Microsoft Entra ID – Playbook für Angriff und Verteidigung

Diese Veröffentlichung ist eine Sammlung verschiedener häufiger Angriffsszenarien auf Microsoft Entra und wie diese entschärft oder erkannt werden können. Alle enthaltenen Szenarien, Erkenntnisse und Kommentare basieren auf Erfahrungen der Mitwirkenden während ihrer Angriffssimulationen, praktischen Übungen oder realen Szenarien.

Es sollte als lebendes Dokument betrachtet werden, das aktualisiert wird, sobald sich Praktiken weiterentwickeln und sich Änderungen bei Angriffs- und Verteidigungstechniken ergeben. Wir laden Identitäts- oder Sicherheitsexperten aus der Community ein, gemeinsam an dieser Veröffentlichung zu arbeiten und Aktualisierungen, Feedback, Kommentare oder weitere Ergänzungen beizutragen.

Kapitel

• Password Spray
• Consent Grant
• Dienstprinzipale in Azure DevOps-Pipelines
• Microsoft Entra Connect Sync-Dienstkonto
• Wiedergabe von Primary Refresh (PRT) und anderen ausgestellten Token
• Entra ID Security Config Analyzer (EIDSCA)
• Adversary-in-the-Middle-Angriffe (AiTM)
• Microsoft Entra Connect Sync – Anwendungsbasierte Authentifizierung

Anhang:

• Überblick über die Überwachung der Identitätssicherheit in der Microsoft Cloud
• So verhindern Sie laterale Bewegungen zu Entra ID, wenn Ihr Active Directory gefallen ist

In allen Kapiteln folgen wir derselben Leitlinie für die Kapitelstruktur. Beim Lesen können Sie Folgendes erwarten:

• Beschreibung der häufigen Angriffsszenarien in jedem Szenario
• Erkennung der Angriffe mithilfe des Microsoft-Sicherheitsstapels
• Maßnahmen zur Entschärfung des Angriffs und Anweisungen, wie Sie die Sicherheitslage Ihrer Umgebung basierend auf dem Kapitelumfang verbessern können
• Zuordnung von Angriffsszenarien und Erkennungsfähigkeiten zu Taktiken, Techniken & Verfahren (TTPs) des MITRE ATT&CK-Frameworks

Die folgenden Abschnitte enthalten eine kurze Beschreibung jedes Kapitels, das Sie im „Entra ID Attack & Defense Playbook“ finden.

Hintergrund

Die ursprüngliche Idee für das „Azure AD Attack & Defense Playbook“ stammt von Thomas Naunheim. Unser erster Teams-Anruf fand irgendwann im Herbst 2020 statt, als Thomas die Idee vorstellte – und sie war sofort verkauft.

Das erste Kapitel drehte sich um den Angriff „Password Spray“, wobei wir uns stark auf den Erkennungsmechanismus von Entra ID Protection (ehemals Azure AD Identity Protection) konzentrierten, um Angriffe vom Typ „Password Spray“ zu erkennen. Während des ersten Kapitels lernten wir, dass die Kalenderzeit für den Abschluss der Recherche erheblich länger dauern kann als erwartet, aufgrund der Komplexität der Forschung und der unterschiedlichen Blickwinkel. Die Eingrenzung des Umfangs ist, wie bei jeder Projektarbeit, äußerst wichtig.

Autoren

Sami Lamppu 💬 📖

Thomas Naunheim 💬 📖

Mitwirkende und Reviewer

Joosua Santasalo 💬 📖

Markus Pitkäranta 💬 📖

Christopher Brumm 💬 📖

Fabian Bader 💬 📖

Nestori Syynimaa 💬 📖

Robbe Van den Daele 💬 📖

Bei den neuesten Kapiteln hatten wir das Glück, weitere Community-Mitglieder in das Projekt einzubinden, wie Joosua Santasalo, Fabian Bader und Christopher Brumm, die als Sparringspartner und Reviewer mitwirkten.