Ein Gedankenexperiment zu Dead Drop / Asymmetric C2
Um das Prinzip der stillen Exfiltration und der stillen Diagnostik besser zu verstehen, hilft ein Blick in die Audiotechnik.
Ein Netzwerk verhält sich wie ein Mischpult der Regie, auf dem Datenströme, also Signale, geroutet, verarbeitet und überwacht werden.
Der Artikel beschäftigt sich mit der Beobachtung von Systemreaktionen auf logischer Ebene, nicht mit passiver Netzwerkabhörung. Aus diesem Grund gehe ich bewusst nicht auf Network Taps ein.
Das operative Kernproblem lässt sich wie folgt fassen:
Ein kompromittierter Endpunkt oder Nutzer erzeugt ein scheinbar harmloses, standardkonformes Dokument. Bereits dieser Vorgang kann für den Angreifer einen hochwertigen Rückmeldungskanal darstellen.
Zeitpunkt, Ergebnis und absoluter Pfad einer erfolgreichen Dateianlage können als Indikatoren dienen.
Sie können dem Angreifer die erfolgreiche Ausführung seines implantierten Agents bestätigen und zugleich kontextuelle Informationen über die Umgebung liefern.
Wichtig ist dabei eine technische Trennung:
Die Möglichkeit, unter der Identität eines Nutzers in einem bestimmten Verzeichnis eine Datei zu erzeugen, beweist zunächst die entsprechende Schreibberechtigung. Sie beweist nicht automatisch, dass derselbe Nutzer das Verzeichnis auch auflisten oder vorhandene Dateien lesen darf.
Unter Windows sind beispielsweise FILE_ADD_FILE und FILE_LIST_DIRECTORY getrennte Zugriffsrechte. In realen Unternehmensumgebungen treten entsprechende Rechte aufgrund von Gruppenmitgliedschaften und Vererbung häufig gemeinsam auf, zwingend ist dies jedoch nicht.
Die erfolgreiche Dateierstellung kann damit ein Indiz für die effektive Berechtigungstopologie darstellen, sie ersetzt jedoch keine Prüfung der tatsächlichen Lese- und Enumerationsrechte.
Der Angreifer betreibt auf diese Weise stille Vermessung durch systemeigene Aktionen: Er nutzt grundlegende Funktionslogik als Diagnosewerkzeug und versucht, aus normalen Systemreaktionen Rückschlüsse zu ziehen.
Die Verteidigung steht vor der Herausforderung, zwischen alltäglicher Geschäftsaktivität und verdeckter Systemrekonnaissance zu unterscheiden. Auf Ebene eines isolierten Einzelereignisses kann diese Unterscheidung unter Umständen gar nicht existieren.
1. Der Aux-Send als verdeckter Exfiltrationskanal
In der Audiotechnik dient ein Aux-Send dazu, ein Signal von einem Kanal abzuzweigen und an ein externes Gerät, zum Beispiel einen Effektprozessor, zu schicken, ohne den Hauptmix, den Main Out, zu verändern.
In der Cyber Security lässt sich dies als Analogie für Side Channels und verdeckte Informationskanäle verstehen.
Während Firewall, DLP und andere Kontrollsysteme den offensichtlichen Datenverkehr überwachen, kann ein Angreifer Eigenschaften legitimer Prozesse als zusätzliche Informationsträger verwenden.
Dies können Metadaten, Zeitverzögerungen oder, wie im Modell der semantischen Steganografie beschrieben, kontrollierte Abweichungen in legitimen Dokumenten sein.
Die Information verlässt das Haus dann nicht zwingend über einen neu geschaffenen technischen Kanal. Ein bereits erlaubter Geschäftsprozess kann selbst zum Träger werden.
2. Pre-Fader vs. Post-Fader Diagnostik
Ein entscheidendes Konzept ist der Abgriffpunkt des Signals.
Pre-Fader, Diagnostik:
Das Signal wird abgegriffen, bevor der Kanalfader es beeinflusst.
In der Sicherheitsanalogie entspricht dies der Beobachtung von Systemreaktionen auf Aktionen, deren eigentliches Ziel möglicherweise blockiert wurde.
Ein Angreifer kann aus Fehlermeldungen, unterschiedlichen Antwortzeiten, Zustandsänderungen oder dem Ausbleiben erwarteter Vorgänge Informationen gewinnen, obwohl die eigentliche Aktion nicht erfolgreich war.
Die Sicherheitskontrolle verhindert damit möglicherweise das Ziel der Aktion, jedoch nicht zwingend jede Information darüber, wie das System darauf reagiert hat.
Post-Fader, Exfiltration:
Das Signal folgt dem Hauptregler.
Wenn ein legitimer Kanal geöffnet ist, zum Beispiel ein erlaubter Upload zu einem externen Dienst, kann versucht werden, zusätzliche Information innerhalb dieses erlaubten Vorgangs zu transportieren.
Der normale Geschäftsbetrieb selbst wird zum Trägermedium.
3. Content Disarming als „Hard Limiter“
Content Disarm and Reconstruction, CDR, lässt sich in dieser Analogie als technischer Hard Limiter kombiniert mit einem Filter verstehen.
Statt ausschließlich nach bekannten Schadmustern zu suchen, wird ein Dokument zerlegt, unerwünschte oder nicht benötigte Bestandteile werden entfernt und der erlaubte Inhalt wird rekonstruiert.
Das kann insbesondere gegen containerbasierte versteckte Inhalte, aktive Bestandteile, unerwünschte Metadaten und bestimmte Formen der Datei-Steganografie wirksam sein.
Die Analogie besitzt allerdings eine Grenze:
CDR zerstört nicht zwangsläufig semantische Steganografie.
Wenn die Information beispielsweise bereits in der Auswahl oder Reihenfolge legitimer Textbestandteile steckt, kann ein rekonstruiertes Dokument denselben Informationskanal weiterhin enthalten.
CDR kann den Container normalisieren. Es kann aber nicht automatisch jede Bedeutung neutralisieren, die aus dem legitimen Inhalt selbst oder seiner Anordnung entsteht.
Fazit:
Ein Angreifer muss keinen vollkommen neuen Kanal bauen, wenn er vorhandene Effektwege des Systems versteht.
Für die Verteidigung bedeutet dies: Wer nur den „Main Mix“ hört, übersieht möglicherweise Informationen, die durch die Systemlogik selbst entstehen.
Rekonstruktion
I. Rekonstruktion: Das „autonome“ APT-Angriffsmodell
Dieses Modell löst sich von der Vorstellung, dass ein fortgeschrittener Angriff zwingend auf einem permanenten klassischen Command-and-Control-Kanal mit kontinuierlicher Remote-Steuerung basieren muss.
Anstelle laufender Befehlsübertragung können vorbereitete Logiken, legitime Systemfunktionen und normaler Betriebsablauf instrumentalisiert werden.
Strukturwissen als Basis
Ein wesentlicher Teil der Steuerungslogik kann bereits vor der eigentlichen Ausführung festgelegt werden.
Dafür nutzt der Angreifer vorab gewonnenes Strukturwissen und versucht, aus dem späteren Verhalten des Systems Rückschlüsse zu ziehen.
Wenn alle Mitarbeiter sensibilisiert sind und strikte Security Policies existieren und befolgt werden, kann den Beginn dennoch eine technische Schwachstelle oder Fehlkonfiguration markieren.
Ein Beispiel kann ein unbeabsichtigt erlaubter DNS-Zonentransfer, AXFR, sein.
Bei einer entsprechenden Fehlkonfiguration kann ein autoritativer DNS-Server große Teile einer Zone mit Hostnamen und Namensstrukturen offenlegen. Daraus können sich Hinweise auf Rollen, Dienste und historisch gewachsene Strukturen ergeben.
Bei BIND muss dabei die Version berücksichtigt werden:
In BIND 9.18 gilt bei fehlendem allow-transfer noch der historische Default, Zonentransfers zu allen Hosts zu erlauben.
Mit BIND 9.20 wurde dieses Verhalten geändert. Ausgehende Zonentransfers sind dort standardmäßig nicht mehr aktiviert und benötigen eine explizite allow-transfer ACL.
Es geht daher nicht pauschal um „BIND ohne allow-transfer“, sondern um Version, Konfiguration und tatsächliche Erreichbarkeit des autoritativen Dienstes.
Ein erfolgreicher Zonentransfer kann einen hohen Informationsgewinn mit vergleichsweise geringer Interaktion ermöglichen.
Allerdings müssen hier bereits die Alarmglocken läuten.
Auf Basis des gewonnenen Strukturwissens kann ein Mapping entstehen, das Teile einer späteren Live-Steuerung ersetzt.
Jedem Zielsystem kann eine autonome lokale Aktion zugewiesen werden.
Das kann beispielsweise das Erzeugen eines unauffälligen Dokuments nach einem vorab definierten semantischen Codebuch sein.
Es werden in diesem Modell keine fortlaufenden expliziten Befehle benötigt und kein permanenter klassischer C2-Kanal muss bestehen.
Die lokale Logik könnte dem Prinzip folgen:
„Wenn ich User A im System X bin, führe Aktion Y aus.“
Diagnostik ohne dedizierten C2-Rückkanal
Nach der Infiltration kann eine Phase der Diagnostik stattfinden, ohne dass ein unmittelbarer klassischer Request-Response-Kanal zum Angreifer notwendig ist.
Vollkommen ohne irgendeine Form der Beobachtbarkeit gibt es allerdings auch keine Rückmeldung.
Der entscheidende Punkt ist daher nicht die vollständige Abwesenheit eines Informationskanals, sondern dessen indirekte und asynchrone Form.
Der Angreifer kann versuchen, die Reihenfolge entstehender Artefakte, zeitliche Verzögerungen, Zustandsänderungen oder das Ausbleiben erwarteter Aktionen zu interpretieren, sofern er diese Ergebnisse zu einem späteren Zeitpunkt oder über einen anderen legitimen beziehungsweise kompromittierten Beobachtungspunkt wahrnehmen kann.
Aus solchen Mustern können sich Hinweise auf Härtungsmaßnahmen, Segmentierung oder Inline-Kontrollen ergeben.
Das System liefert damit keine klassische explizite Fehlermeldung an einen C2-Server. Seine Reaktion kann dennoch Information tragen.
Dieses Modell ist deshalb weniger „befehlslos“ als vielmehr ohne laufende Remote-Kommandierung, code-arm und durch die Nutzung normaler Prozesse legitim getarnt.
Da es asynchron funktionieren kann und seine Bedeutung erst durch Korrelation entsteht, kann es in bestimmten Situationen funktional dieselbe Aufgabe erfüllen wie ein expliziter Rückmeldekanal, jedoch wesentlich unauffälliger.
Für Blue Teams bedeutet dies eine strategische Zäsur:
Der gefährlichste Feedback-Kanal kann derjenige sein, den das System für normales Arbeiten hält.
Verteidiger müssen berücksichtigen, dass ein Angreifer Systeme nicht nur aktiv steuern, sondern auch deren Normalität lesen kann.
Sicherheit darf daher nicht ausschließlich als Event-Erkennung verstanden werden, sondern muss auch als Architektur-, Rollen-, Kontext- und Bedeutungsproblem betrachtet werden.
II. Semantische Steganografie
Eine weitere Methode, die an historische Buchchiffren erinnert, ist die semantische Steganografie.
Im hier betrachteten Gedankenmodell geht es um Unsichtbarkeit durch Normalität.
Der verdeckte Informationsgehalt muss nicht in fremdartigen Befehlen oder offensichtlich verschlüsselten Daten bestehen.
Stattdessen können vorhandene legitime Textkorpora des Zielunternehmens, beispielsweise Pressemitteilungen, technische Dokumentationen oder Intranet-Inhalte, als Ausgangsmaterial für einen Träger verwendet werden.
Funktionsweise, abstrahiert
Ähnlich historischen Buchchiffren kann die Kommunikation nicht auf dem offensichtlichen Inhalt einer Nachricht beruhen, sondern auf der Referenzierung, Auswahl oder Anordnung vorab bekannter Strukturen.
- Verschleierung: Die erzeugten Artefakte können linguistisch vollständig aus legitimen und unternehmenskonformen Textbestandteilen bestehen.
- Detektionslücke: DLP-Systeme analysieren abhängig vom jeweiligen Produkt und der Policy unter anderem Datenmuster, Klassifizierungen, Labels, Dateieigenschaften und Inhalte. Wenn die zu exfiltrierende Information jedoch nicht als sensibler Klartext im Dokument existiert, sondern ausschließlich aus Auswahl, Reihenfolge oder anderen Eigenschaften legitimer Bestandteile entsteht, kann eine klassische Inhaltsklassifizierung den verdeckten Informationsgehalt übersehen.
Die Gefahr für Blue Teams
Die Bedrohung liegt in der Entkoppelung von sichtbarem Inhalt und kodierter Bedeutung.
Der „Sinn“ der Nachricht für den Angreifer liegt dann nicht ausschließlich darin, was im Dokument steht, sondern möglicherweise darin, welche Kombination legitimer Textbausteine zu welchem Zeitpunkt und in welcher Reihenfolge erzeugt wurde.
Für die Verteidigung bedeutet dies, dass reine Inhaltsanalyse nicht jede Form verdeckter Kommunikation erfassen kann.
Ein Angreifer muss keine sichtbaren Befehle einschleusen, wenn vorhandene Sprache oder Struktur selbst als Codebuch verwendet werden kann.
Ohne in Paranoia zu verfallen: In Relation zum Infiltrationsprozess kann das Ausschleusen sehr kleiner, aber hoch wertvoller Informationen technisch ein deutlich kleineres Problem darstellen als die ursprüngliche Kompromittierung.
Mögliche Gegenmaßnahmen und Indikatoren
Um solche Kanäle zu erkennen, muss Überwachung teilweise von der reinen Inhalts-Ebene auf die Kontext- und Prozess-Ebene erweitert werden.
- Linguistische Kohärenzprüfung: Analyse auf ungewöhnliche Textkomposition, beispielsweise statistisch auffällige Kombinationen oder wiederkehrende Anordnungen von Textbausteinen. Ein solcher Befund ist ein Indikator, kein Beweis.
- Schöpfungs-Telemetrie: Untersuchung der Entstehungsgeschichte einer Datei. Wenn in einem Prozess normalerweise interaktive menschliche Bearbeitung zu erwarten wäre, ein Dokument jedoch vollständig automatisiert und ohne typische Arbeitsschritte entsteht, kann dies zusätzliche Untersuchung rechtfertigen. Automatische Dokumenterzeugung ist in Unternehmen allerdings ebenfalls vollkommen legitim und darf deshalb isoliert nicht als starker Angriffsnachweis betrachtet werden.
- Globales Zeit-Korrelat: Prüfung auf ungewöhnlich synchrones Auftreten strukturell verwandter Artefakte über getrennte Systeme oder Netzwerksegmente hinweg. Auch hier entsteht die Aussagekraft erst aus dem Gesamtkontext.
III. Asymmetrie der Informationsdichte
Ein Credential, ein kryptografischer Hash oder ein Kerberos-Ticket kann im Verhältnis zu typischen Dokumentbeständen eine sehr kleine Datenmenge darstellen.
Sein operativer Wert kann dennoch enorm sein.
Die entscheidende Größe ist daher nicht die Anzahl der übertragenen Bytes, sondern der Informationswert.
1. Der „Tunnel“ durch die Normalität
Ich beschreibe das Szenario:
„Ein automatisch generiertes Marketing-PDF wird an einen externen Übersetzungsdienst gesendet.“
- Sicht des DLP: Abhängig von Policy und Produkt wird das PDF auf definierte sensible Informationen, Klassifizierungen und weitere Merkmale geprüft. Das Dokument enthält ausschließlich legitimen Marketing-Text. Ergebnis unter einer entsprechend konfigurierten Policy: erlaubt.
- Sicht der Netzwerk-Policy: Der externe Dienst ist als geschäftlich zulässiges Ziel freigegeben. Die Verbindung entspricht den geltenden Regeln. Ergebnis: erlaubt.
- Die Realität des Gedankenmodells: Der verdeckte Informationsgehalt steckt nicht zwingend im sichtbaren Text, sondern möglicherweise in einer vom Angreifer kontrollierten Struktur.
Beispielsweise abstrakt:
Absatz A vor Absatz B = Zustand 0.
Absatz B vor Absatz A = Zustand 1.
Oder eine andere Eigenschaft eines ansonsten legitimen Dokuments dient als vereinbarter Code.
2. Die Grenze klassischer Zero-Trust-Kontrollen
Zero Trust überprüft nicht einfach nur „das Netzwerk“, sondern konzentriert sich auf den geschützten Zugriff auf Ressourcen, Identitäten, Geräte und die fortlaufende Autorisierung mit möglichst geringem implizitem Vertrauen und Least Privilege.
Wenn ein bestimmter Nutzer unter definierten Bedingungen einen Übersetzungsdienst verwenden darf, kann dieser Zugriff aus Zero-Trust-Sicht korrekt autorisiert sein.
Das hier beschriebene Problem liegt eine Ebene darüber:
Autorisierung beantwortet nicht automatisch die semantische Notwendigkeit und Integrität jeder einzelnen autorisierten Handlung.
Die Frage lautet dann nicht nur:
„Darf dieser User diesen Dienst benutzen?“
Sondern zusätzlich:
„Entspricht genau dieses Dokument in genau diesem Kontext dem erwarteten Geschäftsprozess und ist seine Struktur unverfälscht?“
Ein businesskritischer und erlaubter Kanal kann deshalb weiterhin als verdeckter Informationsträger missbraucht werden.
Das ist kein grundsätzliches Versagen von Zero Trust.
Es ist eine Grenze zugriffsorientierter Sicherheitskontrollen gegenüber semantischer oder struktureller Manipulation innerhalb einer bereits erlaubten Aktion.
Die Symbiose: Modell 1 bereitet vor, Modell 2 führt aus
Daraus ergibt sich im Gedankenmodell folgende Kombination:
- Modell 1, Diagnose: Der Angreifer versucht durch beobachtbare Systemreaktionen festzustellen, wie bestimmte legitime Prozesse kontrolliert werden.
- Modell 2, Exfiltration: Ein erkannter schwach kontrollierter oder semantisch nicht interpretierter Geschäftsprozess wird anschließend als Träger verwendet.
Der Angreifer muss dadurch weniger raten. Er hat bereits Informationen über die Reaktion des Systems gewonnen.
Gegenmaßnahmen: Wie man den „Scharfschützen“ findet
Da der sichtbare Inhalt nicht zwangsläufig bösartig ist, müssen Datei und Prozess je nach Schutzbedarf transformiert, kontextuell bewertet oder stärker autorisiert werden.
1. Content Disarm and Reconstruction, CDR
CDR ist eine mögliche technische Gegenmaßnahme gegen aktive Inhalte, unerwünschte Bestandteile und bestimmte versteckte Kanäle innerhalb von Dokumentcontainern.
- Das Prinzip: Eine Datei wird nicht ausschließlich gescannt. Sie wird analysiert, erlaubte Bestandteile werden extrahiert und daraus wird ein neues Dokument erzeugt.
- Mögliche Wirkung: Unerwünschte Metadaten können entfernt, aktive Inhalte verworfen und eingebettete Objekte oder bestimmte binäre Manipulationen neutralisiert werden.
- Grenze: Nicht jede Steganografie wird dadurch zwingend zerstört. Wenn die verdeckte Information bereits im legitimen Inhalt, in dessen Auswahl oder in einer Reihenfolge steckt, die bei der Rekonstruktion erhalten bleibt, kann der semantische Kanal bestehen bleiben.
Ein einfaches „Text extrahieren und neues PDF erzeugen“ kann deshalb einen containerbasierten Kanal zerstören und gleichzeitig einen semantischen Kanal unverändert weitertragen.
CDR normalisiert den Container. Es garantiert keine Neutralisierung jeder möglichen Bedeutung.
2. Egress-Traffic-Baselining
Auch wenn der Inhalt legitim aussieht, kann das Verhalten abweichen.
- Analyse: Ein User sendet normalerweise wenige Dokumente an einen bestimmten externen Dienst. Innerhalb kurzer Zeit verändert sich Frequenz, Volumen oder Muster deutlich.
- Alarm: UEBA oder andere Anomalieerkennung kann auf die Abweichung reagieren, nicht weil der einzelne Inhalt als bösartig klassifiziert wurde, sondern weil der Vorgang von der etablierten Baseline abweicht.
Auch diese Abweichung ist zunächst ein Indikator und kein Beweis.
3. „Eyes-on-Glass“ für Critical Assets
Für besonders sensible Egress-Kanäle können zusätzliche Kontrollen notwendig sein.
Dazu können, soweit technisch, organisatorisch und rechtlich vertretbar, TLS-Inspection, detailliertere Prozesstelemetrie, gezielte Reviews und kontextbezogene Analysen gehören.
Eine solche Analyse könnte beispielsweise fragen:
„Warum weicht die Struktur oder Metadatenverteilung dieses Dokuments deutlich von vergleichbaren Dokumenten desselben Geschäftsprozesses ab?“
Die eigentliche Stärke liegt nicht darin, jede einzelne Datei als gut oder böse zu klassifizieren.
Sie liegt in der Kombination aus Inhalt, Entstehung, Identität, Ziel, Zeitpunkt und historischem Verhalten.
IV. Offensive Korrelation
1. Das SIEM als mögliche Korrelations-Engine für den Angreifer
Ein SIEM aggregiert, normalisiert und korreliert Daten.
Genau diese zentrale Sichtbarkeit macht es selbst zu einem High Value Asset.
Wenn ein Angreifer Zugriff auf ausreichend detaillierte SIEM-Rohdaten oder entsprechende Analysefunktionen erhält, kann dieselbe Korrelation, die ursprünglich der Verteidigung dienen sollte, für offensive Rekonstruktion verwendet werden.
Am Beispiel von DNS:
Wenn relevante Bestandteile verdächtiger DNS-Kommunikation vollständig in zentralen Logs enthalten sind, kann ein kompromittierter Analysekontext diese Ereignisse unter Umständen wieder zusammenführen.
Ob daraus tatsächlich Nutzdaten rekonstruiert werden können, hängt allerdings davon ab, welche Teile der DNS-Anfragen überhaupt protokolliert, gespeichert, normalisiert oder möglicherweise gekürzt wurden.
Das SIEM korreliert also nicht automatisch „für den Angreifer“.
Es stellt jedoch eine zentralisierte Informationsbasis bereit, deren Kompromittierung dem Angreifer eine Sicht verschaffen kann, die er sich im Netzwerk sonst erst mühsam zusammensetzen müsste.
2. Korrelation von Input und Feedback, „Blind Injection“
Bei blinden Angriffstechniken sieht der Angreifer das direkte Ergebnis einer Aktion nicht zwingend.
Er kann deshalb versuchen, einen ausgelösten Effekt über einen anderen beobachtbaren Kanal mit dem ursprünglichen Input zu korrelieren.
Das Grundprinzip lautet:
Aktion A wird ausgelöst.
An anderer Stelle tritt Ereignis B auf.
Kann der Angreifer beide Ereignisse hinreichend sicher miteinander verbinden, entsteht daraus Information über die interne Verarbeitung.
3. „Polyglot“-Angriffe als System-Mapping
Payloads oder Eingaben können so gestaltet sein, dass sie von unterschiedlichen Parsern, Komponenten oder Verarbeitungsschichten unterschiedlich interpretiert werden.
Der interessante Punkt für dieses Gedankenmodell ist nicht ein bestimmter konkreter Exploit.
Interessant ist die mögliche Korrelation:
Welche Komponente reagiert?
Welche Verarbeitungsschicht interpretiert welchen Bestandteil?
Welche Eingabe erreicht welchen Systemteil?
Aus unterschiedlichen Reaktionen kann ein Angreifer versuchen, ein Modell des internen Verarbeitungspfades aufzubauen.
4. Verbindung zum Modell der stillen Diagnostik
Das zuvor skizzierte Modell basiert wesentlich auf Korrelation.
Wenn keine laufende direkte Kommandierung stattfindet, muss der Angreifer mögliche Systemreaktionen interpretieren.
Dazu gehören:
- das Ausbleiben eines erwarteten Ereignisses
- unterschiedliche zeitliche Muster
- erfolgreiche oder fehlgeschlagene Zustandsänderungen
- das Auftreten bestimmter Artefakte
Wichtig ist:
Das Ausbleiben eines Ereignisses beweist nicht automatisch, welche Sicherheitsmaßnahme dafür verantwortlich war.
Erst wiederholte Beobachtung und zusätzliche Kontextinformation können eine Hypothese stützen.
V. Mögliche Strategien
Es ist eine Gratwanderung, das ist sicher, die in der Regel zu Lasten der Ressourcen geht.
Wenn wir uns jedoch auf das Beste hoffend und das Schlimmste erwartend bewegen, müssen die Zügel bei besonders kritischen Systemen möglicherweise weiter gestrafft werden.
Mögliche Gegenmaßnahmen
Eine Möglichkeit besteht in der logischen oder physischen Trennung sicherheitsrelevanter Informationsbestandteile.
Der Begriff DB Sharding wäre dafür allerdings technisch nicht präzise.
Sharding bezeichnet typischerweise die horizontale Verteilung von Datenbeständen, häufig aus Gründen der Skalierbarkeit.
Das hier gemeinte Sicherheitsprinzip entspricht eher einer Fragmentierung, vertikalen Partitionierung oder informationellen Segmentierung mit getrennten Berechtigungsgrenzen.
Ein einzelner SIEM-Logeintrag könnte beispielsweise logisch aus mehreren Informationsdomänen bestehen, während das Dashboard nur eine kontrollierte Projektion davon erhält.
Wenn DNS-Anfragen, Timestamp-Metadaten, Identitätsauflösung und Source-Informationen getrennten Berechtigungsmodellen unterliegen, kann ein kompromittierter Read-Only-Kontext nicht zwangsläufig den vollständigen Ereigniskontext rekonstruieren.
Wichtig:
Die bloße Aufteilung auf mehrere Tabellen erzeugt noch keinen Sicherheitsgewinn.
Wenn derselbe Account weiterhin sämtliche Tabellen lesen und miteinander verknüpfen darf, wurde nur das Datenmodell verändert.
Der Sicherheitsgewinn entsteht erst durch getrennte Zugriffsrechte, sichere Views, Row- oder Column-Level-Security, Query-Broker, JIT-Berechtigungen oder vergleichbare Grenzen.
Sicherheitsgewinn durch Fragmentierung
Ein Analyst mit Dashboard-Zugriff könnte ausschließlich vorberechnete oder begrenzte Korrelationen sehen, während vollständige Rohdaten für freie Ad-hoc-Queries nicht grundsätzlich verfügbar sind.
Dies folgt dem Principle of Least Privilege und reduziert die Möglichkeit, dass ein einzelnes kompromittiertes Konto vollständige Ereigniskontexte extrahieren kann.
Query-basierte View-Konstruktion statt physischer Fragmentierung
Moderne Datenbanken ermöglichen Views und andere kontrollierte Zugriffsschichten.
Rohdaten können weiterhin in für Performance optimierten Strukturen gespeichert werden, während Benutzer nur auf definierte Projektionen zugreifen.
Auch hier gilt:
Eine View ist nur dann eine Sicherheitsgrenze, wenn die zugrunde liegenden Tabellen für den jeweiligen Account tatsächlich nicht direkt erreichbar sind und das Datenbanksystem die entsprechenden Berechtigungen zuverlässig erzwingt.
Rollenbasierte View-Segmentierung
Vorstellbar wäre beispielsweise:
Standard-Analysten: Zugriff nur auf Dashboard-Views mit begrenzten und aggregierten Daten.
Incident Responder: JIT-Zugriff auf vollständige Logs für einen definierten Incident.
Threat Hunter: Erweiterte Rohdatenzugriffe innerhalb gesonderter Rollen und Auditierung.
Besonders kritische Rekonstruktionen könnten zusätzlich durch Vier-Augen-Freigaben geschützt werden.
User-bestätigte Sicherheitsfreigabe als zusätzliche Kontrolle
Bevor bestimmte sensible Dokumente das Netzwerk verlassen, kann ein Vorgang pausiert und eine explizite Bestätigung des initiierenden Users verlangt werden.
Der Nutzer erhält beispielsweise die Information:
„Dokument ‚Marketing_Q1_2026.pdf‘ an externen Übersetzungsdienst senden?“
Eine solche Freigabe kann vollautomatische Exfiltrationsversuche erschweren.
Sie ist jedoch kein Ersatz für CDR und kein Beweis für die Integrität des Dokuments.
Wenn der Nutzer den Upload tatsächlich ausführen wollte und ein Angreifer lediglich das legitime Dokument zuvor manipuliert hat, kann der Nutzer den manipulierten Transfer selbst bestätigen.
Ebenso schützt MFA nicht grundsätzlich gegen Social Engineering oder Session-Kompromittierung.
Die Kontrolle beantwortet primär:
Hat ein autorisierter Mensch diesen Transfer bewusst freigegeben?
Sie beantwortet nicht automatisch:
Ist der Inhalt dieses Transfers unverfälscht?
Vier-Augen-Prinzip für hochsensible Daten
Bei Dokumenten mit besonders hoher Klassifizierung kann ein Vier-Augen-Prinzip eingesetzt werden.
Der Upload-Initiator kann den Transfer nicht alleine freigeben. Stattdessen wird ein Genehmigungsworkflow an einen definierten Approver gesendet.
Auch dies erhöht die Hürde und verbessert Auditierbarkeit, verhindert aber nicht automatisch verdeckte Informationskanäle innerhalb eines legitim erscheinenden Dokuments.
| Kriterium | User-Freigabe / Vier-Augen-Ansatz | CDR | Bewertung |
|---|---|---|---|
| Performance-Impact | Geringe technische Verarbeitung, dafür User-Latenz | Abhängig von Dateityp, Transformation und Infrastruktur | Kontextabhängig |
| Funktionale Integrität | Originaldatei bleibt grundsätzlich unverändert | Rekonstruktion kann Eigenschaften oder Funktionen verändern | Vorteil Freigabe bei Integrität |
| Schutz gegen containerbasierte Steganografie | Indirekt | Je nach Rekonstruktionsverfahren direkt | Vorteil CDR |
| Schutz gegen semantische Steganografie | Begrenzt | Ebenfalls begrenzt, wenn Bedeutung erhalten bleibt | Kein vollständiger Schutz |
| Compliance-Nachweis | Identitäts- und Freigabe-Audit-Trail möglich | Sanitization- und Processing-Logs möglich | Unterschiedliche Nachweise |
| Operational Overhead | Freigabeprozesse und Schulung | Policy-Tuning, Verarbeitung und Kompatibilität | Einsatzabhängig |
Praktische Implementierung mit DLP-Integration
Moderne DLP-Systeme können abhängig vom Produkt und Einsatzbereich Benutzerinteraktion, Blockierung, Overrides und Begründungen in den Prozess integrieren.
Microsoft Purview unterstützt beispielsweise Block with override und kann bei entsprechenden Policies eine Begründung des Nutzers erfassen und auditieren.
Das ist allerdings nicht automatisch dasselbe wie eine kryptografisch erzwungene MFA-Freigabe oder ein echtes Vier-Augen-Verfahren.
Solche stärkeren Workflows können zusätzliche Integrationen oder separate Freigabemechanismen erfordern.
Empfehlung: Hybrid-Ansatz
Eine mögliche Lösung kombiniert mehrere Techniken abhängig vom Risikoprofil.
Niedrig sensibel, beispielsweise Marketing-Texte:
Normale Egress-Kontrolle, Logging und bei ungewöhnlichen externen Zielen zusätzliche Bestätigung.
Mittel sensibel, beispielsweise Finanzberichte:
Stärkere Freigaberegeln, gegebenenfalls Vier-Augen-Prinzip und Content-Normalisierung beziehungsweise Metadatenbereinigung.
Hoch sensibel, beispielsweise Credentials, Schlüsselmaterial oder besonders schützenswertes geistiges Eigentum:
Für Credentials und Schlüsselmaterial sollte der normale Dokument- und Uploadweg grundsätzlich nicht als zulässiger Transferkanal dienen.
Für notwendige Transfers hochsensibler Informationen kommen Default-Deny, dedizierte sichere Transferwege, JIT-Freigaben, Vier-Augen-Prinzip und technische Transformation dort infrage, wo die Transformation mit dem Geschäftsprozess vereinbar ist.
Erkenntnis: Man kann weder behaupten 100% Schutz zu haben, noch man sei schutzlos. Die Wahrheit ist, Sicherheit ist ein ewiges Spannungsfeld und hochgradig evolutionär, unter ständigem Wandel.
Auch kann man die hier beschriebenen Schutzmaßnahmen nicht annähernd standardisiert umsetzen, allen voran CDR ist extrem aufwendig. Über die Kosten oder die praxist-untauglichkeit in vielen Szenarien will ich garnicht erst sprechen.
Den Zeitaufwand mal ganz außer Betrachtung lassend.
Stellen Sie sich einmal vor: Eine Gruppe entwickelt eine hochgradig komplexe Angriffsmaschinerie für sich, oder als Geschäftsmodell und kann es skalieren. Der Schutz dagegen aber hängt von einer mindestens ebenso feinen Verteidigung aus. Und dieser Schutz müsste sich erst auch skalieren lassen, damit es jemand entwickelt. Es ist wie mit der Pharma Forschung seltener Krankheiten:
Es kostet Geld und verspricht keinerlei Skalierung und deswegen werden keine Medikamente gegen statistisch äußerst unwahrscheinliche Krankheitsbilder entwickelt oder es gibt Sie und wir hören nichts davon, weil es in einer völlig andere Preisdimension liegt.
In eigener Sache:
Ich lerne mit einem Ansatz, der heute häufig als Feynman-Methode bezeichnet wird.
Manche nennen es Trick. Für mich ist es wirklich Methode.
Erkläre es Dir selbst, als müsstest Du es einem Kind erklären.
Identifiziere deine Wissenslücken.
Vereinfache es und verknüpfe es.
Und die Verknüpfungen selbst funktionieren für mich am besten, wenn Neues mit Wissen und Erinnerungen verbunden wird, die bereits vorhanden sind.
Analogien schaffen dabei keine magischen Shortcuts im Gehirn. Sie können aber neue Informationen mit bestehenden Wissensstrukturen verbinden und dadurch gute Abrufanker schaffen.
Für mich ist nicht das bloße Verlangen nach Informationen intrinsisch interessant, sondern die Korrelation und die Kausalitäten, die sich aus ihnen ergeben.
Ganz wichtig:
Ich muss das Rad nicht neu erfinden.
Ehre wem Ehre gebührt.
Alle Ehre Richard Feynman, David Dunning, Justin Kruger und Laurence J. Peter.
Es sollte doch jedem klar sein, ich habe weder Weisheit mit Löffeln gegessen, noch besitze ich Weisheit.
Wir sind alle kleine Knoten in einem System, das irgendwer geschaffen hat, und stellen nur eine winzige Funktion im Ganzen.
Doch streben wir danach, diese Funktion nach bestem Wissen und Gewissen zu erfüllen.
Es sollte doch jedem klar sein, ich habe weder Weisheit mit Löffeln gegessen, noch besitze ich Weisheit. Wir sind alle kleine Knoten in einem System, das irgendwer geschaffen hat und stellen nur eine winzige Funktion im Ganzen. Doch streben wir danach, diese Funktion nach besten Wissen und Gewissen zu erfüllen.