Ein falsch konfigurierter Windows-Dienst, zu weitreichende Berechtigungen oder unzureichendes Security Monitoring: Cybersecurity Fehlkonfigurationen gehören zu den Sicherheitsrisiken, die in komplexen IT-Infrastrukturen leicht übersehen werden können.
Dabei benötigen Angreifer*innen nicht immer eine neue Software-Schwachstelle. Oft reichen bereits bestehende Funktionen und ungünstige Sicherheitseinstellungen aus, um Zugriffsmöglichkeiten zu erweitern oder sensible Informationen zu kompromittieren.
Doch welche Konfigurationsfehler sind besonders kritisch? Und wie lassen sich solche Schwachstellen erkennen, bevor sie ausgenutzt werden?
Im ETC-Webinar „The 10 Deadliest Misconfigurations: How Simple Mistakes Cause Massive Breaches“ zeigt die international anerkannte Cybersecurity-Expertin Paula Januszkiewicz anhand konkreter Angriffsszenarien und Live-Demos, wie kleine Fehler weitreichende Folgen haben können.
Wir haben drei spannende Key Takeaways für Sie zusammengefasst. Die vollständigen technischen Demonstrationen und alle zehn Misconfigurations können Sie sich kostenlos in der Webinaraufzeichnung ansehen.
Bei IT-Sicherheitslücken denken viele zunächst an ungepatchte Systeme, Malware oder Zero-Day-Exploits. Doch nicht jede erfolgreiche Attacke setzt eine solche Schwachstelle voraus.
Auch reguläre Funktionen von Windows, Active Directory oder Microsoft Entra ID können unter bestimmten Voraussetzungen als Angriffsweg dienen. Besonders dann, wenn Berechtigungen nicht ausreichend kontrolliert, Anmeldeinformationen ungünstig verarbeitet oder sicherheitsrelevante Aktivitäten nicht überwacht werden.
Das Problem liegt häufig im Zusammenspiel verschiedener Einstellungen. Eine einzelne Fehlkonfiguration muss noch keinen vollständigen Systemzugriff ermöglichen. In Kombination mit weiteren Schwachstellen kann daraus jedoch eine Angriffskette entstehen, die bis zur Übernahme privilegierter Konten führt.
Paula Januszkiewicz demonstriert im Webinar, wie solche Angriffsketten in Microsoft-Umgebungen funktionieren. Dabei geht es nicht nur um theoretische Risiken, sondern um konkrete technische Zusammenhänge, die Security Engineers und Administrator*innen kennen sollten.
Die zentrale Erkenntnis: Eine vorhandene Sicherheitslösung bedeutet nicht automatisch, dass auch alle relevanten Systemkonfigurationen sicher sind.
Welche vermeintlich kleinen Einstellungen können besonders grosse Auswirkungen haben? Drei Beispiele aus dem Webinar verdeutlichen, warum sich ein genauer Blick auf bestehende Microsoft-Konfigurationen lohnt.
Automatic Restart Sign-On (ARSO) ist eine Windows-Funktion, die dabei hilft, eine Benutzersitzung nach einem Neustart wiederherzustellen.
Was zunächst nach einer praktischen Komfortfunktion klingt, kann unter bestimmten Bedingungen sicherheitsrelevant werden.
Im Webinar präsentiert Paula Januszkiewicz einen von ihrem Team untersuchten Angriffsweg, bei dem lokal zwischengespeicherte Informationen auf einem Windows-Gerät ausgenutzt werden.
Die Live-Demo zeigt, wie ein Angriff auf diese Informationen in einem entsprechend vorbereiteten Szenario bis zur Kompromittierung einer Microsoft-Entra-ID-Identität führen kann.
Besonders interessant ist dabei die Verbindung zwischen lokalen Windows-Mechanismen und Cloud-Identitäten.
Key Takeaway: Auch Funktionen, die primär der Benutzerfreundlichkeit dienen, sollten hinsichtlich ihrer Auswirkungen auf die Identitätssicherheit überprüft werden.
Wie genau dieser Angriff funktioniert und welche Informationen dabei eine Rolle spielen, sehen Sie in der Webinaraufzeichnung.
Wer kein Administrator ist, kann auch keine administrativen Aktionen durchführen? So einfach ist es nicht immer.
Windows bietet unterschiedliche Berechtigungen und Mechanismen, über die Prozesse mit bestimmten Benutzerrechten ausgeführt werden können.
Im Webinar zeigt Paula Januszkiewicz anhand geplanter Aufgaben, wie ungünstig konfigurierte Ausführungsrechte zur Privilege Escalation, also zur Ausweitung von Berechtigungen, beitragen können.
Dabei wird deutlich, dass die Mitgliedschaft in einer Administratorgruppe allein kein vollständiges Bild der tatsächlichen Zugriffsmöglichkeiten liefert.
Für Security Teams bedeutet das: Nicht nur Benutzerrollen, sondern auch ausführbare Aktionen, Prozesskontexte und Berechtigungen auf Systemressourcen müssen berücksichtigt werden.
Key Takeaway: Eine wirksame Privilege-Review betrachtet die tatsächlichen Handlungsmöglichkeiten von Konten und nicht ausschließlich ihre formalen Rollen.
Security Monitoring ist ein wesentlicher Bestandteil jeder Sicherheitsstrategie. Doch vorhandene Protokolle allein garantieren noch keine ausreichende Transparenz.
Was passiert, wenn sicherheitsrelevante Ereignisse nicht erfasst werden? Oder wenn Logs bereits gelöscht wurden, bevor ein Angriff entdeckt wird?
Im Webinar erläutert Paula Januszkiewicz, warum die Aufbewahrungsdauer von Sicherheitsdaten und die Auswahl der richtigen Informationsquellen entscheidend sein können.
Auch scheinbar unscheinbare Systeminformationen können bei der Untersuchung eines Angriffs wertvolle Hinweise liefern.
Key Takeaway: Entscheidend ist nicht nur, dass Sicherheitsereignisse protokolliert werden, sondern auch, ob die richtigen Informationen zum richtigen Zeitpunkt verfügbar und auswertbar sind.
Ein besonders interessanter Teil des Webinars beschäftigt sich mit Windows-Artefakten und ihrer Bedeutung für die digitale Forensik.
Denn Angreifer*innen können Aktivitäten verschleiern oder versuchen, offensichtliche Spuren zu entfernen. Dennoch können bestimmte Systemdaten Hinweise darauf liefern, was auf einem Gerät passiert ist.
Paula Januszkiewicz zeigt unter anderem, welche Informationen das Update Sequence Number (USN) Journal eines Windows-Dateisystems enthalten kann. Dieses protokolliert Änderungen an Dateien und Verzeichnissen und kann dadurch bei der Rekonstruktion verdächtiger Aktivitäten helfen.
Ein weiteres Beispiel sind Windows Jump Lists. Sie können Informationen über verwendete Anwendungen und zuletzt genutzte Ressourcen enthalten. Solche Artefakte sind insbesondere bei forensischen Untersuchungen interessant.
Allerdings hängt ihr Nutzen davon ab, welche Informationen tatsächlich erfasst werden und wie die Systeme konfiguriert sind.
Im Webinar werden dazu konkrete Analysebeispiele gezeigt. Sie verdeutlichen, wie sich aus unterschiedlichen Datenquellen Hinweise auf verdächtige Aktivitäten gewinnen lassen.
Für IT-Verantwortliche ergibt sich daraus eine wichtige Frage: Wüssten Sie im Ernstfall, welche Datenquellen in Ihrer Infrastruktur für eine Untersuchung verfügbar sind?
Die Antwort darauf sollte idealerweise bereits vor einem Security Incident feststehen.
Die drei Key Takeaways sind nur ein Ausschnitt aus den Themen, die Paula Januszkiewicz im Webinar behandelt.
Weitere Beispiele betreffen die Absicherung von Identitäten, Authentifizierungsverfahren, Zertifikatsdiensten und Security-Lösungen.
Ein Schwerpunkt liegt auf dem älteren Authentifizierungsverfahren New Technology LAN Manager (NTLM). In Microsoft-Umgebungen kann dessen weiterer Einsatz zusätzliche Sicherheitsrisiken mit sich bringen. Die Ablösung erfordert allerdings eine sorgfältige Analyse bestehender Abhängigkeiten.
Auch Active Directory Certificate Services (AD CS) werden thematisiert. Fehlerhafte Einstellungen in der Zertifikatsinfrastruktur können unter bestimmten Bedingungen Angriffswege eröffnen, die weit über einzelne Benutzerkonten hinausreichen.
Weitere Themen sind unzureichendes Cloud-Auditing, Sicherheitsdienste mit problematischen Konfigurationen sowie fehlende Incident Response Readiness.
Gerade der letzte Punkt wird häufig unterschätzt. Selbst wenn Sicherheitsmassnahmen vorhanden sind, benötigen Unternehmen klare Abläufe, um auf einen tatsächlichen Angriff reagieren zu können.
Welche Systeme müssen untersucht werden? Welche Informationen sollten gesichert werden? Und welche Schritte sind notwendig, um eine weitere Ausbreitung zu verhindern?
Das Webinar zeigt, warum technische Sicherheitskonfigurationen und organisatorische Vorbereitung gemeinsam betrachtet werden sollten.
Sie möchten alle zehn Misconfigurations kennenlernen und die technischen Angriffsszenarien sehen?
Die vollständige Webinaraufzeichnung bietet Ihnen zusätzliche Einblicke in die demonstrierten Angriffstechniken und die dahinterliegenden Sicherheitsrisiken.
Cybersecurity Fehlkonfigurationen sind Einstellungen von IT-Systemen, Anwendungen oder Sicherheitsdiensten, die unbeabsichtigt zusätzliche Angriffsflächen schaffen. Dazu zählen beispielsweise unzureichend kontrollierte Berechtigungen, problematische Authentifizierungseinstellungen oder fehlende Überwachungsmechanismen.
Besondere Aufmerksamkeit verdienen Einstellungen rund um Windows-Anmeldeinformationen, Active Directory, Microsoft Entra ID, privilegierte Konten, Zertifikatsdienste und Security Monitoring. Welche Risiken konkret bestehen, hängt von der jeweiligen Infrastruktur ab.
Privilege Escalation bezeichnet die Ausweitung von Berechtigungen innerhalb eines IT-Systems. Angreifer*innen versuchen dabei, ausgehend von eingeschränkten Zugriffsmöglichkeiten höhere Rechte zu erlangen. Fehlkonfigurationen können solche Angriffe unter bestimmten Voraussetzungen erleichtern.
Über das bereitgestellte Formular können Sie die Webinaraufzeichnung anfordern. Nach dem Ausfüllen erhalten Sie Zugriff auf das vollständige Webinar mit Paula Januszkiewicz.
