Der jährliche Bericht von Mandiant, der bereits zum 15. Mal erscheint, bietet eine fachkundige Trendanalyse, basierend auf Mandiants Untersuchungen von Cyberangriffen im Jahr 2023 und deren Abwehr. Der diesjährige Bericht zeigt unter anderem, dass Unternehmen weltweit ihre Verteidigungsfähigkeiten deutlich verbessert haben und bösartige Aktivitäten, die ihr Unternehmen betreffen, schneller erkennen als in den Vorjahren.
„Angreifer passen ihre Taktiken, Techniken und Verfahren regelmäßig an, um ihre Ziele zu erreichen. Trotzdem haben unsere Ermittler an vorderster Front festgestellt, dass Unternehmen im Jahr 2023 bessere Arbeit geleistet haben, um Systeme zu schützen und Kompromittierungen zu erkennen“, so Jurgen Kutscher, Vice President, Mandiant Consulting bei Google Cloud.
Kutscher fährt fort: „Die Verteidiger können stolz sein – jedoch müssen Unternehmen wachsam bleiben. Ein zentrales Thema der M-Trends 2024 ist, dass Angreifer versuchen, sich durch ausgeklügelte Maßnahmen der Erkennung zu entziehen, um länger in den Systemen zu verweilen. Dabei nutzen sie unter anderem Zero-Day-Schwachstellen aus.“
Globale mittlere Verweildauer erreicht den niedrigsten Stand seit Beginn der Aufzeichnungen
Während der Einsatz von Zero-Day-Exploits zunimmt, zeigt der M-Trends 2024 Report eine deutliche Verbesserung der globalen Cybersicherheitslage. Der globale Median der Verweildauer – also die Zeit, die Angreifer in einer Zielumgebung unentdeckt bleiben – hat den niedrigsten Stand seit über einem Jahrzehnt erreicht. Im Jahr 2023 entdeckten Unternehmen Eindringlinge im Durchschnitt innerhalb von 10 Tagen, ein deutlicher Rückgang gegenüber 16 Tagen im Jahr 2022.
Die kürzere Verweildauer ist wahrscheinlich auf einen größeren Anteil von Ransomware-Vorfällen im Jahr 2023 (23 Prozent) gegenüber 2022 (18 Prozent) zurückzuführen. Mandiant stellte außerdem eine Verbesserung der internen Erkennung von Kompromittierungen im Jahr 2023 fest (46 Prozent), verglichen mit 37 Prozent im Jahr 2022. Diese beiden Trends – kürzere Verweildauer und mehr intern erkannte Angriffe – deuten darauf hin, dass die Verteidiger weltweit über bessere Erkennungsmöglichkeiten verfügen.
Verweildauer nach Region
Eine genauere Untersuchung zeigt, dass die durchschnittliche Verweildauer je nach Region variiert. In der Region Asien-Pazifik (JAPAC) ging die durchschnittliche Verweildauer am stärksten zurück und sank auf 9 Tage, verglichen mit 33 Tagen im Jahr 2022. In der EMEA-Region (Europa, Naher Osten und Afrika) hingegen stieg die Verweildauer leicht von 20 auf 22 Tage. Diese geringfügige Abweichung könnte das Ergebnis einer Normalisierung der regionalen Daten sein, nachdem Mandiant im Jahr 2022 einen beträchtlichen Teil seiner Arbeit in der Ukraine geleistet hat.
Targeting nach Branchen
Der M-Trends 2024 Report zeigt die wichtigsten Trends bei der Ausrichtung von Cyberangreifern auf bestimmte Branchen auf. Mandiant hat im Jahr 2023 am häufigsten auf Eindringlinge im Finanzsektor (17 Prozent) reagiert. Es folgen Unternehmens- und professionelle Dienstleistungen (13 Prozent), Spitzentechnologie (12 Prozent), Einzelhandel und Gastgewerbe (9 Prozent) sowie das Gesundheitswesen (8 Prozent).
Alle Zielbranchen verfügen über eine Vielzahl sensibler Informationen – darunter Geschäftsdaten, personenbezogene Daten, Gesundheitsdaten und Finanzdaten. Dies macht sie zu besonders attraktiven Zielen für Angreifer.
Weitere Erkenntnisse aus dem Bericht sind:
- Verstärkter Fokus auf die Umgehung von Schutzmaßnahmen: Um sich so lange wie möglich in Netzwerken aufzuhalten, nehmen Angreifer zunehmend Edge-Geräte ins Visier. Dabei setzen sie auf „Living-off-the-Land“-Techniken und nutzen Zero-Day-Schwachstellen aus.
- Vermehrte Spionageversuche von China-Nexus-Akteuren: China-Nexus-Spionagegruppen konzentrieren sich weiterhin auf die Beschaffung von Zero-Day-Exploits und plattformspezifischen Tools. Sie werden wahrscheinlich auf Edge-Geräte und Plattformen mit minimalen Sicherheitslösungen abzielen, da es so leichter ist, sie unentdeckt und über einen längeren Zeitraum hinweg zu kompromittieren.
- Zero-Day-Exploits auf dem Vormarsch: Zero-Day-Exploits sind nicht mehr auf wenige, ausgewählte Akteure beschränkt – und die zunehmende Verfügbarkeit hält weiter an. Grund dafür sind Faktoren wie Ransomware- und Datenerpressergruppen, die Zero-Day-Exploits nutzen, andauernde staatlich gesponserter Ausnutzung und die Zunahme kommerziell verfügbarer, „schlüsselfertiger“ Exploit-Kits.
- Cloud-Targeting passt sich der steigenden Cloud-Nutzung an: Mit der zunehmenden Verbreitung der Cloud steigt auch die Zahl der Angreifer, die diese Umgebungen ins Visier nehmen – einschließlich hybrider Cloud-/On-Premise-Konfigurationen. Unternehmen wird empfohlen, strengere Kontrollen zu implementieren, um den Zugriff auf Cloud-Ressourcen auf autorisierte Benutzer zu beschränken.
- Potenzial für Red Teaming mit Large Language Models (LLMs) und KI: Wie andere Cybersicherheitsexperten können auch Red Teams LLMs und KI nutzen. Beispielsweise könnten Red Teams Daten für das Modelltraining generieren, während KI-Entwickler Wege finden, den Zugang zu den trainierten Modellen zu sichern. Diese Synergie könnte die Effektivität von Red Teams erheblich steigern und die Abwehrbereitschaft von Organisationen gegen Cyberbedrohungen verbessern.
- Wandelnde Taktiken zur Umgehung von MFA: Da die Multi-Faktor-Authentifizierung (MFA) zur Standardpraxis wird, entwickeln Angreifer Methoden, um sie zu umgehen. Ein besorgniserregender Trend ist die Zunahme von Web-Proxy- und Adversary-in-the-Middle-Phishing-Seiten (AiTM), die Token für Anmeldesitzungen stehlen und MFA effektiv umgehen.
M-Trends 2024 Methode
Die in M-Trends 2024 aufgeführten Metriken basieren auf Untersuchungen von Mandiant Consulting zu gezielten Angriffsaktivitäten, die zwischen dem 1. Januar 2023 und dem 31. Dezember 2023 durchgeführt wurden. Die gewonnenen Erkenntnisse wurden bereinigt, um die Identitäten der Ziele und ihrer Daten zu schützen.