Seminar CybelAngel – Credential Intelligence und Account-Takeover-Prävention

Ein kompromittiertes Kennwort ist nur ein Teil des Risikos. Entscheidend sind Quelle, Aktualität, betroffene Identität, Gerätekontext, Berechtigungsniveau und die Frage, ob bereits eine Nutzung stattgefunden hat.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Identitätsumfang sauber definieren
• Credential-Funde risikobasiert priorisieren
• Identitäts-, Sitzungs- und Endpunktmaßnahmen abstimmen
• Ursachen über den Passwortwechsel hinaus untersuchen
• Wirksamkeit mit Kennzahlen steuern

Zielgruppe

SOC, Identity and Access Management, Incident Response, IT-Support, Endpoint Security, Fraud Management und Informationssicherheitsmanagement.

Voraussetzungen

Grundkenntnisse zu Verzeichnisdiensten, Single Sign-on, MFA, Sitzungen, Endpunktsicherheit und Incident Response.

Seminarinhalte

1. Schritt 1: Identitätsumfang definieren

   Unternehmensdomains, privilegierte Konten, Funktionspostfächer, Partneridentitäten und besonders kritische Benutzergruppen werden festgelegt.

2. Schritt 2: Fundquelle und Kontext verstehen

   Leak-Sammlungen, kompromittierte Datenbanken, Paste-Inhalte, Dark-Web-Angebote und Infostealer-Kontext werden unterschieden.

3. Schritt 3: Incident-Bericht auswerten

   Identität, Domain, Kennwortstatus, Quelle, Zeitpunkt, Begleitdaten, Gerätehinweise und Analystenbewertung werden geprüft.

4. Schritt 4: Validität sicher beurteilen

   Aktualität und Relevanz werden geprüft, ohne Kennwörter unnötig offenzulegen oder produktive Konten unkontrolliert zu testen.

5. Schritt 5: Schweregrad festlegen

   Privilegien, externe Erreichbarkeit, MFA-Status, Datenzugriff, Wiederverwendung und Angriffsaktivität bestimmen die Priorität.

6. Schritt 6: Identitätsmaßnahmen auslösen

   Passwortwechsel, Kontosperre, MFA-Nachregistrierung, Sitzungsausleitung, Token-Widerruf und Berechtigungsprüfung werden abgestimmt.

7. Schritt 7: Endpunkt und Ursache untersuchen

   Infostealer-Hinweise, verdächtige Geräte, Browser-Speicher, Malware-Indikatoren und Benutzerverhalten werden einbezogen.

8. Schritt 8: Missbrauch prüfen

   Anmeldeprotokolle, Geolokation, Gerätewechsel, fehlgeschlagene Anmeldungen und ungewöhnliche Aktionen werden korreliert.

9. Schritt 9: Automatisierung kontrollieren

   Routing, Ticketanlage, Identitätsaktionen und Benachrichtigung werden nur mit Freigaben und Ausnahmebehandlung automatisiert.

10. Schritt 10: Abschluss und Nachkontrolle durchführen

    Wirksamkeit, erneute Exposition, Benutzerinformation, Ursachenbehebung und Kennzahlen werden dokumentiert.

Praxisübungen

• Credential-Funde mit unterschiedlichem Privilegienkontext priorisieren
• Reaktionsmatrix für Standardkonto und Administrator erstellen
• Infostealer-Fall einschließlich Endpunktprüfung modellieren
• Kennzahlen für offene Fälle und Wiederholungen definieren

Methodik

Die Inhalte werden mit kurzen Fachvorträgen, Demonstrationen und einer durchgängigen Fallbearbeitung vermittelt. Jeder Arbeitsschritt endet mit einem dokumentierten Prüfkriterium zu Datenqualität, Risiko, Zuständigkeit und nächster Maßnahme.