Was erfolgreichere SOCs anders machen

Zwei SOCs, zwei Reaktionen, ein Ergebnis: Was Unternehmen aus einem aktuellen CISA-Red-Team-Test lernen können

Die US-Cybersicherheitsbehörde CISA hat Ende August einen für KRITIS-Betreiber aufschlussreichen Bericht veröffentlicht. Unter dem Titel „A Tale of Two SOCs: Insights From Two Red Team Assessments“ beschreibt die Behörde zwei nahezu zeitgleich durchgeführte Red-Team-Übungen. Die eingesetzten Angriffsmethoden waren weitgehend identisch. Die Ergebnisse hingegen hätten kaum unterschiedlicher ausfallen können.

Vorab ist anzumerken, dass es in beiden Fällen den CISA-Teams gelang, die jeweiligen Active-Directory-Domänen der Unternehmen vollständig zu kompromittieren und auf geschäftskritische Systeme sowie Cloud-Ressourcen zuzugreifen. Der entscheidende Unterschied lag bei der Verteidigung: Während eine Organisation die Aktivitäten praktisch nicht bemerkte, erkannte die andere Organisation den Angriff frühzeitig und reagierte innerhalb weniger Minuten. Die Studie liefert damit wertvolle Erkenntnisse darüber, warum manche Sicherheitsorganisationen erfolgreich sind und andere trotz moderner Sicherheitswerkzeuge scheitern.

Sicherheitsforschende der CISA untersuchten zwei Organisationen aus unterschiedlichen kritischen Infrastruktursektoren. Die erste Organisation, von CISA als „Organisation A“ bezeichnet, war im Government Services and Facilities Sector tätig. Die zweite Organisation stammte aus dem Wasser- und Abwassersektor. Beide wurden mit vergleichbaren Angriffstechniken konfrontiert.

Bei Organisation A bildete eine besonders folgenreiche Nachlässigkeit die initiale Angriffsfläche. Die Red-Team-Experten entdeckten eine Webanwendung mit Standardzugangsdaten. Die Anwendung erlaubte den Versand interner E-Mails und damit auch von Phishing-Nachrichten. Mehrere Mitarbeiter fielen auf die E-Mails herein, wodurch die Angreifer erste Systeme kompromittieren konnten. Von dort aus bewegten sie sich schrittweise durch die Umgebung, analysierten Active Directory, missbrauchten Fehlkonfigurationen in Active Directory Certificate Services (ADCS) und erlangten schließlich weitreichende Berechtigungen innerhalb der Domäne.

Danach griffen die Tester verschiedene geschäftskritische Systeme an, darunter Datenbanken und Cloud-Ressourcen. Besonders fahrlässig: In mehreren Fällen fanden sie Zugangsdaten im Klartext oder entdeckten langlebige Cloud-Credentials. Das wiederum ermöglichte den Zugriff auf sensible Systeme – ohne komplexe Exploits einsetzen zu müssen.

Anschließend richtete sich der Fokus auf die Microsoft-Cloud-Umgebung. Hier nutzte das Team überprivilegierte Anwendungen und Microsoft-Entra-Berechtigungen. Der Missbrauch von Anwendungen mit weitreichenden API-Rechten erlaubte den Angreifern unter anderem, E-Mails einzusehen und zu prüfen, ob das Security Operations Center (SOC) ihre Aktivitäten bereits erkannt hatte. Tatsächlich verschafften sie sich sogar Einblicke in die SOC-Kommunikation sowie in Teams-Nachrichten.

Organisation B wurde ebenfalls erfolgreich per Spear-Phishing angegriffen. Anders als bei Organisation A reagierte das SOC jedoch nahezu sofort. Drei kompromittierte Workstations wurden innerhalb von zwei bis zwanzig Minuten isoliert. Damit wurde der ursprüngliche Angriffsweg effektiv unterbrochen. Das Red Team musste auf ein sogenanntes „Assume Breach“-Szenario wechseln, bei dem bereits ein interner Zugang vorausgesetzt wird. Darüber gelang auch hier später eine vollständige Kompromittierung der Domäne.

Nicht die Anzahl der Tools ist entscheidend

Der vielleicht wichtigste Befund der Untersuchung ist, dass nicht Technologie allein über den Erfolg der Verteidigung entscheidet.

Organisation A verfügte durchaus über Sicherheitswerkzeuge. Endpoint Detection and Response (EDR)-Lösungen erzeugten sogar Warnmeldungen, die auf die Aktivitäten des Red Teams hindeuteten. Trotzdem blieb der Angriff unbehelligt: Die Analysten waren mit einer Flut an Fehlalarmen schlichtweg überfordert. Tausende Warnungen aus dem regulären Geschäftsbetrieb überlagerten die relevanten Sicherheitsereignisse. Die entscheidenden Signale gingen im Rauschen unter.

Hinzu kamen organisatorische Probleme. Mehrere SOCs arbeiteten mit unterschiedlichen Werkzeugen und verfügten nur über begrenzte Transparenz in den jeweils anderen Umgebungen. Die Kommunikation zwischen Sicherheitsverantwortlichen, Systembesitzern und Betriebsteams war unzureichend. In einzelnen Fällen konnten Analysten nicht einmal feststellen, wem ein verdächtiges System gehörte oder welchen Zweck es erfüllte. Warnungen wurden deshalb fälschlicherweise als Fehlalarm klassifiziert.

Organisation B zeigte dagegen, wie wirkungsvoll selbst eine unperfekte Verteidigung sein kann. Zwar gelang den Angreifern letztlich auch hier die Kompromittierung der Domäne. Jedoch war das Sicherheitsniveau deutlich höher, weil die Verteidiger Angriffe bemerken, kompromittierte Systeme isolieren und die Bewegungsfreiheit der Angreifer erheblich einschränken konnten. Die Sicherheitsorganisation war handlungsfähig und verfügte über klare Prozesse.

Das Experiment ist zugleich eine deutliche Warnung an Unternehmen, die ihre Sicherheitsstrategie noch stark auf klassische On-Premises-Systeme ausrichten. Die CISA beobachtete, dass Cloud-Umgebungen häufig weniger stark abgesichert sind als Rechenzentren oder Unternehmensnetzwerke. Besonders kritisch seien Anwendungen mit weitreichenden Berechtigungen, deren Service Principals nicht denselben Zugriffskontrollen unterliegen wie normale Benutzerkonten. Die Behörde weist ausdrücklich auf die Bedeutung von Conditional Access für Workload Identities hin, um Risiken dieser Art zu reduzieren.

Auch der Umgang mit Tokens und Cloud-Credentials spielt eine zentrale Rolle. Angreifer benötigen heute oft kein Passwort mehr. Der Diebstahl von Refresh Tokens, privilegierten API-Berechtigungen oder Cloud-Schlüsseln kann ausreichen, um langfristig Zugriff auf Unternehmensdaten zu erhalten. Viele Organisationen verfügen laut CISA noch nicht über ausgereifte Verfahren, um diese Artefakte nach einem Sicherheitsvorfall systematisch zu identifizieren und zu widerrufen.

Der Feldversuch liefert drei zentrale Erkenntnisse:

1. Unternehmen müssen Qualität und Priorisierung ihrer Sicherheitsalarme gezielt steuern. Alarm Fatigue entsteht, wenn relevante Signale in großen Mengen irrelevanter oder schlecht kontextualisierter Meldungen untergehen. Ein SOC, das jede Warnung gleich behandelt, erkennt am Ende die entscheidenden Ereignisse gar nicht – oder zu spät. Unternehmen sollten daher Baselines etablieren, Erkennungsregeln kontinuierlich tunen, Kontextinformationen verbessern und klare Kriterien für Eskalation und Priorisierung definieren.
2. Prozesse und Verantwortlichkeiten sind genauso wichtig wie Technologie. Ein EDR-System kann nur dann wirksam sein, wenn Analysten wissen, wie sie auf Warnungen reagieren sollen, welche Eskalationswege existieren und wer für betroffene Systeme zuständig ist. Silos zwischen Security-, IT- und Fachbereichen erhöhen nicht nur die Reaktionszeit, sondern können Angriffe praktisch unsichtbar machen.
3. Organisationen sollten ihre Cloud-Umgebungen mit derselben Konsequenz schützen wie ihr internes Netzwerk. Überprivilegierte Anwendungen, fehlende Zugriffskontrollen und unzureichendes Credential-Management eröffnen Angreifern neue Möglichkeiten, Sicherheitsmaßnahmen zu umgehen. Die Gefahr liegt dabei weniger in spektakulären Zero-Day-Lücken als in alltäglichen Fehlkonfigurationen und mangelnder Governance.

Fazit

Die CISA-Studie ist eine Geschichte über wirksame Verteidigung. Zwar wurden beide Organisationen kompromittiert, dennoch liegt die wichtigste Botschaft auf der Hand: Sicherheit hängt in erster Linie von der Fähigkeit ab, Vorfälle zu erkennen, Warnungen richtig zu priorisieren und schnell zu handeln. Technische Schutzmaßnahmen bleiben unverzichtbar. Ihren vollen Wert entfalten sie jedoch erst, wenn Prozesse, Zuständigkeiten und die Sicherheitsorganisation ebenso konsequent entwickelt werden wie die Technologie selbst.