.jpeg){kind=logo}
Angreifer neigen dazu, eigene Regeln festzulegen, anstatt die vom Benutzer bereits bestehenden zu ändern. Das Vectra-MDR-Team hat dies in verschiedenen Kundenumgebungen untersucht. Im Folgenden erfahren Sie, zu welchem Ergebnis die täglichen Entscheidungen unserer Analysten insgesamt führen und wie ein SOC diese Erkenntnisse nutzen kann.
Als MDR-Team prüfen wir täglich Erkennungen aus zahlreichen Kundenumgebungen. Eine davon ist unsere Erkennung „Microsoft 365 Suspicious Mailbox Rule“, die Regeln im Posteingang kennzeichnet, die einer genaueren Überprüfung bedürfen. Die meisten dieser Erkennungen werden auf eine von zwei Arten abgewickelt: Entweder schließt ein Analyst den Fall als harmlos ab oder leitet ihn zur Überprüfung an den Kunden weiter. Für sich genommen handelt es sich dabei um Routinefälle. Zusammengenommen – basierend auf Daten aus Kundenumgebungen verschiedener Regionen und Branchen sowie auf den Rückmeldungen der Kunden bei eskalierten Fällen – enthalten sie jedoch wertvolle Erkenntnisse: ein präzises, gemeinsames Bild davon, wie Angreifer Posteingangsregeln tatsächlich nutzen.
Warum Mailbox-Regeln Beachtung verdienen
Posteingangsregeln sind eine gängige Funktion zur Steigerung der Produktivität: Sie leiten E-Mails automatisch weiter, verschieben sie, kennzeichnen sie oder löschen sie.
Genau diese Funktion ist bei Angreifern nach einer Kontoübernahme besonders beliebt, da sie ihnen ermöglicht, ein Postfach unbemerkt zu kontrollieren – ganz ohne malware ohne Prozesse auf endpoint. Zwei Missbrauchsarten dominieren: das Weiterleiten von E-Mails an eine externe Adresse (Exfiltration, MITRE ATT&CK .003) sowie das Verschieben oder Löschen eingehender E-Mails, um Sicherheitshinweise und Antworten zu verbergen (Umgehung, MITRE ATT&CK .008).
Warum nicht einfach die Angriffe untersuchen?
Eine berechtigte Frage: Wenn man Angreifer verstehen will, warum untersucht man dann nicht einfach die bestätigten Angriffe? Die isolierte Untersuchung von Angriffen zeigt zwar, was Angreifer tun, aber nicht, wie oft dieselbe Aktion bei gewöhnlicher, harmloser Nutzung auftritt – und genau dieser Kontrast macht ein Verhalten erst zu einem Hinweis, auf den man reagieren sollte. Eine Regel, die eingehende E-Mails löscht, wirkt in einer Flut von Angriffen alarmierend; erst im Vergleich zu alltäglichen Aktivitäten erkennt man, dass sie tatsächlich selten ist und daher ein Signal darstellt. Zu verstehen, was normal ist, um zu erkennen, was nicht normal ist, ist ein bekanntes Prinzip in der Erkennung. Wir haben es auf eine andere Art von „Normalität“ angewendet: die alltäglichen Entscheidungen, die Analysten im Zusammenhang mit einer Erkennung treffen. Diese harmlose Mehrheit ist kein Ballast, den man verwerfen sollte. Jeder harmlose Abschluss ist eine Beurteilung darüber, was kein Angriff ist, und in ihrer Gesamtheit sind diese Beurteilungen Wissen, das bei einer alleinigen Untersuchung der Angriffe verloren ginge.
Das Profil, das sich aus unseren Daten ergab
Insgesamt ordnen die Analysten die einzelnen Verhaltensweisen irgendwo zwischen „Routine“ und „einer genaueren Betrachtung wert“ ein. Das Verschieben von E-Mails in einen Ordner ist die häufigste Aktion, die Angreifer mithilfe einer Regel ausführen, gefolgt vom Weiterleiten und Löschen. Wie sich jedoch herausstellt, sagt die Häufigkeit eines Verhaltens wenig darüber aus, wie besorgniserregend es tatsächlich ist. Hier sind die auffälligsten Punkte.
Sie erstellen neue Regeln; sie schreiben keine um. Bei allen von uns bestätigten Angriffen handelt es sich bei den bösartigen Regeln um eigene Regeln des Angreifers, die erstellt und anschließend – oft in einem einzigen Schritt – geändert wurden, und nicht um eine seit Langem bestehende Regel des Kunden, die für andere Zwecke umfunktioniert wurde. Das Muster ist konsistent: Angreifer bringen ihre eigenen Regeln mit. Am deutlichsten lässt sich diese Routine anhand von E-Mails erkennen, die in einen Ordner verschoben werden: Die Änderung einer seit Langem bestehenden Regel zum Verschieben in einen Ordner ist – in den Fällen, in denen Analysten genau nachvollziehen konnten, was die Änderung bewirkte – fast nie ein Grund für eine Eskalation. Alltägliche Verwaltungsaufgaben und die neu eingerichtete Umgebung eines Angreifers haben nichts miteinander zu tun.
Das Löschen kommt selten vor und fällt besonders auf. Nur sehr wenige Postfachregeln löschen eingehende E-Mails, doch wenn ein Analyst eine solche Regel entdeckt, wird der Fall weitaus häufiger eskaliert als im Alltag üblich – und unsere bestätigten Fälle zeigen, dass dieses Bauchgefühl richtig ist. Das Löschen, um Antworten und Sicherheitshinweise zu verbergen, ist eine Verschleierungsmaßnahme, und in den Daten verhält es sich auch so. Während die Änderung einer alten Regel zum Verschieben in einen Ordner nur „Rauschen“ ist, ist das Löschen ein „Signal“.
Das Weiterleiten ist die Grauzone. Es liegt genau in der Mitte: weder selten noch alltäglich, und es gibt einen nicht unerheblichen Anteil an Fällen, bei denen es sich nachweislich um bösartige Inhalte handelt. Nicht alles lässt sich klar voneinander abgrenzen, und gerade beim Weiterleiten ist Vorsicht besonders wichtig – hier darf man nicht nachlässig werden. Das ehrlich zu sagen, ist Teil des Sinns der Sache.
Wie sich Angreifer verraten. In unseren bestätigten Fällen tauchten zwei Anzeichen immer wieder auf. Von Angreifern erstellte Regeln tragen überproportional oft seltsame, minimalistische Namen, bestehen aus einzelnen Buchstaben oder enthalten den einen oder anderen vereinzelten Punkt – also genau die Art von beiläufigen Bezeichnungen, die sich ein Mensch nicht aussuchen würde. Und wenn Angreifer E-Mails verschieben, greifen sie eher auf Standardordner zurück als auf individuell angelegte. Keines dieser Anzeichen ist für sich genommen ein Beweis, doch zusammen ergeben sie ein klareres Bild.
Was ein SOC damit machen kann
Ein solches Profil lässt sich auf zwei Arten gleichzeitig nutzen: um Routinevorgänge zu unterdrücken und um echte Vorfälle deutlicher hervorzuheben. Die Art und Weise, wie die Bewertung in der Vectra AI funktioniert, macht dies sicher: Jede Erkennung ist mit einem Schweregrad versehen, der auf der jeweiligen Regel basiert, und dieser Schweregrad fließt zusammen mit anderen Faktoren in eine einzige Bewertung auf Kontoebene ein, die alle aktiven Vorgänge auf demselben Konto widerspiegelt. So lässt sich der Schweregrad, den ein routinemäßiges Muster beiträgt, herabsetzen, ohne dass dabei ein blinder Fleck entsteht: Ein Konto, bei dem zudem eine ungewöhnliche Anmeldung oder ein anderes unabhängiges Signal auftritt, rückt weiterhin in den Vordergrund. Die Routine tritt in den Hintergrund; die tatsächlich verdächtige Kombination bleibt im Vordergrund.
Entscheidend ist, dass nichts davon automatisch abläuft. Ein Muster, das in unserer Historie routinemäßig erscheint, ist lediglich eine Hypothese. Daher überprüfen wir jedes einzelne Element des Profils anhand unserer eigenen bestätigten Angriffsfälle, bevor es in die Erkennung einfließt, und jede Änderung an der Bewertung durch die Erkennung würde einer Sicherheitsüberprüfung unterzogen werden und nicht direkt in die Produktion gelangen.
Was dadurch besser wird
Der Sinn eines solchen Profils liegt nicht im Profil selbst, sondern darin, wie es die Erkennung und die damit verbundenen Dienste verbessert. Instinkte, die früher nur im Kopf eines erfahrenen Analysten existierten, werden zu etwas Explizitem und Wiederverwendbarem, sodass dieselbe Einschätzung nicht von Fall zu Fall neu getroffen werden muss. Routinemäßiges Verhalten kann heruntergeregelt werden, während wirklich verdächtige Kombinationen weiterhin deutlich hervorgehoben werden – das bedeutet weniger Zeitverlust durch Fehlalarme und mehr Aufmerksamkeit für das, was tatsächlich Aufmerksamkeit erfordert. Und die tägliche Arbeit der Triage ist nicht länger ein Kostenfaktor, der in einem Rückstand versinkt, sondern wird zu einer Rückkopplungsschleife, wobei jedes validierte Muster die nächste Erkennungsrunde ein wenig präziser macht. Das Ergebnis ist ein Dienst, der dort ruhiger wird, wo es angebracht ist, und dort lauter, wo es notwendig ist – und der mit zunehmender Laufzeit immer besser darin wird, beides voneinander zu unterscheiden.
Das spezifische Profil ist nützlich. Wichtiger ist jedoch die dahinter stehende Methode. Jedes SOC stützt sich auf eine lange Reihe von Analystenentscheidungen, in denen mühsam erworbenes Wissen über das Verhalten von Angreifern stillschweigend kodiert ist – und fast nichts davon ist schriftlich festgehalten. Betrachtet man diese Geschichte als Quelle für Erkenntnisse und nicht nur als Rückstand, wird die tägliche Triage zu einer Rückkopplungsschleife, die die Erkennung verbessert und den Analysten Zeit spart.
Der Vectra AI
Das hier beschriebene Profil für E-Mail-Regeln ist nur ein Beispiel dafür, wie Vectra AI die Verhaltenserkennung Vectra AI verbessert. Jede Erkennung basiert auf aktuellen Sicherheitsforschungsergebnissen, Beobachtungen realer Angreifer und Rückmeldungen unseres MDR-Teams. Diese Kombination aus KI, Verhaltensanalyse und menschlichem Fachwissen hilft Sicherheitsteams dabei, weniger Zeit mit der Untersuchung von Fehlalarmen zu verbringen und sich stattdessen stärker auf die wirklich wichtigen Bedrohungen zu konzentrieren.
Erfahren Sie, wie die Vectra AI mithilfe von KI-gestützter Verhaltenserkennung hybride Angriffe auf Identitäten, cloud, SaaS, Endgeräte und Netzwerke abwehrt.