Das Verhalten von Angreifern beschreibt die Aktionen, Techniken und Muster, die Cyberangreifer anwenden, um eine Umgebung zu kompromittieren und ihre Ziele zu erreichen. Moderne Angreifer agieren selten nur mit einem einzigen böswilligen Vorfall. Sie können Identitäten stehlen oder missbrauchen, Erkundungen durchführen, Persistenz herstellen, Berechtigungen ausweiten, sich lateral bewegen, Abwehrmaßnahmen umgehen, auf sensible Daten zugreifen und Informationen aus Netzwerk-, Identitäts- cloud- und SaaS-Umgebungen abziehen.
Das Verständnis dieser Verhaltensweisen hilft Sicherheitsteams dabei, einzelne Sicherheitssignale in den Kontext eines umfassenderen Angriffsablaufs einzuordnen. So lässt sich aufdecken, was ein Angreifer tut, wie weit ein Angriff bereits fortgeschritten ist und worauf sich die Verteidiger als Nächstes konzentrieren sollten. Dieser Leitfaden erläutert das Verhalten von Angreifern, nennt gängige Beispiele, zeigt den Zusammenhang mit den TTPs (Tactics, Techniques, and Procedures) der Angreifer sowie den „ MITRE ATT&CK “ auf und erklärt, wie Sicherheitsteams Verhaltenserkennung nutzen können, um moderne Angriffe zu untersuchen.
Was bedeutet Angreiferverhalten?
Unter dem Verhalten von Angreifern versteht man die beobachtbaren Handlungen und Muster, die ein Angreifer während eines Cyberangriffs anwendet. Zu diesen Verhaltensweisen können Aufklärung, Missbrauch von Zugangsdaten, Persistenz, Ausweitung von Berechtigungen, Umgehung von Abwehrmaßnahmen, laterale Bewegung, Datenerfassung und Datenexfiltration gehören.
Anstatt jede Sicherheitswarnung für sich zu bewerten, konzentriert sich die Analyse des Angreiferverhaltens darauf, wie die Aktionen im Zeitverlauf und über Identitäts-, Netzwerk-, „ cloud “- und SaaS-Umgebungen hinweg miteinander in Verbindung stehen. Diese vernetzte Sichtweise hilft Sicherheitsteams zu verstehen, wie sich ein Angriff entwickelt, was der Angreifer möglicherweise zu erreichen versucht und welche Aktivitäten eine sofortige Untersuchung erfordern.
Welches Verhalten ist kein Angreiferverhalten?
Das Verhalten von Angreifern wird oft mit ähnlichen Signalen verwechselt, denen jedoch die Absicht oder Progression fehlt. Diese sind zwar miteinander verwandt, aber nicht identisch:
- Routinemäßige Systemgeräusche: Lautstarke, harmlose Aktivitäten, die Unordnung verursachen, aber keinen Angriff vorantreiben.
- Isolierte Erkennungen: Einzelne Warnmeldungen werden angezeigt, ohne dass ihr Zusammenhang mit anderen Aktionen im Zeitverlauf verstanden wird.
- Rohdaten-Sichtbarkeit: Zugriff auf Protokolle und Tabellen ohne Korrelation zwischen Identität, Netzwerk und cloud
- Compliance-orientierte Überwachung: Kontrollen, die darauf ausgelegt sind, Mindestanforderungen zu erfüllen, und nicht darauf, zu verfolgen, wie Angreifer legitime Tools während aktiver Vorfälle missbrauchen.
Wie Experten das Verhalten von Angreifern definieren
Experten beschreiben das Verhalten von Angreifern als einen schnellen, mehrstufigen Prozess, der sich über Identität, Netzwerk und cloud erstreckt. Anstatt Angriffe als einzelne Ereignisse zu betrachten, sollten Praktiker sie als einen kontinuierlichen Prozess betrachten, bei dem sich der Angreifer lateral durch Umgebungen wie Azure AD, M365 und traditionelle Netzwerke bewegt.
Eine wichtige Nuance ist die starke Abhängigkeit von LOTL-Techniken (Living-off-the-Land). Angreifer können Verwaltungstools wie PowerShell missbrauchen, die Graph-API verwenden oder mit KI-Assistenten wie Microsoft Copilot interagieren, um die Aufklärung und Datenermittlung zu beschleunigen. Oft umgehen sie die Erkennung durch subtile Änderungen, wie z. B. die Erstellung von Backdoor-Konten mit optisch ähnlichen Namen oder die Änderung von Richtlinien für den bedingten Zugriff, um einen vom Angreifer kontrollierten Standort als vertrauenswürdig zu behandeln.
Experten unterscheiden auch zwischen externen und internen Bedrohungen. Beispielsweise kann das Fehlen von Erkundungsverhalten aussagekräftig sein. Das Fehlen von Port-Scanning oder Enumeration vor böswilligen Aktionen kann auf einen Insider hindeuten, der die Umgebung bereits kennt.
Warum das Verhalten von Angreifern jetzt wichtig ist
Moderne Angriffe sind schnell, betreffen mehrere Domänen und sind schwer zu interpretieren, wenn die Daten fragmentiert sind. Erfahrene Angreifer können innerhalb von 15 Minuten nach dem ersten Zugriff Persistenz erreichen und mit der Datenexfiltration beginnen, was langsame, manuelle Untersuchungsabläufe unzuverlässig macht.
Gleichzeitig erfordern viele SOC-Workflows nach wie vor, dass Analysten sich durch umfangreiche Tabellen, unzusammenhängende Warnmeldungen und mehrere Module oder Widgets arbeiten müssen. Dies erhöht die kognitive Belastung und erschwert es, die Abfolge von Ereignissen schnell zu verstehen, den Ausgangspunkt der Kompromittierung zu identifizieren und die Auswirkungen eines Vorfalls zu bestimmen.
Was ist der Grund für die Dringlichkeit?
Sehen Sie, wie 360 Response hybride Angriffe innerhalb von Minuten stoppt. Erfahren Sie, wie einheitliche Identitäts-, Geräte- und Datenverkehrssperren Verteidigern bei aktiven Angriffen wieder die Kontrolle geben.
Was geht schief, wenn Teams das Verhalten von Angreifern falsch einschätzen?
Wenn Teams das Verhalten von Angreifern zu stark vereinfachen, behandeln sie Erkennungen möglicherweise als isolierte Ereignisse und nicht als zusammenhängende Abfolge. Dies kann zu falschen Einstufungen, übersehenen Absichten und verzögerten Reaktionen führen.
Ein spezifisches Fehlermuster ist die Fehlinterpretation von Aufklärungssignalen. Eine mangelnde Aufklärung kann als „geringe Bedrohung“ interpretiert werden, selbst wenn sie auf einen Insider hindeuten könnte, der die Umgebung bereits kennt. Ein weiterer häufiger Fehler ist die Unterschätzung von Bewegungen in mehreren Domänen. Wenn Teams eine Kompromittierung in einem Bereich als eingedämmt betrachten, übersehen sie möglicherweise, dass Identitäten als Brücke zu anderen cloud oder zurück zu lokalen Systemen dienen können.
Das Ergebnis ist oft ein größerer Explosionsradius, eine verzögerte Eindämmung und eine erhöhte Wahrscheinlichkeit, dass Angreifer ihre Ziele wie beispielsweise die Exfiltration von Daten erreichen.
Bedrohungsverhalten, das häufig mit dem Verhalten von Angreifern in Verbindung gebracht wird
Das Verhalten von Angreifern umfasst mehrere taktische Kategorien, darunter Beharrlichkeit, Umgehung von Abwehrmaßnahmen, Entdeckung, laterale Bewegung und Datenzugriff. Beispiele für Verhaltensweisen sind:
Persistenzmechanismen
Angreifer können Persistenz erreichen durch:
- Erstellen von Backdoor-Konten, einschließlich Konten mit visuell ähnlichen Namen (Homoglyphen)
- Zuweisung privilegierter Rollen wie z. B. Sicherheitsadministrator
- Einrichten von Postfachregeln (einschließlich Regeln zum Löschen von E-Mails), um Sicherheitswarnungen auszublenden
Verteidigungsausweichung
Angreifer können die Erkennung oder Telemetrie verringern, indem sie:
- Ändern von Richtlinien für den bedingten Zugriff, um von Angreifern kontrollierte IP-Adressen als vertrauenswürdige Standorte aufzunehmen
- Deaktivieren der Überwachung von Postfächern, um die Generierung von Telemetriedaten zu verhindern, die Verteidiger alarmieren könnten
Entdeckung und Sammlung
Angreifer führen in der Regel interne Erkundungen und Erkundungen durch, darunter:
Sehen Sie, wie das Verhalten von Angreifern in der Praxis analysiert wird. Entdecken Sie die Anatomie eines modernen Angriffs →
Die operative Realität in einem SOC
Das Verhalten von Angreifern stellt nicht nur eine Herausforderung für die Erkennung dar, sondern auch für den Arbeitsablauf. Analysten arbeiten oft mit fragmentierten Daten, unzusammenhängenden Warnmeldungen und Signalen, die über mehrere Tools verteilt sind. All diese Informationen müssen manuell zusammengetragen werden, um zu verstehen, was tatsächlich vor sich geht.
Tägliche Auswirkungen
- Analysten sind gezwungen, sich durch umfangreiche Tabellen und unzusammenhängende Datenpunkte zu arbeiten.
- Untersuchungen können komplexe Abfragen über sechs oder mehr Protokollquellen mit inkonsistenten Namenskonventionen erfordern.
- Die kognitive Belastung und der Stress steigen, wenn Vorfälle Hunderte von Datenpunkten umfassen, ohne dass ein klarer Überblick über den Verlauf gegeben ist.
Wenn Teams ein klares Priorisierungsmodell anwenden, werden Entitäten anhand des beobachteten Angreiferverhaltens und der Berechtigungen oder der Bedeutung der betroffenen Identität oder des betroffenen Hosts nach Dringlichkeit eingestuft. Auf diese Weise können Teams zeitkritische Maßnahmen ergreifen – beispielsweise aktive Sitzungen widerrufen, um eine erneute MFA-Abfrage auszulösen, oder Konten sperren –, bevor der Angriff weiter voranschreiten kann.
Sehen Sie, wie Teams das das Verhalten von Angreifern im Kontext mit der Vectra AI
