain-basierter Ansatz Angriffe in der Praxis robuster und effizienter erkennen kann. Indem die verschiedenen Komponenten einer vorherigen Kampagne in die Erkennung eingehen, wird der Angreifer gezwungen, jedes Mal seine Strategie zu ändern oder erhebliche Teile der Maschinerie neu zu bauen. Dies erhöht die operativen Kosten von Internetangriffen und macht damit diese Kriminalität für einen Teil der Angreifer unlohnend.