Bei einer kompromittierten Identität zählt jede Sekunde

Barracuda Managed XDR beinhaltet nun Automated Threat Response für Duo und hilft dabei, identitätsbasierte Angriffe automatisch einzudämmen, bevor sie sich ausbreiten können.

Die wichtigsten Erkenntnisse

• Die Multifaktor-Authentifizierung (MFA) ist essenziell, aber Angreifer setzen zunehmend auf Taktiken wie MFA-Ermüdung, Session Hijacking und Enrollment Hijacking, um diese zu umgehen.
• Sobald eine Identität kompromittiert ist, können Angreifer sich schnell über Cloud-Anwendungen, E-Mails, Dateien und Verwaltungssysteme hinweg bewegen.
• Manuelle Reaktionen dauern oft zu lange, um identitätsbasierte Angriffe einzudämmen, bevor sich der Schaden ausbreitet.
• Barracuda Managed XDR mit automatisierter Bedrohungsabwehr für Duo hilft dabei, identitätsbasierte Angriffe einzudämmen, indem kompromittierte Konten automatisch innerhalb von Sekunden deaktiviert werden.

Barracuda Managed XDR beinhaltet jetzt Automated Threat Response (ATR) für Duo, was eine sofortige, automatische Eindämmung ermöglicht, wenn ein Identitätsmissbrauch erkannt wird. Dies ist die erste auf Identitäten ausgerichtete ATR-Funktion in unserem XDR-Portfolio und verändert grundlegend, wie schnell Unternehmen auf Angriffe der Identitätsebene reagieren können.

Um jedoch zu verstehen, warum dies wichtig ist, müssen Sie verstehen, was passiert, wenn Angreifer die Multifaktor-Authentifizierung (MFA) ins Visier nehmen und was sie tun können, sobald sie diese umgangen haben.

MFA ist nicht unüberwindbar

Ihr Unternehmen hat die Multi-Faktor-Authentifizierung implementiert. Sie haben dies für Microsoft 365, Salesforce, Ihr VPN und jede andere Cloud-Anwendung, die Ihre Mitarbeiter nutzen, durchgesetzt. Sie haben richtig gehandelt. MFA bleibt eine der effektivsten Abwehrmaßnahmen gegen Angriffe, die auf Zugangsdaten basieren.

Doch die Angreifer haben sich angepasst. Sie haben Techniken entwickelt, die speziell darauf ausgelegt sind, die Menschen auf der anderen Seite dieser Push-Benachrichtigung zu umgehen, auszunutzen oder schlichtweg zu zermürben.

Wie Angreifer MFA umgehen

Bevor ein Angreifer MFA ausnutzen kann, benötigt er Zugangsdaten. Es ist für Angreifer oft einfacher, in den Besitz dieser Daten zu gelangen, als IT-Teams wahrhaben wollen. Sie gelangen an Zugangsdaten durch Phishing-Kampagnen, Infostealer-Malware, Wiederverwendung von Passwörtern aus kompromittierten Datenbanken oder Social Engineering. Sobald ein Angreifer über einen gültigen Benutzernamen und ein Passwort verfügt, ist die MFA-Aufforderung das Einzige, was zwischen ihm und Ihrer Umgebung steht.

So wird sie umgangen:

MFA-Müdigkeit

Der Angreifer versucht wiederholt, sich anzumelden, und löst dadurch eine Push-Benachrichtigung nach der anderen auf dem Telefon des rechtmäßigen Nutzers aus. Um 7 Uhr morgens. Um 23 Uhr. Während der Besprechungen. Während des Abendessens. Das Telefon des Nutzers vibriert unaufhörlich. Schließlich tippt der Nutzer aus Frustration, Verwirrung oder einfach nur, um dem Ganzen ein Ende zu setzen, auf „Genehmigen“. Der Angreifer ist am Ziel.

Session Hijacking

Der Nutzer erhält eine E-Mail, die wie eine legitime Microsoft 365-Anmeldeseite aussieht. Er gibt seine Zugangsdaten ein, schließt die MFA ab und sieht einen kurzen Ladebildschirm, bevor er zum normalen Posteingang weitergeleitet wird. Alles scheint in Ordnung zu sein. Aber die Seite war ein vom Angreifer kontrollierter Proxy. Im Hintergrund hat der Angreifer den Sitzungstoken erfasst, den Microsoft nach der Authentifizierung des Nutzers ausgestellt hat. Jetzt fügt der Angreifer diesen Token in seinen eigenen Browser ein – in einer anderen Stadt, einem anderen Land – und ist als der Nutzer angemeldet. Ohne erforderliches Passwort. Ohne MFA-Aufforderung. Das System geht davon aus, dass er sich bereits authentifiziert hat.

MFA Enrollment Hijacking

Der Angreifer ruft Ihren Helpdesk an. „Hallo, hier ist Sarah aus der Buchhaltung. Ich habe gerade ein neues Telefon bekommen und kann nicht auf meine E-Mail zugreifen. Können Sie mir helfen, mich erneut für MFA zu registrieren?“ Wenn Ihr Helpdesk die Identität durch Fragen überprüft, die ein Angreifer leicht recherchieren könnte (d. h. Name des Vorgesetzten, Mitarbeiter-ID, die letzten vier Ziffern einer Telefonnummer), kann er die MFA-Registrierung zurücksetzen. Der Angreifer registriert sein eigenes Gerät. Jedes Mal, wenn er sich nun anmeldet, geht die Push-Benachrichtigung an sein Telefon. Er genehmigt sich selbst.

Was passiert, wenn eine Identität kompromittiert ist

In den meisten Unternehmen steht der Identitätsanbieter vor der gesamten Cloud-Umgebung: Microsoft 365, Salesforce, VPN, HR-Systeme, Cloud-Konsolen usw. Der Angreifer hat sich einmal authentifiziert, und der Identitätsanbieter bürgt überall für ihn.

Der Angreifer wird aktiv. Nun beginnt der Schaden: Posteingangsregeln leiten sensible E-Mails an externe Adressen weiter. Dateien verschwinden aus SharePoint. Es werden Nachrichten mit Aufforderungen zu Überweisungen versendet, die vollkommen legitim wirken, da sie von einem echten, authentifizierten Nutzer stammen. Und wenn das Konto über Administratorrechte verfügt, erstellt der Angreifer Hintertürkonten, deaktiviert Security-Kontrollen und weitet seine Zugriffe auf Systeme aus, die er zuvor nicht erreichen konnte.

All dies geschieht innerhalb von Minuten. Jede Minute, in der das Konto aktiv bleibt, vergrößert sich der Radius.

Das Problem von manuellen Reaktionen

Traditionelle Security-Abläufe folgen einer vorhersehbaren Abfolge: Eine Warnmeldung wird ausgelöst, landet in einer Warteschlange, wird geprüft, untersucht, eskaliert, und schließlich deaktiviert jemand mit den entsprechenden Berechtigungen das Konto.

Wie lange dauert das? Fünfzehn Minuten? Vielleicht. Wenn Sie Glück haben. Ein oder zwei Stunden, wenn der Alarm außerhalb der Geschäftszeiten ausgelöst wird. Länger, falls der Analyst jemanden mit Administratorzugriff ausfindig machen muss.

Unterdessen ist der Angreifer aktiv. Die Rechnung geht nicht auf. Eine manuelle Reaktion kann mit automatisierten Angriffen nicht Schritt halten.

Automatisierte Bedrohungsabwehr: Eindämmung in Sekunden

Deshalb haben wir ATR für Duo in Barracuda Managed XDR integriert.  Es überwacht kontinuierlich Identitätsaktivitäten: Anmeldungen von anomalen Standorten, MFA-Manipulationen und von Nutzern gemeldete betrügerische Push-Benachrichtigungen. Es korreliert diese Signale mit Cloud- und SaaS-Aktivitäten über Microsoft 365, Google Workspace, AWS, Azure, Entra ID und andere Identitätsanbieter wie Okta hinweg. Wenn die Beweise auf eine Kompromittierung hindeuten, wird ATR aktiv. Automatisch.

Das betroffene Konto wird in Sekunden deaktiviert, nicht in Stunden. Ohne Ticket. Ohne Eskalation. Ohne Warten darauf, dass jemand aufwacht und sein Handy auf Nachrichten überprüft. Der Angreifer wird ausgesperrt, bevor er Persistenz erlangen, Berechtigungen erweitern oder sich lateral bewegen kann.

Und ATR macht bei Duo nicht Halt. Wenn Barracuda Managed XDR einen Account Takeover in Microsoft 365 oder Google Workspace erkennt, kann es das kompromittierte Konto automatisch deaktivieren, aktive Sitzungen widerrufen und bösartige Anmeldeversuche blockieren. Dies ermöglicht eine automatisierte Eindämmung über beide Identitätsanbieter und Cloud-Plattformen hinweg, auf die Angreifer ihre Bemühungen konzentrieren.

Sekunden zählen

MFA bleibt eine der wichtigsten Kontrollen, die Sie implementieren können. Doch die Angreifer haben sich angepasst, und Unternehmen, die sich allein auf MFA verlassen, sind am anfälligsten, wenn dies nicht der Fall ist.

Der Unterschied zwischen einem eingedämmten Vorfall und einem katastrophalen Sicherheitsvorfall hängt oft von der Reaktionszeit ab. Barracuda Managed XDR mit ATR für Duo schließt diese Lücke. Erkennung und Reaktion erfolgen automatisch in Maschinengeschwindigkeit, bevor Angreifer ihren Zugriff ausnutzen können.

Identitätsbedrohungen werden nicht von der Bildfläche verschwinden. Aber mit den richtigen Erkennungs- und Reaktionsfunktionen können Sie die Angreifer ausmanövrieren, die glauben, bereits gewonnen zu haben.