Unternehmen verbessern ihre Cloud-Sicherheit häufig durch Maßnahmen, die auf Branchentrends basieren. Renommierte Cybersicherheitsorganisationen stellen solche Trends oft auf der Grundlage von realen Daten und objektiven Analysen bereit. Red Canary hat kürzlich den Threat Detection Report 2025 veröffentlicht, der auf einer fundierten Analyse von über 93.000 Bedrohungen basiert, die in den Kundenumgebungen – einschließlich Endgeräten und Cloud-Infrastrukturen – erkannt wurden. Dieser Artikel untersucht die im Bericht aufgeführten, am häufigsten vorkommenden Cloud-Angriffe und liefert zusätzliche Erkenntnisse sowie Gegenmaßnahmen.

Cloud-Bedrohungserkennung – Ein Überblick

Die Notwendigkeit, effiziente Strategien zur Bedrohungserkennung in Cloud-Infrastrukturen einzusetzen, wächst angesichts der sich stetig verändernden Bedrohungslage massiv. Cloud-Sicherheitstools wie CSPM, CIEM und CNAPP unterstützen Unternehmen bei der Compliance und grundlegenden Cyber-Hygiene. Dennoch ist die Implementierung von Funktionen zur Bedrohungserkennung unerlässlich, um zunehmend verbreitete Angriffe abzuwehren, wie sie etwa im Red Canary Threat Detection Report 2025 beschrieben werden. Die Erkennung dieser Angriffstechniken kann schwierig sein, da Angreifer oft unauffällige Methoden wie die Verwendung gültiger Anmeldedaten nutzen. Daher ist ein fundiertes Verständnis dieser Techniken für die Umsetzung geeigneter Gegenmaßnahmen zwingend erforderlich.

Eine Möglichkeit, schnell ein fundiertes Verständnis dieser Cloud-Angriffstechniken zu erlangen, ist die Cloud-Angriffsemulation. Sie vermittelt Sicherheitsteams praktisches Wissen und ermöglicht zudem die Validierung der implementierten Gegenmaßnahmen. Mitigant Cloud Attack Emulation (CAE) bietet Unternehmen jeder Größe eine Cloud-Angriffsemulation auf Enterprise-Niveau, um verschiedene Cloud-Angriffstechniken zu testen, einschließlich derer, die im Red Canary-Bericht genannt werden. Die folgenden Abschnitte untersuchen die im Bericht beschriebenen, am häufigsten auftretenden Cloud-Angriffstechniken und bieten zusätzliche Einblicke sowie Gegenmaßnahmen.

‍

Cloud-Service-Hijacking

Cloud-Service-Hijacking (T1496-004) gehört zu den drei am häufigsten genannten Techniken im Bericht. Die prominenteste Technik in dieser Kategorie ist LLMJacking, ein Angriff, der zunehmend von Cyberkriminellen genutzt wird, um cloudbasierte LLMs zu kompromittieren, wie sie beispielsweise von Amazon Bedrock bereitgestellt werden. Die zunehmende Einführung von GenAI in Unternehmen macht diesen Angriff für Cyberkriminelle sehr attraktiv, da sie die gekaperten Modelle für illegale Geschäfte zum Nachteil der eigentlichen Cloud-Kontoinhaber nutzen. Laut Sysdig könnten betroffenen Unternehmen Kosten von bis zu 46.000 $/Tagentstehen. Wir haben die Feinheiten von LLMJacking bereits ausführlich in einem früheren Blogbeitrag diskutiert und zudem eine Demonstration des Angriffs aufgezeichnet, die auf YouTube verfügbar ist.

Es gibt weitere Untertechniken des Resource Hijacking (T1496), die ebenfalls Aufmerksamkeit erfordern; zum Beispiel wird Compute Hijacking (T1496-001) häufig für Cryptomining-Angriffe auf EC2-Instanzen und Kubernetes-Umgebungen eingesetzt. Angreifer nutzen zudem die Untertechnik des Cloud Service Hijacking, um Messaging-Dienste wie AWS SNS und SES anzugreifen, die anschließend für Spam, Phishing und SMS-Versand missbraucht werden. Die Mitigant CAE bietet verschiedene Angriffe, die diese Techniken emulieren können, z. B. Stop Cloudtrail, Invocation Logging Evasion, Config Recorder stoppen, und GuardDuty aussetzen.

‍

Sicherheitsmaßnahmen beeinträchtigen

Angreifer versuchen oft, nach dem Eindringen in eine Cloud-Umgebung unentdeckt zu bleiben. Bemühungen, diese Unauffälligkeit zu erreichen, werden als Sicherheitsmaßnahmen beeinträchtigen -Techniken bezeichnet (T1562); diese Techniken bestehen darin, Sicherheitssysteme abzuschalten, wie zum Beispiel die CloudTrail-Bucket-Protokollierung. Die Cloud begünstigt solche Techniken, da die meisten Sicherheitskontrollen nur einen API-Aufruf entfernt sind. Zwar gibt es Maßnahmen zur Risikominderung, wie etwa die Nutzung dieser Amazon Web Services (AWS) Security Reference Architecture. Eine der Empfehlungen der SRA ist die Einschränkung kritischer Sicherheitsdienste im „Security Tooling Account“, für den sehr strenge Zugriffskontrollrichtlinien gelten sollten. Der Security Tooling Account deckt jedoch möglicherweise nicht alle Konfigurationen auf Ressourcenebene ab, wie z. B. S3-Bucket-Protokollierung und WAF-ACL-Protokollierung.

Folglich müssen Sicherheitsteams zusätzliche Maßnahmen implementieren, die Techniken zur Beeinträchtigung von Sicherheitsmaßnahmen erschweren, insbesondere im Bereich der Bedrohungserkennung. Adversary Emulation ermöglicht es Sicherheitsteams, die Effizienz implementierter Sicherheitsmaßnahmen realistisch zu testen und zu validieren. Mitigant CAE umfasst 13 Angriffe zur Emulation verschiedener Techniken zur Beeinträchtigung von Sicherheitsmaßnahmen über mehrere AWS-Dienste hinweg, darunter EC2, EventBridge, CloudTrail, S3, Bedrock und Route 53.

Kontenmanipulation

Sobald Angreifer Zugriff auf ein Cloud-Konto eines Opfers haben, verfolgen sie ihre weiteren Ziele. Da die für den Erstzugriff verwendeten Anmeldedaten jedoch häufig nur über eingeschränkte Berechtigungen verfügen, ist eine Rechteausweitung der nächste logische Schritt. Eine gängige Technik hierfür ist die Kontenmanipulation (T1098). Es gibt verschiedene Möglichkeiten, wie Angreifer eine Kontenmanipulation umsetzen, darunter die Änderung von IAM-Richtlinien, das Erstellen zusätzlicher Zugriffsschlüssel für IAM-Benutzer mit höheren Berechtigungen (Zusätzliche Cloud-Anmeldedaten) sowie die Nutzung bereits vorhandener Rollen mit erweiterten Rechten (Zusätzliche Cloud-Rollen).

Die Erkennung der durch diese Angriffsversuche generierten Ereignisse kann schwierig sein, da häufig gültige Anmeldedaten verwendet werden. Sicherheitsteams müssen mit diesen Ereignissen im Kontext ihrer Umgebung vertraut sein und validieren, ob Bedrohungserkennungstools und andere Cloud-Sicherheitslösungen diese Angriffsversuche effizient erkennen oder verhindern. Mitigant CAE kann genutzt werden, um verschiedene Techniken der Kontenmanipulation zu emulieren und so die ganzheitlichen Erkennungs- und Reaktionsfähigkeiten zu verbessern; dies umfasst Aspekte von Mensch, Prozess und Technologie.

Diebstahl von Anmeldedaten

Angreifer benötigen als Voraussetzung für erfolgreiche Angriffe Zugriff auf Cloud-Konten, was üblicherweise durch verschiedene Techniken zum Zugriff auf Anmeldedaten (TA006) erreicht wird, einschließlich des Sammelns öffentlich zugänglicher (falsch konfigurierter) Anmeldedaten und des Diebstahls von Zugangsdaten von Geräten. Es entwickelt sich jedoch rasant ein Ökosystem, das sich darauf spezialisiert hat, gültige Anmeldedaten zu stehlen und an den Meistbietenden zu verkaufen. Die Hauptakteure hinter diesem Ökosystem sind als Initial Access Broker bekannt (IAB), die häufig mit Ransomware-as-a-Service- (RaaS)-Anbietern zusammenarbeiten, was die Hürde für erfolgreiche Ransomware-Angriffe weiter senkt.

Neben IABs suchen Angreifer auch in Cloud-Umgebungen nach Anmeldedaten, um ihre Ziele zu erreichen. Da viele Aspekte von Cloud-Anwendungen und -Infrastrukturen automatisiert werden müssen, werden Anmeldedaten häufig in verschiedenen Speichern, wie z. B. Secret Managern, hinterlegt. Mit gültigen Zugangsdaten können Angreifer auf diese Speicher zugreifen und Anmeldedaten sowie andere geheime Informationen entwenden. Eine ausführlichere Beschreibung finden Sie in einem früheren Mitigant-Blogartikel. Folglich müssen Sicherheitsteams geeignete Gegenmaßnahmen implementieren und deren Wirksamkeit durch Ansätze wie Adversary Emulation validieren. Mitigant CAE bietet Angriffs-Simulationen für verschiedene Techniken zum Zugriff auf Anmeldedaten, darunter Credentials from Password Stores (T1555), Modify Authentication Processund Unsecured Credentials. Diese Angriffe erstrecken sich über verschiedene AWS-Dienste wie Lambda, IAM, Secret Manager, EC2 und RDS und ermöglichen es Sicherheitsteams, agil und effektiv zu handeln.

CloudSecOps zur Abwehr von Cloud-Angriffen befähigen 

Eine resiliente Sicherheitsstrategie erfordert einen Defense-in-Depth-Ansatz. Unternehmen konzentrieren sich jedoch oft zu stark auf präventive Sicherheitsmaßnahmen, während detektive und reaktive Maßnahmen vernachlässigt werden. Angesichts der Zunahme von IABs und anderen sich entwickelnden Bedrohungen sind rein präventive Maßnahmen stark begrenzt und vermitteln bestenfalls ein falsches Gefühl von Sicherheit. 

Letztendlich müssen Sicherheitsmaßnahmen kontinuierlich bewertet werden, um Sicherheitslücken zeitnah zu erkennen. Adversary Emulation ist ein praxisorientierter Ansatz, um die Sicherheit von Cloud-Umgebungen realistisch zu bewerten. Cloud-Security-Operation-Teams nutzen Adversary Emulation, um Cloud-Sicherheitstools zu validieren, wie CSPM, CDR und CNAPPs. Adversary Emulation ist zudem nützlich für GenAI Red Teaming,  Incident Response/forensische Untersuchungen Übungen, Red/Purple Teaming-Übungensowie  Cloud-Penetrationstests.

Die Mitigant Cloud Attack Emulation umfasst über 100 Cloud-Angriffe, die Unternehmen unterschiedlicher Größe sicher für diese wichtigen Sicherheitsmaßnahmen nutzen können. Diese Angriffe, die auch die im Red Canary-Bericht genannten Techniken beinhalten, sind vollständig auf die MITRE ATT&CK - und MITRE ATLAS -Frameworks abgebildet und decken AWS sowie Azure ab. Weitere Details finden Sie in unserem aktuellen Artikel.

Melden Sie sich noch heute für Ihre kostenlose Testversion an. - https://www.mitigant.io/en/sign-up 

‍