Ein Security Operations Center stoppte den simulierten Eindringversuch von CISA innerhalb weniger Minuten. Ein anderes erhielt zwar Warnmeldungen, ließ den Angriff aber weitgehend weiterlaufen.
Die Cybersecurity and Infrastructure Security Agency veröffentlichte am 25. Aug. die Ergebnisse von Red-Team-Tests bei zwei US-Organisationen der kritischen Infrastruktur. CISA erlangte letztlich bei beiden die vollständige Kontrolle über die Domäne und erreichte sensible Geschäftssysteme und Cloud-Ressourcen. Der besser aufgestellte Verteidiger stoppte den ursprünglichen Eindringversuch jedoch, bevor der Test im Rahmen eines Assume-Breach-Szenarios fortgesetzt wurde.
Die Übungen zeigen, wie kontrollierte Sicherheitstests Schwachstellen jenseits des ersten Kompromittierungspunkts offenlegen können – ein Problem, das auch in jüngsten Umgebungen zur Bewertung der Cybersicherheit. und in der Empfehlung von CISA vom 25. Aug. untersucht wird. Darin wird eine Organisation beschrieben, die Schwierigkeiten hatte, auf Endpoint-Warnmeldungen zu reagieren, sowie eine andere, die die erste Kompromittierung schnell eindämmte, nach der Wiederaufnahme der Tests aber dennoch Schwachstellen bei Active Directory und Cloud-Identitäten offenbarte.
Warum ein SOC CISA stoppte
CISA untersuchte eine nicht namentlich genannte Organisation aus dem Government Services and Facilities Sector, Organisation A, sowie eine Organisation aus dem Water and Wastewater Systems Sector, Organisation B.
Bei Organisation A stellte das Red Team eine Webanwendung mit Standardzugangsdaten fest, versandte Phishing-E-Mails von einer internen Adresse und kompromittierte vier Workstations. Die Endpoint-Erkennungstools erzeugten Warnmeldungen, doch die Verteidiger reagierten nicht wirksam. CISA führte den Ausfall teilweise auf eine Flut von Warnmeldungen und organisatorische Silos zwischen den SOC-Teams und den Systemverantwortlichen zurück.
Bei Organisation B klickten drei Beschäftigte auf schädliche Links, und jede Ausführung einer Payload löste eine EDR-Warnmeldung mittlerer Schwere aus. Die SOC-Mitarbeiter isolierten die betroffenen Workstations nach etwa 10, zwei beziehungsweise 20 Minuten und unterbrachen damit den ursprünglichen Zugriff von CISA.
CISA wechselte anschließend zu einer Assume-Breach-Übung. Die IT-Mitarbeiter von Organisation B führten eine Red-Team-Payload auf einem dafür bestimmten internen Host aus, damit die Tests aus der Position eines Angreifers innerhalb des Netzwerks fortgesetzt werden konnten.
Bei Organisation A nutzte CISA die standardmäßige Machine Account Quota zusammen mit einer falsch konfigurierten Vorlage für Active Directory Certificate Services aus und erlangte Klartext-Zugangsdaten für eine Datenbank sowie langlebige AWS-IAM-Zugangsdaten.
Bei Organisation B erlangte CISA Klartext-Zugangsdaten für ein Dienstkonto, dessen übermäßige AllExtendedRights-Berechtigung DCSync und letztlich die Übernahme der Domäne ermöglichte. Das Team erlangte außerdem Zugangsdaten für die Microsoft-Identitätssynchronisierung und entdeckte eine Anwendung mit umfassenden E-Mail-Berechtigungen im gesamten Mandanten. Vergleichbare Risiken im Zusammenhang mit Berechtigungen von Cloud-Anwendungen nehmen zu, da Unternehmens-Workloads Zugriff auf sensible Systeme und Daten erhalten.
CISA identifizierte keine Zero-Day-Schwachstelle. Die Schwachstellen betrafen Konfigurationen, Zugangsdaten und Berechtigungen, die Sicherheitsteams direkt prüfen können.
Die Erkenntnisse von eWeek: Eine schnelle SOC-Reaktion schloss Lücken bei Identitäten und in der Cloud nicht
Organisation B bietet den aussagekräftigsten Vergleich. Das SOC isolierte alle drei zunächst kompromittierten Endpoints innerhalb von höchstens 20 Minuten und zwang das Red Team damit von seinem ursprünglichen Angriffspfad ab. Als die Tests unter Assume-Breach-Bedingungen wieder aufgenommen wurden, boten die Konfigurationen von Identitäten und Cloud jedoch weiterhin Wege zu privilegierten Systemen.
Ein wirksames EDR verringerte den anfänglichen Zugriff, ohne zu zeigen, dass die Berechtigungen in Active Directory, Dienstkonten oder Berechtigungen von Cloud-Anwendungen gleichermaßen abgesichert waren. Diese Kontrollen gewinnen an Bedeutung, da Unternehmen KI-Agenten und andere nichtmenschliche Identitäten einführen, die auf Dienstkonten, API-Schlüssel, OAuth-Token oder delegierte Berechtigungen zurückgreifen können.
CISA stellte fest, dass keine der beiden Organisationen Conditional Access für Workload-Identitäten einsetzte. Microsoft zufolge kann Conditional Access für Workload-Identitäten standort- oder risikobasierte Einschränkungen auf Dienstprinzipale von Organisationen anwenden.
Organisation B zeigte, dass eine schnelle Eindämmung einen anfänglichen Eindringversuch stoppen kann, ohne Angriffspfade zu beseitigen, die verfügbar werden, nachdem ein Angreifer eine vertrauenswürdige Identität oder einen internen Zugriffspunkt erlangt hat. Endpoint-Reaktion, Active-Directory-Berechtigungen und Cloud-Identitäten müssen daher entlang derselben Angriffskette getestet werden.
Mehr dazu: Betreiber kritischer Infrastrukturen wägen ebenfalls ab, wie weit automatisierte Abwehrmaßnahmen gehen sollten, während der geplante KI-gestützte Cyber Shield des Vereinigten Königreichs Erkennung, Reaktionsbefugnisse und Aufsicht auf den Prüfstand stellt.