Mit fast fünf Jahren Evolution hat sich Tanium Impact zu einem leistungsstarken Tool zur Visualisierung und Unterbrechung der Lateralbewegung entwickelt, bevor sie stattfindet. In dieser Folge erklärt Josh, wie Impact mithilfe von Sensordaten, Active Directory-Beziehungen und Sitzungsanalysen ein Diagramm Ihrer Umgebung erstellt, um ein auf Anmeldedaten basierendes Risiko aufzudecken. Sie werden sehen, wie verschachtelte Gruppenmitgliedschaften, exponierte Sitzungen und falsch konfigurierte Privilegien unsichtbare Pfade für Angreifer erstellen können und wie Impact Ihnen hilft, sie zu finden und zu beheben.
Egal, ob Sie auf einen Vorfall reagieren oder Ihre Umgebung proaktiv härten, diese Folge zeigt, wie Sie Impact verwenden, um die Behebung zu priorisieren, den Explosionsradius zu erweitern und das Risiko schnell zu reduzieren. Mit neuen UI-Verbesserungen, Tanium Threat Response -Integration und einem kurzen Einblick in die bevorstehenden Funktionen zur Beendigung von Sitzungen ist dieser Rundgang vollgepackt mit umsetzbaren Erkenntnissen.
Wichtige Erkenntnisse
- Laterale Bewegung ist Bestandteil jeder Verletzung. Tanium Impact hilft Ihnen proaktiv zu identifizieren, wohin Angreifer als nächstes gehen könnten, bevor sie dorthin gelangen.
„Jede einzelne Verletzung oder Kompromittierung, die auftritt, umfasst eine Komponente der seitlichen Bewegung in der Angriffskette. Sobald also ein Gegner in der Umwelt landet, beginnt er sofort, nach anderen Stellen zu suchen, die er verbreiten kann.“Tanium Director of Product Management Josh Bryant
- Impact erstellt ein Diagramm Ihrer Umgebung unter Verwendung von Tanium-Sensordaten, Active Directory-Synchronisierung und Sitzungsanalyse, um Expositions- und Kontrollbeziehungen zuzuordnen.
- Identifizieren Sie verschachtelte Konten und Gruppenrisiken über Active Directory-Domänen hinweg. Impact zeigt direkte und indirekte Kontrollbeziehungen auf, einschließlich tief verschachtelter Gruppenmitgliedschaften, die unbeabsichtigt Admin-Privilegien über Endpunkte hinweg gewähren können.
[Auch lesen: Was ist Active Directory-Sicherheit? Risiken und Best Practices]
- Tanium Directory Abfrage- und Kritikalitätsdienste sind wesentliche Komponenten für die Aktivierung von Impact. Directory Query ruft Benutzer-, Gruppen- und Computerobjektdaten aus AD ab, während Criticality Assets wie Endpunkten, Benutzern und Gruppen Wichtigkeitsstufen zuweist, die als Kritikalitätsstufen bezeichnet werden.
- Verwenden Sie Kritikalitätsstufen, um die Triage zu priorisieren. Assets können als niedrig, mittel, hoch oder kritisch markiert werden. Standardeinstellungen werden mit bekannten SIDs auf Domänencontroller und privilegierte Gruppen angewendet.
- Neue UI-Verbesserungen umfassen eine tabellarische Befundansicht, spaltenbasierte Filter und ein Diagramm mit dem kürzesten Pfad, das visualisiert, wie Anmeldeinformationen verwendet werden können, um sich lateral zu verschieben.
„Wenn ein Angreifer hier landet, sagen wir mal, dieser oberste Endpunkt ist hier, wir sehen den Outbound Null. Das bedeutet, dass es von diesem Ausgangspunkt aus kein seitliches Bewegungspotential gibt und wir es leicht beheben können.“Tanium Director of Product Management Josh Bryant
- Erfasse Endpunkte während der Vorfallreaktion schnell. Verwenden Sie Outbound-Hop-Analyse und visuelle Diagramme, um zu bestimmen, wo sich ein kompromittierter Benutzer oder Endpunkt seitlich bewegen könnte und wo Sie Ihre Untersuchung konzentrieren sollten.
- Die Sitzungsanalyse zeigt, welche Benutzer aktive oder inaktive Sitzungen auf Endpunkten haben, welche Anmeldetypen verwendet wurden und ob Zugangsdaten offengelegt wurden.
- Siehe Auswirkungen der lateralen Bewegung auf Warnungen in Tanium Threat Response. Impact lässt sich in Threat Response integrieren, um zu zeigen, wie weit sich ein Angreifer vom Ursprungspunkt einer Warnung bewegen könnte, was dabei hilft, Triage und Reaktion zu priorisieren.
- Zu den kommenden Funktionen gehören die Sitzungsbeendigung über Tanium Automate, sodass Sicherheitsteams den Zugriff für kompromittierte Konten sofort abschalten können.
