‍

‍

Wir freuen uns, die Veröffentlichung der Mitigant Cloud-Angriffsemulation für Azure bekannt zu geben. Da dieses Feature schon lange stark nachgefragt wurde, sind wir begeistert, es heute endlich bereitzustellen. Während ein ähnliches Feature für AWS bereits sehr erfolgreich ist, macht dieser Release unser Produkt offiziell zu einer Multi-Cloud-Lösung, was die Möglichkeiten und Anwendungsfälle weiter ausbaut. Dieser Blogartikel beschreibt die Details dieser Veröffentlichung und gibt einen Ausblick auf die Zukunft. 

‍

Angriffsaktionen

Angriffsaktionen sind atomare Sicherheitstests, die eine oder mehrere Techniken emulieren, mit denen Angreifer versuchen, Cloud-Infrastrukturen zu kompromittieren. Dieser Release umfasst 11 Angriffsaktionen, die auf verschiedene Azure-Dienste abzielen, darunter Entra ID, VMs und Speicherkonten. Alle Angriffsaktionen sind dem MITRE ATT&CK-Framework zugeordnet und geben zudem an, welche Bedrohungsakteure sie einsetzen, was die Implementierung einer bedrohungsorientierten Verteidigung ermöglicht.

‍

‍

Schauen wir uns eine beispielhafte Angriffsaktion an: „Windows VM Custom Script Extension“. Dieser Angriff emuliert eine Technik, die häufig von Angreifern in der Post-Exploitation-Phase verwendet wird. Der Angriff missbraucht die Custom Script Extension für Windows, die ursprünglich dazu gedacht war, Konfigurationsaufgaben nach der Bereitstellung zu erleichtern. Angreifer nutzen dieses Feature böswillig aus, beispielsweise um Schadsoftware auf Windows-VMs zu installieren.

‍

Bei einer ordnungsgemäß gesicherten Azure-Cloud-Infrastruktur sollte die Angriffsaktion Warnmeldungen auslösen. Microsoft Defender for Cloud verfügt beispielsweise über verschiedene Warnmeldungen , die durch diesen Angriff ausgelöst werden könnten, darunter: 

• Benutzerdefiniertes Skript mit einer Erweiterung mit einem verdächtigen Skript wurde auf Ihrer virtuellen Maschine erkannt. 
• Verdächtige fehlgeschlagene Ausführung einer benutzerdefinierten Skripterweiterung in Ihrer virtuellen Maschine. 

‍

Das Ausbleiben von Warnmeldungen deutet auf eine Lücke in der Bedrohungserkennung hin, die untersucht werden muss. Dieser Angriff ist dem Taktik-Code T1059 – Command and Scripting Interpreter zugeordnet und wurde bereits von verschiedenen Bedrohungsakteuren eingesetzt, wie zum Beispiel APT 29. Ein wesentlicher Bestandteil des Angriffsemulationsprozesses ist die Bereinigung. Dieser Prozess stellt sicher, dass erstellte oder geänderte Ressourcen in den Zustand vor dem Angriff zurückversetzt werden. Im Wesentlichen werden erstellte Ressourcen gelöscht und geänderte Ressourcen in ihren ursprünglichen Zustand zurückgeführt. Für den zuvor beschriebenen Angriff bedeutet dies, dass die erstellten Ressourcen – Ressourcengruppen, VMs und Datenträger – gelöscht werden.

‍

Angriffsszenarien

‍

Angriffsszenarien bauen wie Legosteine auf Angriffsaktionen auf, indem zwei oder mehr Aktionen in einer bestimmten Reihenfolge kombiniert werden. Dies ermöglicht die Emulation mehrstufiger Angriffe, da die meisten realen Angriffe – wie etwa Ransomware – mehrere Schritte kombinieren, um ein Ziel zu erreichen. SOC-Teams profitieren enorm davon, realistische Angriffe zu verstehen, da sie so effektive Gegenmaßnahmen implementieren und im Ernstfall umgehend reagieren können. Es gibt zwei Arten von Angriffsszenarien: verwaltete und benutzerdefinierte Angriffsszenarien. Verwaltete Angriffsszenarien bilden spezifische Angriffe aus CTI-Berichten nach und werden vollständig von Mitigant betreut.

‍

Im Gegensatz dazu können Mitigant-Nutzer eigene Angriffsszenarien erstellen, die auf Anwendungsfällen basieren, die zu ihrem Bedrohungsmodell passen. Die folgende Abbildung zeigt beispielsweise ein benutzerdefiniertes Angriffsszenario, das auf Techniken der Scattered Spider -Bedrohungsgruppe basiert.

‍

‍

Angriffsplaner

Angriffe können so geplant werden, dass sie zu bevorzugten Zeiten ausgeführt werden, etwa außerhalb der Spitzenzeiten, nach einem wichtigen Release oder zu jedem anderen Zeitpunkt, der für das Sicherheitsteam am besten passt. Dies ermöglicht Flexibilität und eine effektive Planung, die sich an den Geschäftszielen und Ressourcenbeschränkungen orientiert. 

‍

Angriffsemulations-API

Viele Sicherheitsteams nutzen bereits unterschiedliche Produkte für verschiedene Funktionen in vordefinierten Arbeitsabläufen. Die Angriffsemulations-API ermöglicht es Teams, die Angriffsemulation in bestehende Workflows zu integrieren und so einen nahtlosen Betrieb zu gewährleisten. Die API unterstützt verschiedene Anwendungsfälle für SOC-Teams; Detection Engineers können sie beispielsweise für unsere Attack-as-Code -Funktion nutzen, die vor zwei Monaten veröffentlicht wurde. Attack-as-Code ermöglicht die Integration der Erkennungsvalidierung in Detection-as-Code-Strategien. 

‍

Integrationen: Slack-Benachrichtigungen

Agile Teams nutzen einfache Strategien zur Zusammenarbeit, um Informationen zu verbreiten und Entscheidungsprozesse zu vereinfachen – das steigert die Produktivität maßgeblich. Die von der Mitigant-Plattform unterstützten Integrationen sind genau darauf ausgelegt: Zusammenfassungen von Angriffsberichten werden an verschiedene Benachrichtigungssysteme wie Slack und Microsoft Teams gesendet. Dies steht zudem im Einklang mit der Mobilisierungsphase des CTEM, über die wir bereits in einem früheren Blogbeitrag geschrieben haben. Lesen Sie ihn hier.

‍

Wie geht es weiter?

‍

Die oben beschriebenen Funktionen sind erst der Anfang. Wir haben einige spannende Neuerungen für die kommenden Monate geplant, die wir zum gegebenen Zeitpunkt vorstellen werden. Im Folgenden gehen wir auf zwei dieser Funktionen ein: Beweissicherung und Sigma-Erkennungsregeln. Hinweis: Diese Funktionen sind bereits in der Cloud Attack Emulation für AWS verfügbar; Sie können ganz einfach ein Abonnement über den AWS Marketplaceabschließen.

Beweissicherung

Angriffs-Telemetriedaten sind entscheidend, um das Verhalten von Angreifern zu verstehen und darauf basierend wirksame Gegenmaßnahmen zu implementieren. Daher rufen wir automatisch die Ereignisprotokolle ab, die den emulierten Angriffen entsprechen, und zeigen diese an. Diese Protokolle dienen als Nachweis für erfolgreiche Angriffe und können von Detection Engineers für Unit-Tests beim Erstellen oder Optimieren von Erkennungsregeln genutzt werden.

‍

Sigma-Erkennungsregeln

Da es unser Ziel ist, SOC-Teams agiler und produktiver zu machen, stellen wir im Angriffsbericht Sigma-Regeln für die emulierten Angriffe bereit. Dies spart wertvolle Zeit, da die bereitgestellten Sigma-Regeln kopiert und direkt in Erkennungssysteme übernommen werden können, falls dort noch keine entsprechenden Regeln existieren. Dies hilft dabei, Sicherheitslücken zu schließen oder falsch konfigurierte Bedrohungserkennungssysteme wie CDRs und SIEMs zu korrigieren.

Multi-Cloud-Angriffsemulation

Die Bedrohungslandschaft entwickelt sich rasant weiter. Angreifer starten Attacken, die von einer Cloud-Infrastruktur auf eine andere oder sogar auf On-Premise-Umgebungen übergreifen (und umgekehrt). Diese komplexen Angriffe sind oft schwer zu durchschauen, und SOC-Teams haben Schwierigkeiten, sie zu bewältigen. Die gute Nachricht: Multi-Cloud-Angriffsszenarien werden in Kürze veröffentlicht. Diese kommenden Releases zeigen, wie Angreifer zwischen verschiedenen Cloud-Anbietern wechseln und sich lateral bewegen, um unentdeckt zu bleiben und ihre Ziele zu erreichen.

Cloud-Sicherheits-Check: Testen Sie uns noch heute 

Mitigant Cloud Attack Emulation ermöglicht es Sicherheitsteams jeder Größe, ihre Cloud-Sicherheitsstrategien mithilfe realistischer Adversary-Emulation-Methoden zu überdenken. Die meisten Open-Source-Tools und alternativen Lösungen sind nicht Cloud-nativ und bieten wenig realistische Szenarien. Realistische Angriffe sollten sowohl in der Lage sein, Ressourcen zu erstellen, als auch bestehende Ressourcen anzugreifen, da dies dem tatsächlichen Vorgehen von Angreifern entspricht. Während die meisten anderen Tools Ressourcen nur für den Angriff erstellen und anschließend wieder löschen, bieten wir ein ausgewogenes Verhältnis, wie in der Abbildung unten dargestellt.

‍

‍

Unser Ansatz unterstützt eine Vielzahl von Anwendungsfällen, darunter: 

• Validierung der Bedrohungserkennung: Weitere Informationen finden Sie in einem früheren Blogbeitrag, lesen Sie ihn hier.
• Cloud-Penetrationstests: Testen Sie Ihre Cloud-Infrastruktur kontinuierlich mit unkomplizierten, graphenbasierten Ansätzen, Details finden Sie hier.
• KI Red Teaming: Nutzen Sie Mitigant, um die Sicherheit von GenAI-Workloads zu gewährleisten. Wir haben mehrere Blogartikel veröffentlicht, in denen wir erläutern, wie Sie die Mitigant Cloud Attack Emulation für KI Red Teaming einsetzen können. Hier ist ein empfohlener Blogartikel.
• Red/Purple Teaming: Führen Sie Ihre Purple-Teaming-Übungen mit Mitigant durch, unabhängig von Ressourcenbeschränkungen. Sie müssen nicht länger auf Beratungsunternehmen warten, die Sie aufgrund begrenzter Kapazitäten auf die Warteliste setzen. Sehen Sie, wie wir Demokratisierung von Red/Purple Teaming hier.
• Übungen zur Reaktion auf Sicherheitsvorfälle: Sehen Sie sich dieses On-Demand-Webinar an, um zu erfahren, wie wir Ihre Prozesse zur Reaktion auf Sicherheitsvorfälle optimieren können.

‍

Melden Sie sich gerne für eine KOSTENLOSE Testversion an – https://www.mitigant.io/en/sign-up

Bleiben Sie dran für weitere Updates, während wir die Funktionen der Mitigant Adversarial Exposure Validation Platformweiterentwickeln und ausbauen.

‍