Die meisten Unternehmen gehen davon aus, dass sie es mitbekommen würden, wenn in ihrem Microsoft 365-Tenant etwas Ernstes vor sich ginge. Die unangenehme Realität ist jedoch, dass die Bedrohungen, die den größten Schaden anrichten, sich selten bemerkbar machen. Ein „Password Spray“ sieht aus wie eine Handvoll fehlgeschlagener Anmeldeversuche. Ein kompromittiertes Postfach sieht aus wie ein Benutzer, der eine Weiterleitungsregel eingerichtet hat. Ein Datendiebstahl sieht aus, als würde jemand Dateien für ein Projekt herunterladen.
Genau diese Lücke soll der „Modern SecOps Envisioning Workshop“ schließen. Über mehrere Wochen hinweg setzt TrustedTech Microsoft Sentinel und die einheitliche SecOps-Plattform in Ihrer Live-Umgebung ein, erfasst reale Signale aus Identitäts-, E-Mail- und Datenquellen und zeigt Ihnen, was bereits vorhanden ist.
In den Workshop-Leitfäden von Microsoft werden sieben Arten von Bedrohungen aufgeführt, die im Verlauf des Einsatzes am ehesten auftreten. Im Folgenden erfahren Sie, um welche Bedrohungen es sich jeweils handelt, wie sie aussehen, wenn sie von den Microsoft-Tools erkannt werden, und welche Maßnahmen wir in der Regel empfehlen, um sie zu beseitigen.
Warum diese sieben Bedrohungen immer wieder auftauchen
Bevor wir uns die Liste genauer ansehen, ist es hilfreich, das Muster zu verstehen. Sechs der sieben unten aufgeführten Bedrohungen sind entweder Identitätsangriffe oder Folgen einer kompromittierten Identität. In den Leitlinien von Microsoft wird darauf hingewiesen, dass die meisten Sicherheitsvorfälle mit einer kompromittierten Identität beginnen, häufig durch eine erfolgreiche Phishing-E-Mail.
Aus diesem Grund integriert der Workshop von Anfang an Signale aus Microsoft Entra ID, Microsoft 365 und Defender direkt in Sentinel. Auch wenn jede dieser Warnmeldungen für sich genommen harmlos erscheinen mag, ergeben sie in einer einzigen Vorfallwarteschlange ein Gesamtbild: eine Phishing-E-Mail, dann eine risikobehaftete Anmeldung, anschließend eine neue Posteingangsregel und schließlich ein massiver Dateidownload. Erst durch diese Abfolge lässt sich der Unterschied zwischen der Erkennung eines Angriffs in Echtzeit und seiner Entdeckung in einem Sicherheitsvorfallbericht erkennen.
1. Durchgesickerte Zugangsdaten
Kategorie: Identität
Erkannt von: Microsoft Entra ID Protection, Microsoft Defender für Cloud-Apps
Wenn Angreifer an gültige Passwörter gelangen, behalten sie diese fast nie für sich; stattdessen werden die Anmeldedaten auf Paste-Seiten hochgeladen, auf Dark-Web-Marktplätzen verkauft und in großen Mengen gehandelt. Der Dienst zur Erkennung von Anmeldedatenlecks von Microsoft beobachtet diese Quellen und arbeitet mit Forschern, Strafverfolgungsbehörden und seinen eigenen Sicherheitsteams zusammen, um offengelegte Kombinationen aus Benutzernamen und Passwörtern zu erfassen. Wenn eine solche Kombination mit den derzeit gültigen Anmeldedaten eines Ihrer Benutzer übereinstimmt, löst Entra ID Protection eine Risikomeldung wegen offengelegter Anmeldedaten aus.
Warum das wichtig ist: Durch die Offenlegung von Zugangsdaten muss ein Angreifer möglicherweise weder Phishing betreiben noch irgendetwas erraten. Er verfügt bereits über ein funktionierendes Passwort. Wenn für dieses Konto keine Multi-Faktor-Authentifizierung erforderlich ist, kann er sich einfach einloggen.
Unsere Empfehlung:
- Führen Sie zunächst die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer ein, beginnend mit denjenigen, die über privilegierte Konten verfügen.
- Wenden Sie Richtlinien für den bedingten Zugriff an, um bei Feststellung eines Risikos eine strengere Überprüfung zu verlangen.
- Ermöglichen Sie es den Benutzern, ihre Passwörter selbst zurückzusetzen, damit sie im Falle eines Passwortlecks automatisch darauf reagieren können.
- Aktivieren Sie den Microsoft Entra-Passwortschutz, um die Verwendung schwacher und häufig verwendeter Passwörter zu unterbinden.
- Wechseln Sie zur passwortlosen Anmeldung mit Windows Hello for Business.
Wenn Sie Ihren Business Case zum Thema Multi-Faktor-Authentifizierung erstellen, könnte unsere Analyse der Kosten und der Kapitalrendite einer solchen Authentifizierung ein guter Ausgangspunkt für Sie sein.
2. Mehrere fehlgeschlagene Anmeldeversuche (Passwort-Spray und Brute-Force-Angriffe)
Kategorie: Identität
Erkannt von: Microsoft Entra ID Protection, Microsoft Defender für Cloud-Apps
Dies ist die Gefahr, die hinter einer der häufigsten Befürchtungen steckt, die wir hören: „Angriffe, die als fehlgeschlagene Anmeldeversuche getarnt sind.“ Es gibt zwei Hauptvarianten.
Bei einem „Password-Spray“-Angriff wird eine kleine Anzahl häufig verwendeter Passwörter auf eine große Anzahl von Konten angewendet. Für den einzelnen Nutzer erscheint dies lediglich als ein einzelner fehlgeschlagener Anmeldeversuch, weshalb dies von den meisten herkömmlichen Überwachungssystemen unbemerkt bleibt. Die Angreifer benötigen nicht viele erfolgreiche Anmeldungen; bereits eine geringe Anzahl erfolgreicher Anmeldungen pro tausend Konten reicht ihnen aus, um Zugriff zu erlangen, E-Mails zu lesen, Kontaktdaten zu sammeln und anschließend von einer vertrauenswürdigen Adresse aus weitere Phishing-Angriffe durchzuführen.
Ein Brute-Force-Angriff funktioniert genau umgekehrt. Dabei wird eine kleine Gruppe besonders wichtiger Konten, wie beispielsweise die von Führungskräften oder IT-Administratoren, mit zahlreichen Passwortversuchen bombardiert.
Warum das wichtig ist: „Password Spray“-Angriffe sind so konzipiert, dass sie unterhalb der Alarmschwellen bleiben. Ohne eine verhaltensbasierte Analyse, die den gesamten Mandanten umfasst, werden Sie dies erst bemerken, wenn ein Konto bereits kompromittiert wurde.
Unsere Empfehlung:
- Konfigurieren Sie die Richtlinien für Anmelderisiken und Benutzerrisiken in Entra ID Protection, um Risiken automatisch zu erkennen und darauf zu reagieren
- Aktivieren Sie die „Entra Smart Lockout“-Funktion, um Angreifer abzuwehren, während berechtigte Benutzer weiterarbeiten können.
- MFA und bedingten Zugriff durchsetzen
- Reduzieren Sie dauerhafte Administratorrechte mit Microsoft Entra Privileged Identity Management (PIM)
- Stellen Sie Microsoft Defender for Identity bereit, wenn Sie noch Active Directory lokales Active Directory betreiben.
3. Verdächtige Anmeldeaktivitäten
Kategorie: Identität
Erkannt von: Microsoft Entra ID Protection, Microsoft Defender für Cloud-Apps
Diese Kategorie umfasst eine Reihe von Erkennungsmethoden für risikobehaftete Anmeldungen, darunter:
- Anmeldungen von anonymen IP-Adressen oder Tor-Ausgangsknoten
- Unmögliche Reise (ein Benutzer, der sich von zwei Orten aus anmeldet, die zu weit voneinander entfernt sind, als dass er die Strecke in der verstrichenen Zeit hätte zurücklegen können)
- Aktivitäten aus einem selten besuchten oder unbekannten Land
- Anmeldungen mit für diesen Benutzer unbekannten Eigenschaften
Die Tools von Microsoft legen in einer anfänglichen Lernphase eine Basislinie für das normale Verhalten jedes Benutzers und Ihrer Organisation fest. Anschließend wird jede Sitzung anhand dieser Basislinie unter Berücksichtigung von mehr als 30 Risikoindikatoren bewertet, und es wird eine Warnmeldung ausgegeben, wenn etwas davon abweicht.
Warum das wichtig ist: Für sich genommen kann eine VPN-Anmeldung oder eine Anmeldung vom Flughafen aus harmlos sein. Genau aus diesem Grund ignorieren Sicherheitsteams solche Warnmeldungen. Im Workshop korreliert Sentinel diese Ereignisse mit dem, was anschließend geschah – so lässt sich ein reisender Vertriebsmitarbeiter von einem Angreifer unterscheiden, der gestohlene Zugangsdaten verwendet.
Wir empfehlen, dieselben Kontrollmaßnahmen wie oben erwähnt anzuwenden, nämlich risikobasierte Richtlinien, MFA, bedingten Zugriff, PIM und Passwortschutz, sowie einen Überwachungsprozess einzurichten, damit die risikobehafteten Benutzer tatsächlich überprüft werden, anstatt die Warnmeldungen sich einfach anhäufen zu lassen.
4. Phishing-Versuche
Kategorie: E-Mail, Identität
Erkannt von: Microsoft Defender für Office 365, Exchange Online Protection
Phishing ist nach wie vor die von Angreifern am häufigsten genutzte Methode, um an die Zugangsdaten zu gelangen, die die Bedrohungen 1 bis 3 ermöglichen. Die beiden klassischen Arten:
- Die Links, die zum Ausspähen von Zugangsdaten verwendet werden, leiten die Nutzer auf eine gefälschte Anmeldeseite weiter, auf der der Benutzername und das Passwort des Nutzers erfasst werden, sobald dieser sie eingibt.
- Schädliche Anhänge: Eine Datei, in der Regel ein PDF, fordert den Nutzer auf, sich anzumelden, um das Dokument anzuzeigen, wodurch die Anmeldedaten erneut an den Angreifer übermittelt werden.
Die Bedeutung liegt darin, dass bereits ein einziger erfolgreicher Phishing-Angriff einem Angreifer eine gültige Identität verschaffen kann und damit alle nachfolgenden Aktionen auf dieser Liste möglich werden.
Unsere Empfehlung:
- Setzen Sie die Anti-Phishing-Richtlinien von Defender für Office 365 ein, um Angriffe durch Identitätsbetrug abzuwehren.
- „Sichere Links“ und „Sichere Anhänge“ aktivieren
- Konfigurieren Sie SPF, DKIM und DMARC für jede E-Mail-Domain, damit empfangende Systeme überprüfen können, ob Ihre E-Mails tatsächlich von Ihnen stammen.
- Aktivieren Sie die Defender XDR-Warnrichtlinien für verdächtige E-Mail-Aktivitäten.
- Führen Sie Angriffssimulationen und Schulungen zur Sensibilisierung für Sicherheitsfragen durch, damit die Nutzer Phishing-Versuche erkennen und melden können.
Weitere Informationen zur E-Mail-Ebene finden Sie in unserem Leitfaden zum Phishing-Schutz von Microsoft Defender für Office 365.
5. Malware
Kategorie: E-Mail, Daten
Erkannt von: Microsoft Defender für Office 365, Exchange Online Protection, Microsoft Defender für Cloud-Apps
Microsoft unterteilt Malware in zwei Gruppen, und diese Unterscheidung ist für Ihre Abwehrmaßnahmen von Bedeutung:
- Zur Erkennung bekannter Malware können klassische Methoden wie der Abgleich von Datei-Hashes und die Überprüfung von Reputationssignalen eingesetzt werden; dies wird von Exchange Online Protection übernommen.
- Diese Malware ist bisher noch nicht bekannt und lässt sich nicht anhand einer Signatur identifizieren; stattdessen erkennt Defender für Office 365 sie, indem es die verdächtigen Dateien in einer Sandbox ausführt und dabei heuristische Verfahren sowie maschinelles Lernen einsetzt.
Warum das wichtig ist: Wenn Ihr E-Mail-Schutz sich auf signaturbasierte Prüfungen beschränkt, gelangen unbekannte Schadprogramme ungehindert durch. Der Workshop zeigt Ihnen, wie viel von dem, was in Ihren Posteingängen landet, in diese zweite Kategorie fällt.
Unsere Empfehlung:
- „Sichere Anhänge“ und „Sichere Links“ in Defender für Office 365 aktivieren
- Überprüfen und straffen Sie die Anti-Malware-Richtlinien von Exchange Online Protection.
- Verwenden Sie die Malware-Richtlinien von „Defender for Cloud Apps“, um SharePoint Online, OneDrive, Teams und unterstützte Anwendungen von Drittanbietern wie Box und Dropbox zu scannen.
- Aktivieren Sie die Richtlinien zu Ransomware-Aktivitäten in „Defender für Cloud-Apps“.
6. Verdächtige Aktivitäten am Briefkasten
Kategorie: E-Mail
Erkannt von: Microsoft Defender für Cloud-Apps
Das ist der stille Kompromiss. Sobald ein Angreifer Zugriff auf ein Postfach hat, reichen schon ein paar kleine Änderungen aus, damit er die Kontrolle behält, ohne dass der Benutzer etwas davon bemerkt:
- Bei der Weiterleitung verdächtiger E-Mails wird eine Kopie jeder eingehenden E-Mail an eine externe Adresse gesendet.
- Regeln zur Manipulation des Posteingangs verschieben oder löschen Nachrichten, oft um Antworten auf die eigenen Phishing- oder Betrugsversuche des Angreifers zu verbergen.
- Das Löschen verdächtiger E-Mails führt zur Vernichtung von Beweismitteln.
Von dort aus können Angreifer sensible Informationen aus dem Postfach abrufen, die globale Adressliste durchsuchen, um den nächsten Angriff zu planen, und Spear-Phishing-E-Mails von einem vertrauenswürdigen internen Konto aus versenden.
Warum das wichtig ist: Diese Veränderungen ebnen oft den Weg für Business-E-Mail-Betrug (BEC) und Rechnungsbetrug. Sie bestätigen zudem, dass ein Konto bereits kompromittiert wurde, auch wenn noch keine andere Warnmeldung ausgelöst wurde.
Unsere Empfehlung:
- Richten Sie „Defender for Cloud Apps“-Richtlinien zur Erkennung von Anomalien bei verdächtigen Aktivitäten in Postfächern ein, einschließlich automatisierter Reaktionen.
- Aktivieren Sie die Microsoft 365-Warnrichtlinien für verdächtige Aktivitäten im Postfach.
- Die automatische externe Weiterleitung standardmäßig blockieren und nur in Ausnahmefällen zulassen.
7. Ungewöhnliche Benutzeraktivitäten
Kategorie: E-Mail, Daten
Erkannt durch: Microsoft Defender für Cloud-Apps, Microsoft 365-Warnrichtlinien
Die letzte Art von Bedrohung besteht darin, was ein Angreifer mit einem kompromittierten Konto tut, sobald er sich Zugang verschafft hat:
- Ungewöhnliche Downloads mehrerer Dateien (Datenexfiltration)
- Ungewöhnliche Dateifreigabe (Datenleck)
- Ungewöhnliches Löschen von Dateien (Vernichtung oder Vorbereitung für Ransomware)
- Ungewöhnliche Aktivitäten im Zusammenhang mit Identitätsdiebstahl (Lateral Movement)
- Ungewöhnliche Administratoraktivitäten (Beharrlichkeit und Ausweitung von Berechtigungen)
Wenn es sich bei dem kompromittierten Konto um das eines Administrators handelt, vergrößert sich das Ausmaß des Schadens. In der Regel versuchen Angreifer, sich dauerhaft Zugang zu verschaffen, damit sie nicht durch das Zurücksetzen eines einzigen Passworts ausgeschaltet werden.
Die Bedeutung liegt darin, dass sich der Sicherheitsvorfall in dieser Phase zu einer Datenpanne entwickelt; je früher er erkannt wird, desto weniger Daten verlassen das Unternehmen.
Unsere Empfehlung:
- Richten Sie Richtlinien zur Anomalieerkennung in Defender for Cloud Apps so ein, dass sie automatisierte Reaktionen beinhalten, beispielsweise die Sperrung des Benutzers.
- Richten Sie Microsoft 365-Warnrichtlinien ein, um verdächtige Benutzeraktivitäten zu behandeln.
- Erkennen Sie Paare, indem Sie über ein klares Verfahren zur Reaktion auf Vorfälle verfügen, damit Warnmeldungen nicht nur protokolliert, sondern auch bearbeitet werden.
Was passiert, nachdem die Bedrohungen entdeckt wurden?
Das Erkennen von Bedrohungen ist nur die halbe Miete; der Workshop endet mit einer Ergebnispräsentation, in der jede in Ihrer Umgebung festgestellte Bedrohung folgenden Punkten zugeordnet wird:
- Technische Schutzmaßnahmen (zum Beispiel „Safe Links“ gegen Phishing oder risikobasierter bedingter Zugriff gegen Passwort-Spray-Angriffe)
- Der nächste empfohlene Schritt könnte eine Richtlinienänderung sein, die Ihr Team noch diese Woche umsetzen kann, oder er könnte eine umfassendere Einführung der Funktionen von „Defender for Office 365“ oder „Entra ID P2“ beinhalten, oder es könnte sich um eine Produktionsbereitstellung von Microsoft Sentinel handeln, um Ihr bestehendes SIEM entweder zu ersetzen oder zu ergänzen.
Einige wenige Unternehmen verfügen über das erforderliche Team, um die Ergebnisse eigenständig umzusetzen, während andere kein Security Operations Center betreiben. In solchen Fällen besteht der geeignete nächste Schritt darin, eine regelmäßige Überwachung und Incident Response sicherzustellen. TrustedTech bietet zudem die Möglichkeit, während des Workshops Fernüberwachung und Threat Hunting durchzuführen, und stellt anschließend Managed Detection and Response bereit.
Häufig gestellte Fragen
Frage: Welche Arten von Bedrohungen werden im „Modern SecOps Envisioning Workshop“ identifiziert?
A. In den Leitlinien von Microsoft werden sieben Arten von Bedrohungen aufgeführt, die am häufigsten auftreten: durchgesickerte Anmeldedaten, wiederholte fehlgeschlagene Anmeldeversuche (einschließlich „Password Spraying“ und Brute-Force-Angriffe), verdächtige Anmeldeaktivitäten, Phishing, Malware, verdächtige Aktivitäten im Postfach und ungewöhnliche Benutzeraktivitäten.
Frage: Was versteht man unter einem „Password-Spray“-Angriff?
A. Bei einem „Password-Spray“-Angriff werden zahlreiche gängige Passwörter gleichzeitig bei vielen Konten ausprobiert. Da jedes Konto nur einen einzigen fehlgeschlagenen Anmeldeversuch protokolliert, kann der Angriff in der Regel vermeiden, dass Standardwarnungen ausgelöst werden. Microsoft Entra ID Protection und Defender for Cloud Apps können dieses Muster jedoch in Ihrem gesamten Mandanten erkennen.
Frage: Was ist eine Reisewarnung wegen Unmöglichkeit der Reise?
A. Eine Reisewarnung, die unmöglich wahr sein kann, wird ausgelöst, wenn sich derselbe Benutzer von zwei Orten aus anmeldet, die zu weit voneinander entfernt sind, als dass sie innerhalb der verstrichenen Zeit mit einem Reiseaufenthalt erreicht worden sein könnten; dies ist ein typisches Anzeichen dafür, dass gestohlene Zugangsdaten aus einem anderen Land verwendet werden.
Frage: Wie erkennt Microsoft, dass Anmeldedaten offengelegt wurden?
A. Microsoft überwacht Quellen im öffentlichen Internet und im Dark Web und arbeitet mit Forschern und Strafverfolgungsbehörden zusammen, um offengelegte Kombinationen aus Benutzernamen und Passwörtern zu erfassen. Entra ID Protection gleicht diese mit den aktuellen Anmeldedaten Ihrer Benutzer ab und löst bei einer Übereinstimmung eine Risikowarnung aus.
Frage: Benötigen wir Microsoft 365 E5, um diese Bedrohungen zu erkennen?
A. Mehrere Erkennungsfunktionen basieren auf Funktionen, die in Microsoft 365 E5 oder Sicherheits-Add-ons wie Entra ID Protection und Defender for Cloud Apps enthalten sind. Im Workshop kommen Testlizenzen zum Einsatz, sodass Sie sich vor einer Lizenzentscheidung ein Bild von den Ergebnissen machen können. Sprechen Sie mit Ihrem TrustedTech-Kundenteam darüber, welche Lizenzen für Ihre Umgebung geeignet sind.
Finden Sie heraus, was sich in Ihrer Umgebung verbirgt.
Jede dieser sieben Bedrohungen lässt sich leichter abwehren, wenn man sie erkennen kann – und ist umso schwerer zu erkennen, wenn Ihre Sicherheitstools isoliert voneinander arbeiten. Der „Modern SecOps Envisioning Workshop“ bietet Ihnen über mehrere Wochen hinweg Echtzeit-Transparenz über Identitäten, E-Mails und Daten, einen auf Ihrer eigenen Umgebung basierenden Bericht mit den Ergebnissen sowie einen klaren Plan, welche Probleme Sie zuerst beheben sollten.
Möchten Sie wissen, welche dieser Bedrohungen derzeit in Ihrem Tenant aktiv sind? Melden Sie sich für den „Modern SecOps Envisioning Workshop“ an und besprechen Sie mit dem Sicherheitsteam von TrustedTech, wie sich dies auf Ihr Unternehmen anwenden lässt.
