Microsoft Defender HVA-Schutz blockiert Angriffe

Einführung

High-Value-Assets (HVAs) wie Domain Controller, Identitätssysteme und geschäftskritische Server bleiben bevorzugte Ziele moderner Angriffe. Microsofts aktuelle Leitlinien zeigen, wie Microsoft Defender einen asset-bewussten Schutz ergänzt, damit Sicherheitsteams riskante Aktivitäten auf den wichtigsten Systemen besser erkennen können.

Was ist neu beim Microsoft Defender HVA-Schutz?

Microsoft erläuterte, wie Defender den Schutz kritischer Infrastruktur stärkt, indem Kontext aus Microsoft Security Exposure Management genutzt wird. Anstatt alle Endpunkte gleich zu behandeln, passt Defender Erkennung und Prävention an die Rolle und Sensibilität jedes Assets an.

Zu den hervorgehobenen Funktionen gehören:

• Automatische HVA-Identifizierung in On-Premises-, Hybrid- und Cloud-Umgebungen
• Asset-Klassifizierung und Exposure-Graphing für Geräte, Identitäten, Cloud-Ressourcen und externe Angriffsflächen
• Rollenbasierte Anomalieerkennung, die normales Verhalten für kritische Systeme lernt
• Endpoint-Schutz, abgestimmt auf Tier-0-Assets, bei denen kleine Signale auf eine schwerwiegende Kompromittierung hindeuten können
• Automatische Angriffunterbrechung, um aktive Bedrohungen einzudämmen, bevor sie sich ausbreiten

Angriffsszenario aus der Praxis

Microsoft teilte eine reale Angriffskette, die mit einem internetseitig erreichbaren Server begann, sich seitlich durch die Umgebung bewegte und schließlich einen Domain Controller erreichte. Der Angreifer nutzte Relay-Techniken und privilegierten Zugriff, um die NTDS.DIT-Active-Directory-Datenbank mit ntdsutil.exe zu extrahieren.

Auf einem Standardserver könnten einige der beobachteten Aktionen administrativ wirken. Da Defender das Ziel jedoch als Domain Controller erkannte, wurde das Verhalten als hohes Risiko eingestuft. Laut Microsoft blockierte Defender den Befehl und löste eine automatische Unterbrechung aus, einschließlich der Deaktivierung des kompromittierten Domain-Admin-Kontos.

Warum das für IT- und Sicherheitsteams wichtig ist

Dieses Update bekräftigt ein praktisches Sicherheitsprinzip: Nicht jedes Asset sollte auf die gleiche Weise geschützt werden. Domain Controller, Zertifizierungsstellen, Exchange, SharePoint und Identitätsinfrastruktur haben bei einer Kompromittierung deutlich größere Auswirkungen.

Für Administratoren liegt der Vorteil in einer besseren Signalqualität. Defender kann Warnungen und Präventionsentscheidungen anhand der geschäftlichen und sicherheitsrelevanten Rolle des Assets priorisieren und so False Negatives auf kritischen Systemen reduzieren.

Empfohlene nächste Schritte

Sicherheitsteams sollten prüfen, ob ihre wichtigsten Assets korrekt identifiziert sind und von Microsoft Defender sowie Security Exposure Management abgedeckt werden.

Empfohlene Maßnahmen:

• Prüfen, ob Domain Controller und Identitätssysteme als kritische Assets markiert oder erkannt werden
• Angriffspfade und Exposure-Daten für Tier-0-Infrastruktur überprüfen
• Administrative Tools und Skripte untersuchen, die auf kritischen Servern ausgeführt werden
• Sicherstellen, dass automatische Angriffunterbrechung dort aktiviert ist, wo sie unterstützt wird
• Monitoring für internetseitig erreichbare Server neu bewerten, die zu initialen Zugangspunkten werden könnten

Unternehmen, die Microsoft Defender einsetzen, sollten HVA-bewussten Schutz als zentralen Bestandteil ihrer Strategie zur Absicherung von Identitäten und Infrastruktur betrachten – insbesondere, da Angreifer weiterhin gezielt Systeme mit der höchsten betrieblichen Auswirkung ins Visier nehmen.