So verlieren Hacker die Freude an Machine Identity-Angriffen

Während Unternehmen ihre Nutzerkonten immer besser absichern, weichen Angreifer auf ein Ziel aus, das seltener überwacht wird: nicht-menschliche Cloud-Identitäten, sogenannte Service Principals.

Der Sicherheitsdienstleister Ontinue warnt gegenüber it-daily.net vor automatisierten Angriffen und nennt Gegenmaßnahmen. Service Principals sind maschinelle Identitäten, mit denen sich Anwendungen, Skripte oder Automatisierungsprozesse gegenüber Cloud-Diensten authentifizieren, etwa gegenüber Microsoft Entra ID, vormals Azure Active Directory. Anders als bei klassischen Benutzerkonten gibt es für diese Konten oft weder ein durchgängiges Monitoring noch eine konsequente Rechteverwaltung. Genau das machen sich Angreifer laut Ontinue zunutze.

Automatisierte Suche nach exponierten Zugangsdaten

Für ihre Angriffe setzen Hacker auf spezialisierte Secret-Scanning-Tools wie TruffleHog. Diese durchsuchen große Mengen an Quellcode, Git-Repositories, Konfigurationsdateien und CI/CD-Artefakten systematisch nach offengelegten Zugangsdaten. Die Tools beschränken sich dabei nicht auf reine Mustererkennung per Signatur- und Entropie-Analyse, sondern validieren Funde aktiv gegen die jeweiligen Zielsysteme.

Im Fall von Microsoft Entra ID bedeutet das: Werden Client IDs und Client Secrets in einem öffentlichen GitHub-Repository oder einer schlecht gesicherten CI/CD-Pipeline gefunden, testen die Tools sie umgehend gegen die zugehörigen OAuth-Authentifizierungsendpunkte. Funktionieren die Zugangsdaten, erhalten Angreifer legitime Access Tokens und damit Zugriff auf Cloud-Ressourcen, Dienste und die damit verbundenen Berechtigungen.

Weil die Zeitspanne zwischen dem Leck eines Secrets und dessen Ausnutzung durch diese Automatisierung drastisch schrumpft, werden Service Principals nach Einschätzung von Ontinue zu einem zunehmend attraktiven Angriffsziel.

Fünf Schutzmaßnahmen

Der MXDR-Anbieter (Managed Extended Detection and Response) empfiehlt Unternehmen fünf Maßnahmen, um ihre nicht-menschlichen Identitäten abzusichern:

1. Keine Secrets im Klartext speichern. Client IDs und Client Secrets landen häufig direkt in Konfigurationsdateien, Deployment-Skripten oder versehentlich veröffentlichten Repositories. Statt Zugangsdaten fest im Code zu hinterlegen, sollten Unternehmen auf Secret Vaults oder Managed Identities setzen, also Cloud-seitig bereitgestellte Identitäten, die eine Authentifizierung ohne im Code hinterlegte Zugangsdaten ermöglichen.
2. Service Principals überwachen und Rechte einschränken. Da kompromittierte Service Principals reguläre OAuth-Verfahren nutzen, fällt ihr Missbrauch selten auf. Ontinue rät daher zu gezieltem Monitoring auf ungewöhnliche Anmeldemuster sowie zu einer deutlichen Reduzierung der oft zu großzügig vergebenen Berechtigungen.
3. OAuth- und Microsoft-Graph-Aktivitäten auditieren. Nach erfolgreicher Authentifizierung greifen Angreifer über gültige Access Tokens auf Microsoft-Graph-APIs sowie auf Daten in SharePoint, Exchange oder OneDrive zu. Da dies über reguläre Mechanismen läuft, bleibt es oft unbemerkt. Ein gezieltes Audit soll hier Abhilfe schaffen.
4. Transparenz über nicht-menschliche Identitäten schaffen. Vielen Unternehmen fehlt schlicht der Überblick, wie viele Service Principals und andere maschinelle Identitäten überhaupt existieren. Das erschwert auch die Governance, die bei diesen Konten häufig hinter der von Benutzerkonten zurückbleibt.
5. CI/CD-Pipelines und Entwicklungsumgebungen absichern. Unsichere Pipelines und gemeinsam genutzte Entwicklungsumgebungen zählen zu den häufigsten Fundorten für offengelegte Zugangsdaten, entsprechend wichtig ist deren Absicherung.

Blinder Fleck der IT-Sicherheit

„Maschinelle Identitäten sind längst Teil des Angriffsvektors geworden“, sagt Theus Hossmann, CTO bei Ontinue. Während sich die meisten Sicherheitskonzepte auf Benutzerkonten und Endpunkte konzentrierten, gerieten Service Principals oft aus dem Blick, ein Umstand, den Angreifer gezielt ausnutzten, so Hossmann.

Für Unternehmen bedeutet das: Wer seine Cloud-Umgebung absichern will, kommt an einer systematischen Bestandsaufnahme und Überwachung nicht-menschlicher Identitäten künftig kaum noch vorbei.

(red/Ontinue)