Ein Security Operations Center stoppte den simulierten Eindringversuch von CISA innerhalb weniger Minuten. Ein anderes erhielt zwar Warnmeldungen, ließ den Angriff aber weitgehend weiterlaufen.
Die Cybersecurity and Infrastructure Security Agency veröffentlichte am 25. August die Ergebnisse von Red-Team-Assessments bei zwei US-amerikanischen Organisationen der kritischen Infrastruktur. CISA gelang es letztlich bei beiden, die jeweiligen Domänen vollständig zu übernehmen und sensible Geschäftssysteme sowie Cloud-Ressourcen zu erreichen. Der besser aufgestellte Verteidiger stoppte jedoch den ersten Eindringversuch, bevor die Tests in einem Assume-Breach-Szenario fortgesetzt wurden.
Die Übungen zeigen, wie kontrollierte Sicherheitstests Schwachstellen über den ersten Kompromittierungspunkt hinaus aufdecken können – eine Sorge, die auch in jüngst untersuchten Umgebungen zur Cybersicherheitsbewertung eine Rolle spielt. Die Empfehlung von CISA vom 25. August beschreibt eine Organisation, die Schwierigkeiten hatte, auf Endpoint-Warnmeldungen zu reagieren, und eine andere, die die erste Kompromittierung schnell eindämmte, aber nach Wiederaufnahme der Tests dennoch Schwachstellen bei Active Directory und Cloud-Identitäten offenlegte.
Warum ein SOC CISA stoppte
CISA untersuchte eine nicht namentlich genannte Organisation des Government Services and Facilities Sector, Organisation A, sowie eine Organisation des Water and Wastewater Systems Sector, Organisation B.
Bei Organisation A stellte das Red Team eine Webanwendung mit Standardpasswörtern fest, versendete Phishing-E-Mails von einer internen Adresse und kompromittierte vier Arbeitsstationen. Die Endpoint-Erkennungstools erzeugten Warnmeldungen, doch die Verteidiger reagierten nicht wirksam. CISA führte das Versagen teilweise auf die Flut von Warnmeldungen und organisatorische Silos zwischen SOC-Teams und Systemverantwortlichen zurück.
Bei Organisation B klickten drei Beschäftigte auf schädliche Links, worauf jede Ausführung einer Payload eine EDR-Warnmeldung mittlerer Schwere auslöste. Die SOC-Mitarbeiter isolierten die betroffenen Arbeitsstationen nach etwa 10, 2 beziehungsweise 20 Minuten und unterbrachen damit den ersten Zugriff von CISA.
CISA wechselte anschließend zu einer Assume-Breach-Übung. Die IT-Mitarbeiter von Organisation B führten eine Red-Team-Payload auf einem bestimmten internen Host aus, damit die Tests aus der Position eines Angreifers innerhalb des Netzwerks fortgesetzt werden konnten.
Bei Organisation A nutzte CISA die standardmäßige Machine Account Quota zusammen mit einer falsch konfigurierten Vorlage für Active Directory Certificate Services aus und erlangte Klartextdatenbank-Zugangsdaten sowie langlebige AWS-IAM-Zugangsdaten.
Bei Organisation B erlangte CISA Klartext-Zugangsdaten für ein Dienstkonto, dessen übermäßige AllExtendedRights-Berechtigung DCSync und letztlich die Übernahme der Domäne ermöglichte. Das Team erlangte außerdem Zugangsdaten für die Microsoft-Identitätssynchronisierung und stellte eine Anwendung mit weitreichenden E-Mail-Berechtigungen im gesamten Mandanten fest. Ähnliche Risiken im Zusammenhang mit Berechtigungen von Cloud-Anwendungen nehmen zu, da Unternehmens-Workloads Zugriff auf sensible Systeme und Daten erhalten.
CISA identifizierte keine Zero-Day-Schwachstelle. Die Schwachstellen betrafen Konfigurationen, Zugangsdaten und Berechtigungen, die Sicherheitsteams direkt überprüfen können.
Was eWeek herausfand: Eine schnelle SOC-Reaktion schloss Lücken bei Identitäten und in der Cloud nicht
Organisation B ermöglicht den aussagekräftigsten Vergleich. Ihr SOC isolierte alle drei zunächst kompromittierten Endpunkte innerhalb von höchstens 20 Minuten und zwang das Red Team damit, seinen ursprünglichen Angriffspfad zu verlassen. Nach der Wiederaufnahme der Tests unter Assume-Breach-Bedingungen boten die Identitäts- und Cloud-Konfiguration weiterhin Wege zu privilegierten Systemen.
Ein wirksames EDR verringerte den anfänglichen Zugriff, ohne zu zeigen, dass Berechtigungen in Active Directory, Dienstkonten oder Berechtigungen von Cloud-Anwendungen gleichermaßen abgesichert waren. Diese Kontrollen gewinnen an Bedeutung, wenn Unternehmen KI-Agenten und andere nichtmenschliche Identitäten einführen, die auf Dienstkonten, API-Schlüssel, OAuth-Token oder delegierte Berechtigungen zurückgreifen können.
CISA stellte fest, dass keine der beiden Organisationen Conditional Access für Workload-Identitäten einsetzte. Microsoft zufolge kann Conditional Access für Workload-Identitäten standort- oder risikobasierte Beschränkungen auf organisatorische Dienstprinzipale anwenden.
Organisation B zeigte, dass eine schnelle Eindämmung einen ersten Eindringversuch stoppen kann, ohne Angriffspfade zu beseitigen, die nach dem Erlangen einer vertrauenswürdigen Identität oder eines internen Zugangs durch einen Angreifer verfügbar sind. Reaktion auf Endpunkte, Berechtigungen in Active Directory und Cloud-Identitäten müssen daher entlang derselben Angriffskette getestet werden.
Mehr lesen: Betreiber kritischer Infrastrukturen wägen ebenfalls ab, wie weit automatisierte Abwehr gehen sollte, während das geplante AI-powered Cyber Shield Erkennung, Reaktionsbefugnisse und Aufsicht auf den Prüfstand stellt.