CISA AA26-237A im Überblick: ähnliche Angriffe, getrennte SOCs

Manche Red-Team-Berichte lesen sich wie ein Heist-Film, geschrieben von einem SIEM mit Schlaflosigkeit. CISAs AA26-237A ist leiser und nützlicher: Zwei Organisationen der kritischen Infrastruktur waren ähnlichen Vorgehensweisen ausgesetzt, beide wurden am Ende auf Domänenebene vollständig kompromittiert, und eine Organisation bemerkte gar nichts, wie The Hacker News zusammenfasste. Das ist in der Security Operations ungefähr so, als würde der Rauchmelder höflich auf eine Kalendereinladung warten. Die Lehre lautet nicht, dass Perimeter-Kontrollen bedeutungslos sind; sie lautet, dass Detection Engineering und Einsatzbereitschaft entscheiden, ob aus einer Kompromittierung ein Vorfall oder eine Obduktion wird.

Was laut CISA passiert ist

CISAs Advisory mit dem Titel A Tale of Two SOCs: Insights From Two Red Team ... stellt die Arbeit als Red-Team-Bewertung dar, nicht als kriminellen Einbruch. Das ist wichtig, denn das Ziel war Messung: Konnten die Organisationen erkennen und reagieren, wenn vertrauenswürdige Systeme aufhörten, sich wie vertrauenswürdige Systeme zu verhalten. The Hacker News beschrieb den zentralen Gegensatz klar: CISAs Red Team kompromittierte zwei Organisationen der kritischen Infrastruktur, und eine bemerkte nichts. Security Affairs beschrieb die Bewertungen ebenfalls als vollständige Kompromittierung zweier Organisationen der kritischen Infrastruktur. Kompromittierung auf Domänenebene ist der Moment, in dem die Musik von verdächtiger Geige zu Gerichtsorgel wechselt. In normalen Unternehmensbegriffen bedeutet Domänenkontrolle Identitätskontrolle, und Identität ist die Art, wie moderne Umgebungen entscheiden, wer die teuren und empfindlichen Dinge anfassen darf. Eine Firewall kann immer noch ihren Job machen, während kompromittierte Zugangsdaten mit einem Ausweisband daran vorbeispazieren. Deshalb geht es in dieser Fallstudie weniger um einen cleveren Einstiegspunkt und mehr darum, ob Verteidiger die Kette erkennen können, sobald sie sich in Bewegung setzt.

Der Wirkungsradius betraf Identität und Geschäftsabläufe

CyberPress stellte dieselben CISA-Ergebnisse rund um Active Directory und kritische Geschäftssysteme dar, was ein nützlicher Hinweis darauf ist, warum eine Domänenkompromittierung so gnadenlos ist. Active Directory ist nicht nur ein Verzeichnis; es ist Sitzplan im Büro, Schlüsselschrank und Genehmigungskette der Führungskräfte, verkleidet als Infrastruktur. Sobald diese Ebene kontrolliert wird, verschiebt sich die Frage von „Was ist erreichbar?“ zu „Was ist nicht erreichbar?“. Sicherheitsteams sollten Identitäts-Telemetrie als Sicherheitsausrüstung für den Produktionsbetrieb behandeln, nicht als Logs, die sich vielleicht jemand nach dem Mittagessen ansieht.

Cyber Security News beschrieb die Ergebnisse außerdem als Aufdeckung von Lücken im SOC und in der Cloud-Sicherheit. Diese Kombination ist wichtig, weil viele Organisationen ihre wichtigsten Signale heute über Endpoint-Tools, Identitätsanbieter, Cloud-Konsolen und alternde On-Premises-Systeme verteilen, die Dinge gesehen haben, die kein Server sehen müssen sollte. Wenn diese Signale nicht an einem Ort zusammenkommen, an dem Erkennungen geschrieben, getestet und verantwortet werden, ist das SOC nicht blind, weil ihm Daten fehlen. Es ist blind, weil die Daten in kleine Konfetti-Haufen für Compliance verstreut sind.

Warum ähnliche Vorgehensweisen zu unterschiedlichen Ergebnissen führten

Der unangenehme Teil von CISAs Darstellung, wie sie von The Hacker News wiedergegeben wurde, ist, dass ähnliche Vorgehensweisen sehr unterschiedliche Verteidigungsergebnisse hervorbringen können. Dass eine Organisation überhaupt nichts erkannt hat, bedeutet nicht, dass die andere magische Sensoren hatte, gesegnet von einem Beschaffungszauberer. Es verweist auf die langweilige, heldenhafte Arbeit des Detection Engineering: zu entscheiden, welches Verhalten verdächtig sein sollte, dieses Verhalten auf verfügbare Telemetrie abzubilden, den Alarm feinzujustieren und zu üben, was passiert, wenn er auslöst.

Bedrohungsakteure lieben langweilige Lücken, weil langweilige Lücken skalieren. Sie brauchen keinen filmreifen Exploit, wenn der Missbrauch von Zugangsdaten, Verzeichnisänderungen oder Aktivitäten in der Cloud-Control-Plane mit der Tapete verschmelzen. Ein echtes Response-Programm geht davon aus, dass Prävention manchmal eine Runde verliert, und stellt schnell die nächste Frage: Welches Signal sagt uns, dass diese Runde gerade verloren geht. CISAs Tale of Two SOCs ist eigentlich eine Charakterstudie über Vorbereitung, in der ein Verteidiger eine Handlungsentwicklung hatte und der andere offenbar noch im Prolog steckte.

Was das konkret für dich bedeutet

Die praktische Übersetzung aus CISAs Advisory ist einfach: Miss Sicherheit nicht nur daran, ob die Haustür gehalten hat. Miss, ob dein Team Bewegungen auf Domänenebene, Identitätsmissbrauch und Änderungen an Cloud-Kontrollen erkennen kann, bevor aus einer Übung eine vollständige Kompromittierungsgeschichte mit Fußnoten wird. Wenn dein Red-Team-Bericht als PDF in einem Ordner namens final endet, herzlichen Glückwunsch, du hast handwerklich hergestellte Shelfware erfunden. Verwandle jeden Befund in einen Eintrag im Detection-Backlog, eine verantwortliche Person, einen Testfall und eine Response-Übung.

Für Führungskräfte lautet die Erkenntnis nicht, noch eine blinkende Konsole zu kaufen und sie Strategie zu nennen. Fragt euer Team, welche Verhaltensweisen aus AA26-237A heute einen Alarm auslösen würden, wer den Alarm erhalten würde und welche Aktion diese Person zuerst durchführen würde. Für Praktikerinnen und Praktiker gilt: Spielt die Lektion in kleineren Teilen nach: Active-Directory-Änderungen, privilegierte Zugriffspfade, Cloud-Sichtbarkeit und Übergaben zwischen Tools. Als Nächstes ist zu beobachten, ob Organisationen der kritischen Infrastruktur CISAs Fallstudie als Gesprächsthema für Tabletop-Übungen nutzen oder als Messlatte dafür, ob ihr SOC das Glas brechen hört.