Ein Secret, das Bereits Gelesen Wurde, Lässt Sich Nicht Zurückrollen

Stellen Sie sich einen Dokumententresor mit wertvollem geistigem Eigentum vor. Eine angeheuerte Spionin öffnet ihn, fotografiert die Unterlagen darin, schließt ihn wieder und verlässt den Raum. Am nächsten Morgen sieht der Tresor genauso aus wie am Vorabend: dieselbe Tür, dieselbe Kombination, nichts verschoben. Es gibt nichts zurückzulegen, denn in den Begriffen, die ein Wiederherstellungstool versteht, wurde nichts entwendet. Der Verlust hat das Gebäude bereits als Kopie verlassen.

Das ist die unbequeme Gestalt, die eine große Klasse von Active-Directory-Angriffen annimmt, und das ist der Grund, warum die von der Branche bevorzugte Verteidigungserzählung eine Lücke in ihrer Mitte hat.

Seit einem Jahrzehnt konkurriert der Markt für Active-Directory-Sicherheit auf einer einzigen Achse: wie schnell Sie eine schädliche Änderung rückgängig machen können. Die bösartige Schreiboperation erkennen, einen Alarm auslösen und dann auf einen bekannt guten Zustand zurücksetzen. Manipulationssichere Änderungsverfolgung und automatisiertes Rollback sind das gesamte Angebot. Als Wiederherstellungsgeschichte ist das eine gute Geschichte, und Wiederherstellung zählt wirklich. Aber sie gibt den Punkt auf, der wirklich zählt. Die Änderung ist bereits geschehen, und manche Änderungen lassen sich, einmal geschehen, nicht mehr ungeschehen machen.

Die Active-Directory-Angriffe, die abgeschlossen sind, bevor Sie sie rückgängig machen können

Betrachten Sie, wie die schnellsten AD-Angriffe tatsächlich ablaufen. Ransomware-Gruppen verketten Schwachstellen wie noPac, das sAMAccountName-Spoofing-Paar hinter CVE-2021-42278 und CVE-2021-42287, um innerhalb von Minuten von einem gewöhnlichen Konto zur vollständigen Kontrolle über die Domäne aufzusteigen. Sobald ein Angreifer diese Position innehat, sind die folgenden Techniken kein lauter Vandalismus, den man hinterher aufräumen kann. Es sind Lesevorgänge und Identitätsvortäuschungen, die ihre Arbeit abschließen, bevor ein Rollback überhaupt etwas zum Wiederherstellen hat.

DCSync ist das klarste Beispiel und die direkte Parallele zur Tresorgeschichte. Durch den Missbrauch des eigenen Replikationsprotokolls des Verzeichnisses fordert der Angreifer von einem Domänencontroller die Passwort-Hashes von Konten an und erhält sie, wie es auch ein anderer Controller täte. Es bleibt kein verändertes Objekt im Verzeichnis zurück, das ein Wiederherstellungstool bemerken und rückgängig machen könnte. Die Änderung, soweit man sie so nennen kann, ist eine Kopie Ihrer Anmeldedaten, die bereits verschwunden ist. Sie können danach alle Passwörter zurücksetzen, und Sie sollten es auch tun, aber an diesem Punkt räumen Sie nach einem Diebstahl auf, statt ihn zu verhindern.

DCShadow funktioniert in die entgegengesetzte Richtung. Es registriert einen betrügerischen, nicht autorisierten Domänencontroller und schleust vom Angreifer gewählte Änderungen über den Replikationskanal in das Verzeichnis ein, wobei der übliche, von Ihrer Überwachung beobachtete Schreibpfad umgangen wird. Hier verweigert die wirksame Kontrolle die betrügerische Replikation in dem Moment, in dem sie versucht wird, sodass die eingeschleuste Änderung erst gar nicht in das Verzeichnis gelangt und es folglich nichts rückgängig zu machen gibt.

Nehmen Sie nun eine schädliche Änderung an einem Gruppenrichtlinienobjekt (GPO) – etwa eine, die eine Ransomware-Payload an jeden Rechner verteilt, der die Richtlinie liest, oder eine unauffällige Hinzufügung zu einer privilegierten Gruppe. Setzen Sie das Objekt zurück, und der Verzeichniszustand ist wiederhergestellt. Doch die Richtlinie wurde bereits verteilt, und die Payload, die sie transportierte, wurde bereits ausgeführt. Die Wiederherstellung des Objekts ändert nichts an dem bereits entstandenen Schadensradius.

Genau hier geht der Wiederherstellungserzählung der Spielraum aus. Für diese gesamte Kategorie kommen Erkennung und Rollback strukturell bedingt zu spät, und Prävention ist keine schnellere Version derselben Idee – sie ist eine andere Disziplin. Erkennung bestätigt, dass etwas Gefährliches bereits das Verzeichnis erreicht hat. Prävention stoppt den Vorgang, bevor das Verzeichnis ihn überhaupt akzeptiert.

Erkennung versus Prävention: ein GPO-Angriff, aus beiden Blickwinkeln betrachtet

Angenommen, ein Angreifer bearbeitet ein mit Ihren Servern verknüpftes GPO, um bei der nächsten Richtlinienaktualisierung eine Payload bereitzustellen. Denken Sie das zunächst nach dem Wiederherstellungsmodell durch. Die schädliche Einstellung wird erkannt und rückgängig gemacht, und das GPO kehrt in seinen vorherigen Zustand zurück; auf dem Papier ist der Vorfall abgeschlossen. In der Praxis hat jeder Rechner, der die Richtlinie in dem Zeitfenster zwischen der Änderung und dem Rückgängigmachen abgerufen hat, die Payload bereits ausgeführt, und keine noch so gründliche Wiederherstellung des Objekts macht diese Ausführung ungeschehen.

Denken Sie es nun andersherum durch. Die Schreiboperation auf dieses GPO wird inline bewertet und abgelehnt, bevor Active Directory sie committet. Die Richtlinie ändert sich nie, wird also auch nie verteilt, und es bleibt keine Payload-Ausführung übrig, die untersucht werden müsste. Derselbe Angriff, zwei Verteidigungsmodelle, und nur eines der beiden lässt Ihnen nichts zum Aufräumen übrig.

Warum das richtige Wort Prävention ist, nicht schnelle Erkennung

Dieses zweite Ergebnis ist nur einer Kontrolle möglich, die sich im Schreibpfad selbst befindet. Das ist der Mechanismus hinter Netwrix Threat Manager: Er bewertet Vorgänge inline (Änderungen an kritischen Objekten und GPOs, Änderungen an privilegierten Gruppen und Replikationsanfragen) und blockiert sie an der Quelle, bevor das Verzeichnis die Schreiboperation committet. Zudem erfasst er diese Ereignisse an ihrem Ursprungsort, selbst wenn die native Protokollierung deaktiviert oder gelöscht wurde, sodass ein Angreifer die Kontrolle nicht blenden kann, indem er zuerst die Protokolle löscht. Das ist es, was das Wort Prävention verdient – und nicht schnelle Erkennung in stärkere Worte gekleidet.

Nichts davon bedeutet, dass Prävention die Erkennung ersetzt. Manche Angriffe lassen sich nur im Nachhinein erkennen und beantworten, und so zu tun, als wäre das nicht der Fall, hält der ersten unverblümten Frage nicht stand, die jeder kompetente CISO stellen wird. Zu viel zu versprechen, zieht die Reaktion nach sich, die es verdient. Die vertretbare Haltung ist enger gefasst und tragfähiger als ein Slogan: Prävention zuerst für die Änderungen, die sich deterministisch blockieren lassen, Erkennung und Reaktion für alles Übrige.

Darunter liegt eine konsistente Grundhaltung. Darauf zu bestehen, eine gefährliche Änderung in dem Moment zu blockieren, in dem sie versucht wird, ist das Gegenstück auf der Resilienzseite dazu, darauf zu bestehen, zu wissen, wer in dem Moment Zugriff hat, in dem er genutzt wird. Beide bestehen darauf, im Moment der Handlung zu agieren – nicht erst bei der anschließenden Aufräumarbeit.

Das bringt uns zurück zu dem Tresor, der unberührt aussah. Rollback ist ein Versprechen, dass Sie den Schaden schnell rückgängig machen können. Prävention ist eine Garantie, dass es keinen Schaden gab, den man rückgängig machen müsste. Bei den Active-Directory-Angriffen, die ein Secret kopieren, einen Controller vortäuschen oder detonieren, bevor Sie sie rückgängig machen können, ist nur eines dieser beiden Versprechen eines, das der Mechanismus tatsächlich einhalten kann – und es wird von der Kontrolle eingehalten, die die Änderung nie hat committen lassen.