Erkunden Sie die Purple Knight Sicherheitsindikatoren

Filter
Kategorie Kontensicherheit AD-Delegation AD-Infrastruktur Entra ID Gruppenrichtlinien-Sicherheit Hybride Sicherheit Kerberos-Sicherheit Okta	Indikator Name	Beschreibung	Schweregrad Alle Niedrig Mittel Warnung Informativ Kritisch	Framework	IOE/IOC

Filter
Kategorie Kontensicherheit AD-Delegation AD-Infrastruktur Entra ID Gruppenrichtlinien-Sicherheit Hybride Sicherheit Kerberos-Sicherheit Okta	Indikator Name	Beschreibung	Schweregrad Alle Niedrig Mittel Warnung Informativ Kritisch	Framework	IOE/IOC
Keine Ergebnisse
	AAD Connect Sync-Kontopasswort zurücksetzen	Sucht nach Richtlinien für bedingten Zugriff, bei denen die Funktion "Kontinuierliche Zugriffsbewertung" deaktiviert ist. Die Funktion Continuous Access Evaluation ermöglicht es Ihnen, das Zugriffstoken für Microsoft-Anwendungen zu widerrufen und die Zeit zu begrenzen, in der ein Angreifer Zugriff auf Unternehmensdaten hat.	Warnung	MITRE ATT&CK: Persistenz Privilegieneskalation	IOE
	AAD-berechtigte Benutzer, die auch in AD privilegiert sind	Überprüft auf privilegierte Azure AD-Benutzer, die auch privilegierte Benutzer im lokalen AD sind. Eine Kompromittierung eines Kontos, das sowohl in AD als auch in AAD privilegiert ist, kann dazu führen, dass beide Umgebungen gefährdet sind.	Kritisch	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation	IOE
Kontensicherheit	Ungewöhnliche Passwortaktualisierung	Sucht nach Benutzerkonten mit einer kürzlichen pwdLastSet-Änderung ohne entsprechende Kennwortreplikation. Wenn die Option "Benutzer muss Passwort bei nächster Anmeldung ändern" aktiviert und später wieder deaktiviert wird, könnte dies auf einen Verwaltungsfehler oder einen Versuch hinweisen, die Passwortrichtlinie der Organisation zu umgehen.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Persistenz	IOE IOC
	Konten mit konfigurierten altSecurityIdentities	Prüft auf Konten, für die das Attribut altSecurityIdentities konfiguriert ist. Das Attribut altSecurityIdentities ist ein mehrwertiges Attribut, das zur Erstellung von Zuordnungen für X.509-Zertifikate und externe Kerberos-Konten verwendet wird. Wenn es konfiguriert ist, ist es möglich, Werte hinzuzufügen, die im Wesentlichen dieses Konto verkörpern.	Warnung	MITRE ATT&CK: Privilegieneskalation ANSSI: vuln1_delegation_a2d2	IOE
	Konten mit eingeschränkter Delegation, die auf Ghost-SPN konfiguriert sind	Sucht nach Konten, für die eingeschränkte Delegation auf Ghost-SPNs konfiguriert ist. Wenn Computer außer Betrieb genommen werden, wird ihre Delegationskonfiguration nicht immer bereinigt. Eine solche Delegation könnte es einem Angreifer, der über die Berechtigung verfügt, in das ServicePrincipalName-Attribut eines anderen Dienstkontos zu schreiben, ermöglichen, seine Berechtigungen für diese Dienste zu erweitern.	Warnung	MITRE ATT&CK: Privilegieneskalation ANSSI: vuln1_delegation_a2d2	IOE
	Konten mit eingeschränkter Delegation, die für krbtgt konfiguriert sind	Sucht nach Konten, die eine eingeschränkte Delegation für den krbtgt-Dienst konfiguriert haben. Das Erstellen einer Kerberos-Delegation für das krbtgt-Konto selbst ermöglicht es diesem Prinzipal (Benutzer oder Computer), eine Ticket Granting Service (TGS)-Anfrage an das krbtgt-Konto als beliebiger Benutzer zu stellen, was zur Folge hat, dass ein Ticket Granting Ticket (TGT) ähnlich einem Golden Ticket erzeugt wird.	Kritisch	MITRE ATT&CK: Privilegieneskalation ANSSI: vuln1_delegation_a2d2 MITRE D3FEND: Detect - Überwachung von Domänenkonten	IOE
	AD-Zertifizierungsstelle mit Webregistrierung (PetitPotam und ESC8)	Identifiziert AD CS-Server in der Domäne, die NTLM-Authentifizierung für Web Enrollment akzeptieren. Angreifer können eine Schwachstelle in AD CS Web Enrollment ausnutzen, die NTLM-Relay-Angriffe ermöglicht, um sich als privilegierter Benutzer zu authentifizieren.	Kritisch	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation	IOE
Kontensicherheit	AD-Objekte, die innerhalb der letzten 10 Tage erstellt wurden	Sucht nach allen AD-Objekten, die kürzlich erstellt wurden. Ermöglicht es Ihnen, unbekannte oder unrechtmäßige Konten zu erkennen. Für die Suche nach Bedrohungen, die Untersuchung nach einem Einbruch oder die Validierung von Kompromissen.	Informativ	MITRE ATT&CK: Seitliche Bewegung Persistenz MITRE D3FEND: Detect - Überwachung von Domänenkonten	IOE IOC
	AD-berechtigte Benutzer, die mit AAD synchronisiert werden	Prüft auf privilegierte AD-Benutzer, die mit AAD synchronisiert sind. Wenn ein privilegierter AD-Benutzer mit AAD synchronisiert wird, kann eine Kompromittierung des AAD-Benutzers dazu führen, dass auch die lokale Umgebung kompromittiert wird.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation	IOE
	Die Verwaltungseinheiten werden nicht genutzt	Überprüft die Verwendung von Verwaltungseinheiten im Entra Mieter. Administrative Einheiten sind ein Entra ID Feature, das es erlaubt Einschränkung des administrativen Umfangs von privilegierten Benutzern. Organisationen, die Verwaltungseinheiten verwenden, können die Rollenzuweisung genauer festlegen.	Informativ	MITRE ATT&CK: Seitliche Bewegung	IOE
Kontensicherheit	Admins mit alten Passwörtern	Sucht nach Administratorkonten, deren Kennwort seit über 180 Tagen nicht geändert wurde. Wenn die Kennwörter von Administratorkonten nicht regelmäßig geändert werden, könnten diese Konten ein gefundenes Fressen für Angriffe zum Erraten von Kennwörtern sein.	Warnung	MITRE ATT&CK: Entdeckung ANSSI: vuln1_password_ change_priv MITRE D3FEND: Harden - Richtlinie für sichere Passwörter	IOE
	Anonymer Zugriff auf Active Directory aktiviert	Sucht nach dem Vorhandensein des Flags, das den anonymen Zugriff ermöglicht. Anonymer Zugriff würde es nicht authentifizierten Benutzern ermöglichen, AD abzufragen.	Kritisch	MITRE ATT&CK: Verteidigung Umgehung Erster Zugang Persistenz Privilegieneskalation ANSSI: vuln2_kompatibel_2000_anonym MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Anonymer NSPI-Zugriff auf AD aktiviert	Erkennt, ob der anonyme Zugang zum Name Service Provider Interface (NSPI) aktiviert ist. Erlaubt anonyme RPC-basierte Bindungen an AD. NSPI wird nur selten aktiviert, wenn es also aktiviert ist, sollte dies Anlass zur Sorge geben.	Warnung	MITRE ATT&CK: Erster Zugang ANSSI: vuln1_dsheuristics_bad MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Abgelaufene Anwendungsgeheimnisse und Zertifikate	Überprüft, ob Zertifikate oder Geheimnisse ihr Verfallsdatum erreicht haben. Dieser Indikator weist nicht auf ein direktes Risiko oder die Wahrscheinlichkeit einer Kompromittierung hin.	Informativ	MITRE ATT&CK: Zugang zu Anmeldeinformationen	IOE
	Die zusätzlichen Kontexte Anwendungsname und geografischer Standort sind bei MFA deaktiviert.	Überprüft, ob die zusätzlichen Kontexte Anwendungsname und geografischer Standort bei der Multi-Faktor-Authentifizierung (MFA) deaktiviert sind. Die Aktivierung der zusätzlichen Kontexte für den Anwendungsnamen und den geografischen Standort bei MFA bietet eine zusätzliche Sicherheitsebene für die Anmeldung eines Benutzers.	Warnung	MITRE ATT&CK: Erster Zugang MITRE D3FEND: Harden - Multi-Faktor-Authentifizierung	IOE
Kontensicherheit	Eingebautes Domänenadministratorkonto, das innerhalb der letzten zwei Wochen verwendet wurde	Überprüft, ob der lastLogonTimestamp für das integrierte Domänenadministratorkonto kürzlich aktualisiert wurde. Könnte darauf hinweisen, dass der Benutzer kompromittiert wurde.	Warnung	MITRE ATT&CK: Verteidigung Umgehung MITRE D3FEND: Erkennen - Analyse des Umfangs der Kompromittierung von Anmeldeinformationen Harden - Richtlinie für sichere Passwörter	IOE IOC
Kontensicherheit	Eingebautes Domänenadministratorkonto mit altem Passwort (180 Tage)	Überprüft, ob das Attribut pwdLastSet des integrierten Domänenadministratorkontos innerhalb der letzten 180 Tage geändert wurde. Wenn dieses Kennwort nicht regelmäßig geändert wird, kann dieses Konto für Brute-Force-Kennwortangriffe anfällig sein.	Informativ	MITRE ATT&CK: Zugang zu Anmeldeinformationen MITRE D3FEND: Harden - Richtlinie für sichere Passwörter	IOE
	Integriertes Gästekonto ist aktiviert	Überprüft, ob das integrierte AD-"Gast"-Konto deaktiviert ist. Ein aktiviertes Gastkonto ermöglicht den passwortlosen Zugriff auf die Domäne, was ein Sicherheitsrisiko darstellen kann.	Informativ	MITRE ATT&CK: Entdeckung Aufklärungsarbeit MITRE D3FEND: Evict - Kontosperrung	IOE
	Zertifikatsvorlagen, die es Antragstellern erlauben, einen subjectAltName anzugeben	Überprüft, ob Zertifikatsvorlagen es Antragstellern ermöglichen, einen subjectAltName in der CSR anzugeben. Wenn Zertifikatsvorlagen es Antragstellern erlauben, einen subjectAltName in der CSR anzugeben, hat dies zur Folge, dass sie ein Zertifikat als jedermann (z. B. als Domänenadministrator) anfordern können. Wenn dies mit einer in der Zertifikatsvorlage vorhandenen Authentifizierungs-EKU kombiniert wird, kann dies äußerst gefährlich werden.	Kritisch	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation MITRE D3FEND: Erkennen - Zertifikatsanalyse	IOE
	Zertifikatsvorlagen mit drei oder mehr unsicheren Konfigurationen	Überprüft, ob die Zertifikatsvorlagen in der Gesamtstruktur mindestens drei unsichere Konfigurationen aufweisen: Genehmigung des Managers ist deaktiviert. Keine autorisierten Signaturen sind erforderlich, SAN aktiviert, Authentifizierungs-EKU vorhanden. Jede dieser Konfigurationen kann von Angreifern ausgenutzt werden, um Zugang zu erhalten.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation MITRE D3FEND: Erkennen - Zertifikatsanalyse	IOE
	Persistenz der zertifikatsbasierten Authentifizierung	Bewertet das Vorhandensein bestimmter Entra ID Microsoft Graph App-Rollen und Berechtigungen, die in Kombination einem Benutzer ermöglichen, Persistenz durch zertifikatsbasierte Authentifizierung (CBA) herzustellen.	Warnung	MITRE ATT&CK: Persistenz Privilegieneskalation	IOE
	Änderungen an AD-Anzeigespezifikationen in den letzten 90 Tagen	Sucht nach kürzlich vorgenommenen Änderungen am adminContextMenu-Attribut auf AD-Anzeigespezifizierern. Die Änderung dieses Attributs kann es Angreifern ermöglichen, Kontextmenüs zu nutzen, um Benutzer zur Ausführung von beliebigem Code zu veranlassen.	Informativ	MITRE ATT&CK: Verteidigung Umgehung Ausführung	IOE IOC
	Änderungen an der Standarddomänenrichtlinie oder der Standarddomänencontrollerrichtlinie in den letzten 7 Tagen	Sucht nach aktuellen Änderungen an den Standard-Domänenrichtlinien und Standard-Domänencontroller-Richtlinien-GPOs. Diese GPOs steuern domänenweite und domänencontrollerweite Sicherheitseinstellungen und können missbraucht werden, um privilegierten Zugriff auf AD zu erhalten.	Informativ	MITRE ATT&CK: Seitliche Bewegung Persistenz	IOE IOC
	Änderungen am Standard-Sicherheitsbeschreibungsschema in den letzten 90 Tagen	Erkennt die jüngsten Änderungen von Schema-Attributen, die am Standard-Sicherheitsdeskriptor vorgenommen wurden. Wenn ein Angreifer Zugriff auf die Schema-Instanz in einem Forest erhält, können sich alle vorgenommenen Änderungen auf neu erstellte Objekte im AD ausbreiten und so möglicherweise die AD-Sicherheitslage schwächen.	Warnung	MITRE ATT&CK: Verteidigung Umgehung Privilegieneskalation MITRE D3FEND: Detect - Überwachung von Domänenkonten	IOE IOC
	Änderungen der MS LAPS-Leseberechtigungen	Sucht nach Berechtigungen für Computerkonten, die eine unbeabsichtigte Offenlegung lokaler Administratorkonten in Umgebungen, die Microsoft LAPS verwenden, ermöglichen könnten. Angreifer können diese Fähigkeit nutzen, um sich mit kompromittierten lokalen Administratorkonten seitlich durch eine Domäne zu bewegen.	Informativ	MITRE ATT&CK: Zugang zu Anmeldeinformationen Seitliche Bewegung MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
Kontensicherheit	Änderungen an der Mitgliedschaft in der PreWindows 2000 kompatiblen Zugriffsgruppe	Sucht nach Änderungen an der integrierten Gruppe "Pre-Windows 2000 Compatible Access". Achten Sie darauf, dass diese Gruppe nicht die Gruppen "Anonyme Anmeldung" oder "Jeder" enthält.	Warnung	MITRE ATT&CK: Privilegieneskalation	IOE IOC
Kontensicherheit	Änderungen der Mitgliedschaft in privilegierten Gruppen in den letzten 7 Tagen	Sucht nach aktuellen Änderungen an den eingebauten privilegierten Gruppen. Könnte auf Versuche der Privilegienerweiterung hinweisen.	Warnung	MITRE ATT&CK: Persistenz Privilegieneskalation	IOE IOC
Kontensicherheit	Änderungen an unprivilegierten Gruppenmitgliedschaften in den letzten 7 Tagen	Sucht nach unprivilegierten Gruppen, deren Mitgliedschaften in den letzten 7 Tagen geändert wurden. Änderungen der Mitgliedschaft in unprivilegierten Gruppen können den Zugriff auf Ressourcen mit Gruppenprivilegien ermöglichen.	Warnung	MITRE ATT&CK: Persistenz Privilegieneskalation	IOE
	Prüfen, ob die Gäste die Erlaubnis haben, andere Gäste einzuladen	Überprüfen Sie die Berechtigungen für Gasteinladungen. Es wird nicht empfohlen, Gästen das Versenden von Einladungen zu gestatten. Um zu verhindern, dass unbefugte Gäste andere in die Organisation einladen, sollten Sie die "Einstellungen für Gasteinladungen" aktualisieren, um diese Möglichkeit einzuschränken.	Warnung	MITRE ATT&CK: Seitliche Bewegung	IOE
	Prüfung auf riskante API-Berechtigungen, die den Principals der Anwendungsdienste gewährt wurden	Überprüft auf API-Berechtigungen, die riskant sein könnten, wenn sie nicht ordnungsgemäß geplant und genehmigt werden. Böswillige Anwendungsadministratoren könnten diese Berechtigungen nutzen, um sich selbst oder anderen administrative Privilegien zu gewähren.	Warnung	MITRE ATT&CK: Privilegieneskalation	IOE
	Prüfung auf Benutzer mit schwacher oder fehlender MFA	Überprüft alle Benutzer auf die Registrierung für die Multi-Faktor-Authentifizierung (MFA) und die konfigurierten Methoden. Aufgrund des Mangels an einheitlichen Sicherheitsmaßnahmen in Mobilfunknetzen gelten SMS und Voice als weniger sicher als mobile Anwendungen und FIDO. Ein böswilliger Benutzer kann Codes fälschen/verfälschen und Benutzer zur Authentifizierung verleiten.	Warnung	MITRE ATT&CK: Erster Zugang Seitliche Bewegung	IOE
	Prüfen, ob Legacy-Authentifizierung erlaubt ist	Überprüft, ob die Legacy-Authentifizierung blockiert ist, entweder durch Richtlinien für bedingten Zugriff oder durch Sicherheitsvorgaben. Wenn die Legacy-Authentifizierung zugelassen wird, erhöht sich das Risiko, dass sich ein Angreifer mit zuvor kompromittierten Anmeldedaten anmeldet.	Informativ	MITRE ATT&CK: Zugang zu Anmeldeinformationen	IOE
	Übernahme von Computerkonten durch Kerberos Resource-Based Constrained Delegation (RBCD)	Sucht nach dem Attribut msDS-Allowed-ToActOnBehalfOfOtherIdentity auf Computerobjekten. Angreifer könnten die Kerberos-RBCD-Konfiguration verwenden, um die Privilegien über einen von ihnen kontrollierten Computer zu erweitern, wenn dieser Computer über eine Delegation für das Zielsystem verfügt.	Informativ	MITRE ATT&CK: Zugang zu Anmeldeinformationen Seitliche Bewegung Privilegieneskalation	IOE IOC
Kontensicherheit	Computerkonten in privilegierten Gruppen	Sucht nach Computerkonten, die Mitglied einer privilegierten Gruppe der Domäne sind. Wenn ein Computerkonto Mitglied der privilegierten Gruppe der Domäne ist, kann jeder, der dieses Computerkonto kompromittiert, als Mitglied dieser Gruppe agieren.	Warnung	MITRE ATT&CK: Privilegieneskalation MITRE D3FEND: Detect - Überwachung von Domänenkonten	IOE
	Computer- oder Benutzerkonten mit SPN, die eine uneingeschränkte Delegation haben	Sucht nach Computer- oder Benutzerkonten mit SPN, die für uneingeschränkte Kerberos-Delegierung vertrauenswürdig sind. Diese Konten speichern die Kerberos-TGT der Benutzer lokal, um sich bei anderen Systemen in ihrem Namen zu authentifizieren. Computer und Benutzer, denen mit uneingeschränkter Delegation vertraut wird Delegation vertrauen, sind ein leichtes Ziel für Kerberos-basierte Angriffe.	Warnung	MITRE ATT&CK: Verteidigung Umgehung Seitliche Bewegung ANSSI: vuln2_delegation_t4d MITRE D3FEND: Detect - Überwachung von Domänenkonten	IOE
	Computer mit älteren Betriebssystemversionen	Sucht nach Computerkonten, auf denen ältere Windows-Versionen als Windows Server 2012 R2 und Windows 8.1 ausgeführt werden. Computer, auf denen ältere und nicht unterstützte Betriebssystemversionen ausgeführt werden, könnten mit bekannten oder ungepatchten Exploits angegriffen werden.	Informativ	MITRE ATT&CK: Seitliche Bewegung Persistenz MITRE D3FEND: Harden - Software-Aktualisierung	IOE
	Computer, deren Passwort zuletzt vor mehr als 90 Tagen festgelegt wurde	Sucht nach Computerkonten, die ihre Kennwörter nicht automatisch geändert haben. Computerkonten sollten ihre Passwörter automatisch alle 30 Tage ändern; Objekte, die dies nicht tun, könnten Anzeichen für Manipulationen sein.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen ANSSI: vuln2_Passwort_ändern_Server_nicht_ändern_90 MITRE D3FEND: Harden - Richtlinie für sichere Passwörter	IOE
	Richtlinien für bedingten Zugang enthalten private IP-Adressen	Überprüft, ob Richtlinien für bedingten Zugriff benannte Standorte mit privaten IP-Adressen enthalten. Private IP-Adressen in benannten Standorten, die mit Richtlinien für bedingten Zugriff verbunden sind, können zu einer unerwünschten Sicherheitslage führen.	Warnung	MITRE ATT&CK: Erster Zugang	IOE
	Richtlinie für bedingten Zugriff, die die Aufrechterhaltung von Admin-Token deaktiviert	Sucht nach Richtlinien für den bedingten Zugriff, die die Token-Persistenz für Benutzer mit Administratorrollen deaktivieren und eine Anmeldefrequenz von höchstens neun Stunden haben. Wenn das Token eines angemeldeten Administrators auf dem Client zwischengespeichert ist, ist er anfällig für einen Angriff im Zusammenhang mit dem Primary Refresh Token.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen	IOE
	Zugangsbeschränkungsrichtlinie, die von Benutzern mit hohem Risiko keine Passwortänderung verlangt	Überprüft, ob eine Richtlinie für bedingten Zugriff vorhanden ist, die eine Passwortänderung erfordert, wenn der Benutzer von der Azure AD Identity Protection-API für Benutzerrisiken als hoch eingestuft wird. Ein hohes Benutzerrisiko steht für eine hohe Wahrscheinlichkeit, dass ein Konto kompromittiert wurde.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen	IOE
	Richtlinien für den bedingten Zugang, die keine MFA erfordern, wenn ein Anmeldungsrisiko festgestellt wurde	Überprüft, ob eine Richtlinie für bedingten Zugriff vorhanden ist, die MFA erfordert, wenn das Risiko einer Authentifizierungsanfrage von der Azure AD Identity Protection-API für das Anmeldungsrisiko als mittel oder hoch eingestuft wird. Ein mittleres oder hohes Anmeldungsrisiko steht für eine mittlere bis hohe Wahrscheinlichkeit, dass eine nicht autorisierte Authentifizierungsanfrage gestellt wurde.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen	IOE
	Richtlinie für bedingten Zugang mit deaktivierter kontinuierlicher Zugangsbewertung	Sucht nach Richtlinien für bedingten Zugriff, bei denen die Funktion "Kontinuierliche Zugriffsbewertung" deaktiviert ist. Die Funktion Continuous Access Evaluation ermöglicht es Ihnen, das Zugriffstoken für Microsoft-Anwendungen zu widerrufen und die Zeit zu begrenzen, in der ein Angreifer Zugriff auf Unternehmensdaten hat.	Warnung	MITRE ATT&CK: Persistenz Privilegieneskalation	IOC
	Gefährliche Kontrollpfade legen Zertifikatscontainer frei	Sucht nach nicht standardmäßigen Principals mit Berechtigungen für den Container NTAuthCertificates, der die Zwischenzertifikate der Zertifizierungsstelle enthält, die für die Authentifizierung bei Active Directory verwendet werden. Nicht privilegierte Benutzer mit Berechtigungen für den NTAuthCerticates-Container können ihren Zugriff erweitern und die Domäne dazu bringen, einer unseriösen Zertifizierungsstelle zu vertrauen.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen ANSSI: vuln1_adcs_control MITRE D3FEND: Harden - Scoping der Zeugnisübermittlung	IOE IOC
	Gefährliche Kontrollpfade legen Zertifikatsvorlagen offen	Sucht nach nicht standardmäßigen Auftraggebern mit der Fähigkeit, Eigenschaften auf eine Zertifikatsvorlage zu schreiben. Unberechtigte Benutzer mit Schreibberechtigung für Zertifikatsvorlagen können ihre Zugriffsrechte erweitern und anfällige Zertifikate erstellen, um sich zu registrieren.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen ANSSI: vuln1_adcs_template_steuerung MITRE D3FEND: Erkennen - Zertifikatsanalyse	IOE IOC
	Gefährlicher GPO-Anmeldeskriptpfad	Sucht nach Pfaden von Anmeldeskripten zu Skripten, die nicht existieren und bei denen ein Benutzer mit geringen Rechten Zugriffsrechte auf den übergeordneten Ordner hat. Es wird auch nach Anmeldeskriptpfaden zu vorhandenen Skripten gesucht, die weniger privilegierten Benutzern die Berechtigung zum Ändern des Skripts geben. Durch das Einfügen eines neuen Skripts oder das Ändern eines vorhandenen Skripts, das einem normalen Benutzer die Berechtigung zum Ändern des Skripts oder den Zugriff auf den übergeordneten Ordner gibt, kann ein Angreifer aus der Ferne Code in einem größeren Teil des Netzwerks ohne besondere Berechtigungen ausführen.	Warnung	MITRE ATT&CK: Seitliche Bewegung Privilegieneskalation MITRE D3FEND: Detect - Analyse der Dateierstellung Detect- Skriptausführungsanalyse	IOE
	Gefährliches Vertrauens-Attribut-Set	Identifiziert Trusts, bei denen eines der folgenden Attribute gesetzt ist: TRUST_ATTRIBUTE_ CROSS_ORGANIZATION_ENABLE_TGT_DELEGATION oder TRUST_ATTRIBUTE_ PIM_TRUST. Das Setzen dieser Attribute ermöglicht entweder die Delegierung eines Kerberos-Tickets oder verringert den Schutz, den die SID-Filterung bietet.	Warnung	MITRE ATT&CK: Privilegieneskalation MITRE D3FEND: Harden - Domain Trust Policy	IOE IOC
	Gefährliche Benutzerrechte, die durch GPO gewährt werden	Sucht nach nicht privilegierten Benutzern, denen über ein GPO erhöhte Berechtigungen gewährt werden. Ein Angreifer kann möglicherweise die durch ein GPO gewährten Benutzerrechte ausnutzen, um sich Zugang zu Systemen zu verschaffen, vertrauliche Informationen zu stehlen oder andere Arten von Schaden zu verursachen.	Warnung	MITRE ATT&CK: Privilegieneskalation MITRE D3FEND: Detect- Lokale Kontoüberwachung Harden - Richtlinie für sichere Passwörter	IOE
Kontensicherheit	Die Gruppen Distributed COM Users oder Performance Log Users sind nicht leer	Prüft auf nicht privilegierte Benutzer, die den MFA-Prozess aufgrund der eingegebenen Authentifizierungsdaten nicht abschließen können. MFA fügt dem Anmeldeprozess eine zusätzliche Sicherheitsebene hinzu, die Ihr Unternehmen vor Sicherheitsverletzungen schützt. Benutzer, die MFA verwenden, werden seltener Opfer von Phishing-Angriffen.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Der Besitzer des Domänencontrollers ist kein Administrator	Sucht nach Domänencontroller-Computerkonten, deren Besitzer kein Domänenadministrator, Unternehmensadministrator oder integriertes Administratorkonto ist. Die Erlangung der Kontrolle über DC-Computerkonten ermöglicht einen einfachen Weg zur Kompromittierung der Domäne.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation ANSSI: vuln1_erlaubnisse_dc MITRE D3FEND: Härten - Berechtigungen für die Systemkonfiguration	IOE
	Domänencontroller in einem inkonsistenten Zustand	Sucht nach Domänencontrollern, die sich in einem inkonsistenten Zustand befinden, was auf einen möglicherweise abtrünnigen oder anderweitig nicht funktionsfähigen DC hinweist. Illegitime Maschinen, die als DCs agieren, könnten darauf hinweisen, dass jemand die Umgebung kompromittiert hat (z. B. mit DCShadow oder einem ähnlichen DC-Spoofing-Angriff).	Informativ	MITRE ATT&CK: Privilegieneskalation Entwicklung der Ressourcen ANSSI: vuln1_dc_inkonsistent_ uac	IOE
	Domänencontroller, die sich seit mehr als 45 Tagen nicht mehr bei der Domäne authentifiziert haben	Sucht nach Domänencontrollern, die sich seit über 45 Tagen nicht mehr bei der Domäne authentifiziert haben. Fehlende Domänenauthentifizierung verrät unsynchronisierte Rechner. Wenn ein Angreifer einen Offline-DC kompromittiert und die Anmeldeinformationen knackt oder sich erneut mit der Domäne verbindet, kann er möglicherweise unerwünschte Änderungen an Active Directory vornehmen.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation ANSSI: vuln1_passwort_änderung_inaktiv_dc MITRE D3FEND: Isolieren - Isolierung der Ausführung	IOE
	Domänencontroller mit alten Passwörtern	Sucht nach Domänencontroller-Maschinenkonten, deren Kennwort seit über 45 Tagen nicht zurückgesetzt wurde. Maschinenkonten mit älteren Passwörtern könnten auf einen DC hinweisen, der in der Domäne nicht mehr funktioniert. Außerdem könnten DCs mit älteren Maschinenkontenpasswörtern leichter übernommen werden.	Informativ	MITRE ATT&CK: Privilegieneskalation Entwicklung der Ressourcen ANSSI: vuln1_password_ change_dc_no_change MITRE D3FEND: Harden - Richtlinie für sichere Passwörter	IOE
	Domänencontroller mit aktivierter ressourcenbasierter eingeschränkter Delegation (RBCD)	Erkennt eine Konfiguration, die bestimmte Konten mit vollständiger Delegation an Domänencontroller gewährt.	Warnung	MITRE ATT&CK: Verteidigung Umgehung Seitliche Bewegung Privilegieneskalation ANSSI: vuln1_delegation_sour- cedeleg	IOE IOC
	Domänenvertrauen zu einer fremden Domäne ohne Quarantäne	Sucht nach ausgehenden Forest Trusts, bei denen das Quarantäne-Flag auf false gesetzt ist. Ein Angreifer, der die entfernte Domäne kompromittiert hat, kann ein "fälschbares" Konto erstellen, um Zugriff auf alle Ressourcen der lokalen Domäne zu erhalten. Wenn ein gefährlicher Kontrollpfad offengelegt wird, kann jedes "fälschbare" Konto seine Privilegien bis zu Domänenadministratoren ausweiten und die gesamte Gesamtstruktur gefährden.	Warnung	MITRE ATT&CK: Seitliche Bewegung ANSSI: vuln1_trusts_domain_ notfiltered MITRE D3FEND: Harden - Domain Trust Policy	IOE
	Domänen mit veralteten Funktionsebenen	Sucht nach AD-Domänen, deren Domänenfunktionsstufe auf Windows Server 2012 oder niedriger eingestellt ist. Niedrigere Funktionsstufen bedeuten, dass neuere in AD verfügbare Sicherheitsfunktionen nicht genutzt werden können.	Informativ	MITRE ATT&CK: Aufklärungsarbeit MITRE D3FEND: Harden - Software-Aktualisierung	IOE
Kontensicherheit	Aktivierte Administratorkonten, die inaktiv sind	Sucht nach Administratorkonten, die zwar aktiviert sind, sich aber in den letzten 90 Tagen nicht angemeldet haben. Angreifer, die diese Konten kompromittieren können, können unbemerkt operieren.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation ANSSI: vuln1_password_ change_priv vuln1_Benutzerkonten_ ruhend MITRE D3FEND: Evict - Kontosperrung	IOE
	Sicherstellen, dass alle nicht-privilegierten Benutzer MFA abschließen können	Prüft auf nicht privilegierte Benutzer, die den MFA-Prozess aufgrund der eingegebenen Authentifizierungsdaten nicht abschließen können. MFA fügt dem Anmeldeprozess eine zusätzliche Sicherheitsebene hinzu, die Ihr Unternehmen vor Sicherheitsverletzungen schützt. Benutzer, die MFA verwenden, werden seltener Opfer von Phishing-Angriffen.	Informativ	MITRE ATT&CK: Erster Zugang Privilegieneskalation	IOE
	Enterprise Key Admins mit vollem Zugriff auf die Domäne	Sucht nach Hinweisen auf einen Fehler in bestimmten Versionen von Windows Server 2016 Adprep, der der Gruppe "Enterprise Key Admins" unzulässigen Zugriff gewährt. Dieses Problem wurde in einer späteren Version von Windows 2016 behoben; wenn dieser Fix jedoch nicht angewendet wurde, gewährt dieser Fehler dieser Gruppe die Fähigkeit, alle Änderungen aus AD zu replizieren (DCSync-Angriff).	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Seitliche Bewegung Privilegieneskalation ANSSI: vuln2_adupdate_bad MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Entra-Mieter ist anfällig für den Angriff "Hidden Consent Grant	Überprüft die Anwendungsberechtigungen und -einstellungen, um festzustellen, ob der Entra-Tenant anfällig für Hidden Consent Grant-Angriffe ist. Ein Hidden Consent Grant-Angriff ist eine Art von Phishing-Angriff, bei dem ein böswilliger Akteur, der eine Anwendung mit Directory.ReadWrite.All-Berechtigungen steuert, Zugriff auf eine Anwendung erhält und gewährte Berechtigungen ausnutzt, um seine Privilegien zu erweitern.	Warnung	MITRE ATT&CK: Privilegieneskalation	IOE
Kontensicherheit	Kurzlebige Admins	Sucht nach Benutzern, die innerhalb eines Zeitraums von 48 Stunden zu einer Administratorgruppe hinzugefügt und wieder entfernt wurden. Solche kurzlebigen Konten können auf bösartige Aktivitäten hinweisen.	Informativ	MITRE ATT&CK: Persistenz MITRE D3FEND: Harden - Richtlinie für sichere Passwörter Harden - Benutzerkonto-Berechtigungen	IOE IOC
	Beweise für den Mimikatz DCShadow-Angriff	Sucht nach Beweisen dafür, dass ein Rechner benutzt wurde, um mit einem "gefälschten" Domänencontroller willkürliche Änderungen im AD vorzunehmen. Diese Änderungen umgehen das Sicherheitsereignisprotokoll und können mit Standard-Überwachungstools nicht entdeckt werden.	Kritisch	MITRE ATT&CK: Verteidigung Umgehung MITRE D3FEND: Detect - Überwachung von Domänenkonten Isolieren - Isolierung der Ausführung	IOE IOC
Kontensicherheit	FGPP nicht auf die Gruppe angewandt	Sucht nach feinkörnigen Kennwortrichtlinien (FGPP), die auf eine universelle oder domänenlokale Gruppe ausgerichtet sind. Wenn Sie den Geltungsbereich einer Gruppe von Global auf Universal oder Domänenlokal ändern, gelten die FGPP-Einstellungen nicht mehr für diese Gruppe, wodurch die Kennwortsicherheitskontrollen verringert werden.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Persistenz MITRE D3FEND: Harden - Richtlinie für sichere Passwörter	IOE
	Ausländische Sicherheitsbehörden in der privilegierten Gruppe	Sucht nach Mitgliedern integrierter geschützter Gruppen, die ausländische Sicherheitsprinzipale sind. Besondere Vorsicht ist geboten, wenn Sie Konten aus anderen Domänen als Mitglieder von privilegierten Gruppen aufnehmen. Fremde Sicherheitsprinzipale verfügen nicht über das Attribut adminCount und werden daher von einigen Sicherheitsüberwachungsprogrammen möglicherweise nicht erkannt. Außerdem könnte ein Angreifer ein privilegiertes Konto hinzufügen und versuchen, es mit dieser Methode zu verbergen.	Warnung	MITRE ATT&CK: Verteidigung Umgehung Persistenz MITRE D3FEND: Detect - Überwachung von Domänenkonten	IOE
Kontensicherheit	Wald enthält mehr als 50 privilegierte Konten	Zählt die Anzahl der in der Gesamtstruktur definierten privilegierten Konten. Im Allgemeinen gilt: Je mehr privilegierte Konten Sie haben, desto mehr Möglichkeiten haben Angreifer, eines dieser Konten zu kompromittieren.	Warnung	MITRE ATT&CK: Privilegieneskalation Aufklärungsarbeit ANSSI: vuln1_privilegierte_Mitglieder	IOE
	Globale Administratoren, die sich in den letzten 14 Tagen angemeldet haben	Sucht nach globalen Administratoren, die sich in den letzten 14 Tagen angemeldet haben. Benutzer, die die Rolle des globalen Administrators innehaben, sind die privilegiertesten Benutzer in Entra ID. Für einen Angreifer sind Benutzer mit der Rolle "Globaler Administrator" sehr wertvoll, und ein kompromittierter globaler Administrator kann zu mehreren Angriffen auf das Unternehmen führen.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation MITRE D3FEND: Erkennen - Analyse des Umfangs der Kompromittierung von Anmeldeinformationen	IOE
	gMSA nicht verwendet	Prüft auf aktivierte gMSA-Objekte (Group Managed Service Accounts) in der Domäne. Die gMSA-Funktion in Windows Server 2016 ermöglicht die automatische Rotation von Passwörtern für Dienstkonten, wodurch es für Angreifer viel schwieriger wird, diese zu kompromittieren.	Informativ	MITRE ATT&CK: Zugang zu Anmeldeinformationen	IOE
	gMSA-Objekte mit alten Passwörtern	Sucht nach Konten für gruppenverwaltete Dienste (gMSA), die ihre Kennwörter nicht automatisch geändert haben. Objekte, die ihre Passwörter nicht regelmäßig ändern, könnten Anzeichen für Manipulationen aufweisen.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen	IOE
	GPO-Verknüpfungsdelegation auf der Ebene der AD-Site	Sucht nach nicht privilegierten Principals, die Schreibrechte auf das GPLink-Attribut oder Write DACL/Write Owner auf dem Objekt haben. Wenn nicht privilegierte Benutzer GPOs auf der AD-Site-Ebene verknüpfen können, sind sie in der Lage, Änderungen an Domänencontrollern vorzunehmen. Sie können potenziell den Zugriff erhöhen und die domänenweite Sicherheitslage ändern.	Warnung	MITRE ATT&CK: Ausführung Privilegieneskalation ANSSI: vuln1_Zulassungen_gpo_ priv	IOE
	GPO-Verknüpfungsdelegation auf der OU-Ebene des Domänencontrollers	Sucht nach nicht privilegierten Principals, die Schreibrechte auf das GPLink-Attribut oder Write DAC/Write Owner auf dem Objekt haben. Wenn nicht privilegierte Benutzer GPOs auf der OU-Ebene des Domänencontrollers verknüpfen können, haben sie die Möglichkeit, Änderungen auf den Domänencontrollern vorzunehmen. Sie können potenziell den Zugriff erhöhen und die domänenweite Sicherheitslage ändern.	Warnung	MITRE ATT&CK: Ausführung Privilegieneskalation ANSSI: vuln1_Zulassungen_gpo_ priv	IOE
	GPO-Verknüpfungsdelegation auf Domänenebene	Sucht nach nicht privilegierten Principals, die Schreibrechte auf das GPLink-Attribut oder Write DACL/Write Owner auf dem Objekt haben. Wenn nicht privilegierte Benutzer GPOs auf Domänenebene verknüpfen können, haben sie die Möglichkeit, Änderungen für alle Benutzer und Computer in der Domäne vorzunehmen. Sie können potenziell den Zugriff erhöhen und die domänenweite Sicherheitslage ändern.	Warnung	MITRE ATT&CK: Verteidigung Umgehung Privilegieneskalation ANSSI: vuln1_Zulassungen_gpo_ priv	IOE
	GPO Schwacher LM-Hash-Speicher aktiviert	Erkennt, wenn die Einstellung "Netzwerksicherheit: LAN-Manager-Hash-Wert bei nächster Kennwortänderung nicht speichern" innerhalb des Windows-Betriebssystems deaktiviert ist. Wenn diese Einstellung deaktiviert ist, werden LAN Manager (LM)-Hashes, die anfällig für Kennwortknacktechniken sind, bei Kennwortänderungen weiterhin gespeichert. Die Aktivierung dieser Einstellung erhöht die Sicherheit, indem sie die Speicherung von schwachen LM-Hashes verhindert und die Verwendung stärkerer Kennwortspeichermechanismen anregt.	Warnung	MITRE ATT&CK: Privilegieneskalation MITRE D3FEND: Harden - Richtlinie für sichere Passwörter	IOE
	GPO mit geplanten Aufgaben konfiguriert	Wenn ein geplanter Task eine ausführbare Datei startet, prüft dieser Indikator, ob Benutzer mit geringen Rechten die Berechtigung haben, GPOs zu ändern. Geplante Aufgaben, die über Gruppenrichtlinien konfiguriert werden, können riskant sein, wenn sie nicht korrekt eingerichtet sind. Sie können unbeabsichtigte Probleme und potenzielle Sicherheitslücken verursachen.	Informativ	MITRE ATT&CK: Seitliche Bewegung Privilegieneskalation MITRE D3FEND: Detect - Analyse der Dateierstellung Detect- Skriptausführungsanalyse	IOE
	Gastkonten, die seit mehr als 30 Tagen inaktiv waren	Prüft auf Gastkonten, die sich in den letzten 30 Tagen weder interaktiv noch nicht interaktiv angemeldet haben. Inaktive Gastkonten lassen ein offenes Tor zu Ihrem Azure-Mieter.	Warnung	MITRE ATT&CK: Persistenz Privilegieneskalation	IOE
	In den letzten 30 Tagen nicht angenommene Gasteinladungen	Prüft, ob Einladungen von Gästen vorliegen, die nicht innerhalb von 30 Tagen nach der Einladung angenommen wurden. Veraltete Gasteinladungen stellen ein Sicherheitsrisiko dar und sollten gelöscht werden.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation	IOE
	Gastbenutzer sind nicht eingeschränkt	Überprüft, ob Gastbenutzer im Mandanten eingeschränkt sind. Angreifer können nicht eingeschränkte Gastbenutzer verwenden, um eine Aufzählung von Benutzern und Gruppen im Mandanten durchzuführen.	Informativ	MITRE ATT&CK: Aufklärungsarbeit	IOE
	Benutzerdefinierte Rollen mit hohen Privilegien	Überprüft auf benutzerdefinierte Rollen, die erhöhte Berechtigungen gewähren, damit ein Benutzer Aktionen mit den Passwörtern anderer Benutzer und MFA durchführen kann. Benutzerdefinierte Rollen gewähren erhöhte Berechtigungen und stellen möglicherweise ein erhebliches Sicherheitsrisiko dar, wenn sie nicht ordnungsgemäß verwaltet werden.	Warnung	MITRE ATT&CK: Persistenz Privilegieneskalation MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Vererbung auf AdminSDHolder-Objekt aktiviert	Überprüft, ob die Vererbung in der Zugriffskontrollliste (ACL) des AdminSDHolder-Objekts aktiviert ist, was auf einen Versuch hindeuten könnte, Berechtigungen für privilegierte Objekte zu ändern, die AdminSDHolder unterliegen (z. B. Benutzer oder Gruppen mit adminCount=1). Änderungen am AdminSDHolder-Objekt sind sehr selten. Administratoren sollten wissen, dass eine Änderung vorgenommen wurde, und in der Lage sein, den Grund für die Änderung zu erläutern. Wenn die Änderung nicht beabsichtigt war, ist die Wahrscheinlichkeit einer Kompromittierung sehr hoch.	Kritisch	MITRE ATT&CK: Verteidigung Umgehung Privilegieneskalation	IOE IOC
	Kerberos krbtgt-Konto mit altem Passwort	Sucht nach einem krbtgt-Benutzerkonto, dessen Kennwort in den letzten 180 Tagen nicht geändert wurde. Wenn das Kennwort des krbtgt-Kontos kompromittiert ist, können Golden-Ticket-Angriffe durchgeführt werden, um Zugang zu jeder Ressource in einer AD-Domäne zu erhalten.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen ANSSI: vuln2_krbtgt MITRE D3FEND: Harden - Richtlinie für sichere Passwörter	IOE
	Kerberos-Protokoll-Übergangsdelegation konfiguriert	Sucht nach Diensten, die so konfiguriert wurden, dass sie den Übergang zum Kerberos-Protokoll zulassen, was im Grunde bedeutet, dass ein delegierter Dienst jedes verfügbare Authentifizierungsprotokoll verwenden kann. Kompromittierte Dienste können die Qualität ihres Authentifizierungsprotokolls verringern, das leichter kompromittiert werden kann (z. B. NTLM).	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Seitliche Bewegung Privilegieneskalation	IOE IOC
	krbtgt-Konto mit aktivierter ressourcenbasierter eingeschränkter Delegation (RBCD)	Sucht nach einem krbtgt-Konto, für das eine ressourcenbasierte eingeschränkte Delegation (RBCD) definiert ist. Normalerweise sollten für das krbtgt-Konto keine Delegationen erstellt werden; wenn sie gefunden werden, könnten sie ein erhebliches Risiko darstellen und sollten schnell entschärft werden.	Kritisch	MITRE ATT&CK: Privilegieneskalation ANSSI: vuln1_delegation_a2d2	IOE IOC
	Es gibt weniger als 2 globale Administratoren	Überprüft, ob weniger als zwei Globale Administratoren vorhanden sind. Dieser Indikator entspricht den Empfehlungen von Microsoft, dass Kunden mindestens zwei Globale Administratoren im Mandanten haben sollten.	Informativ	MITRE ATT&CK: Privilegieneskalation	IOE
	Liste der risikobehafteten Benutzer (mittlere oder hohe Stufe)	Sucht im Mandanten nach risikoreichen Benutzern mit mittlerem oder hohem Risikoniveau. Risikobehaftete Benutzer sind Personen oder Konten, die ein Verhalten zeigen, das die Wahrscheinlichkeit von Sicherheitsvorfällen oder Sicherheitsverletzungen erhöht, z. B. schwache Authentifizierungspraktiken, Anfälligkeit für Phishing, ungewöhnliche Aktivitätsmuster, Zugriff auf Ressourcen von ungesicherten Geräten oder Netzwerken aus oder Besitz erhöhter Berechtigungen. Diese Benutzer stellen ein erhebliches Risiko dar, das zu einer Gefährdung von Anmeldeinformationen, Datenverletzungen oder Insider-Bedrohungen führen kann.	Warnung	MITRE ATT&CK: Erster Zugang	IOE
	MFA nicht für privilegierte Konten konfiguriert	Überprüft, ob die Multi-Faktor-Authentifizierung (MFA) für Benutzer mit Administratorrechten aktiviert ist. Konten mit privilegiertem Zugriff sind anfälligere Ziele für Angreifer. Eine Kompromittierung eines privilegierten Benutzers stellt ein erhebliches Risiko dar und erfordert daher zusätzlichen Schutz.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen	IOE
	Es gibt mehr als 10 Privilegierte Administratoren	Prüft auf das Vorhandensein von 10 oder mehr zugewiesenen privilegierten Rollen. Dieser Indikator entspricht den Empfehlungen von Microsoft, dass Kunden nicht mehr als 10 privilegierte Rollenzuweisungen haben sollten.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation	IOE
	Es gibt mehr als 5 globale Administratoren	Überprüft das Vorhandensein von fünf oder mehr globalen Administratoren. Globale Administratoren kontrollieren Ihre Azure AD-Umgebung und haben Zugriff auf alle Verwaltungsfunktionen und die volle Kontrolle über Azure AD.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation	IOE
	Neues API-Token wurde erstellt	Prüft, ob in den letzten 7 Tagen ein neues API-Token erstellt wurde. API-Tokens mit hohen Berechtigungen ermöglichen unbefugten Zugriff und Aktionen in Okta. Wenn ein Angreifer Zugriff auf das Kennwort des Tokens erhält, kann er es nutzen, um Abfragen und Aktionen durchzuführen, die möglicherweise zur Persistenz und zur Kompromittierung der Umgebung führen.	Warnung	MITRE ATT&CK: Persistenz Privilegieneskalation MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Eine neue Genehmigung wurde einer Gruppe erteilt	Überprüft, ob einer Gruppe in den letzten 7 Tagen irgendwelche Berechtigungen gewährt wurden. Mitglieder einer Gruppe mit hohen Berechtigungen können wichtige Aktionen in Okta durchführen. Daher ist es wichtig zu wissen, welche Gruppen starke Berechtigungen gewähren.	Informativ	MITRE ATT&CK: Persistenz Privilegieneskalation MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Dem Benutzer wurde eine neue Berechtigung erteilt	Überprüft, ob einem Benutzer in den letzten 7 Tagen irgendwelche Berechtigungen gewährt wurden. Benutzer mit hohen Berechtigungen können wichtige Aktionen in Okta durchführen. Daher ist es wichtig, Benutzer zu identifizieren und zu überwachen, denen erhöhte Berechtigungen gewährt wurden, um das Risiko eines unbefugten Zugriffs und eines potenziellen Missbrauchs sensibler Daten zu mindern.	Informativ	MITRE ATT&CK: Persistenz Privilegieneskalation MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Dem Benutzer wurde die neue Berechtigung Super Admin erteilt	Sucht nach Benutzern, denen in den letzten 7 Tagen "Super Admin"-Berechtigungen gewährt wurden. Benutzer mit "Super Admin"-Rechten haben weitreichende Privilegien und Kontrolle über kritische Aspekte der Okta-Umgebung. Die unbefugte oder übermäßige Erteilung der "Super Admin"-Berechtigung kann das Risiko einer Kompromittierung und eines unbefugten Zugriffs auf Okta erheblich erhöhen.	Warnung	MITRE ATT&CK: Persistenz Privilegieneskalation MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Neue Super-Admin-Berechtigungen wurden einer Gruppe gewährt	Prüft auf Gruppen, für die in den letzten 7 Tagen "Super Admin"-Rechte erteilt wurden. Mitglieder in einer Gruppe mit "Super Admin"-Rechten haben umfassenden Zugriff und können wichtige Aktionen in Okta durchführen. Daher ist es wichtig, genau zu überwachen und zu kontrollieren, welchen Gruppen diese starken Privilegien gewährt werden, um unbefugten Zugriff und eine mögliche Gefährdung der Okta-Umgebung zu verhindern.	Warnung	MITRE ATT&CK: Persistenz Privilegieneskalation MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Nicht-Administrator-Benutzer können benutzerdefinierte Anwendungen registrieren	Überprüft, ob es eine Autorisierungsrichtlinie gibt, die es Nicht-Administratoren ermöglicht, benutzerdefinierte Anwendungen zu registrieren. Wenn Nicht-Administrator-Benutzer benutzerdefinierte Unternehmensanwendungen registrieren dürfen, könnten Angreifer dieses Schlupfloch nutzen, um schädliche Anwendungen zu registrieren, die sie dann nutzen können, um zusätzliche Berechtigungen zu erhalten.	Warnung	MITRE ATT&CK: Persistenz Privilegieneskalation	IOE
	Nicht standardmäßiger Zugang zum DPAPI-Schlüssel	Überprüft Domänencontroller auf Nicht-Standard-Principals, die berechtigt sind, den Domänen-DPAPI-Backup-Schlüssel (mit LsaRetrievePrivateData) abzurufen. Mit diesen Berechtigungen könnte ein Angreifer alle über DPAPI verschlüsselten Domänendaten wiederherstellen.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen ANSSI: vuln1_erlaubnisse_dpapi MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Nicht standardmäßiger Zugriff auf den gMSA-Root-Schlüssel	Sucht nach Nicht-Standard-Principals mit der Berechtigung, das Attribut msKds-RootKeyData auf dem KDS-Root-Schlüssel zu lesen. Benutzer mit Leseberechtigungen für diese Eigenschaft könnten jedes gMSA-Konto in der Gesamtstruktur gefährden.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen ANSSI: vuln1_Zulassungen_ gmsa_Schlüssel vuln2_Zulassungen_ gmsa_Schlüssel	IOE IOC
	Nicht standardmäßige Prinzipale mit DC-Synchronisierungsrechten in der Domäne	Sucht nach Sicherheitsprinzipalen mit den Berechtigungen Replicating Changes All oder Replicating Directory Changes für das Domänenbenennungskontextobjekt. Sicherheits Grundsätze mit diesen Berechtigungen für das Domänenbenennungskontextobjekt können potenziell Passwort-Hashes für Benutzer in einer AD-Domäne abrufen (DCSync-Angriff).	Kritisch	MITRE ATT&CK: Zugang zu Anmeldeinformationen ANSSI: vuln1_erlaubnisse_benennen_kontext	IOE
	Nicht standardmäßiger Wert für ms-Mcs-AdmPwd SearchFlags	Sucht nach Änderungen an den standardmäßigen searchFlags im Schema ms-Mcs-AdmPwd. Einige Flags können versehentlich dazu führen, dass das Kennwort für unbeabsichtigte Benutzer sichtbar ist, so dass ein Angreifer es als heimliche Hintertür verwenden kann.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen	IOE IOC
	Nicht privilegierte Benutzer mit Zugang zu gMSA-Passwörtern	Sucht nach Principals, die in der MSDS-groupMSAmembership aufgeführt sind und nicht zu den integrierten Admin-Gruppen gehören. Ein Angreifer, der den Zugriff auf das gMSA-Konto kontrolliert, kann Passwörter für mit gMSA verwaltete Ressourcen abrufen.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen	IOE IOC
	Nicht standardmäßige Schema-Berechtigungen	Sucht nach zusätzlichen Principals mit einer Berechtigung, die über die allgemeine Leseberechtigung für die Schemapartitionen hinausgeht. Standardmäßig sind die Änderungsberechtigungen für das Schema auf Schema-Admins beschränkt. Diese Berechtigungen gewähren dem vertrauenswürdigen Prinzipal die vollständige Kontrolle über das Active Directory.	Warnung	MITRE ATT&CK: Privilegieneskalation ANSSI: vuln1_Zulassungen_ Schema MITRE D3FEND: Härten - Berechtigungen für die Systemkonfiguration	IOE IOC
	Nicht-synchronisierter AAD-Benutzer, der für eine privilegierte Rolle berechtigt ist	Sucht nach Azure AD-Benutzern, die für eine Rolle mit hohen Rechten in Frage kommen und das proxyAddress-Attribut haben, aber nicht mit einem AD-Konto synchronisiert sind. Ein Angreifer könnte den SMTP-Abgleich verwenden, um kontrollierte AD-Benutzer mit AAD-Benutzern zu synchronisieren, die für Rollen mit hohen Rechten in Frage kommen. Dieser Prozess überschreibt das AAD-Passwort und könnte zu einer Privilegienerweiterung über AAD führen.	Warnung	MITRE ATT&CK: Privilegieneskalation	IOE
	NTFRS SYSVOL-Replikation	Sucht nach Hinweisen auf die Verwendung von FRS für die SYSVOL-Replikation. NTFRS ist ein älteres Protokoll, das durch DFSR ersetzt wurde. Angreifer, die NTFRS-Schwachstellen manipulieren können, um SYSVOL zu kompromittieren, können möglicherweise GPOs und Anmeldeskripte ändern, um Malware zu verbreiten und sich seitlich in der Umgebung zu bewegen.	Warnung	MITRE ATT&CK: Sammlung ANSSI: vuln2_sysvol_ntfrs	IOE
	Objekte in privilegierten Gruppen ohne adminCount=1 (SDProp)	Sucht nach Objekten in eingebauten privilegierten Gruppen, deren adminCount-Attribut nicht auf 1 gesetzt ist. Wenn ein Objekt in diesen Gruppen einen adminCount ungleich 1 hat, könnte dies bedeuten, dass die DACLs manuell gesetzt wurden (keine Vererbung) oder dass es ein Problem mit SDProp gibt.	Informativ	MITRE ATT&CK: Verteidigung Umgehung Persistenz	IOE IOC
	Objekte mit eingeschränkter Delegation konfiguriert	Sucht nach allen Objekten, die Werte im Attribut msDS-AllowedToDelegateTo haben (d. h. eingeschränkte Delegation) und bei denen das UserAccountControl-Bit für den Protokollübergang nicht gesetzt ist. Angreifer können Delegationen verwenden, um sich seitlich zu bewegen oder ihre Privilegien zu erweitern, wenn sie einen Dienst kompromittieren, dem die Delegierung vertraut wird.	Informativ	MITRE ATT&CK: Seitliche Bewegung Privilegieneskalation MITRE D3FEND: Detect - Überwachung von Domänenkonten	IOE IOC
	Bedienergruppen nicht mehr durch AdminSDHolder und SDProp geschützt	Überprüft, ob dwAdminSDExMask auf dsHeurstics gesetzt wurde, was auf eine Änderung des SDProp-Verhaltens hinweist, die die Sicherheit beeinträchtigen könnte. Eine Änderung des AdminSDHolder-SDProp-Verhaltens könnte auf einen Versuch hinweisen, die Verteidigung zu umgehen.	Warnung	MITRE ATT&CK: Verteidigung Umgehung MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
Kontensicherheit	Operatorgruppen, die nicht leer sind	Sucht nach Operatorgruppen (Account Operators, Server Operators, Backup Operators, Print Operators), die Mitglieder enthalten. Diese Gruppen haben Schreibzugriff auf wichtige Ressourcen in der Domäne; Angreifer, die Mitglieder dieser Gruppen sind, können indirekt die Kontrolle über die Domäne übernehmen.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Ausgehendes Waldvertrauen mit aktivierter SID-Historie	Sucht nach ausgehenden Forest-Trusts, bei denen das Flag TRUST_ATTRIBUTE_TREAT_AS_ EXTERNAL auf true gesetzt ist. Wenn dieses Flag gesetzt ist, wird eine forstübergreifende Vertrauensstellung zu einer Domäne für die Zwecke der SID-Filterung als externe Vertrauensstellung behandelt. Dieses Attribut lockert die strengere Filterung, die bei forstübergreifenden Trusts durchgeführt wird.	Warnung	MITRE ATT&CK: Seitliche Bewegung ANSSI: vuln1_trusts_forest_sid- Geschichte MITRE D3FEND: Harden - Domain Trust Policy	IOE
	Kennwort-Hash-Synchronisierung ist nicht aktiviert	Überprüft, ob die Passwort-Hash-Synchronisation im Entra-Tenant aktiviert ist. Die Kennwort-Hash-Synchronisierung wird verwendet, um Benutzer-Kennwort-Hashes von einer Active Directory-Instanz vor Ort mit einer Cloud-basierten Entra ID-Instanz zu synchronisieren. Diese Synchronisierung schützt vor der Wiederholung von durchgesickerten Anmeldedaten aus früheren Angriffen.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation	IOE
	Überprüfung der Passwortrichtlinien	Bewertet alle Passwortrichtlinien und überprüft, ob sie den Empfehlungen von Okta entsprechen. Eine starke Passwortrichtlinie ist entscheidend, um unbefugten Zugriff auf die Umgebung durch Brute-Force-Angriffe zu verhindern.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen	IOE
	Permanente aktive privilegierte Rollenzuweisung	Überprüft das Vorhandensein von dauerhaft aktiven privilegierten Rollenzuweisungen. Privilegierte Rollen in Microsoft Entra Privileged Identity Management (PIM), die als "permanent aktiv" zugewiesen sind, stellen erhebliche Sicherheitsrisiken dar. Diese Konfiguration ermöglicht Benutzern einen kontinuierlichen Zugriff auf erhöhte Privilegien, was das Risiko einer Privilegienerweiterung und eines möglichen Missbrauchs erhöht.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation MITRE D3FEND: Modell- Zugriffsmodellierung	IOE
	Berechtigungsänderungen am AdminSDHolder-Objekt	Sucht nach Änderungen der Zugriffskontrollliste (ACL) für das Objekt AdminSDHolder. Könnte auf einen Versuch hinweisen, Berechtigungen für privilegierte Objekte zu ändern, die AdminSDHolder unterliegen.	Kritisch	MITRE ATT&CK: Verteidigung Umgehung Privilegieneskalation ANSSI: vuln1_Zulassungen_ adminsdholder vuln1_privilegierte_Mitglieder_perm	IOE IOC
	Primäre Benutzer mit SPN unterstützen keine AES-Verschlüsselung bei Kerberos	Zeigt alle primären Benutzer mit servicePrincipalNames (SPNs) an, die den Verschlüsselungstyp AES-128 oder AES-256 nicht unterstützen. Die AES-Verschlüsselung ist stärker als die RC4-Verschlüsselung. Wenn Sie primäre Benutzer mit SPNs konfigurieren, die AES-Verschlüsselung unterstützen, werden Angriffe wie Kerberoasting nicht abgeschwächt. Es erzwingt jedoch standardmäßig die AES-Verschlüsselung, was bedeutet, dass es möglich ist, Angriffe auf die RC4-Verschlüsselung (Kerberoasting-Angriffe) zu überwachen.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation	IOE
	Prinzipale mit aktivierter eingeschränkter Authentifizierungsdelegation für einen DC-Dienst	Sucht nach Computern und Benutzern, bei denen die eingeschränkte Delegation für einen auf einem DC ausgeführten Dienst aktiviert ist. Wenn ein Angreifer eine solche Delegation erstellen kann, kann er sich bei diesem Dienst mit einem beliebigen Benutzer authentifizieren, der nicht gegen Delegation geschützt ist.	Warnung	MITRE ATT&CK: Privilegieneskalation MITRE D3FEND: Detect - Überwachung von Domänenkonten	IOE IOC
	Auftraggeber mit eingeschränkter Delegation und aktiviertem Protokollübergang für einen DC-Dienst	Sucht nach Computern und Benutzern, die eine eingeschränkte Delegation mittels Protokollübergang für einen auf einem DC laufenden Dienst definiert haben. Wenn ein Angreifer eine solche Delegation für einen Dienst erstellen kann, den er kontrollieren kann, oder einen bestehenden Dienst kompromittieren kann, kann er effektiv eine TGS für jeden Benutzer mit Berechtigungen für den DC erlangen.	Warnung	MITRE ATT&CK: Privilegieneskalation ANSSI: vuln1_delegation_t2a4d	IOE IOC
	Der Druckspooler-Dienst ist auf einem DC aktiviert	Sucht nach Domänencontrollern, auf denen der Druckspooler-Dienst läuft, der standardmäßig aktiviert ist. Es wurden mehrere kritische Schwachstellen in Windows Print Spooler-Diensten gefunden, die sich direkt auf die auf Domänencontrollern installierten Druckspooler auswirken und Remotecodeausführung ermöglichen.	Kritisch	MITRE ATT&CK: Ausführung Seitliche Bewegung Privilegieneskalation MITRE D3FEND: Harden - Software-Aktualisierung	IOE
Kontensicherheit	Privilegierte Konten mit einem Passwort, das nie abläuft	Identifiziert privilegierte Konten (adminCount = 1), bei denen das Kennzeichen "Passwort läuft nie ab" gesetzt ist. Benutzerkonten, deren Kennwörter nie ablaufen, sind ein ideales Ziel für das Erraten von Kennwörtern mit roher Gewalt. Wenn es sich bei diesen Konten auch um administrative oder privilegierte Konten handelt, sind sie ein noch größeres Ziel.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation ANSSI: vuln1_dont_expire_priv MITRE D3FEND: Harden - Richtlinie für sichere Passwörter	IOE
	Privilegierte Konten mit Mailbox	Sucht nach privilegierten Konten im Entra-Tenant, die ein zugehöriges Postfach haben. Privilegierte Konten im Tenant, die über eine Mailbox verfügen, können Hauptziele für Angreifer sein. Angreifer können versuchen, die Mailbox-Adresse von privilegierten Benutzern zu verwenden, um Token zu erhalten, um Zugang zu erhalten, sensible Daten zu erhalten oder sich seitlich durch die Umgebung zu bewegen.	Informativ	MITRE ATT&CK: Zugang zu Anmeldeinformationen Ausführung Erster Zugang	IOE
	Privilegierte Gruppe enthält Gastkonto	Überprüft, ob Gastkonten irgendwelche privilegierten Rollen zugewiesen wurden. Externe Angreifer haben es auf privilegierte Konten abgesehen, da sie einen schnellen Zugang zu den kritischsten Systemen eines Unternehmens ermöglichen. Gastkonten stellen eine externe Entität dar, für die nicht dieselben Sicherheitsvorkehrungen gelten wie für Benutzer in Ihrem Tenant; daher stellt die Zuweisung privilegierter Rollen an sie ein erhöhtes Risiko dar.	Warnung	MITRE ATT&CK: Privilegieneskalation	IOE
	Privilegierte Objekte mit unprivilegierten Eigentümern	Sucht nach privilegierten Objekten (adminCount =1), die im Besitz eines unprivilegierten Kontos sind. Jede Kompromittierung eines unprivilegierten Kontos könnte dazu führen, dass die Delegation eines privilegierten Objekts geändert wird.	Warnung	MITRE ATT&CK: Privilegieneskalation ANSSI: vuln1_Zulassungen_ adminsdholder	IOE
	Berechtigungsnachweise für privilegierte Benutzer auf RODC zwischengespeichert	Sucht nach privilegierten Benutzern mit Anmeldeinformationen, die auf RODCs zwischengespeichert sind. Auch wenn dies nicht unmittelbar auf einen Angriff hindeutet, sind privilegierte Benutzerkonten sensibel und sollten nicht auf RODCs zwischengespeichert werden, da ihre physische Sicherheit nicht so robust ist wie die eines vollständigen DC.	Informativ	MITRE ATT&CK: Seitliche Bewegung Privilegieneskalation	IOE
Kontensicherheit	Privilegierte Benutzer, die deaktiviert sind	Sucht nach privilegierten Benutzerkonten, die deaktiviert sind. Wenn ein privilegiertes Konto deaktiviert ist, sollte es aus seiner/ihren privilegierten Gruppe(n) entfernt werden, um versehentlichen Missbrauch zu verhindern.	Informativ	MITRE ATT&CK: Privilegieneskalation MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Privilegierte Benutzer mit definierten ServicePrincipalNames	Sucht nach Konten, bei denen das adminCount-Attribut auf 1 gesetzt ist UND ServicePrincipalNames (SPNs) für das Konto definiert sind. Privilegierte Konten, für die ein SPN definiert ist, sind Ziele für Kerberos-basierte Angriffe, die die Berechtigungen dieser Konten erhöhen können.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation ANSSI: vuln1_spn_priv	IOE IOC
Kontensicherheit	Privilegierte Benutzer mit schwacher Passwortpolitik	Sucht in jeder Domäne nach privilegierten Benutzern, für die keine strenge Kennwortrichtlinie gemäß dem ANSSI-Rahmenwerk durchgesetzt wurde. Dabei werden sowohl die Fine-Grained Password Policy (FGPP) als auch die für die Domäne geltende Kennwortrichtlinie überprüft. Ein von ANSSI definiertes sicheres Passwort ist mindestens acht Zeichen lang und wird spätestens alle drei Jahre aktualisiert. Schwache Passwörter sind durch Brute-Force-Angriffe leichter zu knacken und können Angreifern die Möglichkeit bieten, sich seitlich zu bewegen oder ihre Privilegien zu erweitern. Das Risiko ist bei privilegierten Konten sogar noch höher, denn wenn sie kompromittiert werden, verbessern sie die Chancen des Angreifers, schnell innerhalb des Netzwerks vorzudringen.	Kritisch	MITRE ATT&CK: Entdeckung ANSSI: vuln2_privileged_mem- bers_password MITRE D3FEND: Harden - Richtlinie für sichere Passwörter	IOE IOC
	Verbotene Entra ID Rollen zugewiesen	Überprüft die Zuweisung von Rollen in Entra ID, die veraltet sind oder nicht mehr verwendet werden dürfen. Veraltete Rollen oder Rollen, die als "niemals verwenden" gekennzeichnet sind, können erhebliche Sicherheitsrisiken bergen, wenn sie zugewiesen werden. Diese Rollen haben möglicherweise unbeabsichtigte Berechtigungen oder werden nicht ordnungsgemäß gepflegt, was zu Sicherheitslücken führen kann.	Warnung	MITRE ATT&CK: Persistenz Privilegieneskalation	IOE
Kontensicherheit	Gruppe "Geschützte Benutzer" nicht in Gebrauch	Erkennt, wenn privilegierte Benutzer nicht Mitglied der Gruppe "Geschützte Benutzer" sind. Die Gruppe "Geschützte Benutzer" bietet privilegierten Benutzern einen zusätzlichen Schutz vor direkten Angriffen zum Diebstahl von Anmeldeinformationen.	Informativ	MITRE ATT&CK: Zugang zu Anmeldeinformationen ANSSI: vuln3_geschützte_Benutzer	IOE
	Abfrage von Richtlinien, die das Attribut ldap deny list gesetzt haben	Prüft auf LDAP-IP-Verweigerungslisten (Attribut ldapipdenylist) über mehrere Domänen in einer AD-Umgebung. Nicht autorisierte oder unerwartete Einträge in der LDAP-IP-Verweigerungsliste könnten auf eine Sicherheitsverletzung oder einen Versuch hindeuten, den Zugriff auf kritische Ressourcen böswillig zu beschränken.	Informativ	MITRE ATT&CK: Auswirkungen	IOE
	Der Verschlüsselungstyp RC4 oder DES wird von Domain Controllern unterstützt	Überprüft, ob die RC4- oder DES-Verschlüsselung von den Domänencontrollern unterstützt wird. RC4 und DES gelten als eine unsichere Form der Verschlüsselung, die für verschiedene kryptografische Angriffe anfällig ist. Mehrere Schwachstellen im RC4- oder DES-Algorithmus ermöglichen MITM- (Man-in-the-Middle) und Entschlüsselungsangriffe.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation	IOE
Kontensicherheit	Jüngste Aktivitäten zur Erstellung von privilegierten Konten	Sucht nach privilegierten Benutzern oder Gruppen (adminCount = 1), die kürzlich erstellt wurden. Ermöglicht es Ihnen, privilegierte Konten und Gruppen zu erkennen, die ohne vorherige Kenntnis erstellt wurden. Informativ	Informativ	MITRE ATT&CK: Persistenz MITRE D3FEND: Detect - Überwachung von Domänenkonten	IOE IOC
Kontensicherheit	Jüngste sIDHistory-Änderungen an Objekten	Erkennt alle kürzlichen Änderungen an der sIDHistory von Objekten, einschließlich Änderungen an nicht privilegierten Konten, bei denen privilegierte SIDs hinzugefügt werden. Angreifer benötigen privilegierten Zugriff auf AD, um in die sIDHistory schreiben zu können. Wenn diese Rechte jedoch vorhanden sind, ist das Schreiben von privilegierten SIDs in reguläre Benutzerkonten eine heimliche Methode zur Erstellung von Backdoor-Konten.	Warnung	MITRE ATT&CK: Privilegieneskalation	IOE IOC
	Ressourcenbasierte eingeschränkte Delegation auf das AZUREADSSOACC-Konto angewendet	Sucht nach ressourcenbasierter eingeschränkter Delegation, die für das Azure SSO-Konto AZUREADSSOACC konfiguriert ist. Ein Konto mit ressourcenbasierter eingeschränkter Delegation würde diesem Principal erlauben, eine Ticket Granting Service (TGS)-Anfrage an den Azure-Tenant im Namen des AZUREADSSOACC-Kontos als beliebiger Benutzer zu erstellen und sich als dieser Benutzer auszugeben.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Seitliche Bewegung	IOE
	Umkehrbare Passwörter in GPOs gefunden	Sucht im SYSVOL nach GPOs, die Passwörter enthalten, die von einem Angreifer leicht entschlüsselt werden können (sogenannte "Cpassword"-Einträge). Dieser Bereich ist eines der ersten Dinge, nach denen Angreifer suchen, wenn sie sich Zugang zu einer AD-Umgebung verschafft haben.	Kritisch	MITRE ATT&CK: Zugang zu Anmeldeinformationen MITRE D3FEND: Detect - Emulierte Datei-Analyse	IOE
	Riskante RODC-Zwischenspeicherung von Anmeldeinformationen	Sucht nach einer Kennwortreplikationsrichtlinie, die privilegierte Objekte zulässt. Wenn privilegierte Benutzer in der Zulassungsliste enthalten sind, können sie dem Diebstahl von Anmeldeinformationen auf einer RODC ausgesetzt sein.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen ANSSI: vuln2_rodc_priv_ enthüllt MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Sicherheitsvorgaben nicht aktiviert	Wenn keine Richtlinien für den bedingten Zugriff konfiguriert sind, prüft dieser Indikator, ob die Sicherheitsvorgaben aktiviert sind. Es wird empfohlen, Sicherheitsvorgaben für Tenants zu verwenden, die keine Richtlinien für bedingten Zugriff konfiguriert haben. Die Sicherheitsvorgaben erfordern MFA, blockieren die Legacy-Authentifizierung und erfordern eine zusätzliche Authentifizierung beim Zugriff auf das Azure-Portal, die Azure PowerShell und die Azure-CLI.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Erster Zugang	IOE
	Zurücksetzen des Kennworts per Selbstbedienung für privilegierte Rollen aktiviert	Prüft, ob Benutzer in privilegierten Rollen in Entra ID die Selbstbedienungs-Passwortrücksetzung verwenden können. Das Zurücksetzen von Passwörtern per Selbstbedienung (SSPR) ist in Unternehmen für Endbenutzer von Vorteil, hat aber für privilegierte Konten Sicherheitsnachteile.	Warnung	MITRE ATT&CK: Privilegieneskalation	IOE
Kontensicherheit	Shadow Credentials auf privilegierten Objekten	Sucht nach Benutzern mit Schreibzugriff auf das Attribut msDS-KeyCredentialLink von privilegierten Benutzern und Domänen Controllern. Benutzer, die auf diese privilegierten Objekte schreiben können und Kerberos PKINIT aktiviert ist, können ihre Berechtigungen auf diese Objekte erhöhen.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Seitliche Bewegung MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	SMB-Signierung ist auf Domänencontrollern nicht erforderlich	Sucht nach Domänencontrollern, bei denen eine SMB-Signierung nicht erforderlich ist. Unsignierter Netzwerkverkehr ist anfällig für Angriffe, die das NTLM-Challenge-Response-Protokoll missbrauchen. Ein gängiges Beispiel für solche Angriffe ist SMB Relay, bei dem ein Angreifer zwischen dem Client und dem Server positioniert wird, um Datenpakete abzufangen, die zwischen den beiden übertragen werden, und so unberechtigten Zugriff auf den Server oder andere Server im Netzwerk zu erlangen.	Kritisch	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation	IOE
	SMBv1 ist auf Domänencontrollern aktiviert	Sucht nach Domänencontrollern, bei denen das SMBv1-Protokoll aktiviert ist. SMBv1 ist ein altes Protokoll (von Microsoft im Jahr 2014 abgelehnt), das als unsicher und anfällig für alle Arten von Angriffen gilt.	Kritisch	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation	IOE
	SSO-Computerkonto mit Passwort, das zuletzt vor mehr als 90 Tagen festgelegt wurde	Überprüft das Azure SSO-Computerkonto (AZUREADSSOACC), um festzustellen, ob das Kennwort in den letzten 90 Tagen geändert wurde. Das Kennwort für das Azure SSO-Computerkonto wird nicht automatisch alle 30 Tage geändert. Wenn das Kennwort für dieses Konto kompromittiert ist, könnte ein Angreifer eine Ticket Granting Service (TGS)-Anforderung an das AZUREADSSOACC-Konto als beliebiger Benutzer generieren, was zur Folge hat, dass ein Ticket für Azure generiert wird und sich dieser Benutzer ausgibt.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen ANSSI: vuln2_Passwort_ändern_Server_nicht_ändern_90	IOE
	Verdächtige Anmeldeinformationen bei Microsoft-Dienstprinzipalen	Prüft, ob bestimmten Microsoft-Dienstprinzipalen Secrets zugewiesen sind. In Entra ID ist es möglich, Berechtigungsnachweise wie Secrets oder Schlüssel zu Dienstprinzipalen für Microsoft-Anwendungen zuzuweisen. In bestimmten Szenarien können Sie dann mit denselben Rechten agieren, die die Anwendung hat, indem Sie OAuth 2.0 Client Credential Grant Flows gegen Microsoft Graph API verwenden.	Kritisch	MITRE ATT&CK: Verteidigung Umgehung Persistenz Privilegieneskalation	IOE
	SYSVOL Ausführbare Änderungen	Sucht nach Änderungen an ausführbaren Dateien innerhalb von SYSVOL. Änderungen an den ausführbaren Dateien innerhalb von SYSVOL sollten berücksichtigt oder untersucht werden, um eine mögliche Schwächung der Sicherheitslage festzustellen.	Informativ	MITRE ATT&CK: Ausführung Persistenz Privilegieneskalation MITRE D3FEND: Erkennen - Datei-Analyse	IOE IOC
Kontensicherheit	Konten mit alten Passwörtern vertrauen	Sucht nach Vertrauenskonten, deren Kennwort im letzten Jahr nicht geändert wurde. Vertrauenskonten erleichtern die Authentifizierung über Vertrauensstellungen hinweg und sollten wie privilegierte Benutzerkonten geschützt werden. Normalerweise werden die Passwörter von Treuhandkonten automatisch geändert, so dass ein Treuhandkonto ohne aktuelle Passwortänderung auf ein verwaistes Treuhandkonto hinweisen könnte.	Informativ	MITRE ATT&CK: Erster Zugang ANSSI: vuln2_trusts_accounts MITRE D3FEND: Harden - Richtlinie für sichere Passwörter	IOE
	Unerwartete Konten in der Cert Publishers Group	Überprüft, ob die Cert Publishers Group Mitglieder enthält, die dort nicht zu erwarten sind. Personen, die zur Cert Publishers Group gehören, haben die Möglichkeit, eine potentiell schädliche Zertifizierungsstelle (CA) in einer ADCS-Umgebung einzuführen, der alle Clients vertrauen.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Privilegieneskalation MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
Kontensicherheit	Unprivilegierte Konten mit adminCount=1	Sucht nach Benutzern oder Gruppen, die möglicherweise unter der Kontrolle von SDProp stehen (adminCount=1), aber nicht mehr Mitglied einer privilegierten Gruppe sind. Dies könnte ein Hinweis auf einen Angreifer sein, der versucht hat, seine Spuren zu verwischen und einen Benutzer zu entfernen, den er zur Kompromittierung verwendet hat.	Informativ	MITRE ATT&CK: Privilegieneskalation	IOE IOC
	Unprivilegierter Besitzer einer privilegierten Gruppe	Überprüft das Vorhandensein eines unprivilegierten Besitzers einer Gruppe mit privilegierten Rollen. Die Zuweisung von Rollen zu einer Gruppe anstelle von einzelnen Principals rationalisiert den Prozess des Hinzufügens oder Entfernens von Benutzern und gewährleistet einheitliche Berechtigungen für alle Gruppenmitglieder. Der Gruppenbesitzer kann sich jedoch jederzeit selbst zur Gruppe hinzufügen, was ein Risiko der Privilegieneskalation darstellt, wenn der Besitzer ein unprivilegierter Principal ist.	Warnung	MITRE ATT&CK: Seitliche Bewegung Persistenz	IOE
Kontensicherheit	Unprivilegierte Prinzipale als DNS-Administratoren	Sucht nach jedem Mitglied der Gruppe DNS-Admins, das kein privilegierter Benutzer ist. Mitglieder dieser Gruppe können an Nicht-AD-Administratoren delegiert werden (z. B. Admins mit Netzwerkverantwortung, wie DNS, DHCP usw.), was dazu führen kann, dass diese Konten Hauptziele für Kompromisse sind.	Warnung	MITRE ATT&CK: Ausführung Privilegieneskalation ANSSI: vuln1_dnsadmins vuln1_erlaubnisse_msdn	IOE
	Unprivilegierte Benutzer können der Domäne Computerkonten hinzufügen	Überprüft, ob unprivilegierte Domänenmitglieder Computerkonten zu einer Domäne hinzufügen dürfen. Die Möglichkeit, Computerkonten zu einer Domäne hinzuzufügen, kann durch Kerberos-basierte Angriffe missbraucht werden.	Informativ	MITRE ATT&CK: Zugang zu Anmeldeinformationen Seitliche Bewegung	IOE
	Nicht aufgelöste privilegierte Entra ID-Rollenmitglieder	Identifiziert privilegierte Rollenzuweisungen, bei denen das Mitglied nicht gefunden werden kann, entweder aufgrund von gelöschten berechtigten Benutzern oder versteckten GDAP-Partnerbeziehungen. Gelöschte berechtigte Benutzer, die in Rollenzuweisungen verbleiben, können Verwirrung stiften und die Rollenverwaltung erschweren. GDAP-Partnerbeziehungen sind zwar legitim, müssen aber ordnungsgemäß nachverfolgt und verwaltet werden, um die Sicherheitsaufsicht aufrechtzuerhalten.	Informativ	MITRE ATT&CK: Erster Zugang	IOE
	Uneingeschränkte Zustimmung der Nutzer erlaubt	Überprüft, ob Benutzer Anwendungen von ungeprüften Herausgebern hinzufügen dürfen. Wenn Benutzer Anwendungen von Drittanbietern zustimmen dürfen, besteht ein erhebliches Risiko, dass eine zugelassene Anwendung aufdringliche oder riskante Aktionen durchführt.	Warnung	MITRE ATT&CK: Seitliche Bewegung Persistenz	IOE
	Ungesicherte DNS-Konfiguration	Sucht nach DNS-Zonen, die mit ZONE_UPDATE_UNSECURE konfiguriert sind, was eine anonyme Aktualisierung eines DSN-Eintrags ermöglicht. Ein Angreifer könnte diese Schwachstelle ausnutzen, um einen neuen DSN-Eintrag hinzuzufügen oder einen bestehenden DNS-Eintrag zu ersetzen, um eine Verwaltungsschnittstelle zu fälschen und dann auf eingehende Verbindungen zu warten, um Anmeldeinformationen zu stehlen.	Warnung	MITRE ATT&CK: Privilegieneskalation ANSSI: vuln1_dnszone_schlecht_ prop	IOE
Kontensicherheit	Benutzerkonten, die Kennwörter mit umkehrbarer Verschlüsselung speichern	Identifiziert Konten, bei denen das Kennzeichen "ENCRYPTED_TEXT_PWD_ALLOWED" aktiviert ist. Angreifer können möglicherweise die Kennwörter dieser Benutzer aus dem Chiffretext ableiten und diese Konten übernehmen.	Informativ	MITRE ATT&CK: Zugang zu Anmeldeinformationen ANSSI: vuln3_reversibel_passwort MITRE D3FEND: Harden - Richtlinie für sichere Passwörter	IOE
Kontensicherheit	Benutzerkonten, die DES-Verschlüsselung verwenden	Identifiziert Benutzerkonten, bei denen das Kennzeichen "Kerberos DES-Verschlüsselungstypen für dieses Konto verwenden" gesetzt ist. Angreifer können DES-Passwörter mit weit verbreiteten Tools leicht knacken, so dass diese Konten leicht übernommen werden können.	Informativ	MITRE ATT&CK: Zugang zu Anmeldeinformationen ANSSI: vuln2_kerberos_properties_deskey	IOE
Kontensicherheit	Benutzerkonten mit Passwort nicht erforderlich	Identifiziert Benutzerkonten, für die kein Kennwort erforderlich ist. Konten mit schwachen Zugriffskontrollen werden oft gezielt eingesetzt, um sich seitlich zu bewegen oder in der Umgebung dauerhaft Fuß zu fassen.	Informativ	MITRE ATT&CK: Seitliche Bewegung MITRE D3FEND: Harden - Richtlinie für sichere Passwörter	IOE
	Benutzeraktivierung in den letzten 7 Tagen	Prüft auf Benutzer, die in den letzten 7 Tagen aktiviert wurden. Aktivierte Benutzer haben die Möglichkeit, sich zu authentifizieren und Aktionen innerhalb der Okta-Umgebung durchzuführen. Daher ist es wichtig, den Aktivierungsstatus von Benutzern zu überwachen und zu überprüfen, um sicherzustellen, dass nur autorisierte Personen Zugriff haben.	Informativ	MITRE ATT&CK: Persistenz MITRE D3FEND: Harden - Benutzerkonto-Berechtigungen	IOE
	Die Zustimmung des Benutzers ist für riskante Anwendungen zulässig	Überprüft, ob es eine Entra ID Autorisierungsrichtlinie gibt, die es Benutzern erlaubt, ihre Zustimmung für riskante Anwendungen zu erteilen. Um die Sicherheit zu erhöhen, wird empfohlen, die Eigenschaft allowUserConsentForRiskyApps auf false zu setzen. Dadurch wird verhindert, dass Benutzer selbständig ihre Zustimmung zu riskanten Anwendungen erteilen.	Warnung	MITRE ATT&CK: Erster Zugang Persistenz Privilegieneskalation MITRE D3FEND: Modell- Zugriffsmodellierung	IOE
	Benutzerdeaktivierung in den letzten 7 Tagen	Sucht nach Benutzern, die in den letzten 7 Tagen deaktiviert wurden. Deaktivierte Benutzer sind nicht mehr in der Lage, sich zu authentifizieren und Aktionen innerhalb der Okta-Umgebung durchzuführen. Ein Angreifer kann jedoch einen Benutzer absichtlich deaktivieren, um das Funktionieren der Umgebung zu stören oder um seine Aktivitäten zu verbergen. Es ist wichtig, den Deaktivierungsstatus von Benutzern zu überwachen und zu überprüfen, um sicherzustellen, dass er mit den beabsichtigten Zugriffskontrollen übereinstimmt.	Informativ		IOE
Kontensicherheit	Benutzer und Computer mit nicht standardmäßigen Primärgruppen-IDs	Gibt eine Liste aller Benutzer und Computer zurück, deren Primärgruppen-IDs (PGIDs) nicht den Standardwerten für Domänenbenutzer und Computer entsprechen. Das Ändern der primären Gruppen-ID ist für einen Angreifer eine heimliche Möglichkeit, seine Privilegien zu erweitern, ohne dass eine Prüfung der Mitgliederattribute für Änderungen der Gruppenmitgliedschaft ausgelöst wird.	Informativ	MITRE ATT&CK: Privilegieneskalation ANSSI: vuln1_primäre_Gruppe_ id_1000 vuln3_primäre_Gruppe_ id_noch Change	IOE IOC
Kontensicherheit	Benutzer und Computer ohne lesbare PGID	Findet Benutzer und Computer, die die Primärgruppen-ID (PGID) nicht lesen können. Kann durch das Entfernen der Standard-Leseberechtigung verursacht werden, was auf einen Versuch hinweisen könnte, den Benutzer zu verstecken (in Kombination mit dem Entfernen des Attributs memberOf).	Warnung	MITRE ATT&CK: Verteidigung Umgehung	IOE IOC
	Seit mindestens 90 Tagen inaktive Benutzer oder Geräte	Es wird nach Benutzern oder Geräten gesucht, die sich in den letzten 90 Tagen nicht angemeldet haben. Benutzer oder Geräte, die seit 90 Tagen oder länger inaktiv sind, werden wahrscheinlich nicht mehr verwendet und lassen ein offenes Tor zum Azure AD-Tenant.	Warnung	MITRE ATT&CK: Persistenz Privilegieneskalation	IOE
Kontensicherheit	Benutzer mit deaktivierter Kerberos-Vorabauthentifizierung	Sucht nach Benutzern mit deaktivierter Kerberos-Vorauthentifizierung. Diese Benutzer können Ziel von ASREP-Roasting-Angriffen (wie "Kerberoasting") sein.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen ANSSI: vuln1_kerberos_prop- erties_preauth_priv vuln2_kerberos_prop- erties_preauth	IOE
Kontensicherheit	Benutzer mit alten Passwörtern	Sucht nach Benutzerkonten, deren Kennwort seit über 180 Tagen nicht mehr geändert wurde. Diese Konten könnten ein gefundenes Fressen für Angriffe zum Erraten von Passwörtern sein.	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen Persistenz MITRE D3FEND: Harden - Richtlinie für sichere Passwörter	IOE
Kontensicherheit	Benutzer mit gesetztem Kennzeichen "Passwort läuft nie ab	Identifiziert Benutzerkonten, bei denen das Kennzeichen "Kennwort läuft nie ab" gesetzt ist. Diese Konten können potenzielle Ziele für Brute-Force-Kennwortangriffe sein.	Informativ	MITRE ATT&CK: Zugang zu Anmeldeinformationen ANSSI: vuln2_dont_expire	IOE
	Benutzer mit der Berechtigung zum Festlegen des Serververtrauenskontos	Überprüft die Domänen-NC-Kopf-Berechtigungen, um festzustellen, ob das Server_Trust_Account-Flag auf Computerobjekten gesetzt ist. Ein Angreifer, der authentifizierte Benutzer mit diesen Berechtigungen ausstatten kann, kann seinen Zugriff nutzen, um jeden Computer, den er kontrolliert, in den Status eines Domänencontrollers zu versetzen, was eine Privilegienerweiterung auf AD-Dienste und die Durchführung von Angriffen auf Anmeldeinformationen wie DCSync ermöglicht.	Kritisch	MITRE ATT&CK: Privilegieneskalation	IOE
	Benutzer mit ServicePrincipalName definiert	Bietet eine Möglichkeit zur visuellen Bestandsaufnahme aller Benutzerkonten, für die ServicePrincipalNames (SPNs) definiert sind. Im Allgemeinen werden SPNs nur für "kerberisierte" Dienste definiert; andere Konten mit einem SPN können Anlass zur Sorge sein.	Warnung	MITRE ATT&CK: Privilegieneskalation MITRE D3FEND: Detect - Überwachung von Domänenkonten	IOE IOC
	Benutzer, bei denen das Attribut userPassword gesetzt ist	Prüft, ob das Attribut userPassword in Konten vorhanden ist. Das userPassword-Attribut speichert Passwörter im Klartext und kann über LDAP abgefragt werden, wodurch Passwörter möglicherweise offengelegt werden können.	Warnung	MITRE ATT&CK: Privilegieneskalation MITRE D3FEND: Detect - Überwachung von Domänenkonten	IOE
	Benutzer ohne Multi-Faktor-Authentifizierung (MFA)	Überprüft alle Benutzer, um diejenigen zu identifizieren, die sich nicht für die Multi-Faktor-Authentifizierung (MFA) registriert haben. Für Benutzer, die nicht mit MFA konfiguriert sind, besteht ein hohes Risiko, kompromittiert zu werden. Dies stellt nicht nur für den Benutzer, sondern auch für die gesamte Umgebung eine erhebliche Gefahr dar.	Warnung	MITRE ATT&CK: Erster Zugang	IOE
	Schwache Zertifikatsverschlüsselung	Sucht nach in Active Directory gespeicherten Zertifikaten mit einer Schlüsselgröße von weniger als 2048 Bit oder mit DSA-Verschlüsselung. Schwache Zertifikate können von Angreifern missbraucht werden, um Zugriff auf Systeme zu erhalten, die eine Zertifikatsauthentifizierung verwenden.	Warnung	MITRE ATT&CK: Privilegieneskalation ANSSI: vuln1_zertifikate_vuln MITRE D3FEND: Harden - Zertifikatsbasierte Authentifizierung	IOE
	Wohlbekannte privilegierte SIDs in sIDHistory	Sucht nach Sicherheitsprinzipalen, die bestimmte SIDs von Konten aus integrierten privilegierten Gruppen im Attribut sIDHistory enthalten. Ermöglicht es diesen Sicherheitsprinzipalen, die gleichen Rechte wie diese privilegierten Konten zu haben, jedoch auf eine Weise, die für die Überwachung nicht offensichtlich ist (z. B. durch die Gruppenzugehörigkeit).	Kritisch	MITRE ATT&CK: Verteidigung Umgehung Privilegieneskalation ANSSI: vuln2_sidhistory_dan- gerous vuln3_sidhistory_present	IOE IOC
	Beschreibbare Verknüpfungen in GPO gefunden	Sucht nach Verknüpfungen in Gruppenrichtlinienobjekten (GPOs), die von Benutzern mit geringen Rechten geschrieben werden können. Wenn wenig privilegierte Benutzer die Möglichkeit haben, Verknüpfungen innerhalb von GPOs zu ändern, kann dies möglicherweise zu Sicherheitsrisiken und nicht autorisierten Änderungen führen.	Warnung	MITRE ATT&CK: Seitliche Bewegung Privilegieneskalation MITRE D3FEND: Detect - Analyse der Dateierstellung Detect- Skriptausführungsanalyse	IOE
	Schreibzugriff auf RBCD auf DC	Sucht nach Benutzern, die nicht in den Gruppen Domain Admins, Enterprise Admins oder Built-in Admins sind, die Schreibzugriff auf Resource-Based Constrained Delegation (RBCD) für Domain Controller haben. Angreifer, die sich Schreibzugriff auf RBCD für eine Ressource verschaffen können, können die Ressource dazu bringen, sich als ein beliebiger Benutzer auszugeben (außer in Fällen, in denen die Delegierung explizit verboten ist).	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen	IOE
	Schreibzugriff auf RBCD auf krbtgt-Konto	Sucht nach Benutzern, die nicht in den Gruppen Domain Admins, Enterprise Admins oder Built-in Admins sind, die Schreibzugriff auf Resource-Based Constrained Delegation (RBCD) für das krbtgt-Konto haben. Angreifer, die sich Schreibzugriff auf RBCD für eine Ressource verschaffen können, können die Ressource dazu bringen, sich als ein beliebiger Benutzer auszugeben (es sei denn, die Delegation ist explizit nicht erlaubt).	Warnung	MITRE ATT&CK: Zugang zu Anmeldeinformationen	IOE
	Verwundbarkeit von Zerologon	Sucht nach einer Sicherheitslücke für CVE-2020-1472, die von Microsoft im August 2020 gepatcht wurde. Ohne diesen Patch kann ein nicht authentifizierter Angreifer die Sicherheitslücke CVE-2020-1472 ausnutzen, um seine Berechtigungen zu erhöhen und administrativen Zugriff auf die Domäne zu erhalten.	Kritisch	MITRE ATT&CK: Privilegieneskalation	IOE

Regelmäßig von unserem Bedrohungsforschungsteam aktualisierte Sicherheitsindikatoren

Purple Knight scannt Ihre Active Directory-Umgebung auf mehr als 150 Sicherheitsindikatoren, die auf eine Gefährdung oder Beeinträchtigung hindeuten, einschließlich riskanter Konfigurationen und ungepatchter Schwachstellen, die zu einem Angriff führen könnten.

Wer steckt dahinter?

Unter der Leitung von CTO und Microsoft MVP Guy Teverovsky untersucht unser Expertenteam kontinuierlich, wie Cyberkriminelle Active Directory ausnutzen und entwickelt Indikatoren, um Ihre AD-Schwachstellen aufzudecken, bevor es Angreifer tun.

kombinierte Microsoft-Erfahrung

Was sagen die Benutzer von Purple Knight ?

Purple Knight ist ein leistungsfähiges Tool mit einer Reihe von gut gemachten Skripten, die Ihnen auf fantastische Weise einige der versteckten Aspekte Ihrer AD zeigen, die nur darauf warten, von der falschen Person entdeckt zu werden.Patrick Emerick Leitender Systemingenieur | Schulbezirk Bethe l

Ich empfehle Purple Knight wegen seiner Benutzerfreundlichkeit - es ist GUI-basiert, gibt Ihnen einen schnellen Bericht und eine gute, einfache Checkliste mit Dingen, an denen Sie arbeiten sollten.Jim Shakespear Direktor für IT-Sicherheit | Southern Utah University

Purple Knight ist das erste Tool, das ich verwendet habe, das so dermaßen tief in Active Directory eindringt. Es funktioniert so gut, dass ich nichts anderes finden musste. Micah Clark IT-Manager | Central Utah Notfallkommunikation

Der Purple Knight Bericht half uns dabei, sofortige Maßnahmen zu ergreifen, z. B. Active Directory-Konten, die nicht hätten aktiviert werden dürfen, abzuschalten oder zu deaktivieren. Und dann half er uns, einen langfristigen Wartungsplan zu entwickeln. CISO Kanadisches Fertigungsunternehmen

Erkunden Sie die Purple Knight Sicherheitsindikatoren

AAD Connect Sync-Kontopasswort zurücksetzen

AAD-berechtigte Benutzer, die auch in AD privilegiert sind

Ungewöhnliche Passwortaktualisierung

Konten mit konfigurierten altSecurityIdentities

Konten mit eingeschränkter Delegation, die auf Ghost-SPN konfiguriert sind

Konten mit eingeschränkter Delegation, die für krbtgt konfiguriert sind

AD-Zertifizierungsstelle mit Webregistrierung (PetitPotam und ESC8)

AD-Objekte, die innerhalb der letzten 10 Tage erstellt wurden

AD-berechtigte Benutzer, die mit AAD synchronisiert werden

Die Verwaltungseinheiten werden nicht genutzt

Admins mit alten Passwörtern

Anonymer Zugriff auf Active Directory aktiviert

Anonymer NSPI-Zugriff auf AD aktiviert

Abgelaufene Anwendungsgeheimnisse und Zertifikate

Die zusätzlichen Kontexte Anwendungsname und geografischer Standort sind bei MFA deaktiviert.

Eingebautes Domänenadministratorkonto, das innerhalb der letzten zwei Wochen verwendet wurde

Eingebautes Domänenadministratorkonto mit altem Passwort (180 Tage)

Integriertes Gästekonto ist aktiviert

Zertifikatsvorlagen, die es Antragstellern erlauben, einen subjectAltName anzugeben

Zertifikatsvorlagen mit drei oder mehr unsicheren Konfigurationen

Persistenz der zertifikatsbasierten Authentifizierung

Änderungen an AD-Anzeigespezifikationen in den letzten 90 Tagen

Änderungen an der Standarddomänenrichtlinie oder der Standarddomänencontrollerrichtlinie in den letzten 7 Tagen

Änderungen am Standard-Sicherheitsbeschreibungsschema in den letzten 90 Tagen

Änderungen der MS LAPS-Leseberechtigungen

Änderungen an der Mitgliedschaft in der PreWindows 2000 kompatiblen Zugriffsgruppe

Änderungen der Mitgliedschaft in privilegierten Gruppen in den letzten 7 Tagen

Änderungen an unprivilegierten Gruppenmitgliedschaften in den letzten 7 Tagen

Prüfen, ob die Gäste die Erlaubnis haben, andere Gäste einzuladen

Prüfung auf riskante API-Berechtigungen, die den Principals der Anwendungsdienste gewährt wurden

Prüfung auf Benutzer mit schwacher oder fehlender MFA

Prüfen, ob Legacy-Authentifizierung erlaubt ist

Übernahme von Computerkonten durch Kerberos Resource-Based Constrained Delegation (RBCD)

Computerkonten in privilegierten Gruppen

Computer- oder Benutzerkonten mit SPN, die eine uneingeschränkte Delegation haben

Computer mit älteren Betriebssystemversionen

Computer, deren Passwort zuletzt vor mehr als 90 Tagen festgelegt wurde

Richtlinien für bedingten Zugang enthalten private IP-Adressen

Richtlinie für bedingten Zugriff, die die Aufrechterhaltung von Admin-Token deaktiviert

Zugangsbeschränkungsrichtlinie, die von Benutzern mit hohem Risiko keine Passwortänderung verlangt

Richtlinien für den bedingten Zugang, die keine MFA erfordern, wenn ein Anmeldungsrisiko festgestellt wurde

Richtlinie für bedingten Zugang mit deaktivierter kontinuierlicher Zugangsbewertung

Gefährliche Kontrollpfade legen Zertifikatscontainer frei

Gefährliche Kontrollpfade legen Zertifikatsvorlagen offen

Gefährlicher GPO-Anmeldeskriptpfad

Gefährliches Vertrauens-Attribut-Set

Gefährliche Benutzerrechte, die durch GPO gewährt werden

Die Gruppen Distributed COM Users oder Performance Log Users sind nicht leer

Der Besitzer des Domänencontrollers ist kein Administrator

Domänencontroller in einem inkonsistenten Zustand

Domänencontroller, die sich seit mehr als 45 Tagen nicht mehr bei der Domäne authentifiziert haben

Domänencontroller mit alten Passwörtern

Domänencontroller mit aktivierter ressourcenbasierter eingeschränkter Delegation (RBCD)

Domänenvertrauen zu einer fremden Domäne ohne Quarantäne

Domänen mit veralteten Funktionsebenen

Aktivierte Administratorkonten, die inaktiv sind

Sicherstellen, dass alle nicht-privilegierten Benutzer MFA abschließen können

Enterprise Key Admins mit vollem Zugriff auf die Domäne

Entra-Mieter ist anfällig für den Angriff "Hidden Consent Grant

Kurzlebige Admins

Beweise für den Mimikatz DCShadow-Angriff

FGPP nicht auf die Gruppe angewandt

Ausländische Sicherheitsbehörden in der privilegierten Gruppe

Wald enthält mehr als 50 privilegierte Konten

Globale Administratoren, die sich in den letzten 14 Tagen angemeldet haben

gMSA nicht verwendet

gMSA-Objekte mit alten Passwörtern

GPO-Verknüpfungsdelegation auf der Ebene der AD-Site

GPO-Verknüpfungsdelegation auf der OU-Ebene des Domänencontrollers

GPO-Verknüpfungsdelegation auf Domänenebene

GPO Schwacher LM-Hash-Speicher aktiviert

GPO mit geplanten Aufgaben konfiguriert

Gastkonten, die seit mehr als 30 Tagen inaktiv waren

In den letzten 30 Tagen nicht angenommene Gasteinladungen

Gastbenutzer sind nicht eingeschränkt

Benutzerdefinierte Rollen mit hohen Privilegien

Vererbung auf AdminSDHolder-Objekt aktiviert

Kerberos krbtgt-Konto mit altem Passwort

Kerberos-Protokoll-Übergangsdelegation konfiguriert