Was ist passiert?
Die groß angelegte FortiBleed-Kampagne hat Fortinet FortiGate-Firewalls gezielt kompromittiert und dabei speziell entwickelte Sniffer-Tools eingesetzt. Die Sicherheitsfirma SOCRadar enthüllte, dass Angreifer damit Authentifizierungsdaten und Zugangsdaten aus den kompromittierten Geräten systematisch abgegriffen haben. Diese Credential-Harvesting-Methode ermöglichte es den Bedrohungsakteuren, tiefgreifenden Zugang zu geschützten Netzwerken zu erlangen.
Hintergrund & Bedeutung
FortiGate-Firewalls sind kritische Netzwerk-Sicherheitskomponenten, die sich an der Netzwerkperipherie befinden und sensible Daten verarbeiten. Ein Kompromiss dieser Devices ist besonders gravierend, da Angreifer von dieser Position aus das gesamte Netzwerk überwachen können. Die Verwendung von benutzerdefinierten Sniffern zeigt ein hohes Maß an Sophistication und zielt direkt auf das IAM-System ab – ein klassischer Angriff auf die Vertrauenskette. Solche Kampagnen untergraben Zero-Trust-Ansätze, wenn nicht entsprechende Sicherheitsmaßnahmen vorhanden sind.
Empfehlungen fuer IT-Teams
- Sofort handeln: FortiGate-Geräte auf CVE-2024-21762 und verwandte Schwachstellen prüfen und patchen
- Logging verstärken: Detaillierte Logs auf betroffenen Firewalls aktivieren und auf verdächtige Netzwerk-Sniffing-Aktivitäten überprüfen
- Zugangsdaten rotieren: Alle auf FortiGate-Geräten verwalteten und damit in Reichweite erreichbaren Credentials ändern
- Zero-Trust implementieren: Netzwerk-Segmentierung verstärken und Mikrosegmentierung für kritische Assets einführen
- IAM-Überwachung: Ungewöhnliche Authentifizierungsmuster und Login-Anomalien monitoren
Fazit
Die FortiBleed-Kampagne unterstreicht die kritische Wichtigkeit, Perimeter-Sicherheitsgeräte als prioritäre Angriffsziele zu behandeln. Eine schnelle Patch-Strategie und kontinuierliche Überwachung sind essentiell, um solche Credential-Harvesting-Kampagnen zu abzuwehren.
Quelle: Original Artikel