Microsoft Defender Predictive Shielding gegen AD-Angriffe
Zusammenfassung
Microsoft erläuterte, wie das Predictive Shielding in Defender die Kompromittierung von Active Directory-Domänen eindämmen kann, indem exponierte Konten mit hohen Rechten eingeschränkt werden, bevor Angreifer gestohlene Anmeldeinformationen erneut nutzen. Die Funktion hilft Sicherheitsteams, seitliche Bewegungen zu reduzieren und die Reaktionslücke bei schnellen Identitätsangriffen zu schließen.
Einführung
Identitätsbasierte Angriffe können sich innerhalb weniger Stunden von einem einzelnen kompromittierten Server bis zur vollständigen Kontrolle über eine Active Directory-Domäne ausweiten. Microsofts aktuelle Sicherheitsforschung zeigt, wie Predictive Shielding in Microsoft Defender diesen Pfad unterbrechen kann, indem exponierte privilegierte Konten proaktiv eingeschränkt werden, bevor Angreifer gestohlene Anmeldeinformationen operationalisieren.
Für Sicherheitsteams ist das wichtig, weil herkömmliche Reaktionen oft erst beginnen, nachdem eine missbräuchliche Kontonutzung beobachtet wurde. Predictive Shielding verschiebt dieses Modell, indem auf wahrscheinliche Offenlegung von Anmeldeinformationen nahezu in Echtzeit reagiert wird.
Was ist neu
Microsoft hob eine reale Angriffskette auf den öffentlichen Sektor im Jahr 2025 hervor und erklärte, wie Predictive Shielding, jetzt Teil von automatic attack disruption in Microsoft Defender, das Ergebnis verändert.
Zu den wichtigsten Funktionen gehören:
- Erkennen von Aktivitäten nach einer Kompromittierung, die mit Anmeldeinformationsdiebstahl auf einem Gerät verbunden sind
- Bewerten, welche Identitäten mit hohen Rechten wahrscheinlich exponiert wurden
- Anwenden von Just-in-Time-Einschränkungen, um den Missbrauch von Anmeldeinformationen und seitliche Bewegungen zu begrenzen
- Reduzieren des Angreiferzugriffs auf sensible Identitätsvorgänge, während Incident Responder untersuchen
Die Forschung zeigte, wie sich Angreifer von einer IIS-Web-Shell über lokale Rechteausweitung, Credential Dumping mit Mimikatz und späteren Missbrauch von Domain Controller-Zugriff, Exchange-Delegierung und Impacket-Tools bewegten.
Wie Predictive Shielding hilft
In dem von Microsoft beschriebenen Vorfall gelangten Angreifer schnell vom Erstzugriff zu Operationen auf Domänenebene, darunter:
- Dumping von LSASS, SAM und anderem Anmeldeinformationsmaterial
- Erstellen geplanter Tasks auf einem Domain Controller
- Zugriff auf NTDS-Daten für den Offline-Missbrauch von Anmeldeinformationen
- Platzieren einer Web-Shell auf Exchange Server
- Auflisten und Missbrauch von Mailbox-Delegierungsberechtigungen
- Verwendung von Tools wie Impacket, PsExec und secretsdump für seitliche Bewegungen
Microsoft zufolge kann Predictive Shielding dieses Muster früher unterbrechen, indem Konten in dem Moment eingeschränkt werden, in dem sie wahrscheinlich exponiert sind, anstatt auf bestätigte bösartige Nutzung zu warten. Dieser Ansatz soll die "Geschwindigkeitslücke" zwischen Anmeldeinformationsdiebstahl und der Reaktion von Verteidigern schließen.
Auswirkungen auf IT-Administratoren
Für Verteidiger, die hybride Identitäten und lokales Active Directory verwalten, ist das von großer Bedeutung. Eine Domänenkompromittierung ist schwer einzudämmen, weil Administratoren Domain Controller oder zentrale Identitätsdienste nicht einfach abschalten können, ohne den Geschäftsbetrieb zu stören.
Predictive Shielding bietet SOC- und Identitätsteams eine weitere Ebene automatisierter Eindämmung, indem es:
- Konten mit hohen Rechten bei Vorfällen von Anmeldeinformationsdiebstahl schützt
- Seitliche Bewegungen von Angreifern über Server und Identitätsinfrastrukturen verlangsamt
- Respondern Zeit für Behebungsmaßnahmen wie Passwortzurücksetzungen, ACL-Validierung und krbtgt-Rotation verschafft
Die Funktion ist als sofort einsatzbereite Erweiterung für Kunden von Microsoft Defender for Endpoint P2 verfügbar, die die Defender-Voraussetzungen erfüllen.
Nächste Schritte
Sicherheitsadministratoren sollten:
- Die Einstellungen für Microsoft Defender automatic attack disruption überprüfen
- Berechtigung und Voraussetzungen für Predictive Shielding bestätigen
- Expositionspfade von IIS, Exchange und Domain Controllern härten
- Privilegierte Identitäten und delegierte Berechtigungen auditieren
- Incident-Response-Playbooks für Szenarien mit Domänenkompromittierung validieren
Die zentrale Erkenntnis ist klar: Proaktive Identitätseindämmung wird zunehmend unverzichtbar, um Active Directory-Umgebungen gegen moderne Techniken der seitlichen Bewegung zu verteidigen.
Brauchen Sie Hilfe mit Security?
Unsere Experten helfen Ihnen bei der Implementierung und Optimierung Ihrer Microsoft-Lösungen.
Mit einem Experten sprechenBleiben Sie über Microsoft-Technologien auf dem Laufenden