7 Anwendungsfälle für Netzwerksicherheit

Netzwerksicherheit schützt die Systeme, den Datenverkehr und die Konten, die ein Unternehmen betreiben. Wir untersuchen sieben Anwendungsfälle für Netzwerksicherheit, die jeweils ein Praxisbeispiel darstellen und von der Erkennung von Insider-Bedrohungen bis zur Verwaltung privilegierter Zugriffe reichen.

1. Automatisierte Erkennung und Prävention von Insider-Bedrohungen

Böswillige Insider sind für einen großen Teil der gemeldeten Sicherheitsvorfälle verantwortlich,¹ was es schwierig macht, normale Aktivitäten von schädlichen Aktivitäten zu unterscheiden, da diese Benutzer internen Zugriff haben.

Geschäftliche Herausforderungen

• Erkennung böswilliger Insider: Böswillige Insider sind für ~55% aller gemeldeten Sicherheitsvorfälle verantwortlich.² Es ist für Sicherheitssysteme schwierig, zwischen legitimen und bösartigen Aktivitäten zu unterscheiden, da diese Bedrohungsakteure internen Zugriff auf Unternehmenssysteme und -daten haben.
• Dynamisches Benutzerverhalten: Das Benutzerverhalten kann sich je nach Arbeitsaufträgen, Projekten oder persönlichen Faktoren häufig ändern, was die Erkennung von Anomalien erschwert. Organisationen mit Hunderten von Workflows zeigen möglicherweise keine Benutzeraktivitäten an, während sie auf Sicherheitsvorfälle reagieren.

Wie automatisierte Erkennung und Prävention von Insider-Bedrohungen hilft

Erkennungssysteme für Insider-Bedrohungen (z. B. IPS-Tools) können Änderungen in Benutzerdaten identifizieren und Warnungen oder grafische Einblicke an Sicherheitsteams senden, sodass Unternehmen sich ihrer Netzwerkaktivität bewusst sein können.

Fallstudie: Netskope

Netskope ist ein weltweit tätiges Cybersicherheitsunternehmen, das über 2.000 Kunden betreut. Im Jahr 2023 verwendete Netskope einen manuellen Prozess, der mindestens 5 Mitarbeiter, 10 Tools und 90 Minuten benötigte, um jede Sicherheitsanfrage zu beantworten.

Herausforderungen

Netskope wollte präzise Einblicke in Benutzeraktivitäten gewinnen, die auf risikoreiche Insider-Bedrohungen hinweisen könnten.

• Mangelnde Automatisierung bei der Reaktion auf Insider-Bedrohungen: Netskope verwendete eine manuelle Technik, die mindestens fünf Mitarbeiter, 10 Tools und 90 Minuten Arbeitszeit benötigte, um auf jede Sicherheitsanfrage zu reagieren.
• Mangelnde Einblicke in das Benutzerverhalten: Netskope benötigte Echtzeit- und präzise Einblicke in Benutzeraktionen (z. B. Klicken auf einen Link, Erstellen eines Kontos), die auf Insider-Bedrohungen hindeuten könnten.

Lösungen und Ergebnis

Netskope implementierte ein Security Information and Event Management (SIEM) für Echtzeit-Datenanalyse, das Einblick in das Verhalten von Insider-Bedrohungen bietet.

• Erkennung von Insider-Bedrohungen: Netskope erkannte das Durchsickern von Insider-Daten frühzeitig durch die Automatisierung von über 200 täglichen Workflow-Operationen.
• Erhöhte Netzwerktransparenz: Die SIEM-Implementierung half Netskope, historische Insider-Daten auszuwerten und Benutzeraktivitäten während Insider-Bedrohungsuntersuchungen zu verfolgen.
• Datenüberwachung: Netskope nutzte die Content-Management-Funktion des Cloud-SIEM, um Datendownloads zu identifizieren. Dies ermöglicht es Netskope, böswillige Versuche zu visualisieren, Daten mit Personal oder Wettbewerbern auszutauschen.³

2. Zentralisierte Protokollverwaltung

Die Protokollverwaltung ist in verschiedenen IT- und Geschäftsfunktionen von entscheidender Bedeutung und liefert wertvolle Erkenntnisse und ermöglicht mehrere Anwendungsfälle, darunter Bedrohungserkennung, Business Intelligence und Netzwerküberwachung.

Geschäftliche Herausforderungen

• Volumen: Große IT-Systeme erzeugen eine große Menge an Protokolldaten, was die manuelle Wartung und Auswertung erschwert.
• Komplexität: Protokolle werden aus vielen Quellen und Formaten erstellt, was ihre Aggregation und Analyse erschwert.
• Sicherheit: Protokolle enthalten wichtige Informationen wie Benutzerpasswörter und Netzwerkarchitektur und müssen daher vor unbefugter Nutzung geschützt werden.

Wie zentralisierte Protokollverwaltung hilft

Die Protokollverwaltung ermöglicht eine einfache Analyse und Sicherheitskorrelation. Die Zentralisierung von Protokollen verbessert die Mean Time to Detection (MTTD) und die Mean Time to Resolution (MTTR) bei Anwendungsfehlern und Sicherheitsverletzungen.

Fallstudie: LaBella Associates

LaBella Associates ist ein Full-Service-Ingenieurbüro mit Hauptsitz in New York und über 1.500 Architekten und Mitarbeitern an über 30 Standorten.

Herausforderungen

• Mangelnde Datentransparenz: LaBella benötigte ein Protokollverwaltungssystem, um seine sensiblen Dateiserver zu überwachen, Zugriffsverlaufsberichte zu erstellen und forensische Untersuchungen bei Datenschutzverletzungen zu unterstützen.
• Mangelnde Protokolltransparenz: Der Manager von LaBella Associates gab an, dass sie eine Lösung benötigten, die Dateisystemaktivitäten aufzeichnet und Benutzeran- und -abmeldeaktivitäten überwacht, um Anomalien zu erkennen.
  
• Manuelle Suche nach Anmeldeaktivitäten: Der Manager von LaBella Associates gab an, dass sie zur Überwachung von Dateisystem- oder Anmeldeaktivitäten jeden Dateiserver aufsuchen und manuell nach Protokollen suchen mussten, was zeitaufwändig war.

Lösungen und Ergebnis

LaBella Associates implementierte eine Security Information and Event Management (SIEM)-Lösung mit Protokollverwaltungsfunktionen, um Protokolle domänenübergreifend zu kontrollieren.

• Starke Protokollverwaltung: Das IT-Sicherheitsteam von LaBella Associates konnte Informationen darüber gewinnen, wer sich an kritischen Dateiservern angemeldet hatte, um bei einem Verstoß eine Protokollforensik durchzuführen.
  
• Effektives Zugriffsmanagement: LaBella Associates konnte unerlaubte Gruppenrichtlinienänderungen anzeigen, die von Mitarbeitern und Auftragnehmern mit Zugriff auf das interne Netzwerk vorgenommen wurden. Weiterlesen: Netzwerksicherheits-Policy-Management.
• Erhöhte Domänensicherheit: Das Unternehmen identifizierte hinzugefügte oder bearbeitete Protokolle auf dem Domänencontroller.
  
• Optimierung von Protokolluntersuchungen: LaBella Associates eliminierte das mühsame Verfahren, herauszufinden und festzustellen, wer Gruppenmitgliedschaftsänderungen vorgenommen hatte. ⁴

3. Erkennung abnormaler Benutzerzugriffe

Die Erkennung abnormaler Benutzerzugriffe findet Anmelde- oder Zugriffsmuster, die nicht dem normalen Verhalten eines Benutzers entsprechen. Etwa 70% der Cyberangriffe auf Unternehmen beginnen mit gestohlenen Zugangsdaten, daher ist die Überwachung auf ungewöhnlichen Zugriff wichtig.⁵

Geschäftliche Herausforderungen

• Hohes Datenvolumen und -vielfalt: Große Datenmengen aus verschiedenen Quellen (Webprotokolle, Anwendungsprotokolle, Netzwerkverkehr usw.) müssen verarbeitet und analysiert werden.
  
• Echtzeit-Datenflüsse: Die Erkennung von Anomalien oder Mustern in Echtzeit erfordert hohe Rechenleistung und effiziente Algorithmen. Organisationen, denen es an Automatisierung mangelt, könnten Ausreißer-Zugriffsdatenpunkte in ihren Workflows übersehen.
  
• Komplexe Benutzerinteraktionen: Benutzer interagieren auf komplexe Weise mit Systemen, die schwer zu modellieren und vorherzusagen sind. Dies macht Anomalien ungewöhnlich und schwer zu erkennen.

Wie die Erkennung abnormaler Benutzerzugriffe hilft

Incident-Response-Tools können mögliche Benutzerverstöße durch die Analyse erfolgloser Anmeldeversuche identifizieren.

Autonome Erkennung und Reaktion

Ein Security Operations Center (SOC) ist das Team und die Werkzeuge, die Bedrohungen überwachen und darauf reagieren. Analysten dort sehen mehr Warnungen, als sie lesen können. Viele Warnungen sind Fehlalarme, sodass echte durchrutschen können.

KI-Agenten übernehmen nun den ersten Durchlauf. Ein Agent gruppiert verwandte Warnungen, sammelt Kontext und schlägt gemäß festgelegten Regeln eine Reaktion vor oder führt sie aus. Eine Person behält die Kontrolle über risikoreichere Aktionen.

Die Richtung ist in Anbieter- und Analystenberichten klar, die erwarten, dass ein großer Teil der routinemäßigen SOC-Arbeit innerhalb weniger Jahre auf KI übergehen wird.

Abbildung 1: Erkennung abnormaler Benutzerzugriffe in einem Datensatz

Quelle: Splunk⁶

Fallstudie: Ein führendes Medienunternehmen

Ein führendes Medienunternehmen zielt darauf ab, Anomalien zu erkennen, um sensible Informationen vor den häufigsten Cyberangriffsvektoren in den Datensätzen mehrerer Unternehmen zu schützen.

Herausforderungen

• Hohes Drittparteirisiko: Die Abhängigkeit des Unternehmens von Drittanbietern für Dienstleistungen erhöht die Sicherheitsanfälligkeiten.
  
• Insider-Bedrohungen: Das Unternehmen hatte besondere Herausforderungen mit Insider-Bedrohungen, da Medienmitarbeiter auf sensible Informationen und Technologien zugreifen müssen.

Lösungen und Ergebnis

Das Medienunternehmen setzte User and Entity Behavior Analytics (UEBA)-Software ein, um Anomalien zu erkennen, indem das aktuelle Verhalten mit den etablierten Basislinien verglichen wird.

• User and Entity Behavior Analytics (UEBA): Das Unternehmen nutzte UEBA, um verdächtige Aktivitäten in Echtzeit zu erkennen und Anomalien im Benutzerverhalten zu identifizieren, die auf Sicherheitsrisiken hindeuten könnten.
  
• Verbesserte Netzwerktransparenz: Das Unternehmen gewann bessere Einblicke in seine Sicherheitslage durch die Überwachung und Analyse von Benutzerverhalten, Netzwerkverkehr und Systemaktivitäten.
  
• Fortschrittliche Bedrohungsprävention: Das Sicherheitsteam des Unternehmens überwachte ungewöhnliches Verhalten und Anomalien, erkannte und alarmierte bei gezielten Angriffen und identifizierte ausgeklügelte Bedrohungen wie Malware.

4. Cloudbasiertes Identitätsmanagement

Cloudbasiertes Identitätsmanagement kontrolliert, wer auf in der Cloud gehostete Anwendungen und Daten zugreifen kann. Es legt Zugriffsrechte fest und überprüft diese dienstübergreifend, die außerhalb des Unternehmensnetzwerks liegen.

Geschäftliche Herausforderungen

• Mangelnde Transparenz: Unternehmen mit mehreren Cloud-Diensten, die außerhalb von Unternehmensnetzwerken und über Dritte zugänglich sind, können den Überblick darüber verlieren, wer Zugriff auf ihre Daten hat.
  
• Mandantenfähigkeit: Unternehmen mit mehreren Kundeninfrastrukturen, die in öffentlichen Cloud-Umgebungen gespeichert sind, sind anfälliger für böswillige Angreifer, da Kundeninfrastrukturen Ihre gehosteten Dienste als sekundären Schaden infizieren können.
  
• Zugriffsmanagement und Shadow IT: Unternehmen, die ungefilterten Zugriff auf Cloud-Dienste von jedem Gerät oder Standort aus ermöglichen, könnten die Kontrolle über Zugriffspunkte in Cloud-Umgebungen verlieren. Beispielsweise haben Unternehmen mit von externen Parteien bereitgestellten IT-Systemen eine geringe Kontrolle über das Gerätezugriffsmanagement. Dies wird die Schatten-IT erhöhen und könnte es Angreifern ermöglichen, Netzwerkbeschränkungen zu umgehen.
  
• Compliance: Unternehmen, die Cloud-Sicherheit nicht aktiv überwachen und protokollieren, sind erheblichen Governance- und Compliance-Risiken bei der Verarbeitung von Kundendaten ausgesetzt.

Wie cloudbasiertes Identitätsmanagement hilft

• Flexible Sicherheitskonfigurationen: Cloud-Plattformen ermöglichen schnelle Anpassungen, wenn sich die Anforderungen ändern. Beispielsweise können Sicherheitsteams Firewall-Regeln basierend auf Echtzeit-Bedrohungsinformationen dynamisch anpassen.
• Regelmäßige Sicherheitsupdates: Cloud-Sicherheitsanbieter (CSPs) aktualisieren regelmäßig die Unternehmensinfrastruktur, um vor den neuesten Bedrohungen zu schützen. Beispielsweise können CSPs automatisches Patchen der Cloud-Infrastruktur durchführen, um bekannte Schwachstellen zu beheben.
  
• Erweiterte Sicherheitsfunktionen: Cloud-Service-Provider (CSPs) bieten erweiterte Sicherheitsfunktionen wie Verschlüsselung, Identity and Access Management (IAM) und Bedrohungserkennung, die vor Ort nur schwer zu implementieren sein können. Dies kann Unternehmen helfen, integrierte Verschlüsselungsdienste zu nutzen, um Daten im Ruhezustand und bei der Übertragung zu schützen. Beispielsweise können Sicherheitsteams IAM verwenden, um den Benutzerzugriff zu vereinfachen, indem ein einziger Satz von Anmeldeinformationen den Zugriff auf mehrere Anwendungen ermöglicht (Mitarbeiter, die ihre Unternehmensanmeldedaten verwenden, um auf E-Mail, HR-Systeme und Projektmanagement-Tools zuzugreifen, usw.).
• Reduzierte Investitionsausgaben: Durch die Nutzung von Cloud-Diensten können Unternehmen die Investitionsausgaben für die Anschaffung und Wartung von Sicherheitshardware vor Ort reduzieren. Beispielsweise können Unternehmen cloudbasierte Firewalls und Sicherheitsgateways nutzen, anstatt in teure physische Hardware zu investieren.

Fallstudie: B. Braun

B. Braun ist ein Gesundheitsunternehmen mit Sitz in Deutschland und über 60.000 Mitarbeitern. B. Braun wollte die Sicherheit verbessern, Compliance sicherstellen und den Zugriff auf solide Daten in einer hybriden IT-Umgebung verwalten.

Herausforderungen

• Hohe Mitarbeiterfluktuation verursacht komplexes Zugriffsmanagement: Die Mitarbeiterlandschaft von B. Braun verändert sich ständig aufgrund von Stellenwechseln, Fluktuation und Neueinstellungen.
  
• Manuelle Datenverarbeitung: Die manuellen Prozesse von B. Braun verlangsamten die Erstellung und Löschung von Benutzerkonten. Dies erhöhte das Risiko unbefugter Datenzugriffe und der Nichteinhaltung von Datensicherheitsvorschriften.
  
• Digitale Transformation: B. Braun suchte ein Identitätsmanagementsystem, um die digitale Transformation voranzutreiben. Daher benötigte das Unternehmen eine Lösung, die mit der Infrastruktur vor Ort und Cloud-Diensten wie Office 365 kommuniziert.

Lösungen und Ergebnis

B. Braun in Deutschland automatisierte das Identifikations- und Zugriffsmanagement, um die Sicherheit zu verbessern.

• Sicherstellung des angemessenen Zugriffs für die richtigen Personen: B. Braun nutzte die automatisierte Kontoerstellung und -löschung. Stellen Sie sich beispielsweise vor, die Personalabteilung gibt Informationen zu neuen Mitarbeitern ein (Name, Position, Abteilung, Startdatum). Die IAM-Lösung half dem Unternehmen, automatisch Benutzerkonten für die neuen Mitarbeiter in verschiedenen Systemen wie Active Directory (AD), E-Mail-System und Dateispeicher zu erstellen.
  
• Verbesserte Zugriffskontrolle: Die Bereitstellung verbesserte die Einhaltung von Datensicherheitsregeln und verringerte das Risiko unbefugter Nutzung. Beispielsweise wies das IAM-System einem Benutzer eine Rolle basierend auf seiner Jobfunktion innerhalb der Finanzabteilung zu:
  
  • Finanzmanager: Voller Zugriff auf alle Finanzberichte, Transaktionen und administrativen Funktionen.
  • Buchhalter: Zugriff auf tägliche Transaktionsaufzeichnungen, aber nicht auf administrative Einstellungen.
• Digitale Benutzerzugriffsbenachrichtigungen: B. Braun verband seine Infrastruktur vor Ort mit Cloud-Diensten wie Office 365. Die Mitarbeiter verstanden den Zugriffsstatus ihrer Anfragen.⁷
  

5. Überwachung und Analyse bösartigen Netzwerkverkehrs

Die Analyse bösartigen Netzwerkverkehrs überwacht die Netzwerkaktivität auf ungewöhnliches oder verdächtiges Verhalten, das auf einen Angriff hindeuten könnte.

Geschäftliche Herausforderungen

• Komplexität und Datenvolumen: Netzwerkverkehrsdaten können massiv sein und Millionen von Paketen und Verbindungen pro Minute umfassen. Die Analyse dieser riesigen Datenmenge in Echtzeit oder nahezu in Echtzeit erfordert skalierbare und effiziente Erkennungsalgorithmen und Infrastruktur.
• Variabilität der Verkehrsmuster: Legitime Netzwerkverkehrsmuster können je nach Tageszeit, Benutzerverhalten und Anwendungsnutzung stark variieren. Die Unterscheidung zwischen normalen Schwankungen und wirklich bösartigen Mustern erfordert ausgefeilte Anomalieerkennungstechniken.
• Verschlüsselung und Datenschutzbedenken: Die zunehmende Nutzung von Verschlüsselung (z. B. HTTPS, TLS) in der Netzwerkkommunikation verschleiert Paketinhalte, was die Inspektion des Datenverkehrs auf bösartige Nutzdaten oder Muster erschwert.

Wie die Überwachung und Analyse bösartigen Netzwerkverkehrs hilft

Funktionen zur Überwachung und Analyse bösartigen Netzwerkverkehrs können abnormales oder verdächtiges Verhalten im Netzwerkverkehr schnell identifizieren. Unternehmen können Netzwerksicherheit nutzen, um den Netzwerk- oder Portverkehr zu überwachen. Diese Systeme können:

• Netzwerksicherheit überwachen auf potenzielle Datenextraktion.
• Proxy-Kommunikation analysieren, um Ausreißer zu identifizieren.
• Angriffsvektoren erkennen, einschließlich verteilter Denial-of-Service (DDoS)-Angriffe, Botnetz-Aktivitäten und Malware.

Fallstudie: Micron21

Micron21 ist ein Rechenzentrumsdistributor mit Sitz in Melbourne. Es begann mit der Analyse von Ereignisverläufen, Verkehrsprotokollen und verfügbaren Analysedaten.

Herausforderungen

• Massives Netzwerk und Bandbreite: Als das Netzwerk von Micron21 wuchs und die genutzte Bandbreite zunahm, wurde es zunehmend schwieriger, Verkehrsmuster zu bewerten und zu kategorisieren.
• Fragmentierte Datenquellen: Die Daten von Micron21 sind über mehrere Systeme, Abteilungen und Plattformen verteilt, was es schwierig macht, eine einheitliche Sicht zu erhalten.

Lösungen und Ergebnis

Micron21 implementierte eine Netzwerksicherheitslösung zur Überwachung ihres Netzwerks.

• Netzwerkverkehrsanalyse: Micron21 begann mit der Analyse von Ereignisverläufen, Verkehrsprotokollen und zugänglichen Analysedaten.
• Netzwerküberwachung basierend auf IP-Gruppen: Micron21 ermöglicht es Kunden, sich anzumelden und ihren Datenverkehr innerhalb ihrer IP-Gruppe zu untersuchen, und liefert Netzwerkmetriken für den Datenverkehr, der den IP-Bereich des Kunden durchläuft.⁸

6. Privilegiertes Zugriffsmanagement

Privileged Access Management (PAM) kontrolliert den Zugriff auf privilegierte Konten. Diese Konten haben erhöhte Berechtigungen innerhalb von IT-Systemen und erfordern daher strengere Kontrollen als gewöhnliche Benutzerkonten.

Geschäftliche Herausforderungen

• Hohe Anzahl von Konten: Unternehmen unterhalten möglicherweise Dutzende oder sogar Hunderte von privilegierten Konten, um Administratoren die Ausführung kritischer Aufgaben zu ermöglichen. Diese privilegierten Zugangsdaten stellen ein erhebliches Sicherheitsrisiko dar, da sie aufgrund mangelnder Zugriffskontrolle und Transparenz von ihren Besitzern missbraucht oder von Eindringlingen übernommen werden können.
  • Zugriffskontrolle: Sicherstellung, dass autorisierte Benutzer Zugriff auf privilegierte Konten haben und dass diese Benutzer das für ihre Rollen erforderliche Mindestmaß an Zugriff haben.
  • Transparenz: Verfolgung aller privilegierten Konten, einschließlich der standardmäßig, manuell oder von Anwendungen erstellten.
• Zugriffsbereitstellung und -entzug: Ohne automatisierte Workflows oder eine Privileged Access Management (PAM)-Lösung werden Unternehmen Schwierigkeiten haben, die rechtzeitige Bereitstellung und den Entzug privilegierter Konten sicherzustellen, um unbefugten Zugriff zu vermeiden.

Wie privilegiertes Zugriffsmanagement hilft

Die Zuweisung privilegierter Berechtigungen für Benutzer, Geschäftsprozesse und Systeme kann die Zugriffskontrollen richtig dimensionieren. Dies erzwingt das Prinzip der geringsten Rechte und beschränkt die Zugriffsrechte für Benutzer auf das absolute Minimum, wodurch der durch externe und interne Bedrohungen verursachte Schaden gemindert wird.

Weiterlesen: RBAC-Beispiele.

Fallstudie: Ein regionales Gesundheitsunternehmen

Ein regionales Gesundheitsunternehmen mit über 8.000 Mitarbeitern in Kalifornien.

Herausforderungen

• Anhäufung und Überversorgung mit Berechtigungen: Wenn die Mitarbeiter in den Unternehmen ihre Jobrollen erweitern, übernehmen sie neue Aufgaben und Berechtigungen, während sie den Zugriff auf frühere behalten. Dies führt zu übernommenen Berechtigungen.
• Inkonsistente und veraltete Informationen zu Benutzern, Konten, Assets und Zugangsdaten: Das Unternehmen hatte mehrere Hintertüren für Angreifer, darunter ehemalige Mitarbeiter, die immer noch Zugriff auf Unternehmenskonten haben.

Lösungen und Ergebnis

Das Unternehmen implementierte ein Privileged Access Management (PAM)-Tool und überprüfte Secure Shell (SSH)-Verbindungen zwischen UNIX- und Linux-Umgebungen, um die Benutzerzugriffskontrollen zu verbessern.

• Robuste privilegierte Zugriffskontrollen: Die Bereitstellung optimierte die Umsetzung komplizierter Jobwechsel, wie z. B. das Deaktivieren des Zugriffs, wenn privilegierte Personen das Unternehmen verlassen.
• Richtlinienbasierte Regeln: Das Unternehmen erstellte Regeln, die einen richtlinienbasierten Zugriff auf privilegierte Konten ermöglichten.
• Privileged Session Management (PSM): Das Unternehmen checkte automatisch privilegierte Zugangsdaten aus einem Safe aus und überprüfte alle Sitzungen.⁹

Verpassen Sie nicht unsere Benchmarks und datengestützten Erkenntnisse. Die Schaltfläche öffnet Google; die Auswahl von AIMultiple bestätigt, dass Sie AIMultiple häufiger in den Google-Suchergebnissen sehen möchten.

Als bevorzugte Quelle hinzufügen

7. Sicherung von KI-Agenten und nicht-menschlichen Identitäten

Unternehmen verwalten weit mehr als nur Mitarbeiterkonten. Dienstkonten, API-Schlüssel, Zertifikate, Workloads und KI-Agenten fungieren alle als Identitäten in modernen Umgebungen.

Nicht-menschliche Identitäten übertreffen heute in den meisten Umgebungen die Anzahl der Personen bei weitem, in vielen Schätzungen etwa um den Faktor 25 bis 50.¹⁰ Sie umgehen auch die üblichen Schutzmaßnahmen: Ein Dienstkonto oder Token verwendet keine Multi-Faktor-Anmeldung, läuft Tag und Nacht und kann jahrelang ohne Überprüfung bestehen bleiben.

Dies führte zur Ausbreitung des Salesloft-Drift-Datenverstoßes. Ein vertrauenswürdiger Token, nicht ein gestohlenes Passwort, öffnete die Tür zu Hunderten von Umgebungen.

Geschäftliche Herausforderungen

• Ausbreitung von KI-Agenten: Maschinenidentitäten übertreffen menschliche Benutzer oft um ein Vielfaches, was ihre Bestandsaufnahme und Überwachung erschwert.
• Übermäßige Berechtigungen: Dienstkonten und Agenten können weitreichende Berechtigungen ansammeln, was die Auswirkungen einer kompromittierten Zugangsdaten erhöht.
• Unklare Eigentumsverhältnisse: KI-Agenten können mit mehreren Systemen und Tools interagieren. Wenn ein Agent übermäßige Berechtigungen hat, könnte ein Angreifer ihn möglicherweise missbrauchen, um auf Ressourcen zuzugreifen oder unbeabsichtigte Aktionen auszuführen.

Wie Identitätssicherheit hilft

Organisationen wenden zunehmend Zero-Trust-Prinzipien sowohl auf menschliche als auch auf nicht-menschliche Identitäten an. Die Begrenzung von Berechtigungen, die Verwendung kurzlebiger Zugangsdaten, die Überwachung von Aktivitäten und die Führung klarer Eigentumsnachweise können die Auswirkungen kompromittierter Konten oder fehlkonfigurierter Agenten reduzieren.

Fallstudie: Der Salesloft-Drift-Datenverstoß

Salesloft ist ein Unternehmen für Vertriebsengagement. Sein Drift-KI-Chat-Agent ist über OAuth-Tokens mit Kundensystemen wie Salesforce und Google Workspace verbunden, eine Art nicht-menschlicher Identität, die es einer App ermöglicht, im Namen einer anderen zu handeln.¹¹

Herausforderungen

• Eine vertrauenswürdige Integration mit breitem Zugriff: Die Drift-Tokens hatten stehenden, dauerhaften Zugriff auf die Salesforce-Daten vieler Kunden. Dieses Vertrauen wurde selten auf tatsächliche Notwendigkeit überprüft.
• Token-Diebstahl über sechs Monate: Angreifer (verfolgt als UNC6395) kompromittierten zunächst zwischen März und Juni 2025 die Code-Repositories von Salesloft und stahlen dann OAuth- und Refresh-Tokens.
• Schwer zu erkennen: Da die gestohlenen Tokens legitim waren, sahen die Datenabfragen der Angreifer wie normaler API-Datenverkehr aus und umgingen die Multi-Faktor-Authentifizierung.

Lösungen und Ergebnis

• Großer Explosionsradius: Zwischen dem 8. und 18. August 2025 nutzten die Angreifer die Tokens, um Salesforce-Daten in mehr als 700 Organisationen abzufragen, darunter Cloudflare, Zscaler und Palo Alto Networks. Sie durchsuchten die gestohlenen Datensätze nach anderen eingebetteten Geheimnissen wie AWS-Schlüsseln und Snowflake-Tokens.
• Eindämmung durch Widerruf: Salesloft und Salesforce widerriefen die Drift-Tokens, entfernten die App aus dem AppExchange und nahmen Drift zur Härtung offline. Salesforce deaktivierte vorübergehend auch alle Salesloft-Integrationen.
• Die Lehre: Eine einzelne nicht-menschliche Identität mit dauerhaftem Zugriff wurde zu einem Weg in Hunderte von Umgebungen. Eingeschränkte, kurzlebige Tokens, regelmäßige Überprüfung von Integrationsberechtigungen und Überwachung automatisierter API-Aktivitäten begrenzen diese Art der Ausbreitung.

Wie sich die Netzwerksicherheit verändert hat

Der Netzwerkperimeter ist nicht mehr die Hauptverteidigungslinie. Die Arbeit findet jetzt über Cloud-Apps, entfernte Geräte und Drittanbieterdienste statt, sodass die alte Trennung zwischen einem vertrauenswürdigen Inneren und einem nicht vertrauenswürdigen Äußeren nicht mehr gilt. Die Sicherheit hat sich in Richtung identitätsbasierter, kontinuierlicher Überprüfungen bewegt, oft als Zero Trust bezeichnet. Jede Anfrage wird vom Anforderer, dem Gerät und dem Kontext überprüft, nicht von seinem Netzwerkstandort.

Verschlüsselung verändert sich ebenfalls. Ein zukünftiger Quantencomputer könnte einige der heute verwendeten Verschlüsselungen knacken. Angreifer können verschlüsselte Daten jetzt stehlen und später entschlüsseln, sodass das Risiko bereits beginnt, bevor die Hardware verfügbar ist. Im Jahr 2026 haben Normungsgremien Post-Quantum-Algorithmen finalisiert, und die ersten Sicherheitsplattformen begannen, sie auszuliefern.¹² Die Planung eines Migrationspfades gehört jetzt auf die Sicherheits-Roadmap.

Wichtige Cybersicherheitssoftware zur Aufrechterhaltung sicherer Geschäftsprozesse

• Mikrosegmentierungstools: Segmentieren ein Netzwerk in granulare Zonen und wenden Sicherheitsrichtlinien basierend auf jeder Netzwerkzone an.
• Tools für Netzwerksicherheitsaudits: Identifizieren Schwachstellen und bösartiges Verhalten, um Unternehmen bei der Abwehr von Cyberangriffen zu unterstützen.
• DSPM-Anbieter: Ermöglichen Netzwerkeinblicke in sensible Datenstandorte, Zugriffsebenen und Nutzung in der gesamten Cloud.
• Netzwerksicherheits-Policy-Management-Lösungen (NSPM): Entwickeln Richtlinien und Verfahren, um das Netzwerk und die Daten eines Unternehmens vor illegalem Zugriff, Nutzung, Offenlegung und Unterbrechung zu schützen.
• Firewall-Audit-Software: Bietet Transparenz über die aktuellen Zugriffe und Verbindungen einer Firewall.

Diese Forschung zitieren

Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.

@misc{dilmegani2026,
  author = {Dilmegani, Cem},
  title  = {{7 Anwendungsfälle für Netzwerksicherheit}},
  year   = {2026},
  month  = jul,
  howpublished    = {\url{https://aimultiple.com/network-security-use-cases}},
  note   = {AIMultiple. Abgerufen am 2. Juli 2026}
}

Referenzlinks

1.

Insider Threat Statistics [2026]: 45+ Facts on Cost & Risk

StationX

2.

55% of insider threats come from a negligent or mistaken insider | Security Magazine

3.

Automating insider threat monitoring

4.

LaBella leverages Log360 to enhance its security posture

5.

Prevent breaches due to stolen credentials | WatchGuard Blog

WatchGuard Technologies

6.

Security Use Cases Enhanced by AI and ML - Thanks | Splunk

7.

A cure for legacy access management ills

8.

Securing Datacenter Using NetFlow Analyzer - A case study

9.

IAM Healthcare Case Study : Deploying an Integrated PAM and IGA Solution - Integral Partners

Integral Partners LLC

10.

What Are Non-Human Identities? The Complete Guide to NHI Security

Obsidian Security

11.

Salesloft Drift Breach - Track the Salesforce Incident

Nudge Security

12.

Cloudflare One is the first SASE offering modern post-quantum encryption across the full platform | The Cloudflare Blog

The Cloudflare Blog

Cem Dilmegani

Leitender Analyst

Folgen auf

Cem ist seit 2017 leitender Analyst bei AIMultiple. AIMultiple informiert monatlich Hunderttausende von Unternehmen (laut similarWeb), darunter 55 % der Fortune 500. Cems Arbeit wurde von führenden globalen Publikationen wie Business Insider, Forbes und der Washington Post, von globalen Unternehmen wie Deloitte und HPE sowie von NGOs wie dem Weltwirtschaftsforum und supranationalen Organisationen wie der Europäischen Kommission zitiert. Weitere namhafte Unternehmen und Ressourcen, die AIMultiple referenziert haben, finden Sie hier. Im Laufe seiner Karriere war Cem als Technologieberater, Technologieeinkäufer und Technologieunternehmer tätig. Über ein Jahrzehnt lang beriet er Unternehmen bei McKinsey & Company und Altman Solon in ihren Technologieentscheidungen. Er veröffentlichte außerdem einen McKinsey-Bericht zur Digitalisierung. Bei einem Telekommunikationsunternehmen leitete er die Technologiestrategie und -beschaffung und berichtete direkt an den CEO. Darüber hinaus verantwortete er das kommerzielle Wachstum des Deep-Tech-Unternehmens Hypatos, das innerhalb von zwei Jahren von null auf einen siebenstelligen jährlichen wiederkehrenden Umsatz und eine neunstellige Unternehmensbewertung kam. Cems Arbeit bei Hypatos wurde von führenden Technologiepublikationen wie TechCrunch und Business Insider gewürdigt. Er ist ein gefragter Redner auf internationalen Technologiekonferenzen. Cem absolvierte sein Studium der Informatik an der Bogazici-Universität und besitzt einen MBA der Columbia Business School.

Vollständiges Profil anzeigen

Seien Sie der Erste, der kommentiert

Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich. Kommentare werden in ihrer Originalsprache belassen.

Name

E-Mail-Adresse

Kommentar

0/450

Kommentar posten