Copilot hat Ihre Erkennung von Insider-Bedrohungen ausgehebelt, und MITRE hat den Beweis dafür geliefert

MITRE ATT&CK veröffentlicht eine Erkennungsanalytik, AN1380, für Angreifer, die SharePoint nach nützlichen internen Dokumenten durchforsten. Sie lautet:

„Privilegierte oder selten genutzte Konten, die innerhalb eines kurzen Zeitfensters einen Massenzugriff auf SharePoint-Dateien oder -Metadaten durchführen, was auf eine mögliche skriptgesteuerte Sammlung sensibler interner Dokumente hindeutet."

Genau das tut auch Microsoft 365 Copilot, wenn jemand ihn bittet, die Vertragsverhandlungen des letzten Quartals zusammenzufassen.

Gleiches Verhalten, gleiche Telemetrie. Das eine ist Technik T1213.002, Daten aus Informations-Repositorys: SharePoint. Das andere ist ein lizenzierter Mitarbeiter, der seine Arbeit erledigt.

Kein Sicherheitsvorfall erforderlich

Jede Technik in ATT&CK setzt einen Angreifer voraus, der sich zunächst irgendwo Zugang verschaffen musste. HAFNIUM, Ke3chang und Chimera sind staatlich unterstützte Spionagegruppen, die MITRE namentlich verfolgt, und alle drei tauchen in den Verfahrensbeispielen für diese Technik auf. HAFNIUM missbrauchte kompromittierte Anmeldedaten, um SharePoint-Daten zu exfiltrieren. Ke3chang setzte ein eigens entwickeltes Enumerationstool namens spwebmember ein. Chimera sammelte Dokumente, nachdem Zugriff hergestellt worden war. Jeder von ihnen brauchte einen Weg hinein.

Copilot braucht nichts davon. Keine CVE, kein gestohlenes Token, kein Tool auf einem Host, kein Richtlinienverstoß. Niemand in der Kette beabsichtigt Schaden, und die Zustimmung wurde vor Jahren von jemandem erteilt, der die Vererbung auf einer Website konfiguriert hat, die inzwischen keinen Eigentümer mehr hat.

Eine im Februar 2020 erstellte Technik hat sich nicht geändert. Was sich geändert hat, ist der Nenner. Massenzugriff auf ein Repository implizierte früher ein Skript, und ein Skript implizierte früher jemanden, der dort nicht sein sollte. Heute erzeugt jeder lizenzierte Nutzer dieses Muster mehrmals täglich, einfach indem er eine Frage auf Englisch eingibt.

Scattered Spiders Aufklärung ist heute ein Prompt

MITRE dokumentiert, dass Scattered Spider während der Kampagne C0027 auf SharePoint-Umgebungen von Opfern zugriff, „um nach Informationen zur VPN- und MFA-Registrierung, Helpdesk-Anweisungen und Leitfäden für neue Mitarbeiter zu suchen." Diese Aufklärung ist die Vorarbeit vor einem Social-Engineering-Anruf beim Helpdesk.

Der Zugriff auf diese Informationen erforderte früher, dass ein Angreifer das Netzwerk kompromittierte. Heute steht sie jedem zur Verfügung, der sich als Mitarbeiter authentifizieren und die Frage stellen kann: „Wie ist unser Prozess, wenn sich jemand erneut für MFA registrieren muss?"

Die Einbruchsversion hinterließ Spuren wie aufgerufene Dateien, untersuchte Systeme und Artefakte auf der Festplatte. Die KI-Version hinterlässt eine Frage, die jeder neue Mitarbeiter stellen könnte.

Es gibt zwei Optionen, und die meisten Teams haben bereits versehentlich eine davon gewählt

KI-Nutzung ist so verbreitet, dass IT- oder SecOps-Teams von Warnmeldungen zu Prompts überschwemmt würden, die eine Aufklärung darstellen könnten. Das lässt ihnen zwei schlechte Optionen:

Die Erkennung neu justieren. Den Schwellenwert anheben oder das Dienstprinzipal des Agenten ausschließen. Die Abdeckung für T1213.002 sinkt still und leise auf null, und die Technik funktioniert weiterhin genauso gut wie eh und je.

Oder es lassen, wie es ist. Analysten sichten den ganzen Tag KI-Aktivitäten, die Alarmmüdigkeit tut, was Alarmmüdigkeit tut, und die Erkennung stirbt trotzdem.

Die meisten Organisationen haben sich für die erste Option entschieden, ohne es bewusst zu tun. Irgendjemand hat während einer arbeitsreichen Woche das Rauschen ausgeblendet, und nichts wurde dokumentiert. Prüfen Sie noch heute Ihre Abdeckung gegenüber ATT&CK, und diese Zelle ist wahrscheinlich immer noch grün.

Die Attributionslücke taucht sechs Monate später auf, in einem HR-Fall

Das Audit-Protokoll besagt, dass das Konto eines Benutzers auf das Vergütungsmodell zugegriffen hat. Der Benutzer sagt, er habe es nie geöffnet. Beides kann wahr sein. Der Agent zeigte zwei Zeilen davon innerhalb einer Zusammenfassung von etwas anderem an.

Untersuchen Sie das jetzt. Die Absicht unterscheidet eine Insider-Bedrohung von einem Versehen, und die Absicht ist genau das, was das Protokoll nicht mehr feststellen kann. Verhaltensanalytik macht das schwieriger, denn diese Baselines setzen einen menschlichen Rhythmus voraus, und dasselbe Konto erzeugt nun Bursts in Maschinengeschwindigkeit. Das Normale weitet sich für alle, was anomalem menschlichem Verhalten mehr Raum lässt, unbemerkt zu bleiben.

Sie haben Copilot wahrscheinlich schon eingeführt, also beginnen Sie mit dem, was er bereits erreicht hat

Die meisten bestehenden Empfehlungen gehen davon aus, dass Sie es noch nicht aktiviert haben. Hier sind drei Fragen, die Sie stellen sollten, sobald Sie es getan haben:

Worauf können Identitäten gerade tatsächlich zugreifen? Nicht die Berechtigungen auf dem Papier, sondern der effektive Pfad: verschachtelte Gruppen, geerbte Site-Berechtigungen, Freigabelinks, die ihre Projekte überlebt haben, Gastkonten, die seit dem Onboarding niemand überprüft hat.

Was hat KI-gesteuerte Aktivität in den letzten 90 Tagen berührt? Sie brauchen die Aufzeichnung, bevor Sie die Richtlinie brauchen.

Welche Erkennungen behandeln Massenzugriff auf ein Repository noch immer als Beweis für einen Angreifer? Finden Sie sie, und entscheiden Sie diesmal bewusst.

Netwrix 1Secure deckt die ersten beiden Punkte ab. Es erkennt und klassifiziert sensible Daten über Cloud- und On-Premises-Repositorys hinweg, bildet ab, welche Identitäten worauf und über welche Pfade zugreifen können, und überwacht KI-gesteuerten Zugriff anhand dieses Bilds. Die dritte Frage hat keine vertretbare Antwort, solange Sie die ersten beiden nicht beantworten können.

Copilot ist nicht das Problem. Es tut genau das, was Microsoft angekündigt hat, mit den Berechtigungen, die Ihre Organisation genehmigt hat. Das Problem ist, dass Ihre Erkennungslogik die Annahme codiert, dieses Muster bedeute einen Angreifer – eine Annahme, die still und leise aufgehört hat, wahr zu sein, und niemand wusste, dass er dafür ein Ticket eröffnen sollte, um sie zu überprüfen.