Was ist ein identitätsbasierter Angriff?
Identitätsbasierte Angriffe auf Cloud-Infrastrukturen nehmen alarmierend zu. Angreifer nutzen schwache Passwörter, Phishing und Social Engineering, um unbefugt auf sensible Daten und Systeme zuzugreifen. Wir zeigen, warum ein wirksames Identitäts- und Zugriffsmanagement unverzichtbar ist.
Die Zahl der Ransomware-Angriffe hat sich in den letzten Jahren verdoppelt. Sie machen inzwischen 10 % aller Sicherheitsverletzungen aus. Laut dem 2022 Verizon Data Breach Investigation Report ist der „menschliche Faktor“ bei 82 % der Sicherheitsverletzungen der wichtigste Weg für den Erstzugriff. Social Engineering und gestohlene Zugangsdaten gehören dabei zu den wichtigsten TTPs der Angreifer. Sie versuchen fortwährend, an gültige Zugangsdaten zu gelangen und sich damit unbemerkt durch Unternehmensnetzwerke zu bewegen. Diese Herausforderungen rücken Identitätssicherheit für CISOs ganz oben auf die Prioritätenliste.
Herkömmliche Lösungen für Identitätssicherheit lassen weiterhin Raum für Angriffe
Zu den wichtigsten herkömmlichen Ansätzen für Identitätssicherheit gehören Identity and Access Management (IAM), Privileged Access Management (PAM) und Identity Governance and Administration (IGA). Diese Anwendungen stellen sicher, dass die richtigen Benutzer angemessene Zugriffsrechte haben. Außerdem überprüfen sie Zugriffe kontinuierlich – beides Grundprinzipien des Zero-Trust-Sicherheitsmodells.
Identity and Access Management konzentriert sich jedoch allein auf die Bereitstellung, Anbindung und Kontrolle von Identitätszugriffen. Für Identitätssicherheit ist das nur der Anfang. Der Schutz muss über die erstmalige Authentifizierung und Zugriffskontrolle hinausgehen. Er muss auch Zugangsdaten, Berechtigungen, Zugriffsansprüche und die Systeme umfassen, die diese verwalten – von der Transparenz über Schwachstellen bis zur Angriffserkennung.
Aus Sicht der Angreifer ist Active Directory (AD) ein naheliegendes Ziel. Hier liegen Identitäten und ihre zentralen Bestandteile. Deshalb steht AD im Visier der Angreifer und ist ein zentrales Sicherheitsthema. Hinzu kommt: Während die Cloud-Migration rasch voranschreitet, entstehen weitere Sicherheitsherausforderungen, wenn IT-Teams Ressourcen in ihren Umgebungen schnell bereitstellen.
Wenn Schwachstellen in AD auf häufige Fehlkonfigurationen in der Cloud treffen, wird eines deutlich: Bereitstellung und Zugriffsmanagement allein reichen nicht aus. Eine zusätzliche Schutzebene ist nötig.
Identitätssicherheit neu gedacht
Moderne Ansätze für Identitätssicherheit schaffen die nötige Transparenz über auf Endpunkten gespeicherte Zugangsdaten, Fehlkonfigurationen in Active Directory (AD) und ausufernde Cloud-Berechtigungen. Identity Attack Surface Management (ID ASM) und Identity Threat Detection and Response (ITDR) sind neue Sicherheitskategorien zum Schutz von Identitäten und den Systemen, die sie verwalten.
Diese Ansätze ergänzen Endpoint Detection and Response (EDR), Extended Detection and Response (XDR), Network Detection and Response (NDR) und ähnliche Sicherheitsfunktionen und arbeiten mit ihnen zusammen.
ID ASM soll die Angriffsfläche von Identitäten verkleinern und so die Schwachstellen begrenzen, die Angreifer ausnutzen können. Je weniger Schwachstellen, desto kleiner die Angriffsfläche von Identitäten. Für die meisten Unternehmen betrifft das Active Directory – ob lokal oder in Azure.
Während EDR Angriffe auf Endpunkte erkennt und Daten für Analysen sammelt, erkennt ITDR Angriffe auf Identitäten. Sobald eine ITDR-Funktion einen Angriff erkennt, ergänzt sie den Schutz: Sie liefert falsche Daten, die den Angreifer zu einem echt wirkenden Täuschungsziel lenken, und isoliert automatisch das kompromittierte System, von dem die Abfrage ausgeht.
ITDR unterstützt auch die Reaktion auf Sicherheitsvorfälle: Die Funktionen sammeln forensische Daten und Telemetrie zu den während des Angriffs genutzten Prozessen. EDR und ITDR ergänzen sich und verfolgen gemeinsam ein Ziel: Angriffe zu vereiteln.
ID ASM und ITDR erkennen den Missbrauch von Zugangsdaten, die Ausweitung von Berechtigungen und weitere Taktiken, die Angreifer im Netzwerk einsetzen. Sie schließen kritische Lücken zwischen dem Identitäts- und Zugriffsmanagement und Sicherheitsfunktionen für Endpunkte. So verhindern sie, dass Cyberkriminelle anfällige Zugangsdaten ausnutzen, um sich unbemerkt durch Netzwerke zu bewegen.
Sicherheitsfunktionen zum Schutz vor Identitätsbedrohungen
SentinelOne nutzt seine umfassende Erfahrung bei der Erkennung von Berechtigungsausweitungen und lateralen Bewegungen. Das Unternehmen bietet ein führendes Produkt für Identity Threat Detection and Response und ID ASM. Mit seinem breiten Portfolio an ITDR- und ID-ASM-Funktionen hat SentinelOne seine führende Position gefestigt.
Produkte für Identitätssicherheit:
- Singularity Identity Posture Management zur kontinuierlichen Bewertung von Schwachstellen und Aktivitäten in Active Directory, die auf einen Angriff hindeuten
- Singularity Identity Threat Detection and Response (ITDR) zur Erkennung unbefugter Aktivitäten und Angriffe auf Active Directory, zum Schutz vor Diebstahl von Zugangsdaten und deren Missbrauch, zur Verhinderung der Ausnutzung von Active Directory, zur Sichtbarkeit von Angriffspfaden, zur Verringerung der Angriffsfläche und zur Erkennung lateraler Bewegungen
Singularität™ Identität
Erkennen und reagieren Sie auf Angriffe in Echtzeit mit ganzheitlichen Lösungen für Active Directory und Entra ID.
Zeit für einen neuen Ansatz in der Identitätssicherheit
Da identitätsbasierte Angriffe zunehmen, müssen Unternehmen erkennen können, wenn Angreifer Unternehmensidentitäten ausnutzen, missbrauchen oder stehlen. Das gilt besonders, während Unternehmen die Public Cloud schnell einführen und die Zahl menschlicher und nicht menschlicher Identitäten weiter exponentiell wächst.
Angreifer missbrauchen häufig Zugangsdaten, nutzen Active Directory (AD) aus und zielen über Cloud-Berechtigungen auf Identitäten ab. Deshalb ist es entscheidend, identitätsbasierte Aktivitäten mit modernen ID ASM- und ITDR-Lösungen zu erkennen.
Erfahren Sie mehr über Singularity Identity Posture Management und Singularity Identity.
"Häufige Fragen zu identitätsbasierten Angriffen
Identitätsbasierte Angriffe sind Sicherheitsvorfälle, bei denen Angreifer unbefugt auf Systeme zugreifen wollen. Dazu nehmen sie Zugangsdaten wie Benutzernamen, Passwörter oder Authentifizierungstoken ins Visier. Statt technische Schwachstellen auszunutzen, stehlen, manipulieren oder missbrauchen sie identitätsbezogene Daten.
Bei diesen Angriffen nutzen Angreifer Schwachstellen im Identitäts- und Zugriffsmanagement aus, um sich als legitime Benutzer auszugeben oder sich dauerhaft lateral in Netzwerken zu bewegen. Sobald sie gültige Zugangsdaten besitzen, umgehen sie herkömmliche Sicherheitsmaßnahmen leichter. Da sie wie legitime Benutzer erscheinen, sind sie nur schwer zu erkennen.
Zu den häufigen Beispielen zählen Phishing-E-Mails, die Benutzer zur Preisgabe ihrer Zugangsdaten verleiten. Beim Credential Stuffing testen Angreifer gestohlene Passwörter auf mehreren Websites. Beim Password Spraying probieren sie gängige Passwörter für viele Konten aus. Durch Social Engineering bringen sie Mitarbeitende dazu, vertrauliche Informationen preiszugeben. Bei Man-in-the-Middle-Angriffen fangen sie Kommunikation ab, um Daten zu stehlen.
Bei Brute-Force-Angriffen erraten automatisierte Tools Passwörter. Golden-Ticket-Angriffe nutzen Schwachstellen in Active Directory aus, um Zugriff auf eine Domäne zu erlangen.
Identitätsbasierte Ansätze konzentrieren sich darauf, „wer Sie sein möchten“, ergebnisorientierte Ansätze darauf, „was Sie erreichen möchten“. Im Sicherheitskontext zielen identitätsbasierte Angriffe auf die digitale Identität und die Zugangsdaten einer Person ab, um unbefugten Zugriff zu erlangen. Ergebnisorientierte Angriffe verfolgen konkrete Ziele wie Datendiebstahl oder die Störung von Systemen.
Identitätsbasierte Methoden bewirken dauerhafte Verhaltensänderungen, weil sie an die persönliche Identität anknüpfen. Ergebnisorientierte Methoden können dagegen an Wirkung verlieren, sobald das Ziel erreicht ist. Unternehmen brauchen beide Ansätze: identitätsbezogene Sicherheitskontrollen und auf Ergebnisse ausgerichtete Verfahren zur Reaktion auf Sicherheitsvorfälle.
Führen Sie MFA ein, damit für den Zugriff neben dem Passwort eine weitere Bestätigung erforderlich ist. Starke Passwortrichtlinien, die Passphrasen statt komplexer Passwörter vorsehen, erschweren Angriffe auf Systeme. Schulen Sie Mitarbeitende darin, Phishing-Versuche und Social-Engineering-Taktiken zu erkennen, bevor sie darauf hereinfallen.
Regelmäßige Sicherheitsprüfungen decken Schwachstellen auf. SSO-Lösungen verringern die Zahl der Zugangsdaten, die Angreifer ins Visier nehmen können. Überwachen Sie das Benutzerverhalten auf ungewöhnliche Aktivitäten und setzen Sie Zero-Trust-Sicherheitsmodelle ein, die jede Zugriffsanfrage prüfen.
Zu den wichtigsten Arten zählen Credential Stuffing mit gestohlenen Zugangsdaten auf mehreren Websites und Password Spraying mit gängigen Passwörtern für viele Konten. Phishing-E-Mails sollen Zugangsdaten stehlen. Bei Social Engineering werden Betroffene zur Preisgabe von Informationen verleitet. Brute-Force-Angriffe erraten Passwörter mithilfe automatisierter Tools.
Man-in-the-Middle-Angriffe fangen Kommunikation ab. Kerberoasting zielt auf Passwörter von Dienstkonten, Golden-Ticket-Angriffe nutzen Schwachstellen in Active Directory aus. Beim Session Hijacking übernehmen Angreifer aktive Benutzersitzungen. Die Kompromittierung privilegierter Konten zielt auf Zugangsdaten von Administratoren mit weitreichenden Berechtigungen.
MFA fügt eine weitere Sicherheitsebene hinzu, die unbefugten Zugriff auch bei kompromittierten Passwörtern verhindert. Benutzer müssen sich mit mehreren Methoden authentifizieren, etwa mit einem Passwort, einem Code auf dem Mobilgerät oder biometrischen Daten. Selbst wenn Angreifer Ihr Passwort durch Phishing oder eine Datenschutzverletzung erlangen, benötigen sie für den Zugriff noch einen zweiten Faktor.
MFA senkt das Risiko einer Sicherheitsverletzung erheblich: Angreifer müssen mehrere unabhängige Authentifizierungsfaktoren überwinden statt nur ein Passwort. Unternehmen mit MFA sind deutlich weniger anfällig für erfolgreiche identitätsbasierte Angriffe, weil zusätzliche Hürden den Zugriff erschweren.
Mehr erfahren über Identitätssicherheit
Bereit, Ihre Sicherheitsabläufe zu revolutionieren?
Erfahren Sie, wie SentinelOne AI SIEM Ihr SOC in ein autonomes Kraftzentrum verwandeln kann. Kontaktieren Sie uns noch heute für eine personalisierte Demo und erleben Sie die Zukunft der Sicherheit in Aktion.
