Cyberbedrohungen konzentrieren sich zunehmend auf die größten Veranstaltungen der Welt

Das Threat Hunting Team arbeitete nach einem Defense-in-Depth-Konzept, um die Geräte und Netzwerke der Kunden zu überprüfen und zu schützen. Ein weiterer Schwerpunkt lag auf der Überwachung des Verhaltens von Identitäten, Anmeldungen und Dateizugriffen. Es wurden viele verschiedene Bereiche abgedeckt, darunter Kunden die in Zusammenhang standen mit Transport, Telekommunikation, Gesundheitswesen und anderen wichtigen Funktionen.

Insgesamt wurden rund um die Uhr mehr als 100 000 Endpunkte, 144 000 Identitäten, über 14,6 Millionen E-Mail-Ströme, über 634,6 Millionen Authentifizierungen und Milliarden von Netzwerkverbindungen mit menschlicher Unterstützung auf Bedrohungen überwacht und auf diese reagiert.

So wurden zum Beispiel einige Gesundheits­einrichtungen als Notfallstationen für die Veranstaltung ausgewiesen, darunter auch Krankenhäuser, die wichtige Unterstützungs- und Gesundheitsdienste für Fans und Spieler anboten. Da Gesundheits­einrichtungen über medizinische Daten verfügen, stellten sie wertvolle Ziel dar. Bei der automatisierten und manuellen Bedrohungsjagd von Microsoft wurden Bedrohungsdaten verwendet, um Signale zu scannen, infizierte Objekte zu isolieren und Angriffe auf diese Netzwerke zu verhindern. Mithilfe einer Kombination aus Technologien von Microsoft Security erkannte und isolierte das Team die im Vorfeld der Ransomware auf das Gesundheitsnetzwerk gerichteten Aktivitäten. Mehrfache erfolglose Anmeldeversuche wurden protokolliert und weitere Aktivitäten blockiert.

Die Notwendigkeit von Gesundheitsdiensten macht es erforderlich, dass Geräte und Systeme stets ein Höchstmaß an Leistung erbringen. Krankenhäuser und Gesundheits­einrichtungen stehen vor der schwierigen Aufgabe, die Verfügbarkeit ihrer Dienste zu gewährleisten und gleichzeitig eine solide Cybersicherheit aufrechtzuerhalten. Kurzfristig hätte ein erfolgreicher Angriff medizinische Einrichtungen im Hinblick auf Daten und IT lahmlegen können, so dass medizinische Leistungserbringer bei der Aktualisierung von Patientendaten auf Stift und Papier angewiesen gewesen wären und ihre Fähigkeit, im Notfall oder bei einer Massentriage lebensrettende medizinische Versorgung zu leisten, geschwächt worden wäre. Längerfristig hätte Schadcode, der eingeschleust wurde, um ein Netzwerk transparent zu machen, für ein größeres Ransomware-Ereignis genutzt werden können, das auf eine weitergehende Schädigung abgezielt hätte. Dies hätte Datendiebstahl und Erpressung Tür und Tor geöffnet.

Globale Großveranstaltungen sind nach wie vor attraktive Ziele für Bedrohungsakteure, aber es gibt auch eine Vielzahl von Motiven auf Seiten von Nationalstaaten, die bereit zu sein scheinen, Kollateralschäden durch Angriffe in Kauf zu nehmen, wenn dies umfassenderen geopolitischen Interessen dient. Darüber hinaus werden Cyberkriminelle, die von den enormen finanziellen Möglichkeiten in IT-Umgebungen im Sport- und Veranstaltungsbereich profitieren wollen, diese weiterhin als attraktive Ziele betrachten.