Security

Microsoft Sentinel UEBA: AWS-Erkennung erweitert

3 Min. Lesezeit

Zusammenfassung

Microsoft Sentinel UEBA bietet jetzt umfassendere Verhaltensanalysen für AWS CloudTrail-Daten und liefert Sicherheitsteams integrierten Kontext wie erstmalige Geografie, ungewöhnlichen ISP, atypische Aktionen und abnormes Operationsvolumen. Das Update hilft Abwehrteams, verdächtige AWS-Aktivitäten schneller zu erkennen, und reduziert den Bedarf an komplexen KQL-Baselines und manueller Anreicherung.

Brauchen Sie Hilfe mit Security?Mit einem Experten sprechen

Einführung

Microsoft erweitert Microsoft Sentinel UEBA, um die AWS-Bedrohungserkennung mit umfassenderen Verhaltensanalysen zu stärken. Für Security Operations-Teams, die Hybrid- und Multi-Cloud-Umgebungen verwalten, ist das relevant, weil AWS CloudTrail-Ereignisse nun mit integriertem Kontext eingehen, der Untersuchungen beschleunigen und die Erkennungsqualität verbessern kann.

Anstatt sich auf komplexe KQL-Abfragen, statische Schwellenwerte oder manuell gepflegte Baselines zu verlassen, können Abwehrteams vorkalkulierte UEBA-Einblicke nutzen, um verdächtiges Verhalten in AWS-Aktivitäten schneller zu identifizieren.

Was ist neu bei Microsoft Sentinel UEBA für AWS

Microsoft hat die UEBA-Unterstützung für Multi-Cloud- und Identitätsdatenquellen ausgeweitet, darunter AWS, GCP, Okta und weitere Authentifizierungsprotokolle. Speziell für AWS umfassen die wichtigsten Verbesserungen:

  • Mehr AWS-Verhaltensanreicherungen für CloudTrail-Ereignisse bei der Erfassung
  • Binäre Einblicke wie:
    • Erstmalige Geografie
    • Ungewöhnlicher ISP
    • Ungewöhnliche Aktion
    • Abnormes Operationsvolumen
  • Unterstützung der Tabelle BehaviorAnalytics für AWS-Aktivitäten mit Einblicken zu Benutzern, Geräten und Aktivitäten
  • Tabelle Anomalies mit sechs integrierten AWS-Anomalieerkennungen aus den Machine Learning-Modellen von Microsoft
  • Defender portal-Integration zur Anzeige von UEBA-Anomalien auf Benutzerentitätsseiten und in Vorfallsdiagrammen

Microsoft bezeichnet diesen Ansatz als binary feature stacking. Dabei kombinieren Analysten einfache True/False-Verhaltensindikatoren, um Angreiferaktivitäten schnell zu erkennen, die sonst in normalen AWS-Operationen untergehen könnten.

Warum das für Sicherheitsteams wichtig ist

AWS-Untersuchungen basieren oft auf Rohdaten aus CloudTrail-Protokollen und benutzerdefinierter Logik, um festzustellen, ob ein Verhalten tatsächlich verdächtig ist. Dieser Prozess kann zeitaufwendig und teuer sein, insbesondere in sich schnell verändernden Cloud-Umgebungen.

Mit Sentinel UEBA erhalten Administratoren und Analysten:

  • Schnellere Triage von AWS-Warnungen
  • Weniger Abhängigkeit von manuell entwickelten KQL-Baselines
  • Besseren Kontext für menschliche und nicht-menschliche Identitäten
  • Konsistentere Anomalieerkennung über Hybrid- und Multi-Cloud-Umgebungen hinweg

Das Update ist besonders nützlich für SOC-Teams, die Alert Fatigue reduzieren und gleichzeitig die Transparenz bei riskanten AWS-Aktionen wie ungewöhnlichen Anmeldungen, IAM-Berechtigungsänderungen oder bisher unbekannten User-Agents verbessern möchten.

Wichtige Implementierungsdetails

Der AWS-Verhaltenskontext erscheint in zwei Haupttabellen:

BehaviorAnalytics

Dies ist die zentrale Untersuchungsoberfläche für mit UEBA angereicherte AWS-Aktivitäten. Sie umfasst Felder wie EventSource, ActivityType und ActionType sowie dynamische Insight-Felder wie UserInsights, DeviceInsights und ActivityInsights.

Anomalies

Diese Tabelle enthält die vortrainierten Anomalieerkennungen von Microsoft für AWS. Datensätze umfassen:

  • MITRE ATT&CK-Zuordnungen
  • AnomalyScore
  • AnomalyReasons
  • Zugehörige Verhaltensanreicherungen

Was IT- und Sicherheitsadministratoren als Nächstes tun sollten

  • Prüfen Sie aktuelle AWS CloudTrail-Erkennungen in Sentinel
  • Identifizieren Sie Analyseregeln, die stark auf Baseline-Logik angewiesen sind
  • Testen Sie UEBA-Anreicherungen in den Tabellen BehaviorAnalytics und Anomalies
  • Nutzen Sie Hunting-Workflows im Defender portal, um Benutzeranomalien schneller zu untersuchen
  • Aktualisieren Sie SOC-Playbooks, um den vorkalkulierten AWS-Verhaltenskontext optimal zu nutzen

Für Organisationen, die AWS zusammen mit Microsoft-Umgebungen absichern, kann dieses Update das Detection Engineering vereinfachen und die Reaktionseffizienz verbessern.

Brauchen Sie Hilfe mit Security?

Unsere Experten helfen Ihnen bei der Implementierung und Optimierung Ihrer Microsoft-Lösungen.

Mit einem Experten sprechen

Bleiben Sie über Microsoft-Technologien auf dem Laufenden

Originalartikel von Microsoft Defender Security Research Team lesen
Microsoft SentinelUEBAAWSCloudTrailthreat detection

Verwandte Beiträge

Security

Microsoft KI-Abwehr gegen neue KI-Bedrohungen

Microsoft sagt, dass KI die Entdeckung und Ausnutzung von Schwachstellen beschleunigt und dadurch die Reaktionszeit für Verteidiger verkürzt. Als Reaktion baut das Unternehmen die KI-gestützte Schwachstellenerkennung, das Exposure Management und Defender-basierte Schutzfunktionen aus und stellt zudem eine neue Multi-Model-Scanning-Lösung für Kunden in einer Vorschau ab Juni 2026 in Aussicht.

Security

Erkennung eingeschleuster IT-Mitarbeiter mit Defender

Microsoft hat Strategien zur Erkennung beschrieben, mit denen sich Bedrohungsakteure mit Verbindungen zu Nordkorea identifizieren lassen, die sich als Remote-IT-Mitarbeiter ausgeben, um in Organisationen einzudringen. Die Leitlinien konzentrieren sich auf die Korrelation von Signalen aus HR-SaaS, Identitäten, E-Mail, Conferencing und Microsoft 365, damit Sicherheits- und HR-Teams verdächtige Kandidaten vor und nach dem Onboarding erkennen können.

Security

Opportunistische Cyberangriffe: Microsofts Design-Leitfaden

Microsoft fordert Unternehmen dazu auf, opportunistische Cyberangriffe zu erschweren, indem Anmeldeinformationen entfernt, öffentlich erreichbare Angriffsflächen verkleinert und sichere Plattformmuster standardisiert werden. Die Empfehlungen sind besonders relevant für Teams, die Azure-, Dynamics 365- und Power Platform-Workloads im großen Maßstab betreiben, wo inkonsistente Architekturen und offengelegte Secrets Angreifern seitliche Bewegungen erleichtern können.

Security

Cross-Tenant Teams Identitätsdiebstahl-Angriff

Microsoft hat eine von Menschen gesteuerte Angriffskette beschrieben, bei der Angreifer cross-tenant Microsoft Teams-Chats nutzen, um sich als Helpdesk-Mitarbeitende auszugeben und Nutzer dazu zu bringen, über Tools wie Quick Assist Remotezugriff zu gewähren. Die Kampagne ist relevant, weil sie legitime Kollaborations-, Remote-Support- und Admin-Tools kombiniert, um laterale Bewegung, Persistenz und Datenexfiltration zu ermöglichen – und dabei wie normale IT-Aktivität wirkt.

Security

Microsoft Defender Predictive Shielding gegen AD-Angriffe

Microsoft erläuterte, wie das Predictive Shielding in Defender die Kompromittierung von Active Directory-Domänen eindämmen kann, indem exponierte Konten mit hohen Rechten eingeschränkt werden, bevor Angreifer gestohlene Anmeldeinformationen erneut nutzen. Die Funktion hilft Sicherheitsteams, seitliche Bewegungen zu reduzieren und die Reaktionslücke bei schnellen Identitätsangriffen zu schließen.

Security

Sapphire Sleet macOS-Angriff: Defender-Erkenntnisse

Microsoft Threat Intelligence hat eine auf macOS ausgerichtete Kampagne von Sapphire Sleet beschrieben, die Social Engineering und gefälschte Software-Updates statt der Ausnutzung von Schwachstellen nutzt. Die Angriffskette basiert auf von Nutzern initiierten AppleScript- und Terminal-Ausführungen, um native macOS-Schutzmechanismen zu umgehen. Dadurch werden mehrschichtige Abwehr, Benutzeraufklärung und Endpoint Detection besonders wichtig.