Anforderungen an die Cybersicherheit bei Großereignissen

Nach zwei Corona-Sommern finden in diesem Jahr wieder diverse Veranstaltungen und geopolitische Treffen statt. Großereignisse stellen aufgrund des öffentlichen Interesses einzigartige Anforderungen an die Cybersicherheit. Da sich die Bedrohungslandschaft im stetigen Wandel befindet, sollten Organisatoren frühzeitig ihre IT-Schutzmaßnahmen überprüfen und die Cyberabwehr stärken.

Wie Organisatoren dabei am besten vorgehen, beschreibt Stuart McKenzie, EMEA SVP, Consulting bei Mandiant.

Geopolitische Gipfeltreffen, Wahlen und Sportveranstaltungen stellen einzigartige Anforderungen an die Cybersicherheit. Dass sie im Interesse der Öffentlichkeit stehen, verschärft dies noch einmal. Die Abwehr von Cyberbedrohungen muss für Organisatoren deshalb oberste Priorität einnehmen.

Wir befinden uns in einem Sommer voller Veranstaltungen von der Tour de France über den G20-Gipfel bis hin zur FIFA Fußball-Weltmeisterschaft in diesem Winter. Die Verteidigung dieser gesellschaftlichen Ereignisse erfordert aktive Schutzmaßnahmen, die von den neuesten Erkenntnissen über potenzielle Angreifer gestützt werden.

Neben einem strategischen Sicherheitsprogramm sollten die Organisatoren über die technischen Lösungen verfügen, um die Schutzmaßnahmen im Vorfeld einer Veranstaltung zu stärken und die Cyberabwehr währenddessen zu unterstützen.

Um unter dem besonderen Druck der öffentlichen Beobachtung eine schnelle und anpassungsfähige Cyberabwehr gewährleisten zu können, sind eine nachhaltige Fokussierung auf das Thema Cybersicherheit und entsprechende Investitionen erforderlich. Organisatoren sollten sich über drei Schlüsselphasen im Vorfeld und während eines Großereignisses Gedanken machen:

• Die Umgebung verstehen: Vorbereiten, härten und trainieren

• Bedrohungen antizipieren: Testen, überwachen und verteidigen - Angriffe überstehen: Reagieren, eindämmen und wiederherstellen
  
  

Die Umgebung verstehen
Diese Phase sollte vor der Großveranstaltung stattfinden. Sie hat zum Ziel, die Schutzmaßnahmen der Veranstaltung proaktiv aufzubauen. Organisatoren sollten sich fragen, ob sie genug über die potenziellen Widersacher aus dem Cyberraum wissen und ihre Mitarbeiter, Prozesse und Technologien entsprechend vorbereitet haben.

• Kritische Aspekte, die in der Vorbereitungsphase durchdacht werden sollten:

• • Stellen Sie sicher, dass Sie Alerts überwachen und nachgehen können, proaktiv nach Angreifern suchen, Bedrohungen eindämmen und ihre Auswirkungen beheben können.
    
    
  • Stellen Sie Endpunkt- und Netzwerkerkennungstechnologien in der gesamten Umgebung und Multi-Faktor-Authentifizierung für alle Konten und externen Dienste sicher.
    
    
  • Erstellen Sie Alerts für aufkommende und derzeit ausgenutzte Schwachstellen sowie aktuelle und bevorstehende Bedrohungen auf der Grundlage der neuesten Informationen über die Bedrohungslandschaft.
    
    
  • Überwachen Sie die sozialen Medien, Blogs, Foren, Nachrichtenseiten und Chat-Apps auf Bedrohungen, Fehlinformationen und Desinformationskampagnen.
    
    
  • Koordinierung Sie sich mit den zuständigen nationalen Agenturen, um entsprechende Intelligence zu erhalten und beizusteuern.
    
    

Führen Sie, um die Infrastruktur zu härten Kompromissbewertungen durch und validieren Sie Kontrollen. So können Sie die Sicherheit und Integrität der Umgebung und der zu schützenden Kerndaten überprüfen. Machen Sie sich die verschiedenen Wege in diese Umgebung einzudringen bewusst und stellen Sie sicher, dass Sie alle extern verbundene Ressourcen im Netzwerk protokollieren und regelmäßig scannen.

Im Eifer des Gefechts möchten Sie sich nicht erst damit beschäftigen müssen, wer zuständig ist. Deshalb ist es ratsam, vorab ein Krisenreaktionsteam einzurichten und organisatorische, Führungs- und Kommunikationsunterstützung einzuholen.

Führen Sie eine Tabletop-Übung durch, um sicherzustellen, dass alle Teilnehmer ihre Rollen und Verantwortlichkeiten im Falle eines Angriffs kennen. Überprüfen Sie Backup-Verfahren, um sicherzustellen, dass kritische Daten schnell wiederhergestellt werden können und kritische Geschäftsfunktionen verfügbar bleiben.

Bedrohungen antizipieren
Sobald das Großereignis begonnen hat, besteht ein erhöhtes Risiko für zerstörerische oder störende Cyberangriffe. Dies ist der Zeitpunkt, an dem Organisatoren in einen erhöhten aktiven Verteidigungsmodus gehen sollten. Zu den wichtigsten Prioritäten gehören die kontinuierliche Validierung der Sicherheitskontrollen und der Schutz kritischer Ressourcen. Es geht darum, den Zugang zu versperren, den der Widersacher benötigt, um sein Ziel zu erreichen.

Auch hier ist das Testen wichtig: Zum einen sind das Ad-hoc-Penetrationstests aller nach außen verbundenen Assets. Außerdem sollten getestet werden, ob das interne Team und die Technologie die Fähigkeiten haben, Angriffe zu erkennen, zu verhindern und auf sie zu reagieren. Die Reaktionszeiten des Incident-Response-Teams können mit realen Angriffsmethoden von Hackern überprüft werden.

• Entscheidend in dieser Phase ist die Echtzeitüberwachung:

• • Richten Sie einen Einsatzraum für den Informationsaustausch und die Kommunikation zwischen Operations, Intelligence und externen Organisationen ein.
    
    
  • Überwachen, analysieren und melden Sie kontinuierlich relevante Daten und Analysen aus Intelligence-Quellen.
    
    
  • Verfolgen und überwachen Sie insbesondere indikatorloses Verhalten; gehen Sie davon aus, dass Angriffe vorgenommen werden und technische Kontrollen etwas übersehen haben.
    
    
  • Validieren Sie kontinuierlich die Wirksamkeit von Sicherheitskontrollen gegen aktives Angriffsverhalten.
    
    
  • Beschränken Sie die ausgehende Kommunikation von kritischen Systemen.
    
    

Letztendlich sollte der Fokus auf dem Schutz kritischer Assets liegen. Dazu sollten Sie bestimmen, was Ihre Kronjuwelen sind und auf was Widersacher abzielen könnten. Schützen Sie gezielt hochsensible Infrastrukturen und Netzwerkarchitekturen, um den möglichen Zugriff auf kritische Systeme einzuschränken oder zu eliminieren. Zusätzlich sollen Sie über Offline-Backups verfügen, die Sie bei Bedarf verwenden können.

Angriffe überstehen
An diesem Punkt sollten Organisatoren bereits reichlich Zeit investiert haben, um Verteidigungsmechanismen vorzubereiten, aufzubauen und zu testen. Jetzt geht es darum, reaktionsbereit zu sein und die Geschäftskontinuität zu gewährleisten.

Während der Großveranstaltung verläuft die nationale und internationale Berichterstattung sowie die über soziale Medien oft parallel zur Echtzeitaktivität. Deshalb ist es von oberster Priorität, zeitnah auf Vorfälle zu reagieren. Möglich machen dies umfassende Informationen zu den Taktiken, Techniken und Verfahren etablierter und aufkommender Hackergruppen.

Die effektive Reaktion auf Vorfälle geht allerdings über die technische Untersuchung, Eindämmung und Wiederherstellung hinaus und umfasst auch die Kommunikation von Führungskräften und das Krisenmanagement wie rechtliche, regulatorische und PR-Überlegungen.

Dazu ist es notwendig, sich in den potenzieller Widersacher und seine Sicht der Dinge hineinzuversetzen. Die Organisatoren sollten zur Vorbereitung auf einen Vorfall auf reale Erfahrungen und bekannte Bedrohungsdaten zurückgreifen, um ein umfassendes Bild zu erhalten.

Nach der Großveranstaltung sollten sie sich die Zeit nehmen, um die Erfolge, Herausforderungen und Empfehlungen zu erfassen. Wir können immer aus ähnlichen Ereignissen lernen und versuchen, so viele Informationen wie möglich mit anderen zu teilen, um zukünftig ähnliche Umstände zu vermeiden. Denn die Herausforderungen im Bereich der Cybersicherheit, mit denen wir heute konfrontiert sind, sind oft zu groß, um sie allein zu bewältigen.

Eine gut vorbereitete und regelmäßig getestete Cyber-Strategie und ein umfassendes Playbook tragen dazu bei, dass die Veranstaltung nicht nur für die Gastgeber, sondern auch alle Teilnehmer und Zuschauer vor Ort und im Rest der Welt einen freudigen Ausgang hat.