Nachdenken über Sicherheit nach dem APT-Angriff von Google

Der folgende Text ist einer Präsentation von Kent Walker, Präsident für globale Angelegenheiten, entnommen, die er am 19. Juli 2022 auf der2022NetzwerksicherheitInternationale Konferenzen und TreffenDie Rede.

Ich danke Ihnen für die Gelegenheit, an diesem wichtigen Dialog über Cybersicherheit teilzunehmen.

Wir bei Google sind stolz darauf, dass wir mehr Menschen im Internet schützen als jeder andere Anbieter auf der Welt. Aber das ist nicht immer der Fall.

Deshalb möchte ich Ihnen zunächst eine Geschichte erzählen, wie wir es falsch gemacht haben, und zwei Dinge, die wir alle aus dieser Erfahrung lernen können. Mein Vater hat mir immer gesagt, dass es am günstigsten ist, aus den Fehlern anderer Leute zu lernen. Lassen Sie mich Ihnen also von einem unserer Fehler erzählen.

Einige von Ihnen werden sich vielleicht daran erinnern, dass Google Ende 2009 Opfer eines großen Cybersecurity-Angriffs mit dem Codenamen Operation Aurora.

Seit langem haben wir einige der am häufigsten angegriffenen Websites der Welt. Aber Aurora ist etwas Besonderes.

Aurora war ein von der chinesischen Regierung lancierter Angriff, ein schwerwiegender Sicherheitsvorfall, der zum Diebstahl des geistigen Eigentums von Google führte.

Aber Aurora ist mehr als nur ein Sicherheitsvorfall. Es geht nicht nur um Google.

Im Rahmen unserer Untersuchung fanden wir heraus, dass mehrere andere bekannte Unternehmen von ähnlichen Angriffen betroffen waren. Die anderen Unternehmen haben die Angriffe entweder nicht entdeckt oder wollten sie nicht offenlegen. Als ich Bundesstaatsanwalt war und mich auf Technologiedelikte spezialisierte, bestand eine der größten Herausforderungen darin, Unternehmen dazu zu bringen, an die Öffentlichkeit oder sogar an die Behörden zu gehen.

Deshalb halten wir es für wichtig, über diesen Angriff zu sprechen und die Welt über seine Auswirkungen zu informieren,Hacker (Informatik) (Lehnwort)Methodik und die gefährdeten Sektoren.

Wir arbeiten mit der US-Regierung zusammen, um Bedrohungsvektoren und Schwachstellen auszutauschen.

Und das war noch nicht alles: Nach Aurora haben wir ein ganzes Team mit dem Namen Project Zero gegründet, das bisher unentdeckte Zero-Day-Schwachstellen in unserer eigenen Software und in der Software anderer Unternehmen aufspürt und umgehend veröffentlicht, um die Messlatte für die Sicherheit für alle höher zu legen.

Die Threat Analysis Group (TAG) von Google befasst sich heute mit einer Reihe von anhaltenden Bedrohungen, von staatlich unterstützten Angreifern über kommerzielle Überwachungsanbieter bis hin zu Kriminellen, und veröffentlicht regelmäßig Angriffe ausländischer Angreifer, einschließlich sorgfältiger Zuordnungsarbeit.

Daher würde ich sagen, dass die erste bleibende Lektion aus dem Aurora-Angriff die Notwendigkeit ist, Offenheit und Transparenz in die Struktur der Cybersicherheitsreaktion einzubauen. Das ist nicht immer einfach - wir mussten auf dem Weg dorthin einige schwierige Gespräche mit Partnern und unseren eigenen Teams führen - aber es ist notwendig, um die Branche voranzubringen und sicherzustellen, dass Fehler schnell behoben werden, bevor sie in freier Wildbahn ausgenutzt werden können.

In den darauffolgenden Jahren haben wir Grundsätze entwickelt, um sicherzustellen, dass wir in der Lage sindVerantwortungsvoll, transparent und hilfsbereitTeilen Sie Schwachstellen mit der Öffentlichkeit, unseren Partnern und den Strafverfolgungsbehörden,Netzwerkangriff(z. B. Angriffe auf Wahlen) und Kenntnisse über Desinformationskampagnen.

Im Gegenzug hat die US-Regierung ein eigenes Verfahren eingeführt, um den Informationsaustausch mit Industriepartnern zu erleichtern und den Patching-Prozess zu beschleunigen, der uns alle schützt.

Aber der Wert der Transparenz ist nicht der einzige Grund, warum ich die Aurora-Geschichte erwähne.

Aurora lehrte uns nicht nur die Notwendigkeit von Transparenz, sondern auch eine zweite, noch wichtigere Lektion: Was funktioniert und was nicht, wenn es um die Sicherheitsarchitektur geht.

Es ist möglich, nur den Informationsaustausch zu überindizieren.

In gewisser Weise ist es sogar noch wichtiger, sich auf die Grundlagen der Softwaresicherheit zu konzentrieren, um uns alle über das heutige Maß an Unsicherheit zu erheben.

Wir kuratieren und nutzen Bedrohungsdaten, um Milliarden von Nutzern zu schützen - und das schon seit geraumer Zeit. Aber Sie brauchen mehr als nur Informationen, und Sie brauchen mehr als nur Sicherheitsprodukte - Sie brauchen Sicherheitsprodukte.

Die Sicherheit muss eingebaut werden, nicht nur fixiert.

Aurora zeigt uns, dass wir (und viele in der Branche) die Cybersicherheit falsch handhaben.

Damals war die Sicherheit in der Regel "außen knusprig, in der Mitte knackig". Gut für Schokoriegel, aber nicht so gut, um Angriffe zu verhindern. Wir bauten hohe Mauern, um Angreifer fernzuhalten, aber wenn sie diese Mauern überwunden hatten, hatten sie freien Zugang zum Inneren.

Dieser Angriff hat uns zu der Erkenntnis verholfen, dass wir unseren Ansatz ändern müssen - wir müssen die Sicherheit durch Design verdoppeln.

Wir brauchen ein zukunftssicheres Netz, das die Offenheit, Flexibilität und Interoperabilität des Internets und die Art und Weise widerspiegelt, in der Menschen und Organisationen bereits heute in zunehmendem Maße arbeiten.

Kurzum, wir wussten, dass wir die Cloud-Sicherheit neu gestalten mussten.

Daraufhin starteten wir eine interne Initiative namens BeyondCorp, die das Konzept des Nullvertrauens und der Tiefenverteidigung einführte und es jedem Mitarbeiter ermöglichte, in einem nicht vertrauenswürdigen Netzwerk zu arbeiten, ohne ein VPN zu verwenden. Heute verfolgen Organisationen auf der ganzen Welt denselben Ansatz und verlagern die Zugangskontrolle vom Netzwerkrand auf Personen und Daten.

Wenn man zu den heutigen hybriden Cloud-Umgebungen vorspult, ist Zero Trust ein Muss.

Im Mittelpunkt von Zero Trust steht die Idee, dass Sicherheit keine klaren Grenzen hat. Sie geht mit dem Nutzer und den Daten einher. Da die Regierung beispielsweise auf eine Multi-Faktor-Authentifizierung in Regierungssystemen drängt, melden wir die Nutzer automatisch bei der zweistufigen Verifizierung an, um zu bestätigen, dass sie es tatsächlich sind, indem sie auf ihr Mobiltelefon tippen, wenn sie sich bei unseren Produkten anmelden.

In der Praxis bedeutet dies, dass die Mitarbeiter von jedem Ort der Welt aus arbeiten und über das Internet auf die sensibelsten internen Dienste und Daten zugreifen können, ohne dass die Sicherheit beeinträchtigt wird. Es bedeutet auch, dass ein Angreifer, wenn er die Schutzmaßnahmen durchbricht, keinen vollständigen Zugang zu internen Daten und Diensten hat.

Die wirksamste Maßnahme, die ein Unternehmen, eine Organisation oder eine Regierung zum Schutz vor Cyberangriffen ergreifen kann, ist die Modernisierung ihrer bestehenden Architektur.

Ist das immer einfach? Nein, aber es lohnt sich, wenn man bedenkt, dass veraltete Architekturen mit Millionen von Zeilen proprietären Codes Tausende von Fehlern aufweisen, von denen jeder eine potenzielle Schwachstelle darstellt.

Zusätzlich zum Austausch der bestehenden Rohrleitungen Wir müssen auch an die nächste Herausforderung denken und die neuesten Instrumente einsetzen.

Während die Welt um die Verbesserung der Verschlüsselung ringt, um der Bedrohung durch die Quantenentschlüsselung zu begegnen, müssen wir in Spitzentechnologie investieren, damit wir den immer raffinierteren Bedrohungen einen Schritt voraus sind.

Die gute Nachricht ist, dass sich die Instrumente der Cybersicherheit rasch weiterentwickeln, von der künstlichen Intelligenz über fortschrittliche Kryptografie bis hin zum Quantencomputing.

Wenn wir heute von "Security by Design" sprechen, ist das, was folgt, "Security by Innovation" - Sicherheit durch Design mit KI und maschinellem Lernen im Hinterkopf - mit dem Ziel, bösen Akteuren mit neuen Werkzeugen zu begegnen, um Filter zu umgehen, verschlüsselte Kommunikation zu hacken und maßgeschneiderte Phishing-E-Mails zu generieren.

Wir verfügen über einige der besten KI-Arbeiten in der Branche und testen neue Methoden und nutzen einige unserer führenden KI-Tools, um Malware und Phishing in großem Umfang zu erkennen. Künstliche Intelligenz ermöglicht es uns, mehr Bedrohungen schneller zu erkennen und gleichzeitig menschliche Fehler zu reduzieren. Künstliche Intelligenz, Graph Mining und prädiktive Analysen können unsere Fähigkeit, Phishing, Malware, missbräuchliche Anwendungen und bösartigen Website-Code zu erkennen und zu blockieren, erheblich verbessern.

Wir freuen uns darauf, mehr von unseren Erkenntnissen weiterzugeben, damit Organisationen und Regierungen darauf vorbereitet sind. Schließlich ist jetzt nicht der richtige Zeitpunkt, um gelernte oder erfolgreiche Techniken unter Verschluss zu halten. Bösewichte suchen nicht nur nach Möglichkeiten, Ihre unbekannten Schwachstellen auszunutzen. Wie Hafnium und SolarWinds suchen sie nach schwachen Gliedern in der Sicherheitskette, die es ihnen ermöglichen, von einem Angriff zum nächsten überzugehen. Eine Schwachstelle in einem Unternehmen kann für eine ganze Branche und Infrastruktur schädlich sein.

Cybersicherheit ist ein Mannschaftssport, und wir müssen alle gemeinsam besser werden, indem wir nicht nur innerhalb der Sicherheitsgemeinschaft, sondern auch zwischen der nationalen Sicherheitsgemeinschaft, den Hochschulen und dem Silicon Valley Brücken bauen.

Ich beginne mit einer Geschichte und möchte Ihnen eine andere erzählen: Cybersicherheit und Russlands Krieg in der Ukraine.

Unser Ansatz hat sich seit Aurora dramatisch verändert. Es gibt vielleicht kein besseres Beispiel für diesen Wandel als unsere Reaktion auf den Krieg in der Ukraine.

Die russische Invasion hat nicht nur einen militärischen und wirtschaftlichen Krieg ausgelöst, sondern auch einen Cyber- und Informationskrieg. In den letzten Monaten haben wir beobachtet, dass immer mehr Bedrohungsakteure - staatliche Akteure und kriminelle Netzwerke - den Krieg als Köder für Phishing- und Malware-Kampagnen nutzen, Spionage betreiben und versuchen, Desinformationen zu verbreiten.

Aber dieses Mal sind wir bereit, unsere Infrastruktur und Prozesse zur Überwachung und Reaktion auf Bedrohungen zu modernisieren, sobald sie auftreten.

Wir haben Tausende von Warnungen an Nutzer geschickt, die von ausländischen Akteuren angegriffen wurden - eine Praxis, die wir nach Aurora eingeführt haben. In der überwiegenden Mehrheit der Fälle haben wir die Angriffe gestoppt.

Wir haben das Projekt Shield ins Leben gerufen, um nicht nur Journalisten, sondern auch gefährdete ukrainische Websites vor DDOS-Angriffen durch Google zu schützen. Während man kleine Websites per DDOS angreifen kann, erwies sich ein DDOS-Angriff auf Google als sehr schwierig. Wir haben eine Phishing-Kampagne von Ghostwriter, einem Schauspieler aus Weißrussland, gestoppt. Außerdem halfen wir der ukrainischen Regierung bei der Modernisierung ihrer Cyber-Infrastruktur, um sie besser vor Angriffen zu schützen.

Wir sind stolz darauf, dass wir das erste Unternehmen waren, das den Sonderpreis der ukrainischen Regierung für diese Bemühungen erhalten hat.

Aber diese Arbeit ist noch lange nicht abgeschlossen.

Schon jetzt gibt es Berichte, dass der Kreml möglicherweise plant, seine Angriffe zu verstärken und eine Desinformationskampagne in Osteuropa und darüber hinaus zu koordinieren, um zu versuchen, die westliche Unterstützung für die Ukraine zu spalten und zu untergraben. Gerade heute hat unser TAG-Team einen neuen Bericht über die Aktivitäten einer Bedrohungsgruppe veröffentlicht, die mit dem russischen Föderalen Sicherheitsdienst FSB und Bedrohungsakteuren in Verbindung steht, die Phishing-E-Mails nutzen, um Regierungs- und Verteidigungsbeamte, Politiker, Nichtregierungsorganisationen, Denkfabriken und Journalisten anzugreifen.

Und über Russland und die Ukraine hinaus sehen wir wachsende Bedrohungen durch den Iran, China und Nordkorea.

Google ist ein stolzes amerikanisches Unternehmen, das sich der Verteidigung der Demokratie und der Sicherheit der Menschen auf der ganzen Welt verschrieben hat.

Wir glauben, dass die Cybersicherheit eines der wichtigsten Themen ist, mit denen wir konfrontiert sind.

Deshalb investieren wir in den nächsten fünf Jahren 10 Milliarden Dollar in die Stärkung der Cybersicherheit, einschließlich der Ausweitung unseres Zero-Trust-Programms, der Unterstützung des Schutzes der Software-Lieferkette und der Verbesserung der Open-Source-Sicherheit.

Aus diesem Grund haben wir gerade eine neue Abteilung - Google Public Sector - gegründet, die sich auf die Unterstützung von Partnerschaften mit der US-Regierung konzentriert. Aus diesem Grund sind wir immer offen für neue Partnerschaften und Projekte mit dem öffentlichen Sektor.

In den letzten Jahren haben wir mit der Foreign Influence Task Force des FBI zusammengearbeitet, um ausländische Beeinflussungsaktionen gegen die Vereinigten Staaten zu erkennen und zu bekämpfen. Wir arbeiten mit dem Cybersecurity Collaboration Centre der NSA zusammen. Wir sind der Joint Cyber Defence Collaborative beigetreten, um zum Schutz kritischer Infrastrukturen beizutragen und die gemeinsame Reaktion auf Vorfälle landesweit zu verbessern.

Es ist von entscheidender Bedeutung, dass unsere gesamte digitale Wirtschaft auf der Höhe der Zeit bleibt. Und es hat einige ermutigende Fortschritte gegeben. So haben wir beispielsweise mit Freude zur Kenntnis genommen, dass der Bericht des Cybersecurity Review Board von letzter Woche die log4j-Schwachstelle untersucht und wichtige Empfehlungen zur Verbesserung des Ökosystems abgegeben hat.

Wir brauchen mehr.

In Zukunft wird unsere kollektive Fähigkeit, Cyberangriffe zu verhindern, nicht nur von der Transparenz abhängen, sondern auch von der Verpflichtung, unsere Abwehrkräfte zu stärken, indem wir uns von veralteten Technologien verabschieden, unsere Infrastruktur modernisieren und in modernste Instrumente investieren, um künftige Herausforderungen zu erkennen und abzuwehren.

Wir können die Bedrohungen von morgen nicht mit den Mitteln von gestern bekämpfen. Wir müssen gemeinsam handeln, um unsere digitale Verteidigung zu stärken. Indem wir die kollektiven Fähigkeiten und Stärken der Vereinigten Staaten nutzen, können wir ein höheres Maß an kollektiver Sicherheit für uns alle erreichen.

Ich danke Ihnen.