Zwei SOCs, Zwei Ergebnisse: Lektionen aus Red-Team-Bewertungen

Zusammenfassung

CISA führte simultane Red Team-Assessments in zwei Organisationen durch, die zeigten, wie Unterschiede in der defensiven Reife die Ergebnisse von Angriffen dramatisch beeinflussen können. Eine Organisation konnte eine vollständige Domänenkompromittierung und seitliche Bewegungen nicht erkennen, während die andere erfolgreich die ersten Übergriffe identifizierte und eindämmte. Der Bericht enthüllt kritische Schwächen im Bereich des Cloud-Identitätsmanagements, der Active Directory-Konfigurationen und der organisatorischen Reaktionsprozesse bei Vorfällen.

Untersuchung

Die Untersuchung umfasste zwei gleichzeitige Simulationen, eine bei einer Organisation des Sektors für Regierungsdienste und -einrichtungen und die andere bei einer Organisation des Sektors für Wasser- und Abwassersysteme. Red Teams nutzten Techniken wie Phishing, BloodHound und ADCS-Ausnutzung, um Zugang zu erlangen und die Kontrolle auszuweiten. Ermittler untersuchten, wie Sicherheitslage, übermäßige Alarmvolumen und organisatorische Silos beeinflussten, ob Verteidiger die simulierten Eindringversuche erfolgreich erkannten und eindämmten.

Minderung

Empfohlene Maßnahmen zur Minderung umfassen die Feinabstimmung von Erkennungswerkzeugen zur Reduzierung von Alarmgeräuschen und die Etablierung klarer Eskalationsverfahren für Sicherheitsteams. Organisationen sollten bedingten Zugriff für Arbeitslast-Identitäten implementieren, phishing-resistente MFA erzwingen und regelmäßig Cloud-Zugangsdaten rotieren. Die Stärkung der Active Directory-Sicherheit durch Korrektur falscher ADCS-Vorlagen und Behebung risikoreicher Maschinenkontingente (MAQ) ist ebenfalls entscheidend.

Reaktion

Wenn unbefugte Aktivitäten entdeckt werden, sollten Organisationen sofort die betroffenen Workstations und Cloud-Konten isolieren, um C2-Kommunikation zu stören. Verteidiger sollten etablierten Reaktionsplänen für Vorfälle folgen, die das Widerrufen von Zugängen und Aktualisierungstoken sowie das Prüfen von Dienstprinzipal-Berechtigungen beinhalten. Eine effektive Reaktion hängt auch davon ab, organisatorische Silos zu eliminieren, damit SOC-Teams schnelle und entschlossene Eindämmungsmaßnahmen ergreifen können.

## Simulationsdurchführung

Voraussetzung: Die Telemetrie- & Benchmark-Vorflugüberprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Durchführung der gegnerischen Technik (TTP), die dazu bestimmt ist, die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle: Ein Angreifer hat einen ersten Fußabdruck auf einer Windows-Workstation erlangt. Um seitliche Bewegungen und Privilegien-Eskalation zu erleichtern, müssen sie die Active Directory-Umgebung kartieren. Sie laden die SharpHound-exe herunter. Um eine sofortige Erkennung durch grundlegendes AV zu vermeiden, versuchen sie, es mit seinen Standardbefehlszeilenargumenten auszuführen, um alle Domaininformationen zu sammeln. Das Ziel ist es, den spezifischen String SharpHound im Prozess-Erstellungsereignis zu generieren, um zu testen, ob die Erkennungslogik des SOCs funktionsfähig ist.

• Regressionstest-Skript:

  # Simulation der Ausführung von SharpHound, um die Erkennungsregel auszulösen.
  # Hinweis: In einem echten Szenario würde die Datei heruntergeladen werden. 
  # Für diese Simulation erstellen wir eine Dummy-Datei, um die Prozessausführung zu imitieren.
  
  $dummyPath = "$env:TEMPSharpHound.exe"
  New-Item -Path $dummyPath -ItemType File -Force
  
  # Führen Sie die Dummy-Datei mit dem Schlüsselwort aus, das in der Erkennungslogik verwendet wird
  # Wir verwenden Start-Process, um sicherzustellen, dass sie klar in den Prozess-Erstellungsprotokollen angezeigt wird
  Start-Process -FilePath $dummyPath -ArgumentList "--CollectionMethod All --Domain corp.local" -NoNewWindow

• Bereinigungsbefehle:

  # Entfernen Sie die für die Simulation verwendete Dummy-Datei
  Remove-Item -Path "$env:TEMPSharpHound.exe" -Force