Seminar WithSecure Elements Exposure Management – Identitätsrisiken mit Microsoft Entra ID

Identitäten sind in hybriden Umgebungen häufig der verbindende Faktor zwischen Endgerät, Cloud-Ressource und geschäftskritischem Ziel. Überbreite Rollen, ungenutzte Konten und schwer sichtbare technische Identitäten können dabei wirksamere Angriffspfade eröffnen als eine einzelne Geräteschwachstelle.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Benutzer, privilegierte Konten und nicht-menschliche Identitäten risikoorientiert inventarisieren
• Überprivilegierung, gefährliche Beziehungen und Hinweise auf kompromittierte Zugangsdaten bewerten
• Identitätsbasierte und hybride Angriffspfade analysieren
• Berechtigungsbereinigung, Kontoschutz und Governance kontrolliert umsetzen und verifizieren

Zielgruppe

Identity and Access Management, Microsoft Entra ID Administration, Cloud Security, SOC, Security Architecture, Incident Response und GRC.

Voraussetzungen

Praxiskenntnisse zu Microsoft Entra ID, Rollen, Gruppen, Anwendungen, Dienstprinzipalen und grundlegenden IAM-Prozessen.

Seminarinhalte

Tag 1 – Identitätsinventar und Expositionsmuster

1. Tenant-Scope, Identitätstypen und Verantwortlichkeiten für die Analyse festlegen.
2. Benutzerkonten, privilegierte Konten, Gastidentitäten und nicht-menschliche Identitäten unterscheiden.
3. Direkte und indirekte Rollen- und Gruppenbeziehungen nachvollziehen.
4. Überprivilegierung, inaktive Konten und ungewöhnliche Berechtigungskombinationen priorisieren.
5. Hinweise auf kompromittierte Zugangsdaten und erhöhte Anmelderisiken in den Gesamtkontext einordnen.
6. Geschäftskritische Anwendungen und Cloud-Ressourcen mit den zugehörigen Identitäten verbinden.
7. Datenlücken und nicht eindeutig zuordenbare Identitäten als Governance-Aufgabe erfassen.

Tag 2 – Angriffspfade, Bereinigung und Governance

1. Identitätsbasierte Pfade zu privilegierten Rollen und sensiblen Ressourcen analysieren.
2. Laterale Bewegungsmöglichkeiten über Gruppen, Rollen, Anwendungen und technische Identitäten prüfen.
3. Berechtigungsentzug, Rollenreduktion, Kontosperrung und stärkere Authentisierung als Maßnahmen unterscheiden.
4. Auswirkungen auf Dienste und Automatisierungen vor einer Änderung prüfen.
5. Änderungen mit Eigentümer, Freigabe, Test und Rückfalloption planen.
6. Nach Umsetzung Identitätsbeziehungen und Angriffspfade erneut bewerten.
7. Rezertifizierung, Lebenszyklus und Ausnahmebehandlung in einen regelmäßigen Governance-Zyklus überführen.

Praxisübungen

Übung 1: Privilegierte Identitätsbeziehungen untersuchen

Mehrere Konten und Dienstidentitäten besitzen direkte oder indirekte Zugriffe auf eine kritische Cloud-Anwendung.

1. Identitäten und ihre Rollen beziehungsweise Gruppen erfassen.
2. Direkte von vererbten oder indirekten Berechtigungen trennen.
3. Unbenötigte und nicht eindeutig begründete Privilegien markieren.
4. Geschäftliche Eigentümer und technische Abhängigkeiten zuordnen.
5. Priorisierte Prüf- und Bereinigungsliste erstellen.

Kontrollpunkt: Jede privilegierte Beziehung besitzt eine fachliche Begründung oder einen dokumentierten Bereinigungsauftrag.

Übung 2: Identitätsbasierten Angriffspfad unterbrechen

Ein kompromittierbares Benutzerkonto kann über Gruppen- und Anwendungsbeziehungen eine privilegierte technische Identität erreichen.

1. Startidentität, Übergänge und Zielprivileg erfassen.
2. Evidenz und Annahmen für jeden Übergang prüfen.
3. Mehrere Unterbrechungspunkte vergleichen.
4. Betriebsverträgliche Maßnahmenfolge festlegen.
5. Erneute Pfadbewertung und Rezertifizierung planen.

Kontrollpunkt: Der kritische Übergang ist beseitigt oder kompensiert, ohne eine abhängige Anwendung ungeprüft zu unterbrechen.

Methodik

Identitätsgraphen, Rollenmatrizen und hybride Angriffspfadfälle werden gemeinsam ausgewertet. Maßnahmen werden mit Lebenszyklus-, Freigabe- und Rückfalllogik geplant, damit eine Sicherheitsbereinigung nicht unbeabsichtigt produktive Dienste stilllegt.