Verwaltung kompromittierter Anmeldedaten | Decripte Security

Die Kompromittierung von Anmeldedaten ist ein häufiger Angriffsvektor. Eine schnelle und umfassende Reaktion minimiert das Zeitfenster für eine Ausnutzung und verhindert fortgesetzten unbefugten Zugriff.

Arten der Kompromittierung

Phishing: Der Benutzer gibt Anmeldedaten auf einer gefälschten Seite ein. Die Kompromittierung wird in der Regel durch anomale Zugriffsversuche erkannt.

Credential Stuffing: Ein Angreifer verwendet aus anderen Diensten geleakte Anmeldedaten. Davon sind Benutzer betroffen, die Passwörter wiederverwenden.

Malware/Keylogger: Malware erfasst Anmeldedaten während der Eingabe oder aus dem lokalen Speicher.

Data Breach: Anmeldedaten werden bei einem Datenbankleak offengelegt. Davon können Tausende von Benutzern gleichzeitig betroffen sein.

Insider Threat: Ein böswilliger Mitarbeiter teilt oder verkauft Anmeldedaten.

Erkennung der Kompromittierung

Impossible Travel: Anmeldungen von geografisch unmöglichen Standorten innerhalb eines kurzen Zeitraums (z. B. São Paulo und Tokio innerhalb von 1 Stunde).

Anomalous Access Patterns: Zugriff außerhalb der üblichen Zeiten, von unbekannten IPs, auf für den Benutzer ungewöhnliche Ressourcen.

Multiple Failed Attempts: Wiederholte Anmeldeversuche vor einem Erfolg können auf Credential Stuffing hindeuten.

New Device/Browser: Eine Anmeldung von einem nie zuvor verwendeten Gerät oder Browser, insbesondere mit verdächtiger Geolokalisierung.

Threat Intelligence: Die Anmeldedaten der Organisation tauchen in Pastes, Untergrund- Foren oder geleakten Datenbanken auf.

Sofortreaktion

1. Konto deaktivieren: Das kompromittierte Konto sofort sperren, um weiteren Zugriff zu verhindern. Wägen Sie die Dringlichkeit gegen die betrieblichen Auswirkungen ab.

2. Aktive Sitzungen widerrufen: Alle aktiven Sitzungen des Benutzers in allen Systemen (SSO, VPN, Anwendungen) beenden.

3. Tokens widerrufen: API-Tokens, OAuth-Tokens und Tokens für mobile Apps, die mit dem Konto verknüpft sind, ungültig machen.

4. Benutzer benachrichtigen: Den Benutzer sofort über die Kompromittierung informieren und Anweisungen für die nächsten Schritte geben.

5. Aktivität untersuchen: Protokolle analysieren, um festzustellen, auf welche Systeme zugegriffen wurde, welche Daten eingesehen und welche Aktionen ausgeführt wurden.

Rotation der Anmeldedaten

Benutzerkonten: Ein Passwort-Reset per Self-Service oder unterstützt erzwingen. Vorübergehend strengere Anforderungen an starke Passwörter durchsetzen.

Dienstkonten: Die Passwörter der Service Accounts rotieren, insbesondere derjenigen mit erhöhten Berechtigungen oder Zugriff auf kritische Systeme.

API Keys: Kompromittierte API Keys widerrufen und neu ausstellen. Mit den Entwicklungs- teams abstimmen, um Anwendungen zu aktualisieren.

Zertifikate: Wenn Zertifikate kompromittiert sind, diese über CRL/OCSP widerrufen und neue Zertifikate ausstellen.

Secrets Management: Secrets in Vaults (HashiCorp Vault, AWS Secrets Manager), auf die zugegriffen worden sein könnte, rotieren.

Notfall-MFA

Falls MFA nicht aktiviert war, im Notfall einrichten:

Erzwungenes Enrollment: Die Konfiguration von MFA verlangen, bevor eine neue Anmeldung nach einem Passwort-Reset zugelassen wird.

Priorisierung: Zuerst für privilegierte Konten einführen, dann für Konten mit Zugriff auf sensible Daten und schließlich für alle Benutzer.

Sichere Methoden: Authenticator-Apps (Google Authenticator, Microsoft Authenticator) oder Hardware Tokens (YubiKey) gegenüber SMS bevorzugen, das anfällig für SIM- Swapping ist.

Identitätsprüfung

Vor der Reaktivierung eines kompromittierten Kontos die Identität des Benutzers überprüfen:

Multi-Channel Verification: Die Identität über mehrere Kanäle bestätigen (Unternehmens-E-Mail, registriertes Telefon, persönliche Verifizierung/Videoverifizierung).

Knowledge-Based Authentication: Fragen, die nur der legitime Benutzer kennen würde (keine leicht auffindbaren Informationen).

Manager Approval: Bei sensiblen Konten die Genehmigung des direkten Vorgesetzten vor der Reaktivierung verlangen.

Umfang der Kompromittierung

Das Ausmaß der Kompromittierung bewerten:

Aufgerufene Systeme: Alle Systeme auflisten, auf die das Konto Zugriffs- berechtigung hatte, und die Zugriffsprotokolle während des Kompromittierungszeitraums prüfen.

Eingesehene Daten: Feststellen, welche sensiblen Daten der Angreifer möglicherweise eingesehen oder exfiltriert hat.

Vorgenommene Änderungen: Nach Datenänderungen, der Erstellung von Backdoors, Privilegienerweiterung und dem Hinzufügen neuer Konten suchen.

Lateral Movement: Prüfen, ob die Anmeldedaten verwendet wurden, um auf andere Systeme oder Konten zuzugreifen (pass-the-hash, pass-the-ticket).

Rezertifizierung von Zugriffen

Den Vorfall nutzen, um Zugriffe zu überprüfen:

Access Review: Die Berechtigungen des kompromittierten Kontos überprüfen - unnötige Zugriffe vor der Reaktivierung entfernen.

Least Privilege: Das Prinzip der geringsten Rechte anwenden - der Benutzer sollte nur die für seine Funktion erforderlichen Zugriffe haben.

Role-Based Access: Von Ad-hoc-Berechtigungen zu klar definierten Rollen übergehen.

Periodic Re-certification: Einen Prozess zur regelmäßigen Rezertifizierung von Zugriffen einrichten (vierteljährlich/halbjährlich).

Privilegierte Konten

Die Kompromittierung privilegierter Konten erfordert eine aggressivere Reaktion:

Massenrotation: Die Rotation aller privilegierten Anmeldedaten der Umgebung in Betracht ziehen, nicht nur des kompromittierten.

PAM (Privileged Access Management): Eine PAM-Lösung implementieren, um die Nutzung privilegierter Anmeldedaten zu verwalten, zu rotieren und zu auditieren.

Just-in-Time Access: Zu einem JIT-Modell übergehen, bei dem Berechtigungen bei Bedarf vorübergehend gewährt werden.

Break-Glass Procedures: Dokumentierte Break-Glass-Verfahren für den Notfallzugriff bereithalten, falls administrative Konten kompromittiert werden.

Kommunikation

Betroffener Benutzer: Klar und schnell benachrichtigen. Erklären, was passiert ist, die Risiken, die nächsten Schritte und wie man Unterstützung erhält.

IT-Team: Die technischen Teams über die Kompromittierung informieren, damit verwandte Aktivitäten überwacht werden.

Management: Das Management über die Kompromittierung sensibler oder umfangreicher Konten informieren.

DPO/Rechtsabteilung: Den DPO und die Rechtsabteilung einbeziehen, wenn personenbezogene Daten betroffen sein könnten (LGPD-Pflichten).

Überwachung nach dem Vorfall

Nach der Behebung genau überwachen:

Enhanced Logging: Die Protokollierungsebene für das betroffene Konto vorübergehend erhöhen.

Dedizierte Alerts: Spezifische Alerts für die Aktivität des Kontos erstellen, um eine Reinfektion schnell zu erkennen.

Behavioral Analysis: UEBA einsetzen, um Abweichungen vom normalen Verhalten auch nach der Behebung zu erkennen.

Zukünftige Prävention

Universelles MFA: MFA für alle Konten implementieren, nicht nur für privilegierte.

Phishing Training: Regelmäßiges Anti-Phishing-Training für alle Mitarbeiter mit Simulationen.

Password Managers: Die Nutzung von Passwortmanagern fördern, um eindeutige und komplexe Passwörter zu generieren und zu speichern.

Credential Monitoring: Dienste, die Pastes und geleakte Datenbanken auf Anmeldedaten der Organisation überwachen (Have I Been Pwned Enterprise, SpyCloud).

Conditional Access: Risikobasierte Richtlinien für bedingten Zugriff (Standort, Gerät, Verhalten).

Werkzeuge und Technologien

IAM Platforms: Azure AD, Okta, Auth0 mit Funktionen zur Anomalieerkennung und Reaktion.

PAM Solutions: CyberArk, BeyondTrust, Thycotic zur Verwaltung privilegierter Anmeldedaten.

Password Managers: 1Password, LastPass, Bitwarden für den Unternehmenseinsatz.

UEBA: Microsoft Sentinel, Exabeam, Splunk UBA zur Verhaltenserkennung.

Rechtliche Aspekte

LGPD: Wenn kompromittierte Anmeldedaten den Zugriff auf personenbezogene Daten ermöglichen, die Notwendigkeit einer Benachrichtigung der ANPD und der betroffenen Personen prüfen.

Compliance: Frameworks wie PCI-DSS und HIPAA haben spezifische Anforderungen an die Verwaltung von Anmeldedaten und die Benachrichtigung über eine Kompromittierung.

Beweise: Protokolle und Beweise für die Kompromittierung für eine mögliche rechtliche oder behördliche Untersuchung aufbewahren.