Seminar WithSecure Elements Exposure Management – Cloud Attack Paths und hybride Angriffsketten

Moderne Angriffe bleiben nicht in einer technischen Domäne. Ein kompromittiertes Endgerät, eine überprivilegierte Identität und eine erreichbare Cloud-Ressource können gemeinsam einen Pfad bilden, der in getrennten Werkzeugen unauffällig bleibt.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Cloud- und On-Premises-Beziehungen in einem gemeinsamen Angriffspfadmodell einordnen
• Identitäts-, Berechtigungs-, Netzwerk- und Expositionsübergänge präzise analysieren
• Kritische Chokepoints und Maßnahmen mit Mehrfachwirkung erkennen
• Hybride Remediation zwischen Endpoint-, Identity-, Cloud- und Netzwerkteams koordinieren

Zielgruppe

Cloud Security, Security Architecture, SOC, Incident Response, Identitätsmanagement, Endpoint- und Netzwerkadministration sowie Vulnerability Management.

Voraussetzungen

Gute Grundkenntnisse zu Cloud-Ressourcen, IAM, Microsoft Entra ID, Netzwerken, Endgeräten und Angriffspfadanalyse.

Seminarinhalte

Tag 1 – Hybride Pfadmodelle und Evidenz

1. Angriffsoberflächen aus Endgeräten, Identitäten, Cloud, Netzwerk und externen Diensten in ein gemeinsames Modell überführen.
2. Startpunkte, Vertrauensbeziehungen, Rollenwechsel, Erreichbarkeit und Zielressourcen unterscheiden.
3. Cloud-Berechtigungen und Identitätsbeziehungen auf mögliche Privilegienausweitung prüfen.
4. Übergänge zwischen lokalem Gerät, digitaler Identität und Cloud-Ressource nachvollziehen.
5. Pfadabschnitte nach belegter Evidenz, plausibler Annahme und Datenlücke kennzeichnen.
6. Mehrere Pfade auf gemeinsame Identitäten, Rollen, Netzgrenzen oder Ressourcen untersuchen.
7. Kritische Ziele anhand Geschäftswert, Datenbezug und Betriebswirkung priorisieren.

Tag 2 – Chokepoints, Maßnahmen und Validierung

1. Unterbrechungspunkte an Identität, Berechtigung, Netzwerk, Endgerät und Ressourcenkonfiguration vergleichen.
2. Maßnahmen mit Wirkung auf mehrere Angriffspfade bevorzugen.
3. Zuständigkeiten zwischen Cloud-, Identity-, Endpoint- und Netzwerkteams aufteilen.
4. Änderungsreihenfolge mit Abhängigkeiten, Tests und Rückfalloptionen planen.
5. Kompensierende Kontrollen für nicht sofort änderbare Beziehungen festlegen.
6. Nach Umsetzung Pfade neu berechnen und verbliebene Übergänge prüfen.
7. Restexposition und offene Datenlücken in einer gemeinsamen Abnahme dokumentieren.

Praxisübungen

Übung 1: Hybriden Pfad modellieren

Ein extern erreichbarer Dienst führt über eine technische Identität zu einer Cloud-Rolle; ein verwaltetes Gerät besitzt zusätzliche administrative Beziehungen.

1. Alle beteiligten Assets, Identitäten und Rollen erfassen.
2. Vertrauens- und Berechtigungsübergänge als gerichtete Kette dokumentieren.
3. Evidenz für jeden Übergang prüfen.
4. Kritische Ziele und gemeinsame Knoten markieren.
5. Unsichere Annahmen als Prüfauftrag formulieren.

Kontrollpunkt: Der Pfad ist domänenübergreifend vollständig, jeder Übergang besitzt eine Begründung und Datenlücken sind ausdrücklich gekennzeichnet.

Übung 2: Domänenübergreifenden Remediation-Plan erstellen

Vier Betriebsteams müssen einen kritischen Pfad innerhalb eines begrenzten Wartungsfensters unterbrechen.

1. Mögliche Korrekturen je Domäne sammeln.
2. Risikoreduktion, Aufwand und Nebenwirkung vergleichen.
3. Abhängige Änderungen in eine technisch sichere Reihenfolge bringen.
4. Verantwortliche, Nachweise und Rückfalloptionen zuordnen.
5. Gemeinsame Erfolgskriterien für die erneute Pfadbewertung festlegen.

Kontrollpunkt: Der Plan benennt eine führende Maßnahme, koordiniert alle beteiligten Teams und enthält eine prüfbare Nachkontrolle.

Methodik

Domänenübergreifende Fallstudien werden als Angriffspfadgraphen, Verantwortlichkeitsmatrizen und Remediation-Pläne bearbeitet. Jede angenommene Beziehung wird von belegter Evidenz getrennt, damit Prioritäten nicht auf einer optisch überzeugenden, aber ungesicherten Kette beruhen.