7 Netzwerksicherheits-Anwendungsfälle

Netzwerksicherheit schützt die Systeme, den Datenverkehr und die Konten, die eine Organisation betreiben. Wir untersuchen sieben Netzwerksicherheits-Anwendungsfälle, jeder ein reales Beispiel, von der Erkennung von Insider-Bedrohungen bis zur Verwaltung privilegierter Zugriffe.

1. Automatisierte Erkennung und Prävention von Insider-Bedrohungen

Bösartige Insider sind für einen großen Anteil der gemeldeten Sicherheitsvorfälle verantwortlich,¹ was es erschwert, normale von schädlichen Aktivitäten zu unterscheiden, da diese Benutzer internen Zugriff haben.

Herausforderungen für Unternehmen

• Erkennung bösartiger Insider: Bösartige Insider sind für etwa 55 % aller gemeldeten Sicherheitsvorfälle verantwortlich.² Es ist für Sicherheitssysteme schwierig, zwischen legitimen und schädlichen Aktivitäten zu unterscheiden, da diese Bedrohungsakteure internen Zugriff auf Organisationssysteme und -daten haben.
• Dynamisches Benutzerverhalten: Das Benutzerverhalten kann sich je nach Arbeitsaufträgen, Projekten oder persönlichen Faktoren häufig ändern, was die Erkennung von Anomalien erschwert. Organisationen mit Hunderten von Workflows zeigen möglicherweise keine Benutzeraktivitäten an, während sie auf Sicherheitsvorfälle reagieren. 

Wie die automatisierte Erkennung und Prävention von Insider-Bedrohungen hilft

Systeme zur Erkennung von Insider-Bedrohungen (z. B. IPS-Tools) können Änderungen in Benutzerdaten erkennen und Alarme senden oder grafische Einblicke an Sicherheitsteams geben, sodass Organisationen sich ihrer Netzwerkaktivität bewusst sein können. 

Fallstudie: Netskope 

Netskope ist ein weltweites Cybersicherheitsunternehmen, das über 2.000 Kunden bedient. Im Jahr 2023 verwendete Netskope einen manuellen Prozess, der mindestens 5 Mitarbeiter, 10 Tools und 90 Minuten benötigte, um jede Sicherheitsanfrage zu beantworten.

Herausforderungen

Netskope strebte danach, genaue Einblicke in Benutzeraktivitäten zu gewinnen, die auf risikoreiche Insider-Bedrohungen hinweisen könnten.

• Mangel an Automatisierung bei der Reaktion auf Insider-Bedrohungen: Netskope verwendete eine manuelle Technik, die mindestens fünf Mitarbeiter, 10 Tools und 90 Minuten Arbeitszeit benötigte, um auf jede Sicherheitsanfrage zu reagieren.
• Mangel an Einblicken in das Benutzerverhalten: Netskope benötigte Echtzeit- und präzise Einblicke in Benutzeraktionen (z. B. Klicken eines Links, Erstellen eines Kontos), die auf Insider-Bedrohungen hinweisen könnten. 

Lösungen und Ergebnisse

Netskope setzte ein Security Information and Event Management (SIEM) für Echtzeit-Datenanalyse ein, das Einblicke in das Verhalten von Insider-Bedrohungen ermöglicht. 

• Erkennung von Insider-Bedrohungen: Netskope erkannte frühzeitig Datenlecks durch Insider, indem es 200+ tägliche Workflow-Operationen automatisierte.
• Erhöhte Netzwerktransparenz: Die Implementierung des SIEM half Netskope, historische Insider-Daten auszuwerten und Benutzeraktivitäten während Untersuchungen von Insider-Bedrohungen zu verfolgen.
• Datenüberwachung: Netskope nutzte das Content-Management-Feature des Cloud-SIEM, um Daten-Downloads zu identifizieren. Dies ermöglicht es Netskope, bösartige Versuche, Daten mit Personal oder Wettbewerbern auszutauschen, zu visualisieren.³  

2. Zentralisierte Protokollverwaltung 

Protokollverwaltung ist in verschiedenen IT- und Geschäftsfunktionen entscheidend, da sie wertvolle Einblicke bietet und mehrere Anwendungsfälle ermöglicht, darunter Bedrohungserkennung, Business Intelligence und Netzwerküberwachung. 

Herausforderungen für Unternehmen

• Volumen: Große IT-Systeme erzeugen eine große Menge an Protokolldaten, was die manuelle Verwaltung und Auswertung erschwert.
• Komplexität: Protokolle werden aus vielen Quellen und Formaten erstellt, was ihre Aggregation und Analyse herausfordernd macht.
• Sicherheit: Protokolle enthalten wichtige Informationen wie Benutzerpasswörter und Netzwerkarchitektur, müssen daher vor unbefugter Nutzung geschützt werden.

Wie zentralisierte Protokollverwaltung hilft

Protokollverwaltung ermöglicht einfache Analyse und Sicherheitskorrelation. Die Zentralisierung von Protokollen verbessert die mittlere Zeit bis zur Erkennung (MTTD) und die mittlere Zeit bis zur Behebung (MTTR) für Anwendungsfehler und Sicherheitsverletzungen.

Fallstudie: LaBella Associates

LaBella Associates ist ein Full-Service-Ingenieurbüro mit Hauptsitz in New York, mit über 1.500 Architekten und Mitarbeitern an 30 Standorten. 

Herausforderungen

• Mangel an Datentransparenz: LaBella benötigte ein Protokollverwaltungssystem, um seine sensiblen Dateiserver zu überwachen, Zugriffsverlaufsberichte zu erstellen und forensische Untersuchungen bei Datenverletzungen zu unterstützen.
• Mangel an Protokolltransparenz: Der Manager von LaBella Associates erklärte, dass sie eine Lösung benötigten, die Aufzeichnungen über Dateisystemaktivitäten führt und Benutzer-An- und -Abmeldeaktivitäten überwacht, um Anomalien zu erkennen.
  
• Manuelle Suche nach Anmeldeaktivitäten: Der Manager von LaBella Associates gab an, dass sie zur Überwachung von Dateisystem- oder Anmeldeaktivitäten jeden Dateiserver aufsuchen und manuell nach Protokollen scannen mussten, was zeitaufwändig war.

Lösungen und Ergebnisse

LaBella Associates setzte eine Security Information and Event Management (SIEM)-Lösung mit Protokollverwaltungsfunktionen ein, um Protokolle domänenübergreifend zu steuern. 

• Starke Protokollverwaltung: Das IT-Sicherheitsteam von LaBella Associates konnte Informationen darüber erhalten, wer sich an kritischen Dateiservern angemeldet hat, um bei einem Sicherheitsvorfall Protokollforensik durchzuführen.
  
• Effektives Zugriffsmanagement: LaBella Associates konnte nicht autorisierte Gruppenrichtlinienänderungen von Mitarbeitern und Auftragnehmern mit Zugriff auf das interne Netzwerk anzeigen. Weiterlesen: Netzwerksicherheits-Richtlinienverwaltung.
• Erhöhte Domänensicherheit: Das Unternehmen identifizierte hinzugefügte oder bearbeitete Protokolle auf dem Domänencontroller.
  
• Optimierung von Protokolluntersuchungen: LaBella Associates eliminierte das mühsame Verfahren, herauszufinden, wer Gruppenmitgliedschaftsänderungen vorgenommen hat. ⁴

3. Erkennung anormaler Benutzerzugriffe

Die Erkennung anormaler Benutzerzugriffe findet Anmelde- oder Zugriffsmuster, die nicht dem normalen Verhalten eines Benutzers entsprechen. Etwa 70 % der Cyberangriffe auf Unternehmen beginnen mit gestohlenen Zugangsdaten, daher ist die Überwachung auf ungewöhnlichen Zugriff wichtig.⁵

Herausforderungen für Unternehmen

• Hohes Datenvolumen und -vielfalt: Große Datenmengen aus verschiedenen Quellen (Weblogs, Anwendungsprotokolle, Netzwerkverkehr usw.) müssen verarbeitet und analysiert werden.
  
• Echtzeit-Datenströme: Die Erkennung von Anomalien oder Mustern in Echtzeit erfordert hohe Rechenleistung und effiziente Algorithmen. Organisationen ohne Automatisierung könnten Ausreißer-Zugriffsdaten in ihren Workflows übersehen.
  
• Komplexe Benutzerinteraktionen: Benutzer interagieren auf komplexe Weise mit Systemen, die schwer zu modellieren und vorherzusagen sind. Dies macht Anomalien selten und schwer erkennbar.

Wie die Erkennung anormaler Benutzerzugriffe hilft

Tools zur Incident Response können mögliche Benutzerverletzungen durch Analyse erfolgloser Anmeldeversuche identifizieren.

Autonome Erkennung und Reaktion

Ein Security Operations Center (SOC) ist das Team und die Werkzeuge, die Bedrohungen überwachen und darauf reagieren. Analysten dort sehen mehr Alarme, als sie lesen können. Viele Alarme sind falsch, sodass echte durchrutschen können.

KI-Agenten übernehmen nun den ersten Durchlauf. Ein Agent gruppiert zusammenhängende Alarme, sammelt Kontext und schlägt entweder eine Reaktion vor oder führt sie gemäß festgelegten Regeln aus. Eine Person behält die Kontrolle über risikoreichere Aktionen.

Die Richtung ist in Berichten von Anbietern und Analysten klar, die erwarten, dass ein großer Teil der routinemäßigen SOC-Arbeit innerhalb weniger Jahre auf KI übergeht.

Abbildung 1: Erkennung anormaler Benutzerzugriffe in einem Datensatz

Quelle: Splunk⁶

Fallstudie: Ein führendes Medienunternehmen

Ein führendes Medienunternehmen zielt darauf ab, Anomalien zu erkennen, um sensible Informationen vor den häufigsten Cyberangriffsvektoren in Datensätzen mehrerer Unternehmen zu schützen.

Herausforderungen

• Hohes Risiko durch Drittanbieter: Die Abhängigkeit des Unternehmens von Drittanbieterdiensten erhöht die Sicherheitslücken.
  
• Insider-Bedrohungen: Das Unternehmen hatte besondere Herausforderungen mit Insider-Bedrohungen, da Medienmitarbeiter auf sensible Informationen und Technologien zugreifen mussten.

Lösungen und Ergebnisse

Das Medienunternehmen setzte User and Entity Behavior Analytics (UEBA)-Software ein, um Anomalien zu erkennen, indem es aktuelles Verhalten mit den festgelegten Basislinien vergleicht.

• User and Entity Behavior Analytics (UEBA): Das Unternehmen nutzte UEBA, um verdächtige Aktivitäten in Echtzeit zu erkennen und Anomalien im Benutzerverhalten zu identifizieren, die auf Sicherheitsrisiken hindeuten können.
  
• Verbesserte Netzwerktransparenz: Das Unternehmen gewann bessere Einblicke in seine Sicherheitslage durch Überwachung und Analyse von Benutzerverhalten, Netzwerkverkehr und Systemaktivitäten.
  
• Erweiterte Bedrohungsprävention: Das Sicherheitsteam des Unternehmens überwachte ungewöhnliches Verhalten und Anomalien, erkannte gezielte Angriffe und alarmierte, und identifizierte raffinierte Bedrohungen wie Malware.

4. Cloud-basierte Identitätsverwaltung

Cloud-basierte Identitätsverwaltung steuert, wer auf in der Cloud gehostete Anwendungen und Daten zugreifen kann. Sie legt Zugriffsberechtigungen fest und überprüft sie über Dienste hinweg, die außerhalb des Unternehmensnetzwerks liegen.

Herausforderungen für Unternehmen

• Mangel an Transparenz: Organisationen mit mehreren Cloud-Diensten, die außerhalb des Unternehmensnetzwerks und über Dritte zugänglich sind, können die Kontrolle darüber verlieren, wer Zugriff auf ihre Daten hat.
  
• Mandantenfähigkeit: Unternehmen mit mehreren Kundeninfrastrukturen, die in öffentlichen Cloud-Umgebungen gespeichert sind, sind anfälliger für böswillige Angreifer, da Kundeninfrastrukturen Ihre gehosteten Dienste als sekundären Schaden infizieren können.
  
• Zugriffsverwaltung und Schatten-IT: Organisationen, die uneingeschränkten Zugriff auf Cloud-Dienste von jedem Gerät oder Standort aus ermöglichen, können die Kontrolle über Zugriffspunkte in Cloud-Umgebungen verlieren. Zum Beispiel haben Organisationen mit von externen Parteien bereitgestellten IT-Systemen eine geringe Kontrolle über das Gerätezugriffsmanagement. Dies erhöht die Schatten-IT und könnte es Angreifern ermöglichen, Netzwerkbeschränkungen zu umgehen.
  
• Compliance: Organisationen, die Cloud-Sicherheit nicht aktiv überwachen und protokollieren, sehen sich erheblichen Governance- und Compliance-Risiken beim Umgang mit Kundendaten gegenüber. 

Wie cloud-basierte Identitätsverwaltung hilft

• Flexible Sicherheitskonfigurationen: Cloud-Plattformen ermöglichen schnelle Anpassungen bei sich ändernden Anforderungen. Beispielsweise können Sicherheitsteams Firewall-Regeln dynamisch auf Basis von Echtzeit-Bedrohungsinformationen anpassen.
• Regelmäßige Sicherheitsupdates: Cloud-Sicherheitsanbieter (CSPs) aktualisieren regelmäßig die Unternehmensinfrastruktur, um vor den neuesten Bedrohungen zu schützen. Beispielsweise können CSPs automatisches Patchen der Cloud-Infrastruktur durchführen, um bekannte Schwachstellen zu beheben.
  
• Erweiterte Sicherheitsfunktionen: Cloud-Service-Provider (CSPs) bieten erweiterte Sicherheitsfunktionen wie Verschlüsselung, Identity and Access Management (IAM) und Bedrohungserkennung, die vor Ort schwer zu implementieren sein können. Dies kann Unternehmen helfen, integrierte Verschlüsselungsdienste zu nutzen, um Daten im Ruhezustand und bei der Übertragung zu schützen. Beispielsweise können Sicherheitsteams IAM verwenden, um den Benutzerzugriff zu vereinfachen, indem ein einziger Satz von Anmeldeinformationen den Zugriff auf mehrere Anwendungen ermöglicht (Mitarbeiter, die ihre Unternehmensanmeldedaten verwenden, um auf E-Mail, HR-Systeme und Projektmanagement-Tools zuzugreifen usw.).
• Reduzierte Investitionsausgaben: Durch die Nutzung von Cloud-Diensten können Organisationen die Investitionsausgaben für den Kauf und die Wartung von Sicherheitshardware vor Ort reduzieren. Beispielsweise können Organisationen cloudbasierte Firewalls und Sicherheitsgateways nutzen, anstatt in teure physische Hardware zu investieren.

Fallstudie: B. Braun

B. Braun ist ein Gesundheitsunternehmen mit Sitz in Deutschland mit 60.000+ Mitarbeitern. B. Braun strebte an, die Sicherheit zu verbessern, Compliance zu gewährleisten und den Zugriff auf wichtige Daten in einer hybriden IT-Umgebung zu verwalten.

Herausforderungen

• Hohe Mitarbeiterfluktuation verursacht komplexes Zugriffsmanagement: Die Mitarbeiterlandschaften von B. Braun verändern sich ständig aufgrund von Jobwechseln, Fluktuation und Neueinstellungen.
  
• Manuelle Datenverarbeitung: Die manuellen Prozesse von B. Braun verlangsamten die Erstellung und Löschung von Benutzerkonten. Dies erhöhte das Risiko unbefugten Datenzugriffs und der Nichteinhaltung von Datensicherheits-Vorschriften.
  
• Digitale Transformation: B. Braun suchte ein Identitätsmanagementsystem, um die digitale Transformation voranzutreiben. Daher benötigte das Unternehmen eine Lösung, die mit der lokalen Infrastruktur und Cloud-Diensten wie Office 365 kommuniziert.

Lösungen und Ergebnisse

B. Braun in Deutschland automatisierte das Identitäts- und Zugriffsmanagement, um die Sicherheit zu verbessern.

• Stellte sicher, dass die richtigen Personen angemessenen Zugriff haben: B. Braun nutzte die automatisierte Erstellung und Löschung von Konten. Beispielsweise gab die Personalabteilung neue Mitarbeiterinformationen (Name, Position, Abteilung, Startdatum) ein. Die IAM-Lösung half dem Unternehmen, automatisch Benutzerkonten für die neuen Mitarbeiter in verschiedenen Systemen wie Active Directory (AD), E-Mail-System und Dateispeicher zu erstellen.
  
• Verbesserte Zugriffskontrolle: Die Bereitstellung verbesserte die Einhaltung von Datensicherheitsregeln und reduzierte das Risiko unbefugter Nutzung. Beispielsweise wies das IAM-System Benutzern eine Rolle basierend auf ihrer Funktion in der Finanzabteilung zu:
  
  • Finanzmanager: Vollzugriff auf alle Finanzberichte, Transaktionen und Verwaltungsfunktionen.
  • Buchhalter: Zugriff auf tägliche Transaktionsaufzeichnungen, aber nicht auf administrative Einstellungen.
• Digitale Benutzerzugriffsbenachrichtigungen: B. Braun verband seine lokale Infrastruktur mit Cloud-Diensten wie Office 365. Mitarbeiter verstanden den Zugriffsstatus ihrer Anfragen.⁷
  

5. Überwachung und Analyse bösartigen Netzwerkverkehrs

Die Analyse bösartigen Netzwerkverkehrs überwacht die Netzwerkaktivität auf ungewöhnliches oder verdächtiges Verhalten, das auf einen Angriff hindeuten könnte.

Herausforderungen für Unternehmen

• Komplexität und Datenvolumen: Netzwerkverkehrsdaten können riesig sein und Millionen von Paketen und Verbindungen pro Minute umfassen. Die Analyse dieser enormen Datenmenge in Echtzeit oder nahezu Echtzeit erfordert skalierbare und effiziente Erkennungsalgorithmen und Infrastruktur.
• Variabilität der Verkehrsmuster: Legitime Netzwerkverkehrsmuster können je nach Tageszeit, Benutzerverhalten und Anwendungsnutzung stark variieren. Die Unterscheidung zwischen normalen Schwankungen und wirklich bösartigen Mustern erfordert ausgefeilte Techniken zur Anomalieerkennung.
• Verschlüsselung und Datenschutzbedenken: Die zunehmende Nutzung von Verschlüsselung (z. B. HTTPS, TLS) in der Netzwerkkommunikation verschleiert Paketinhalte und erschwert die Untersuchung des Verkehrs auf bösartige Nutzdaten oder Muster. 

Wie die Überwachung und Analyse bösartigen Netzwerkverkehrs hilft

Funktionen zur Überwachung und Analyse bösartigen Netzwerkverkehrs können schnell abnormales oder verdächtiges Verhalten im Netzwerkverkehr erkennen. Organisationen können Netzwerksicherheit nutzen, um den Netzwerk- oder Portverkehr zu überwachen. Diese Systeme können:

• Netzwerksicherheit überwachen auf möglichen Datenabfluss.
• Proxy-Kommunikation analysieren, um Ausreißer zu identifizieren.
• Angriffsvektoren erkennen, einschließlich verteilter Denial-of-Service (DDoS)-Angriffe, Botnetz-Aktivitäten und Malware. 

Fallstudie: Micron21

Micron21 ist ein Rechenzentrumsdistributor mit Sitz in Melbourne. Es begann, Ereignisverläufe, Verkehrsprotokolle und verfügbare Analysedaten zu analysieren.

Herausforderungen

• Massives Netzwerk und Bandbreite: Mit dem Wachstum des Netzwerks von Micron21 und der zunehmenden genutzten Bandbreite wurde es immer schwieriger, Verkehrsmuster zu bewerten und zu kategorisieren.
• Fragmentierte Datenquellen: Die Daten von Micron21 sind über mehrere Systeme, Abteilungen und Plattformen verstreut, was es schwierig macht, einen einheitlichen Überblick zu erhalten.

Lösungen und Ergebnisse

Micron21 setzte eine Netzwerksicherheitslösung ein, um ihr Netzwerk zu überwachen.

• Netzwerkverkehrsanalyse: Micron21 begann mit der Analyse von Ereignisverläufen, Verkehrsprotokollen und zugänglichen Analysedaten.
• Netzwerküberwachung basierend auf IP-Gruppen: Micron21 ermöglicht es Kunden, sich anzumelden und ihren Verkehr innerhalb ihrer IP-Gruppe zu untersuchen, und liefert Netzwerkmetriken für den Verkehr, der den IP-Bereich des Kunden durchläuft.⁸

6. Verwaltung privilegierter Zugriffe

Verwaltung privilegierter Zugriffe (PAM) steuert den Zugriff auf privilegierte Konten. Diese Konten haben erhöhte Berechtigungen innerhalb von IT-Systemen und erfordern daher strengere Kontrollen als normale Benutzerkonten.

Herausforderungen für Unternehmen

• Hohe Anzahl von Konten: Organisationen können Dutzende oder sogar Hunderte von privilegierten Konten unterhalten, damit Administratoren kritische Aufgaben erledigen können. Diese privilegierten Anmeldeinformationen stellen ein erhebliches Sicherheitsrisiko dar, da sie von ihren Besitzern missbraucht oder von Eindringlingen übernommen werden können, aufgrund mangelnder Zugriffskontrolle und Transparenz.
  • Zugriffskontrolle: Sicherstellen, dass autorisierte Benutzer Zugriff auf privilegierte Konten haben und dass diese Benutzer das für ihre Rollen erforderliche Mindestmaß an Zugriff haben.
  • Sichtbarkeit: Den Überblick über alle privilegierten Konten behalten, einschließlich der standardmäßig, manuell oder von Anwendungen erstellten.
• Zugriffsbereitstellung und -entzug: Ohne automatisierte Workflows oder eine Lösung zur Verwaltung privilegierter Zugriffe (PAM) haben Organisationen Schwierigkeiten, die rechtzeitige Bereitstellung und den Entzug privilegierter Konten sicherzustellen, um unbefugten Zugriff zu verhindern.

Wie die Verwaltung privilegierter Zugriffe hilft

Die Zuweisung privilegierter Berechtigungen für Benutzer, Geschäftsprozesse und Systeme kann die Zugriffskontrollen angemessen dimensionieren. Dadurch wird das Prinzip der geringsten Privilegien durchgesetzt und die Zugriffsrechte der Benutzer auf das absolute Minimum beschränkt, um die durch externe und interne Bedrohungen verursachten Schäden zu begrenzen.

Weiterlesen: RBAC-Beispiele.

Fallstudie: Ein regionales Gesundheitsunternehmen

Ein regionales Gesundheitsunternehmen mit über 8.000 Mitarbeitern in Kalifornien. 

Herausforderungen

• Anhäufung und Überprovisionierung von Berechtigungen: Wenn Mitarbeiter in den Unternehmen ihre Aufgabenbereiche erweitern, übernehmen sie neue Aufgaben und Berechtigungen, während sie weiterhin Zugriff auf frühere behalten. Dies führt zu übermäßig vererbten Berechtigungen.
• Inkonsistente und veraltete Informationen zu Benutzern, Konten, Assets und Anmeldeinformationen: Das Unternehmen hatte mehrere Hintertüren für Angreifer, darunter ehemalige Mitarbeiter, die noch Zugriff auf Unternehmenskonten hatten.

Lösungen und Ergebnisse

Die Organisation setzte ein Tool zur Verwaltung privilegierter Zugriffe (PAM) ein und überprüfte Secure Shell (SSH)-Verbindungen zwischen UNIX- und Linux-Umgebungen, um die Benutzerzugriffskontrollen zu verbessern.

• Robuste Kontrollen für privilegierte Zugriffe: Die Bereitstellung optimierte die Umsetzung komplizierter Stellenwechsel, wie das Deaktivieren des Zugriffs, wenn privilegierte Personen das Unternehmen verlassen.
• Richtlinienbasierte Regeln: Das Unternehmen erstellte Regeln, die einen richtlinienbasierten Zugriff auf privilegierte Konten ermöglichten.
• Verwaltung privilegierter Sitzungen (PSM): Das Unternehmen checkte privilegierte Anmeldeinformationen automatisch aus einem Safe aus und prüfte alle Sitzungen.⁹

Verpassen Sie nicht unsere Benchmarks und datengestützten Erkenntnisse. Die Schaltfläche öffnet Google; die Auswahl von AIMultiple bestätigt, dass Sie AIMultiple häufiger in den Google-Suchergebnissen sehen möchten.

Als bevorzugte Quelle hinzufügen

7. Sicherung von KI-Agenten und nicht-menschlichen Identitäten

Organisationen verwalten weit mehr als nur Mitarbeiterkonten. Servicekonten, API-Schlüssel, Zertifikate, Workloads und KI-Agenten agieren alle als Identitäten in modernen Umgebungen.

Nicht-menschliche Identitäten übersteigen die Anzahl der Menschen in den meisten Umgebungen bei weitem, je nach Schätzung um den Faktor 25 bis 50.¹⁰ Sie umgehen auch die üblichen Sicherheitsvorkehrungen: Ein Servicekonto oder Token verwendet keine Multi-Faktor-Anmeldung, läuft Tag und Nacht und kann jahrelang ohne Überprüfung bestehen bleiben.

Genau das hat die Ausbreitung des Salesloft Drift-Vorfalls verursacht. Ein vertrauenswürdiges Token, kein gestohlenes Passwort, öffnete die Tür zu Hunderten von Umgebungen.

Herausforderungen für Unternehmen

• KI-Agenten-Ausbreitung: Maschinenidentitäten übertreffen menschliche Benutzer oft bei weitem, was ihre Inventarisierung und Überwachung erschwert.
• Übermäßige Berechtigungen: Servicekonten und Agenten können umfassende Berechtigungen ansammeln, was die Auswirkungen einer kompromittierten Anmeldeinformation erhöht.
• Unklare Zuständigkeit: KI-Agenten können mit mehreren Systemen und Tools interagieren. Wenn ein Agent übermäßige Berechtigungen hat, kann ein Angreifer ihn möglicherweise missbrauchen, um auf Ressourcen zuzugreifen oder unbeabsichtigte Aktionen durchzuführen.

Wie Identitätssicherheit hilft

Organisationen wenden zunehmend Zero-Trust-Prinzipien sowohl auf menschliche als auch auf nicht-menschliche Identitäten an. Das Einschränken von Berechtigungen, die Verwendung kurzlebiger Anmeldeinformationen, die Überwachung von Aktivitäten und die Führung klarer Zuständigkeitsaufzeichnungen können die Auswirkungen kompromittierter Konten oder falsch konfigurierter Agenten verringern.

Fallstudie: Der Salesloft Drift-Vorfall

Salesloft ist ein Unternehmen für Vertriebsengagement. Sein Drift-KI-Chat-Agent ist über OAuth-Token, eine Art nicht-menschlicher Identität, die es einer App ermöglicht, im Namen einer anderen zu handeln, mit Kundensystemen wie Salesforce und Google Workspace verbunden.¹¹

Herausforderungen

• Eine vertrauenswürdige Integration mit umfassendem Zugriff: Die Drift-Token hatten ständigen, dauerhaften Zugriff auf die Salesforce-Daten vieler Kunden. Dieses Vertrauen wurde selten auf tatsächlichen Bedarf geprüft.
• Token-Diebstahl über sechs Monate: Angreifer (als UNC6395 verfolgt) kompromittierten zunächst zwischen März und Juni 2025 die Code-Repositories von Salesloft und stahlen dann OAuth- und Refresh-Tokens.
• Schwer zu erkennen: Da die gestohlenen Token legitim waren, sahen die Datenabfragen der Angreifer wie normaler API-Verkehr aus und umgingen die Multi-Faktor-Authentifizierung.

Lösungen und Ergebnisse

• Großer Explosionsradius: Zwischen dem 8. und dem 18 August 2025 verwendeten die Angreifer die Tokens, um Salesforce-Daten von mehr als 700 Organisationen abzufragen, darunter Cloudflare, Zscaler und Palo Alto Networks. Sie durchsuchten die gestohlenen Datensätze nach anderen eingebetteten Geheimnissen wie AWS-Schlüsseln und Snowflake-Tokens.
• Eindämmung durch Widerruf: Salesloft und Salesforce widerriefen die Drift-Token, entfernten die App aus der AppExchange und nahmen Drift zur Härtung offline. Salesforce deaktivierte vorübergehend auch alle Salesloft-Integrationen.
• Die Lektion: Eine einzige nicht-menschliche Identität mit dauerhaftem Zugriff wurde zu einem Pfad in Hunderte von Umgebungen. Eingeschränkte, kurzlebige Tokens, regelmäßige Überprüfung der Integrationsberechtigungen und die Überwachung automatisierter API-Aktivitäten begrenzen diese Art der Ausbreitung.

Wie sich die Netzwerksicherheit verlagert hat

Die Netzwerkgrenze ist nicht mehr die Hauptverteidigungslinie. Arbeit findet jetzt über Cloud-Apps, entfernte Geräte und Drittanbieterdienste statt, sodass die alte Trennung zwischen einem vertrauenswürdigen Inneren und einem nicht vertrauenswürdigen Äußeren nicht mehr haltbar ist. Die Sicherheit hat sich zu identitätsbasierten, kontinuierlichen Überprüfungen verlagert, die oft als Zero Trust bezeichnet werden. Jede Anfrage wird anhand des Anforderers, des Geräts und des Kontexts überprüft, nicht anhand seines Netzwerkstandorts.

Verschlüsselung verändert sich ebenfalls. Ein zukünftiger Quantencomputer könnte einige der heute verwendeten Verschlüsselungen knacken. Angreifer können jetzt verschlüsselte Daten stehlen und später entschlüsseln, sodass das Risiko bereits beginnt, bevor die Hardware ankommt. Im Jahr 2026 haben Normungsgremien Post-Quantum-Algorithmen fertiggestellt, und die ersten Sicherheitsplattformen begannen, sie auszuliefern.¹² Die Planung eines Migrationspfads gehört jetzt auf die Sicherheits-Roadmap.

Schlüssel-Cybersicherheitssoftware zur Aufrechterhaltung sicherer Geschäftsprozesse

• Mikrosegmentierungstools: Segmentieren Sie ein Netzwerk in granulare Formen und wenden Sie Sicherheitsrichtlinien basierend auf jeder Netzwerkzone an.
• Tools zur Netzwerksicherheitsprüfung: Identifizieren Sie Schwachstellen und bösartiges Verhalten, um Unternehmen bei der Abwehr von Cyberangriffen zu unterstützen.
• DSPM-Anbieter: Ermöglichen Netzwerkeinblicke in sensible Datenstandorte, Zugriffsebenen und Nutzung in der gesamten Cloud.
• Lösungen für die Verwaltung von Netzwerksicherheitsrichtlinien (NSPM): Entwickeln Sie Richtlinien und Verfahren, um das Netzwerk und die Daten einer Organisation vor illegalem Zugriff, Nutzung, Offenlegung und Unterbrechung zu schützen.
• Firewall-Prüfungssoftware: Bietet Einblick in die aktuellen Zugriffe und Verbindungen einer Firewall.

Diese Forschung zitieren

Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.

@misc{dilmegani2026,
  author = {Dilmegani, Cem and PhD., Ezgi Arslan,},
  title  = {{7 Netzwerksicherheits-Anwendungsfälle}},
  year   = {2026},
  month  = jul,
  howpublished    = {\url{https://aimultiple.com/network-security-use-cases}},
  note   = {AIMultiple. Abgerufen am 2. Juli 2026}
}

Referenzlinks

1.

Insider Threat Statistics [2026]: 45+ Facts on Cost & Risk

StationX

2.

55% of insider threats come from a negligent or mistaken insider | Security Magazine

3.

Automating insider threat monitoring

4.

LaBella leverages Log360 to enhance its security posture

5.

Prevent breaches due to stolen credentials | WatchGuard Blog

WatchGuard Technologies

6.

Security Use Cases Enhanced by AI and ML - Thanks | Splunk

7.

A cure for legacy access management ills

8.

Securing Datacenter Using NetFlow Analyzer - A case study

9.

IAM Healthcare Case Study : Deploying an Integrated PAM and IGA Solution - Integral Partners

Integral Partners LLC

10.

What Are Non-Human Identities? The Complete Guide to NHI Security

Obsidian Security

11.

Salesloft Drift Breach - Track the Salesforce Incident

Nudge Security

12.

Cloudflare One is the first SASE offering modern post-quantum encryption across the full platform | Cloudflare Blog

Cloudflare Blog

Cem Dilmegani

Leitender Analyst

Folgen auf

Cem ist seit 2017 leitender Analyst bei AIMultiple. AIMultiple informiert monatlich Hunderttausende von Unternehmen (laut similarWeb), darunter 60% der Fortune 500.

Cems Arbeit wurde von führenden globalen Publikationen zitiert, darunter Business Insider, Forbes, Washington Post, globalen Unternehmen wie Deloitte, HPE und NGOs wie dem World Economic Forum sowie supranationalen Organisationen wie der European Commission.

Während seiner Karriere war Cem als Tech-Berater, Tech-Einkäufer und Tech-Unternehmer tätig. Er beriet Unternehmen über ein Jahrzehnt lang bei McKinsey & Company und Altman Solon in Technologieentscheidungen. Er veröffentlichte auch einen McKinsey-Bericht zur Digitalisierung.

Er leitete die Technologiestrategie und Beschaffung eines Telekommunikationsunternehmens und berichtete dabei direkt an den CEO. Zudem führte er das kommerzielle Wachstum des Deep-Tech-Unternehmens Hypatos an, das innerhalb von 2 Jahren von null auf einen siebenstelligen jährlich wiederkehrenden Umsatz und eine neunstellige Bewertung anwuchs. Cems Arbeit bei Hypatos wurde von führenden Technologiepublikationen wie TechCrunch und Business Insider aufgegriffen.

Cem spricht regelmäßig auf internationalen Technologiekonferenzen. Er schloss sein Studium an der Bogazici University als Computer-Ingenieur ab und hat einen MBA von der Columbia Business School.

Vollständiges Profil anzeigen

Recherchiert von

Ezgi Arslan, PhD.

Branchenanalystin

Folgen auf

Ezgi hat einen Doktortitel in Betriebswirtschaftslehre mit Spezialisierung auf Finanzen und arbeitet als Branchenanalystin bei AIMultiple. Sie treibt Forschung und Erkenntnisse an der Schnittstelle von Technologie und Wirtschaft voran, mit Fachkenntnissen in den Bereichen Nachhaltigkeit, Umfrage- und Sentimentanalyse, KI-Agenten-Anwendungen im Finanzwesen, Antwortmaschinenoptimierung, Firewall-Management und Beschaffungstechnologien.

Vollständiges Profil anzeigen

Seien Sie der Erste, der kommentiert

Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich. Kommentare werden in ihrer Originalsprache belassen.

Name

E-Mail-Adresse

Kommentar

0/450

Kommentar posten