Heute nutzen Bedrohungsakteure eine Vielzahl von Methoden, um Unternehmen ins Visier zu nehmen. Während Ransomware, Phishing, Botnetze und andere Malware für Schlagzeilen sorgen, bleibt Active Directory (AD) ein wichtiger Angriffsvektor.
Genauer gesagt nutzen Hacker Attack Paths in AD – Ketten aus missbrauchbaren Berechtigungen und Benutzerverhalten, die Benutzer und Computer miteinander verbinden und die Angreifer nutzen, um sensible Daten zu stehlen oder Malware-Angriffe zu starten. Sie sind in praktisch allen Unternehmensnetzwerken vorhanden und stellen Verteidiger seit Jahrzehnten vor Probleme – unabhängig davon, ob diese sich dessen bewusst waren oder nicht.
Ich habe Attack Paths in den vergangenen Jahren ausführlich untersucht. Da sich Angriffe weiterentwickeln, erfordert der Schutz vor Attack Paths einen neuen Ansatz. In diesem Artikel werde ich Attack Paths näher beleuchten und erläutern, wie Sicherheits-experten diese Bedrohungen beseitigen können.
Siehe auch: 5 Cloud-Sicherheitstrends im Jahr 2022
Die geheime Plage von Microsoft Active Directory
Im Jahr 2009 beschrieb Microsoft Research Attack Paths als „Identity-Snowball-Angriffe [die] die an einem ersten kompromittierten Host angemeldeten Benutzer nutzen, um mit den Berechtigungen dieser Benutzer weitere Angriffe auf anderen Hosts zu starten.“
Identitätsbasierte Attack Paths – auf diese konzentriere ich mich hier – sind in Microsft AD und Azure AD besonders problematisch, da diese Plattformen Angreifern bei relativ geringem Risiko hohe Gewinne ermöglichen. Hier konzentriere ich mich jedoch auf Microsoft AD; die Konzepte gelten auch für andere Systeme zur Identitäts- und Zugriffsverwaltung, etwa in Google Suite und AWS.
Die vorhandene Fachliteratur zu Attack Paths ist häufig zu akademisch, um praktisch nutzbar zu sein, und die tatsächlich verfügbaren Werkzeuge betrachten Attack Paths aus der Perspektive des Angreifers. Ansätze wie die gestufte Administration und das Prinzip der geringsten Privilegien können diese Risiken theoretisch reduzieren, werden aus verschiedenen Gründen jedoch fast nie korrekt umgesetzt – wenn überhaupt.
Der Schutz vor dem Missbrauch von Attack Paths erfordert eine kontinuierliche Erkennung, Zuordnung und Risikobewertung von Engpässen in AD Attack Paths – sowohl lokal als auch in AD. Dieser Ansatz kann Attack Paths beseitigen, entschärfen und verwalten und die Angriffsfläche, die AD dem Angreifer bietet, deutlich verkleinern.
Dieser Schutzansatz sollte weder grundlegende Architekturänderungen erfordern noch Verteidiger dazu zwingen, endlose Listen von Fehlkonfigurationen, Schwachstellen und gefährlichem Benutzerverhalten abzuarbeiten. Nach meiner Erfahrung erfordert der erfolgreiche Schutz von AD vor Attack Paths drei wesentliche Schritte:
1) Echtzeit-Mapping
Der erste Schritt zur Unterbindung von Attack Paths besteht darin, jederzeit zu wissen, wie viele davon existieren.
Unternehmensnetzwerke sind nicht statisch. Benutzer mit weitreichenden Berechtigungen melden sich täglich an unterschiedlichen Systemen an und hinterlassen dabei Tokens und Anmeldedaten, die ein Angreifer missbrauchen kann. Neue Anwendungen erfordern neu vergebene Berechtigungen, und die Mitgliedschaften in Sicherheitsgruppen ändern sich, um geschäftlichen Anforderungen gerecht zu werden.
Einmalige Messungen von Attack Paths oder Messungen in bestimmten Abständen reichen nicht aus. Das Mapping muss alle möglichen Systeme und Benutzer umfassen – von Domänencontrollern bis hin zu einzelnen Endgeräten. Wenn neue Forschungsergebnisse neue Techniken zum Missbrauch von Benutzerberechtigungen hervorbringen, müssen diese Techniken in die Attack-Path-Map aufgenommen werden, damit sie umfassend bleibt.
Siehe auch: Secure Access Service Edge: große Vorteile, große Herausforderungen
2) Identifizierung und Priorisierung von Engpässen in Attack Paths
Es ist nicht möglich, alle Attack Paths in einer Umgebung abzuschalten – es gibt schlicht zu viele davon, und nicht alle können deaktiviert werden.
Eine bessere Lösung besteht darin, sich auf „Engpässe“ zu konzentrieren, die zu besonders wertvollen Assets (oder Tier-Zero-Assets) wie Domänencontrollern führen. Wenn eine Organisation beispielsweise zehn Verbindungen zu ihren Tier-Zero-Assets hat, muss jeder Attack Path zu diesen Assets unabhängig von seinem Ausgangspunkt über eine dieser Verbindungen führen. Die Identifizierung dieser Engpässe verringert den Umfang der Aufgaben, auf die sich die Verteidiger konzentrieren müssen, und macht den Prozess besser handhabbar.
Es gibt zahlreiche Lösungen, die Fehlkonfigurationen in AD einen subjektiven „Risikobewertungs“-Wert zuweisen. Ob das hilfreich ist, hängt davon ab, wie der Lösungsanbieter Risiken bewertet. Ein besserer Ansatz besteht darin, Risiken objektiv anhand der Anzahl der Computer und Benutzer zu messen, die Zugriff auf den jeweiligen Engpass haben.
Wenn beispielsweise ein Engpass 100 % der Benutzer den Zugriff auf Tier Zero ermöglicht, während ein anderer Engpass nur 2 % der Benutzer den Zugriff auf Tier Zero ermöglicht, ist klar, welches Problem die Verteidiger zuerst beheben sollten.
Siehe auch: 5 Möglichkeiten, wie soziale Medien die Cybersicherheit beeinflussen
3) Umsetzbare Anleitungen zur Behebung
Attack Paths stellen für jede Organisation ein großes Risiko dar. Jede Organisation muss jedoch selbst entscheiden, wie viel Zeit, Geld und politisches Kapital sie für deren Verwaltung aufwenden will. Das Entziehen von Benutzerberechtigungen oder der Versuch, das Verhalten von Benutzern zu ändern, kann leicht unbeabsichtigte Folgen haben – etwa die Abwärtskompatibilität durch das Deaktivieren der NTLM-Authentifizierung zu beeinträchtigen – und dadurch legitime Geschäftsprozesse stören.
AD-Administratoren scheuen sich, ohne einen klaren Nutzen den Status quo zu verändern. Wenn Anleitungen unklar sind oder zu viel Arbeit erfordern, gehen Verteidiger wahrscheinlich auf Nummer sicher und ändern nichts. Deshalb müssen Anleitungen zur Behebung mehrere Kriterien erfüllen, damit sie praktikabel, präzise und sicher sind. Dazu gehören:
- Keine drastischen Änderungen an der Architektur der Verzeichnisdienste der Umgebung zu erfordern.
- Keine Migration der Organisation auf eine neue Plattform für Verzeichnisdienste zu erfordern.
- Keine Kenntnisse auf Expertenniveau zu erfordern.
- Erwartete Ergebnisse anzugeben, wobei sowohl die Maßnahme zur Behebung als auch die erwarteten Ergebnisse überprüfbar sein müssen.
- Anweisungen dazu zu enthalten, wie festgestellt werden kann, ob Berechtigungen erforderlich sind.
Die Möglichkeit, bestimmte Engpässe in Attack Paths zu identifizieren, das Risiko jedes einzelnen objektiv zu bewerten, Probleme schnell zu beheben und zu messen, wie sich das Gesamtrisiko einer Organisation im Laufe der Zeit verändert, kann die AD-Sicherheit von Organisationen erheblich verbessern und vereinfachen.
Mit der Weiterentwicklung dieses Bereichs und dem Aufkommen neuer Lösungen zur Optimierung dieses Prozesses werden Organisationen die Verwaltung von Attack Paths optimieren und so dazu beitragen können, schwerwiegende Bedrohungen und Fehlkonfigurationen zu entschärfen.
Siehe auch: Technologieprognosen für 2022: Cloud, Daten, Cybersicherheit, KI und mehr
Über den Autor:
Andy Robbins, Technical Architect und Co-Founder, SpecterOps