Angriffs- und Verteidigungs-Playbook für Microsoft Entra

Diese Veröffentlichung ist eine Sammlung verschiedener gängiger Angriffsszenarien auf Microsoft Entra und wie diese abgeschwächt oder erkannt werden können. Alle enthaltenen Szenarien, Erkenntnisse und Kommentare basieren auf Erfahrungen der Mitwirkenden während ihrer Angriffssimulationen, Hands-on- oder realen Szenarien.

Es sollte als lebendiges Dokument betrachtet werden, das aktualisiert wird, wenn sich Praktiken weiterentwickeln und sich Angriffs- und Verteidigungstechniken ändern. Wir laden Identitäts- oder Sicherheitsexperten aus der Community ein, gemeinsam an dieser Veröffentlichung zu arbeiten und Aktualisierungen, Feedback, Kommentare oder weitere Ergänzungen beizusteuern.

Kapitel

Anhang:

In allen Kapiteln folgen wir derselben Richtlinie zur Kapitelstruktur. Beim Lesen können Sie Folgendes erwarten:

Beschreibung der gängigen Angriffsszenarien in jedem Szenario
Erkennung der Angriffe unter Nutzung des Microsoft-Sicherheitsstacks
Abschwächung des Angriffs und Anweisungen zur Verbesserung Ihrer Sicherheitslage der Umgebung basierend auf dem Umfang des Kapitels
Zuordnung von Angriffsszenarien und Erkennungsfähigkeiten zu Tactics, Techniques & Procedures (TTPs) des MITRE ATT&CK Framework

Die folgenden Abschnitte enthalten eine kurze Beschreibung jedes Kapitels im 'Angriffs- und Verteidigungs-Playbook für Microsoft Entra'.

Hintergrund

Die ursprüngliche Idee zur Erstellung des 'Angriffs- und Verteidigungs-Playbooks für Microsoft Entra' stammte von Thomas Naunheim. Unser erster Teams-Anruf fand irgendwann im Herbst 2020 statt, bei dem Thomas die Idee vorstellte und sie sofort überzeugte.

Das erste Kapitel befasste sich mit dem 'Password Spray'-Angriff, bei dem wir uns stark auf den Erkennungsmechanismus von Entra ID Protection (früher bekannt als Azure AD Identity Protection) konzentrierten, um Angriffe vom Typ 'Password Spray' zu erkennen. Während des ersten Kapitels lernten wir, dass die Kalenderzeit für die Fertigstellung der Forschung aufgrund der Komplexität der Forschung und der unterschiedlichen Blickwinkel auf die Forschung erheblich länger dauern kann als erwartet. Scoping ist, wie bei jeder projektartigen Arbeit, äußerst wichtig.