So verlieren Hacker die Lust an Machine-Identity-Attacken

Hacker sind höchst einfallsreich, wenn es darum geht, sich Zugang zu internen Unternehmenssystemen zu verschaffen. Aktuell richten sie dabei ihr Augenmerk auf nicht-menschliche Cloud-Identitäten. Exoerten bei geben eine Übersicht über die aktuelle Gefahrenlage und benennen fünf Schutzmaßnahmen.
Da viele Unternehmen große Mühen auf sich nehmen, um User Accounts vor Fremdzugriff zu schützen, fokussieren sich Hacker vermehrt auf nicht-menschliche Cloud-Identitäten, sogenannte Service Principals. Dafür verwenden Angreifer spezialisierte Secret-Scanning-Tools wie TruffleHog, um große Mengen an Quellcode, Git-Repositories, Konfigurationsdateien, CI/CD-Artefakten und Clouds systematisch nach exponierten Zugangsdaten zu durchsuchen. Sie identifizieren aber nicht nur potenzielle Secrets anhand von Signaturen und Entropie-Analysen, sondern validieren Fundstellen aktiv gegen die jeweiligen Zielsysteme.

Im Kontext von Cloud-Umgebungen erkennen diese Tools so offengelegte Client IDs und Client Secrets aus Microsoft Entra ID automatisiert und testen sie unmittelbar gegen OAuth-Authentifizierungsendpunkte. Gültige Anmeldedaten ermöglichen anschließend die Ausstellung legitimer Access Tokens, den Zugriff auf Cloud-Ressourcen sowie die Ausnutzung von Diensten und Berechtigungen.

Durch diese Automatisierung verkürzt sich die Zeitspanne zwischen der Offenlegung eines Secrets und dessen missbräuchlicher Nutzung erheblich. Die Folge: Service Principals werden zunehmend zu einem attraktiven Ziel für identitätsbasierte Angriffe. Unternehmen sollten dazu fünf Sicherheitsmaßnahmen kennen, mit denen sie ihre Cloud-Identitäten schützen können:

• Keine hartcodierten Secrets speichern; häufig beginnt die Kompromittierung von Service Principals mit dem Speichern von Zugangsdaten im Klartext. Hacker finden Client IDs und Client Secrets von Microsoft Entra ID oft direkt in Konfigurationsdateien, Deployment-Skripten, CI/CD-Artefakten oder geklonten Repositories, die Unternehmen durch Unachtsamkeiten veröffentlichen – im Falle von Repositories etwa auf GitHub. Daher sollten Unternehmen keine Secrets fest in ihren Code-Basen speichern. Stattdessen empfiehlt sich der Einsatz von Secret Vaults, also speziell gesicherten Systemen für die zentrale Speicherung von Secrets, oder Managed Identities. Letztere sind von Cloud-Plattformen bereitgestellte Identitäten, mit denen sich Workloads gegenüber Cloud-Services authentifizieren können, ohne dass Entwickler Zugangsdaten wie Passwörter oder API-Schlüssel im Code hinterlegen müssen.
• Monitoring und Einschränkung von Service Principals; da Hacker bei kompromittierten Service Principals reguläre OAuth-Authentifizierungsverfahren und gültige Zugangsdaten nutzen, wirkt deren Handeln oft wie legitime Cloud-Nutzung. Um solche Vorfälle zu erkennen, sollten Organisationen die Authentifizierung von Service Principals gezielt monitoren und auf ungewöhnliche Anmeldemuster oder verdächtige Zugriffe achten. Gleichzeitig sollten sie die in der Regel weitreichenden Berechtigungen von Service Principals massiv einschränken und ihnen nur so viel Freiraum lassen, wie sie für die Erfüllung ihrer Aufgaben benötigen.
• OAuth und Microsoft-Graph-Aktivitäten auditieren; nach erfolgreicher Authentifizierung können Angreifer legitime Access Tokens beziehen und diese für den Zugriff auf Microsoft Graph APIs sowie Daten in SharePoint, Exchange oder OneDrive verwenden. Da diese Aktivitäten auf regulären Authentifizierungsmechanismen beruhen, bleiben sie häufig unauffällig. Eine gezielte Prüfung und Überwachung von OAuth- und Microsoft-Graph-Aktivitäten ist daher unbedingt nötig, um missbräuchliche Nutzung besser sichtbar zu machen.
• Transparenz über nicht-menschliche Identitäten herstellen; ein zentrales und wiederkehrendes Problem besteht darin, dass Unternehmen selten eine hohe Visibilität über ihre nicht-menschlichen Identitäten haben. Das wirkt sich auch auf die Governance aus, die so deutlich hinter der für Benutzerkonten hinterherhinkt. Gleichzeitig übernehmen Service Principals wichtige Aufgaben in Cloud-Anwendungen und Automatisierungsprozessen. Unternehmen sollten daher möglichst vollständige Transparenz über Service Principals und andere nicht-menschliche Identitäten herstellen, um Risiken, Berechtigungen und potenzielle Missbrauchsszenarien besser bewerten zu können.
• CI/CD-Pipelines und Entwicklungsumgebungen absichern; unsichere CI/CD-Pipelines, gemeinsam genutzte Entwicklungsumgebungen und Deployment-Prozesse sind die typischen Orte, an denen sensible Zugangsdaten offenliegen. Da Hacker heute automatisiert nach solchen Informationen suchen und deren Gültigkeit unmittelbar überprüfen können, kommt der Absicherung dieser Teile des IT-Ökosystems eine besondere Bedeutung zu.

Maschinelle Identitäten oder Machine Identities sind längst zu einem Teil des Angriffsvektors geworden. Während die meisten Unternehmen ihre Sicherheitsmaßnahmen auf Benutzerkonten und Endpunkte konzentrieren, geraten Service Principals oft aus dem Blickfeld.

Hacker wissen das natürlich und nutzen sie daher zunehmend, um einen direkten Weg in die Systeme von Unternehmen zu erhalten. Daher ist es heute umso wichtiger, den Schutz auf diese nicht-menschlichen Accounts auszuweiten.

Theus Hossmann ist Chief Technology Officer bei Ontinue.

Ontinue