Nach fast fünf Jahren der Weiterentwicklung hat sich Tanium Impact zu einem leistungsstarken Werkzeug entwickelt, mit dem sich laterale Bewegungen visualisieren und unterbinden lassen, noch bevor sie stattfinden. In dieser Folge erläutert Josh, wie Impact anhand von Sensordaten, Active-Directory-Beziehungen und Sitzungsanalysen ein Diagramm Ihrer Umgebung erstellt, um Risiken im Zusammenhang mit Anmeldedaten aufzudecken. Sie werden sehen, wie verschachtelte Gruppenmitgliedschaften, offengelegte Sitzungen und falsch konfigurierte Berechtigungen unsichtbare Einfallstore für Angreifer schaffen können und wie Impact Ihnen dabei hilft, diese zu finden und zu beheben.
Ganz gleich, ob Sie auf einen Vorfall reagieren oder Ihre Umgebung proaktiv absichern möchten – in dieser Folge erfahren Sie, wie Sie mit Impact Abhilfemaßnahmen priorisieren, den Auswirkungsbereich ermitteln und Risiken schnell minimieren können. Mit neuen Verbesserungen der Benutzeroberfläche, der Integration von „ “ und „Tanium Threat Response“ sowie einem ersten Einblick in die kommenden Funktionen zur Beendigung von Sitzungen bietet diese Schritt-für-Schritt-Anleitung zahlreiche umsetzbare Erkenntnisse.
Wichtige Erkenntnisse
- Die laterale Bewegung ist ein Bestandteil jedes Einbruchs. Mit Tanium Impact können Sie proaktiv erkennen, wohin Angreifer als Nächstes vorstoßen könnten, noch bevor sie dort ankommen.
„. Jeder einzelne Sicherheitsvorfall oder jede Kompromittierung beinhaltet eine Komponente der lateralen Bewegung innerhalb der Angriffskette.“ Sobald sich ein Angreifer also in der Umgebung eingenistet hat, beginnt er sofort damit, nach weiteren Möglichkeiten zu suchen, sich weiter auszubreiten.”Josh Bryant, Leiter des Produktmanagements bei Tanium
- Impact erstellt anhand von Tanium-Sensordaten- und Active Directory-Synchronisierung sowie Sitzungsanalysen ein Diagramm Ihrer Umgebung, um Risiken und Kontrollbeziehungen abzubilden.
- Ermitteln Sie das Risiko durch verschachtelte Konten und Gruppen über Active-Directory-Domänen hinweg. Impact deckt direkte und indirekte Kontrollbeziehungen auf, einschließlich tief verschachtelter Gruppenzugehörigkeiten, die unbeabsichtigt Administratorrechte über verschiedene Endpunkte hinweg gewähren können.
- Die Shared Services „Tanium Directory Query“ und „Criticality“ sind wesentliche Komponenten für die Umsetzung von Impact. Die Verzeichnisabfrage ruft Daten zu Benutzer-, Gruppen- und Computerobjekten aus dem Active Directory ab, während die Kritikalitätsbewertung Assets wie Endgeräten, Benutzern und Gruppen Wichtigkeitsstufen – sogenannte Kritikalitätsstufen – zuweist.
- Verwenden Sie die Kritikalitätsstufen, um bei der Triage Prioritäten zu setzen. Assets können als „niedrig“, „mittel“, „hoch“ oder „kritisch“ eingestuft werden. Standardwerte werden mithilfe bekannter SIDs auf Domänencontroller und privilegierte Gruppen angewendet.
- Zu den neuen Verbesserungen der Benutzeroberfläche v gehören eine Ansicht „Ergebnisse“ mit Registerkarten, spaltenbasierte Filter sowie ein Diagramm zum kürzesten Pfad, das veranschaulicht, wie Qualifikationen für den horizontalen Wechsel genutzt werden können.
„Wenn ein Angreifer beispielsweise auf diesen obersten Endpunkt hier gelangt, sehen wir, dass der ausgehende Datenverkehr bei Null liegt. Das bedeutet, dass von diesem Ausgangspunkt aus keine seitlichen Verschiebungen möglich sind, und wir können das Problem problemlos beheben.”Josh Bryant, Leiter des Produktmanagements bei Tanium
- Schnelle Erfassung von Endpunkten im Rahmen der Reaktion auf Vorfälle bei „ “. Nutzen Sie die Analyse der ausgehenden Hops und anschauliche Grafiken, um festzustellen, wohin sich ein kompromittierter Benutzer oder Endpunkt lateral bewegen könnte und worauf Sie Ihre Untersuchung konzentrieren sollten.
- Die Sitzungsanalyse zeigt, welche Benutzer aktive oder inaktive Sitzungen auf Endgeräten haben, welche Anmeldetypen verwendet wurden und ob Anmeldedaten offengelegt wurden.
- Informieren Sie sich über die Auswirkungen lateraler Bewegungen auf Warnmeldungen in Tanium Threat Response. Impact lässt sich in Threat Response integrieren, um aufzuzeigen, wie weit sich ein Angreifer vom Ursprungsort einer Warnmeldung entfernt haben könnte, und unterstützt so die Priorisierung bei der Triage und Reaktion.
- Zu den geplanten Funktionen v gehören die Beendigung von Sitzungen über sowie Tanium Automate, wodurch Sicherheitsteams den Zugriff für kompromittierte Konten umgehend sperren können.
