Was ist Zugriff auf Anmeldedaten (Credential Access) bei einem Cyberangriff?
Credential Access ist die Taktik, Passwörter, Hashes, Tickets und Token zu stehlen, damit sich der Angreifer als jemand Berechtigtes anmelden kann. Übliche Techniken sind das Auslesen von Anmeldedaten aus dem Arbeitsspeicher, das Lesen von in Browsern oder Skripten gespeicherten Passwörtern, das Raten oder Sprühen von Passwörtern gegen Anmeldedienste, das Mitschneiden im Netz mit Adversary-in-the-Middle-Tricks und das Anfordern von Diensttickets, um sie offline zu knacken. Abwehr sind Multi-Faktor-Authentifizierung (MFA), lange eindeutige Passwörter für Dienstkonten, weniger Administratoranmeldungen an normalen Arbeitsplätzen und Endpunktschutz gegen das Auslesen des Speichers. Ein Teil ist im Netz sichtbar, etwa viele fehlgeschlagene Verbindungen eines Hosts zu Anmeldediensten oder ARP-Tricks in einem Segment; das meiste geschieht in Hosts und im Verzeichnis. NetSenX sieht die Netzseite und vor allem, wofür gestohlene Anmeldedaten danach genutzt werden: neue Sitzungen zwischen Hosts.