SOP-Vorlage zur Reaktion auf Sicherheitsvorfälle bei kompromittierten Identitäten erstellen

Verwenden Sie diese SOP-Vorlage, um ein wiederverwendbares Standardverfahren (SOP) für kompromittierte Identitätsvorfälle zu erstellen. Ersetzen Sie jeden Platzhalter durch organisationsspezifische Werte, bevor Sie das SOP veröffentlichen oder hochladen.

Voraussetzungen

Bevor Sie dieses SOP anpassen oder veröffentlichen, bestätigen Sie die folgenden Voraussetzungen:

• Vergewissern Sie sich, wer die SOP besitzt und wer Änderungen für Ihre Organisation genehmigen kann.
• Stellen Sie sicher, dass Ihre Analysten auf die SigninLogs Daten und alle anderen Quellen zugreifen können, auf die Ihre SOP verweist.
• Wenn Sie beabsichtigen, das SOP als Leitfaden hochzuladen, überprüfen Sie die unterstützten Dateitypen, Größenbeschränkungen und Berechtigungsanforderungen in anpassen von Vorfallantworten für Ihre Organisation.
• Halten Sie das Leitbuch textorientiert. Vermeiden Sie Screenshots, Diagramme und komplexe Formatierungen, die die Qualität der Textextraktion verringern können.

SOP-Metadaten

Erfassen Sie den SOP-Besitzer, den Umfang und die Datenquellen in den folgenden Metadatenfeldern.

• Namen:<Compromised identity incident response SOP>
• Version:<v1.0>
• Besitzer:<Security operations team>
• Gilt für:<location>
• Primäre Datenquellen:SigninLogs, <Defender XDR incident data>, , <Identity provider logs><Email telemetry>und<Endpoint telemetry>

Purpose

Nutzen Sie das SOP zur Reaktion auf kompromittierte Identität, um Vorfälle zu triagieren, einzudämmen, zu untersuchen, zu beheben und Vorfälle zu verhindern, die auf eine kompromittierte Identität hinweisen. Passen Sie den Umfang, die Entscheidungspunkte und die Eskalationspfade so an, dass Analysten bei Vorfällen, die <User>, <Group> oder <Business unit> betreffen, konsistent reagieren können.

Trigger (wann diese SOP anzuwenden ist)

Rufen Sie das SOP zur Reaktion auf kompromittierte Identität auf, wenn ein Vorfall, eine Warnung oder ein Nutzerbericht darauf hindeutet, dass eine Identität kompromittiert werden könnte.

• Warnungsbeispiele umfassen Impossible travel, , Unfamiliar sign-in properties, Password spray, MFA fatigueund Suspicious inbox forwarding rules.
• Rufen Sie das SOP zur Reaktion auf kompromittierte Identität auf, wenn unerwartete MFA-Eingaben, verdächtige Anmeldebenachrichtigungen oder Kontoänderungen gemeldet werden, die <User> nicht vorgenommen wurden.
• Aktivieren Sie das SOP für die Reaktion auf kompromittierte Identität, wenn Analysten erfolgreiche Anmeldungen von ungewöhnlichen Orten, riskanten IP-Adressen oder unbekannten Anwendungen beobachten.

Triagephase

Beginnen Sie mit schnellen Überprüfungen, die bestätigen, ob die Anmeldeaktivität erwartet oder verdächtig ist.

Überprüfen der Anmeldeaktivität

Überprüfen Sie die letzten Anmeldeereignisse für die betroffene Identität. Ersetzen Sie den Benutzerfilter, bevor Sie die Abfrage ausführen.

SigninLogs
| where UserPrincipalName =~ "<user@company.com>"
| where TimeGenerated > ago(48h)
| project TimeGenerated, IPAddress, Location, AppDisplayName, AuthenticationRequirement, ConditionalAccessStatus, ClientAppUsed

1. Vergleichen Sie die Anmeldezeiten, IP-Adressen, Standorte und Anwendungen mit der Vorfallzeitachse.
2. Heben Sie alle erfolgreichen Anmeldungen hervor, die der Benutzer oder Vorgesetzte nicht erklären kann.
3. Notieren Sie das erste verdächtige Ereignis, das neueste verdächtige Ereignis und die Konten oder Apps, die beteiligt sind.

Überprüfen Sie die Indikatoren für die Kompromittierung von Anmeldeinformationen

Verwenden Sie eine Zusammenfassungsansicht, um zu ermitteln, ob das Konto ein Muster wiederholter Fehler anzeigt, gefolgt von einem erfolgreichen Zugriff.

SigninLogs
| where UserPrincipalName =~ "<user@company.com>"
| where TimeGenerated >= ago(7d)
| summarize
    Failures = countif(ResultType != 0),
    Successes = countif(ResultType == 0)
    by IPAddress, bin(TimeGenerated, 1h)

1. Suchen Sie nach Serien fehlgeschlagener Anmeldeversuche, gefolgt von einer oder mehreren erfolgreichen Anmeldungen.
2. Beachten Sie, ob dieselbe IP-Adresse, derselbe Speicherort oder dieselbe Anwendung über mehrere Zeit-Buckets hinweg angezeigt wird.
3. Halten Sie fest, ob das Muster auf Kennwortsprühen, Credential Stuffing, Tokendiebstahl oder eine andere mutmaßliche Technik hindeutet.

Überprüfen mit dem Benutzer

Überprüfen Sie die verdächtige Aktivität direkt mit dem betroffenen Nutzer, bevor Sie die nächsten Schritte treffen.

1. Nehmen Sie über einen autorisierten Kanal Kontakt mit <User> auf.
2. Fragen Sie, ob sie die Anmeldungen, Standorte, Geräte, Anwendungen und MFA-Eingabeaufforderungen erkennen.
3. Fragen Sie nach, ob die Person kürzlich eine MFA-Anfrage genehmigt, Anmeldeinformationen auf eine Aufforderung hin eingegeben, ein Gerät gemeinsam genutzt oder eine Reise unternommen hat.
4. Erfassen Sie die Reaktion des Benutzers im Vorfalldatensatz.

Eindämmungsphase

Dämmen Sie das Risiko ein, bevor Sie die vollständige Untersuchung abschließen, wenden Sie jedoch zuerst die organisationsspezifische Freigabelogik an.

Überprüfen der Identität

1. Überprüfen Sie, ob es sich bei der Identität um einen Dienstprinzipal oder eine andere nicht menschliche Identität (Non-Human Identity, NHI) handelt. Wenn dies der Fall ist, halten Sie direkte Aktionen zur Kontodeaktivierung an, und benachrichtigen Sie <Service owner>, bevor Sie Geheimnisse rotieren, den Zugriff widerrufen oder die Identität deaktivieren.
2. Überprüfen Sie, ob es sich bei der Identität um ein Notfallkonto (Break-Glass-Konto) handelt. Wenn dies der Fall ist, benachrichtigen Sie <Identity team lead> und <Incident commander>, bevor Sie handeln, und deaktivieren Sie das Konto niemals ohne ausdrückliche Autorisierung.
3. Überprüfen Sie, ob es sich bei dem betroffenen Benutzer um eine Geschäftsleitung, einen Geschäftsleitungsassistenten oder ein anderes profil mit hoher Vertraulichkeit handelt. Wenn dies der Fall ist, benachrichtigen Sie <Incident commander> und <Communications lead>, bevor Sie den Benutzer kontaktieren oder einschneidende Maßnahmen ergreifen.

Eindämmen der Identität

Nutzen Sie die folgenden Maßnahmen, um die kompromittierte Identität einzudämmen, dabei Beweise zu bewahren und Geschäftsstörungen zu minimieren.

1. Widerrufen Sie aktive Sitzungen und Aktualisierungstoken für <user@company.com>.
2. Erzwingen Sie je nach Identitätstyp ein Zurücksetzen des Kennworts oder die Rotation eines Geheimnisses.
3. Deaktivieren Sie das Konto vorübergehend, wenn das Risiko aktiv bleibt und die Geschäftsgenehmigung dies zulässt.
4. Blockieren Sie bekannte schädliche IP-Adressen, Geräte, Anwendungen oder Token, wenn Ihre Tools diese Aktionen unterstützen.
5. Bewahren Sie Nachweise auf, einschließlich Vorfall-IDs, Warnungen, Anmeldefotos oder Exporte und Benutzeranweisungen.

Untersuchungsphase

Nutzen Sie die Untersuchungsphase, um den wahrscheinlichen Eintrittspunkt zu identifizieren, Kontrolllücken zu validieren und den Explosionsradius zu definieren.

Ausführen einer Fehlerursachenanalyse

Verwenden Sie erfolgreiche Anmeldungen, um zu ermitteln, wo der Angreifer Zugriff hat und welchen Anwendungspfad sie verwendet haben.

SigninLogs
| where UserPrincipalName =~ "<user@company.com>"
| where ResultType == 0
| order by TimeGenerated asc
| take 10

1. Identifizieren Sie die erste bestätigte erfolgreiche Anmeldung, die böswillig erscheint.
2. Vergleichen Sie diese Anmeldung mit dem Zeitpunkt der Warnung, der Aussage des Benutzers und etwaigen Indikatoren für Phishing oder Password-Spray.
3. Dokumentieren Sie die vermutete Ursache, z. B. Phishing, Wiederverwendung von Kennwörtern, Adversary-in-the-Middle-Aktivität, Tokendiebstahl oder MFA-Müdigkeit.

Auswerten von MFA

Überprüfen Sie den Status und das Verhalten der MFA, um festzustellen, ob Authentifizierungskontrollen fehlgeschlagen oder umgangen wurden.

1. Ermitteln Sie, ob MFA für <user@company.com> zum Zeitpunkt des Vorfalls aktiviert war.
2. Überprüfen Sie, ob der Angreifer MFA erfüllt, MFA umgangen oder eine neue Authentifizierungsmethode registriert hat.
3. Identifizieren Sie Lücken bei Bedingtem Zugriff, Authentifizierungsstärken, Tokenschutz oder Registrierungskontrollen.
4. Notieren Sie, ob Sie MFA-Methoden zurücksetzen oder aktuelle MFA-Änderungen überprüfen müssen.

Analysieren des Strahlradius und der Auswirkungen

Bewerten Sie den Umfang des Zugangs und die potenziellen geschäftlichen Auswirkungen, bevor Sie die Untersuchung schließen.

1. Überprüfen Sie Die Nachweise für Vorfälle für den Zugriff auf E-Mails, Dateien, Tools für die Zusammenarbeit, Cloudressourcen oder privilegierte Rollen.
2. Suchen Sie nach verdächtigen Posteingangsregeln, Weiterleitungsregeln, Zustimmungserteilungen, Postfachzugriff, Lateralbewegung oder Berechtigungseskalation.
3. Identifizieren Sie verwandte Konten, Geräte, Anwendungen und Workloads, auf die die kompromittierte Identität zugegriffen hat.
4. Schätzen Sie geschäftliche Auswirkungen, Datenexposition und behördliche oder rechtliche Berichterstattungsanforderungen.

Wartungsphase

Führen Sie die Aktionen aus, um die Persistenz des Angreifers zu entfernen und die Identität wieder in einen vertrauenswürdigen Zustand zu versetzen.

Sanieren und wiederherstellen

1. Setzen Sie das Kennwort zurück, rotieren Sie Secrets, und erzwingen Sie eine erneute Anmeldung für alle aktiven Sitzungen.
2. Entfernen Sie bösartige Posteingangsregeln, Weiterleitungsregeln, OAuth-App-Zustimmung oder nicht autorisierte Authentifizierungsmethoden.
3. Stellen Sie genehmigte MFA-Einstellungen wieder her, und registrieren Sie Authentifizierungsmethoden bei Bedarf erneut.
4. Überprüfen Sie betroffene Geräte, oder erstellen Sie ein neues Image für diese, wenn der Verdacht auf eine Endpunktkompromittierung besteht.
5. Überprüfen Sie Rollenzuweisungen, Gruppenmitgliedschaften und Anwendungsberechtigungen, und entfernen Sie nicht autorisierten Zugriff.
6. Aktualisieren Sie den Vorfalldatensatz mit abgeschlossenen Aktionen, Besitzern, Zeitstempeln und Nachweisen.

Präventionsphase

Verwenden Sie Lektionen aus dem Vorfall, um die Wahrscheinlichkeit einer Wiederholung zu verringern.

Wiederholung verhindern

1. Erzwingen Sie phishing-resistente MFA, strengere Conditional Access-Richtlinien und Steuerelemente für das Anmelderisiko, sofern verfügbar.
2. Deaktivieren Sie die Legacyauthentifizierung, und entfernen Sie nicht verwendete Dienstkonten, Anwendungen oder Anmeldeinformationen.
3. Verbessern Sie Erkennungen für ungewöhnliche Anmeldungen, MFA-Missbrauch, Tokenmissbrauch, unmögliche Reise- und Zustimmungsaktivitäten.
4. Stellen Sie gezielte Anleitungen zur Sensibilisierung der Benutzer für <User>, <Team> oder <Business unit> bereit, wenn Phishing oder die Wiederverwendung von Kennwörtern zu dem Vorfall beigetragen haben.
5. Überprüfen Sie dieses SOP nach dem Vorfall, und aktualisieren Sie die Platzhalter, Eskalationspfade und Schwellenwerte für Ihre Organisation.

Verwandte Inhalte

• Anpassen von Vorfallreaktionen für Ihre Organisation
• Sichten und Untersuchen von Vorfällen mit geführten Reaktionen von Microsoft Copilot in Microsoft Defender
• Playbooks zur Warnungsklassifizierung