Network Anomaly Detection in KATA
Angreifer nutzen zunehmend Standard-Domain-Infrastrukturprotokolle wie Kerberos und DNS-Tunneling, um nach einem Netzwerkbruch unentdeckt zu bleiben. Traditionelle Sicherheitstools versagen oft bei der Erkennung dieser Aktivitäten, da sie sich kaum von legitimen Datenverkehr unterscheiden lassen. Die Kaspersky Anti Targeted Attack (KATA)-Plattform setzt stattdessen auf Network Anomaly Detection (NAD), um verdächtige Abweichungen vom normalen Netzwerkverhalten zu identifizieren. Unternehmen sollten KATA implementieren, um Angriffe wie Kerberoasting und DNS-Tunneling frühzeitig zu erkennen und ihre Netzwerkinfrastruktur zu schützen.
Angreifer nutzen zunehmend Standard-Netzwerkprotokolle wie Kerberos und DNS-Tunneling, um nach einem Netzwerkbruch unentdeckt zu bleiben. Traditionelle Sicherheitstools haben Schwierigkeiten, diese Aktivitäten zu erkennen, da sie sich kaum von legitimen Datenverkehr unterscheiden. Die Kaspersky Anti Targeted Attack (KATA)-Plattform setzt auf Network Anomaly Detection (NAD), um verdächtige Abweichungen vom normalen Netzwerkverhalten zu identifizieren und solche Angriffe frühzeitig zu erkennen.
Organisationen, die Standard-Domain-Infrastrukturprotokolle wie Kerberos und DNS nutzen.
Angreifer können sich durch die Nutzung legitimer Protokolle unbemerkt im Netzwerk bewegen und persistieren, was traditionelle Sicherheitstools umgeht. Die Erkennung solcher Aktivitäten ist entscheidend, um fortgeschrittene, zielgerichtete Angriffe zu stoppen.
Unentdeckte Angreifer können über einen längeren Zeitraum im Netzwerk verbleiben, sensible Daten exfiltrieren oder weitere Systeme kompromittieren, ohne dass dies von herkömmlichen Sicherheitssystemen bemerkt wird.
Implementierung von Lösungen zur Netzwerk-Anomalie-Erkennung (NAD), um verdächtige Abweichungen im Netzwerkverhalten zu identifizieren, insbesondere in Bezug auf Kerberos- und DNS-Verkehr.
- ▸Überprüfen Sie die Protokolle Ihres DNS-Servers auf ungewöhnlich hohe Anfragenraten, ungewöhnliche Domänennamen oder lange Abfragen, die auf DNS-Tunneling hindeuten könnten.
- ▸Analysieren Sie Kerberos-Authentifizierungsprotokolle (z.B. Event ID 4769 für Kerberos Service Ticket Request) auf ungewöhnlich viele Anfragen für Service Principal Names (SPNs) oder Anfragen von untypischen Konten, die auf Kerberoasting hindeuten könnten.
- ▸Stellen Sie sicher, dass Ihre Netzwerkerkennungssysteme (IDS/IPS) in der Lage sind, Anomalien im Protokollverhalten zu erkennen, die über einfache Signaturerkennung hinausgehen.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Command and Control | T1071.004 Application Layer Protocol: DNS | High | Angreifer nutzen ... DNS-Tunneling, um nach einem Netzwerkbruch unentdeckt zu bleiben. |
| Credential Access | T1558.003 Steal or Forge Kerberos Tickets: Kerberoasting | High | Unternehmen sollten KATA implementieren, um Angriffe wie Kerberoasting ... frühzeitig zu erkennen |
| Defense Evasion | T1070.004 Indicator Removal on Host: Network Share Deletion | Low | unentdeckt zu bleiben |
- Es werden keine spezifischen CVEs oder IOCs genannt.
- Es werden keine spezifischen betroffenen Branchen oder geografischen Regionen genannt.
- Es werden keine konkreten Tools oder Exploits der Angreifer genannt, außer den Protokollen selbst.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
- Initial Access möglich?Ja
- Privilege Escalation relevant?Möglich
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Möglich
Kundenfragen
- Haben wir Active Directory / Entra extern erreichbar?
- Können wir Reconnaissance detektieren?
- Können wir Resource Development detektieren?