Password Spraying verhindern in 4 Schritten: So sichern Sie Legacy-E-Mail-Konten ab

Foto: Markus Mainka | shutterstock.com

Microsoft hat vor kurzem offengelegt, dass seine Systeme vom berüchtigten Bedrohungsakteur Midnight Blizzard (auch bekannt als Nobelium) angegriffen wurden. Dabei war es den Angreifern möglich, sich über einen Test-Tenant Zugang zu E-Mail-Postfächern zu verschaffen. Parallel wurde zudem bekannt, dass auch E-Mail-Konten bei HPE von nationalstaatlichen Akteuren, die mit Russland in Verbindung stehen, kompromittiert werden konnten. In beiden Fällen scheint es sich um Password-Spraying-Angriffe (Angreifer versuchen mit einer kleinen Teilmenge der beliebtesten respektive wahrscheinlichsten Passwörter ihr Glück bei einer Vielzahl von Konten) auf Legacy-E-Mail-Konten gehandelt zu haben.

Microsoft veröffentlichte Ende Januar 2024 eine Analyse der Vorgänge in Form eines Blogeintrags. Darin gibt der Konzern unter anderem zu, dass für den gehackten Test Account keine Multifaktor-Authentifizierung aktiviert war. Inzwischen hat sich außerdem herausgestellt, dass die kriminellen Hacker die Informationen, die sie im Rahmen des initialen Angriffs stehlen konnten, weiter gewinnbringend einzusetzen versuchen.

“In den vergangenen Wochen konnten wir nachweisen, dass Midnight Blizzard sich mit Hilfe der Informationen die ursprünglich aus unseren Corporate-E-Mail-Systemen exfiltriert wurden, dazu nutzt, sich unautorisierten Zugriff zu verschaffen – oder es versucht. Davon waren auch interne Systeme und Quellcode-Repositories betroffen”, schreibt Microsoft in einem Update zum ursprünglichen Blogpost. Midnight Blizzard habe das ohnehin große Angriffsvolumen, das im Januar 2024 zu beobachten gewesen sei, im Februar in einigen Aspekten nochmals deutlich gesteigert.

Im Folgenden geben wir Ihnen Tipps an die Hand, um sich – und Ihr Unternehmen – bestmöglich vor Attacken dieser Art zu schützen.

1. MFA aktivieren

Die erste Lektion, die man aus dem Angriff auf Microsoft ziehen kann: Aktivieren Sie Multifaktor-Authentifizierung (MFA) für alles und überprüfen Sie die Prozesse, die für Test-Accounts zur Anwendung kommen, die Zugriff auf Ihren Micorosoft-365-Haupt-Produktions-Tenant haben. MFA ist heutzutage Pflicht für jeden Cloud Service – ein Passwort für Unternehmens-Assets nicht ausreichend.

Sollte Ihre User-Basis MFA-Implementierungen kritisch gegenüberstehen, gibt es Möglichkeiten, ihnen diese Option schmackhaft zu machen. Sie könnten MFA beispielsweise so konfigurieren, dass eine Authentifizierung bei vertrauenswürdigen Standorten nicht obligatorisch ist. Dabei sollten Sie je nach Risikotoleranz Ihrer Organisation abwägen, ob eine IP-Whitelist, die sicherstellt, dass die Führungskräfte nicht von MFA-Aufforderungen “belästigt” werden, angebracht ist. Im Fall von Microsoft nutzten die Angreifer vermeintlich harmose IP-Adressen für ihre Attacken: “Der Bedrohungsakteur hat eine private, verteilte Proxy-Infrastruktur genutzt, um seine Angriffe zu starten und die Wahrscheinlichkeit zu verringern, entdeckt zu werden”, schreibt Microsoft.

In diesem Fall konnten die Abwehrsysteme also nicht bezüglich eines riskanten User-Standorts Alarm schlagen. Sie sollten deshalb in Erwägung ziehen, statische IP-Adressen für Personen einzurichten, die besonders attraktive Ziele für kriminelle Hacker darstellen. Das gewährleistet, High-Level-Zugriffe besser identifizieren und absichern zu können.

2. Location checken

Sie sollten nicht davon ausgehen, dass kriminelle Hacker mit einer offensichtlich bösartigen IP-Adresse “anklopfen”. Den genauen Standort zu bestimmen, von dem aus sich ein Nutzer anmeldet, ist jedoch oft diffizil – speziell wenn der Zugriff über ein Mobilgerät stattfindet. Sie sollten deshalb in Erwägung ziehen, zusätzliche Infrastruktur einzurichten, um die Zugriffe über einen geschützten – und einsehbaren – Tunnel zu leiten.

Beim Angriff auf Microsofts E-Mail-Server nutzte Midnight Blizzard seinen initialen Zugang, um eine Legacy OAuth-Test-Applikation zu kompromittieren, wie Microsoft beschreibt: “Das ermöglichte erweiterten Zugriff auf die Systemlandschaft. Die Angreifer konnten weitere, bösartige OAuth-Anwendungen erstellen. Letzteren wurden über den Legacy-Testaccount die 365-Exchange-Rolle full_access_as_app zugewiesen, was den Zugriff auf die Postfächer ermöglichte.”

Das wirft ein Schlaglicht auf unsere kollektive Anfälligkeit, wenn es um Cloud-Implementierungen geht. Die Authentifizierung hat sich von der traditionellen Kombination aus Benutzername und Passwort in Richtung anwendungsbasiert weiterentwickelt. Dazu kommt, dass viele Unternehmen oft gar nicht wissen, was sie da eigentlich genau in ihrer Cloud-Umgebung einrichten. Das führt in der Folge oft dazu, dass wichtige Berechtigungen respektive Konfigurationsoptionen unbeachtet bleiben.

3. Berechtigungen konfigurieren

Allen Benutzern zu ermöglichen, Apps zu registrieren und Unternehmensdaten freizugeben, ist demnach keine empfehlenswerte Strategie. Sie sollten Ihren Tenant so konfigurieren, dass ein (Cloud-)App-Administrator den Benutzern explizit die Berechtigung erteilen muss, um eine OAuth-basierte Drittanbieter-Anwendung zum Tenant hinzufügen zu können. Das gilt speziell für Unternehmen, die sensible Daten jeglicher Art managen: Hier sollte jede App, die dem Microsoft-365-Tenant hinzugefügt wird, einen manuellen Autorisierungsprozess durchlaufen.

Rufen Sie dazu die Einstellungen im Microsoft 365 Admin Center auf und wählen Sie den Punkt “User consent to apps“. Hier deaktivieren Sie das Kontrollkästchen, um sicherzustellen, dass Anwendungen überprüft werden müssen, bevor sie den Usern bereitgestellt werden. Das gilt auch für die Cloud: Rufen Sie das Admin Center von Microsoft Entra auf und suchen Sie in den App-Einstellungen nach entsprechenden Registrierungen. Vergewissern Sie sich dabei, dass alle her aufgeführten Apps identifiziert und genehmigt sind (keine Panik, der gelistete “P2PServer” ist ein Platzhalter für den ersten AD-verbundenen Rechner). Überprüfen Sie anschließend in den Benutzereinstellungen folgende Settings:

• “Named Users can register applications” sollte deaktiviert sein.

• “Restrict non-admin users from creating tenants” sollte aktiviert sein.

• “Users can create security groups” sollte deaktiviert sein.

• “Restrict access to the Microsoft Entra admin center” sollte aktiviert sein.

Wenn Benutzer Apps einrichten wollen, sollte dazu wie bereits erwähnt die Zustimmung durch einen Admin obligatorisch sein. Um sicherzustellen, dass dabei alles wie vorgesehen abläuft, empfiehlt es sich zudem, diesen Freigabe- beziehungsweise Genehmigungsprozess zu testen. Dabei ist außerdem wichtig, dass Administratoren sich nicht über private Devices anmelden, sondern ausschließlich dedizierte, abgesicherte Geräte für ihre TAsks nutzen.

4. Cloud-Apps prüfen

Die Cloud hat unser Leben in vielerlei Hinsicht leichter gemacht, aber auch potenzielle neue Risiken geschaffen. Zum Beispiel die Microsoft-Graph-App-Berechtigung AppRoleAssigment.ReadWrite.All, mit der Zustimmungsprozesse (eigentlich zu Implementierungszwecken) umgangen werden können.

Weil in vielen Fällen nicht wirklich verstanden wird, was da gerade in Sachen Cloud implementiert wird, werden auch die damit verbundenen Risiken nicht erkannt. Dazu kommt, dass Cloud-Implementierungen oft nicht auf ihre Funktionstüchtigkeit oder mit Blick auf neue Sicherheitsstandards und -Features überprüft werden. Machen Sie es also besser und überprüfen Sie, ob die oben genannte Berechtigung erteilt wurde. Falls ja: der bessere Weg besteht darin, die Consent Policy zu nutzen. (fm)

Sie wollen weitere interessante Beiträge rund um das Thema IT-Sicherheit lesen? Unser kostenloser Newsletter liefert Ihnen alles, was Sicherheitsentscheider und -experten wissen sollten, direkt in Ihre Inbox.

Jetzt CSO-Newsletter sichern

Dieser Beitrag basiert auf einem Artikel unserer US-Schwesterpublikation CSO Online.