Netwrix Innovation Week: Innovationen in der Identitätssicherheit

Ein paar kleine Konfigurationsänderungen, etwa eine gelockerte Conditional-Access-Richtlinie oder ein bearbeitetes Benutzerattribut, können ein kompromittiertes Entra-ID-Administratorkonto in dauerhaften Zugriff verwandeln. Die Änderungen lassen MFA aktiv und nichts wirkt defekt, daher werden sie leicht übersehen. Sie zu erkennen, zusammen mit den riskanten Einstellungen und Dienstkonten in ihrem Umfeld, war der Schwerpunkt unserer Produktteams bei den neuesten Updates für Netwrix Threat Manager und Netwrix PingCastle.

In einem kürzlich geführten Gespräch mit Joe Dibley, Senior Product Manager für PingCastle, haben wir uns eingehend damit befasst, wie Angreifer Entra ID missbrauchen, wie Teams Transparenz über Dienstkonten erhalten und wie beide Produkte darauf reagieren.

Entdecken Sie alle Gespräche der Innovation Week, um zu hören, was Netwrix-Führungskräfte und Branchenexperten über Daten- und Identitätssicherheit sagen.

Neue Entra-ID-Erkennungen in Netwrix Threat Manager

Zu den Erkennungen, die wir Threat Manager hinzufügen, gehören Änderungen an den Regeln, die Entra ID steuern, etwa längere Token-Lebensdauern, reduzierte Überwachung und benutzerdefinierte Rollen, die Hintertüren schaffen können. Diese Änderungen sind eine Handvoll Ereignisse in einem sehr großen Protokollvolumen, daher lassen sie sich praktikabel überwachen. Insgesamt kommen in den nächsten Quartalen mehr als 30 hinzu, verteilt auf vier Bereiche: Manipulation von Kontrollen, Rechteausweitung und Persistenz, Angriffe auf Anmeldedaten sowie Änderungen an Anwendungen und Workload-Identitäten.

Dynamic Group Injection, eine der selteneren Techniken in diesem Set, zeigt, wie leicht sich solche Änderungen übersehen lassen. Dynamische Gruppen nehmen Mitglieder automatisch anhand eines Kontoattributs auf. Ein Angreifer mit Bearbeitungsrechten für ein Konto kann also zum Beispiel die Abteilung auf Finanzen setzen, der Finanzgruppe beitreten und alles erben, was dazugehört. Die Gruppe selbst ändert sich nie, deshalb läuft nie ein Genehmigungsschritt. Threat Manager erkennt die Attributänderung bereits, und wir planen, es so zu erweitern, dass es erkennt, wenn diese Änderung zur Regel einer dynamischen Gruppe für eine sensible Gruppe oder Rolle passt.

Ein Dashboard für Dienstkonten in Threat Manager

In den Umgebungen, mit denen wir arbeiten, sind Dienstkonten meist überprivilegiert und liegen außerhalb von MFA, weil sie keine menschlichen Benutzer sind. Sie laufen oft mit Kennwörtern, die nie ablaufen, und da sie sich programmatisch authentifizieren, erhalten ihre Anmeldungen weniger Aufmerksamkeit als die einer Person.

Das neue Dienstkonten-Dashboard in Threat Manager bietet Teams eine zentrale Ansicht aller Dienstkonten in ihrer Umgebung, mit schnellem Zugriff auf aktuelle Aktivitäten, Bedrohungen und schwache Verschlüsselungstypen. Wir erkennen sie standardmäßig, und Teams können weitere, die uns entgehen, per Namenskonvention oder Organisationseinheit ergänzen.

Derzeit deckt das Dashboard lokale Konten ab, doch Dienstkonten gibt es ebenso in Entra ID. Die neueste Version erkennt dort bereits Agent-Identitäten, und wir planen, das Dashboard auf Entra ID auszuweiten, sodass Dienstprinzipale, Agent-Identitäten und andere nichtmenschliche Identitäten in einer Ansicht erscheinen.

PingCastle 4.0 ergänzt eine Entra-ID-Risikobewertung

Die neue Bewertung umfasst 102 Risiken und soll mit unserer Active-Directory-Bewertung gleichziehen. Sie deckt hybride Konstellationen ab, etwa Verzeichnissynchronisierungskonten mit erweiterten Rechten, außerdem Einstellungen zur Benutzereinwilligung, MFA-Methoden, SharePoint-Freigabelinks und die Konfiguration von Azure Key Vault.

Jedes Risiko hat seine eigene Definitionsdatei, sodass unser Bedrohungsforschungsteam in JSON prototypisieren kann und Kunden sehen können, wie sich ein Risiko zwischen Versionen verändert, es bearbeiten oder eigene veröffentlichen können.

Die Bedrohungsforschung hinter beiden Produkten

Beide Produkte schöpfen aus derselben Quelle. Unser Bedrohungsforschungsteam untersucht reale Angriffe und die gegen Entra ID eingesetzten Techniken, und Joe und ich arbeiten regelmäßig mit dem Team zusammen, um zu priorisieren, was in künftige Versionen einfließt.

Unser Newsletter zur Sicherheitsforschung, Threat Lab Quarterly, ermöglicht es Ihnen, diese Arbeit zu verfolgen. Jede Ausgabe behandelt, was das Team beobachtet und was es für Verteidiger bedeuten könnte. Die erste Ausgabe ist ab sofort verfügbar.

Innovation Week bei Netwrix

Netwrix Innovation Week findet vom 19. bis 23. Oktober statt und bringt technische Experten und Verteidiger für tiefgehende Einblicke in Identitäts- und Datensicherheit zusammen. Die Woche umfasst Videointerviews, Demos, Livestreams, ein Expertenpanel und eine KI-basierte Capture-the-Flag-Challenge.