Erkennen von von Menschen betriebenen Ransomware-Angriffen mit Microsoft Defender XDR

Ransomware ist eine Art von Erpressungsangriff, der Dateien und Ordner zerstört oder verschlüsselt, den Zugriff auf kritische Daten verhindert oder kritische Geschäftssysteme stört. Es gibt zwei Arten von Ransomware:

• Commodity Ransomware ist Schadsoftware, die sich mit Phishing oder zwischen Geräten verbreitet und Dateien verschlüsselt, bevor sie ein Lösegeld fordert.
• Von Menschen betriebene Ransomware ist ein geplanter und koordinierter Angriff durch aktive Cyberkriminelle, die mehrere Angriffsmethoden verwenden. In vielen Fällen werden bekannte Techniken und Tools verwendet, um Ihre organization zu infiltrieren, die Vermögenswerte oder Systeme zu finden, die es wert sind, zu erpressen und dann ein Lösegeld zu verlangen. Nach der Kompromittierung eines Netzwerks erkundet der Angreifer Ressourcen und Systeme, die verschlüsselt oder zur Erpressung genutzt werden können. Die Angreifer verschlüsseln oder exfiltrieren dann Daten, bevor sie ein Lösegeld fordern.

In diesem Artikel wird die proaktive Erkennung neuer oder laufender menschlichen Ransomware-Angriffe mit dem Microsoft Defender-Portal beschrieben, einer erweiterten Erkennungs- und Reaktionslösung (XDR) für die folgenden Sicherheitsdienste:

• Microsoft Defender für Endpunkt
• Microsoft Defender für Office 365
• Microsoft Defender for Identity
• Microsoft Defender for Cloud Apps (einschließlich des App-Governance-Add-Ons)
• Microsoft Entra ID-Schutz
• Microsoft Defender für IoT
• Microsoft 365 Business Premium
• Microsoft Defender für Unternehmen

Informationen zum Verhindern von Ransomware-Angriffen finden Sie unter Schnelle Bereitstellung von Ransomware-Präventionen – Phase 3: Erschweren des Einstiegs.

Die Bedeutung der proaktiven Erkennung

Da von Menschen betriebene Ransomware in der Regel von aktiven Angreifern ausgeführt wird, die möglicherweise die Schritte ausführen, um Ihre wertvollsten Daten und Systeme in Echtzeit zu infiltrieren und zu entdecken, ist die Zeit, die für die Erkennung von Ransomware-Angriffen erforderlich ist, von entscheidender Bedeutung.

Wenn Vorab-Lösegeldaktivitäten schnell erkannt werden, nimmt die Wahrscheinlichkeit eines schweren Angriffs ab. Die Phase vor dem Lösegeld umfasst in der Regel die folgenden Techniken: Erstzugriff, Reconnaissance, Diebstahl von Anmeldeinformationen, Lateral Movement und Persistenz. Diese Techniken können zunächst unzusammenhängend erscheinen und oft unter dem Radar fliegen. Wenn diese Techniken zur Lösegeldphase führen, ist es oft zu spät. Microsoft Defender kann helfen, diese kleinen und scheinbar nicht zusammenhängenden Vorfälle als Teil einer größeren Ransomware-Kampagne zu identifizieren.

• Wenn sie während der Phase vor dem Lösegeld erkannt werden, können kleinere Entschärfungen wie das Isolieren infizierter Geräte oder Benutzerkonten verwendet werden, um den Angriff zu stören und zu beheben.
• Wenn die Erkennung zu einem späteren Zeitpunkt erfolgt, z. B. wenn schadsoftware, die zum Verschlüsseln von Dateien verwendet wird, bereitgestellt wird, müssen möglicherweise aggressivere Korrekturschritte, die zu Ausfallzeiten führen können, verwendet werden, um den Angriff zu unterbrechen und zu beheben.

Unterbrechungen des Geschäftsbetriebs sind wahrscheinlich, wenn auf einen Ransomware-Angriff reagiert wird. Die Endphase eines Ransomware-Angriffs ist oft eine Wahl zwischen Ausfallzeiten, die von Angreifern mit großen Risiken verursacht werden, oder einer kontrollierten Downtime, um die Netzwerksicherheit zu gewährleisten und Ihnen Zeit zu geben, vollständig zu untersuchen. Wir empfehlen niemals, ein Lösegeld zu zahlen. Die Zahlung von Cyberkriminellen, um einen Ransomware-Entschlüsselungsschlüssel zu erhalten, bietet keine Garantie, dass Ihre verschlüsselten Daten wiederhergestellt werden. Weitere Informationen finden Sie unter Ransomware-Antwort – Microsoft-Sicherheitsblog.

Hier sehen Sie den qualitativen Zusammenhang zwischen den Auswirkungen eines Ransomware-Angriffs und der Zeit bis zu Ihrer Reaktion – bei fehlender Erkennung im Vergleich zu proaktiver Erkennung und Reaktion.

Proaktive Erkennung über gängige Schadsoftwaretools und -techniken

In vielen Fällen verwenden von Menschen betriebene Ransomware-Angreifer bekannte und vor Ort getestete Schadsoftwaretaktiken, -techniken, -tools und -verfahren, einschließlich Phishing, Business-E-Mail-Kompromittierung (Business Email Compromise, BEC) und Diebstahl von Anmeldeinformationen. Ihre Sicherheitsanalysten müssen sich darüber bewusst werden, wie Angreifer gängige Schadsoftware- und Cyberangriffsmethoden verwenden, um in Ihrem organization Fuß zu fassen.

Beispiele dafür, wie Ransomware-Angriffe mit gängiger Schadsoftware beginnen, finden Sie in den folgenden Ressourcen:

• Von Menschen betriebene Ransomware-Angriffe: Eine verhinderbare Katastrophe
• Berichte zur Ransomware-Bedrohungsanalyse im Microsoft Defender-Portal

Wenn Sie mit Vor-Lösegeld-Schadsoftware, Nutzlasten und Aktivitäten vertraut sind, können Ihre Analysten wissen, wonach Sie suchen müssen, um die späteren Phasen eines Angriffs zu verhindern.

Von Menschen betriebene Ransomware-Angriffstaktiken

Da von Menschen betriebene Ransomware bekannte Angriffstechniken und -tools verwenden kann, sind das Verständnis und die Erfahrung Ihrer Analysten mit vorhandenen Angriffstechniken und -tools eine wertvolle Ressource bei der Vorbereitung Ihres SecOps-Teams auf gezielte Methoden zur Erkennung von Ransomware.

Angriffstaktiken und -methoden

Hier sind einige typische Techniken und Tools, die von Ransomware-Angreifern für die folgenden MITRE ATT& CK-Taktiken verwendet werden:

Erstzugriff:

• RDP-Brute-Force
• Verwundbares, aus dem Internet erreichbares System
• Schwache Anwendungseinstellungen
• Phishing-E-Mail

Diebstahl von Anmeldeinformationen:

• Mimikatz
• LSA-Geheimnisse
• Anmeldeinformationstresor
• Anmeldeinformationen im Klartext
• Missbrauch von Dienstkonten

Laterale Bewegung:

• Kobaltschlag
• WMI
• Missbrauch von Verwaltungstools
• PsExec

Persistenz:

• Neue Konten
• GPO-Änderungen
• Schatten-IT-Tools
• Planen von Vorgängen
• Dienstregistrierung

Umgehung der Verteidigung:

• Deaktivieren von Sicherheitsfeatures
• Löschen von Protokolldateien
• Löschen von Angriffsartefaktdateien
• Zurücksetzen von Zeitstempeln für geänderte Dateien

Exfiltration:

• Exfiltration vertraulicher Daten Auswirkung (finanzieller Hebel):
• Verschlüsselung von Daten vor Ort und in Sicherungen
• Löschen von Daten vor Ort und Backups, möglicherweise in Verbindung mit einer vorangegangenen Exfiltration
• Gefahr einer öffentlichen Leckage von exfiltrierten, sensiblen Daten

Worauf Sie achten sollten

Die Herausforderung für Sicherheitsanalysten besteht darin, zu erkennen, wann eine Warnung Teil einer größeren Angriffskette ist, mit dem Ziel, Ihre vertraulichen Daten oder wichtigen Systeme zu erpressen. Ein erkannter Phishingangriff kann beispielsweise wie folgt aussehen:

• Ein einmaliger Angriff, um die E-Mail-Nachrichten einer Person in der Finanzabteilung eines organization zu überprüfen.
• Die Phase einer Angriffskette vor der eigentlichen Ransomware-Ausführung, in der kompromittierte Anmeldedaten von Benutzerkonten genutzt werden, um die dem Benutzerkonto verfügbaren Ressourcen zu ermitteln und weitere Benutzerkonten mit erweiterten Berechtigungen und weitergehendem Zugriff zu kompromittieren.

Dieser Abschnitt enthält allgemeine Angriffsphasen und -methoden sowie die Signalquellen, die in das zentrale Microsoft Defender-Portal eingespeist werden, das Warnungen und Vorfälle erstellt, die aus mehreren verwandten Warnungen für die Sicherheitsanalyse bestehen. In einigen Fällen gibt es alternative Sicherheitsportale, um die Angriffsdaten anzuzeigen.

Erste Angriffe, um Zugang zu erhalten

Ein Angreifer versucht, ein Benutzerkonto, ein Gerät oder eine App zu kompromittieren.

Jüngster Anstieg bei ansonsten typischem Verhalten

Der Angreifer versucht, nach weiteren Entitäten zu suchen, die kompromittiert werden können.

Neue Aktivität

Angreifer erstellt neue Entitäten, um ihre Reichweite zu fördern, Malware-Agents zu installieren oder die Erkennung zu umgehen.

Verdächtiges Verhalten

Angreifer lädt vertrauliche Informationen herunter, verschlüsselt Dateien oder sammelt oder beschädigt organization Ressourcen.

-*Überwachen Sie das Deaktivieren von Sicherheitsfunktionen durch Angreifer** – da dies häufig Teil der Angriffskette von Menschen gesteuerter Ransomware (HumOR) ist

• Löschen von Ereignisprotokollen – insbesondere das Sicherheitsereignisprotokoll und PowerShell-Betriebsprotokolle
• Deaktivieren von Sicherheitstools/-kontrollen (die einigen Gruppen zugeordnet sind)

Erkennen von Ransomware-Angriffen mit dem Microsoft Defender-Portal

Das Microsoft Defender-Portal bietet eine zentrale Ansicht für Informationen zu Erkennungen, betroffenen Ressourcen, ausgeführten automatisierten Aktionen und verwandten Beweisen. Eine Kombination aus:

• Eine Warteschlange für Incidents, die zu einem Angriff gehörende Warnungen gruppiert, um einen vollständigen Überblick über das Ausmaß des Angriffs, die betroffenen Ressourcen und automatisierte Abhilfemaßnahmen zu bieten.
• Eine Alarm-Warteschlange, die alle von Microsoft Defender verfolgt Benachrichtigungen auflistet.

Incident- und Warnungsquellen

Microsoft Defender Portal zentralisiert Signale aus:

• Microsoft Defender für Endpunkt
• Microsoft Defender für Office 365
• Microsoft Defender for Identity
• Microsoft Defender for Cloud Apps (einschließlich des App-Governance-Add-Ons)
• Microsoft Entra ID-Schutz
• Microsoft Defender für IoT

Diese Tabelle listet einige typische Angriffe und deren entsprechende Signalquelle für Microsoft Defender auf.

Filtern von Ransomware-identifizierten Vorfällen

Sie können die Vorfall-Warteschlange ganz einfach nach Vorfällen filtern, die von Microsoft Defender als Ransomware eingestuft wurden.

1. Wechseln Sie im Navigationsbereich des Microsoft Defender-Portals zur Warteschlange für Incidents, indem Sie Incidents and alerts > Incidents auswählen.
2. Wählen Sie Filter aus.
3. Wählen Sie unter Kategoriendie Option Ransomware aus, wählen Sie Anwenden aus, und schließen Sie dann den Bereich Filter .

Jede Filtereinstellung für die Warteschlange für Incidents erstellt eine URL, die Sie speichern und später über einen Link aufrufen können. Diese URLs können als Lesezeichen gespeichert oder anderweitig gespeichert und bei Bedarf mit einem einzigen Klick verwendet werden. Sie können beispielsweise Lesezeichen für Folgendes erstellen:

• Vorfälle, die die Kategorie "Ransomware" enthalten. Hier ist der entsprechende Link.
• Vorfälle mit einem bestimmten Akteur-Namen, von dem bekannt ist, dass er Ransomware-Angriffe durchführt.
• Vorfälle mit einem bestimmten zugehörigen Bedrohungsnamen, von dem bekannt ist, dass er bei Ransomware-Angriffen eingesetzt wird.
• Incidents mit einem benutzerdefinierten Tag, das Ihr SecOps-Team für Vorfälle verwendet, von denen bekannt ist, dass sie Teil eines größeren, koordinierten Ransomware-Angriffs sind.

Filtern von Ransomware-identifizierten Bedrohungsanalyseberichten

Ähnlich wie beim Filtern von Vorfällen in der Incidentwarteschlange können Sie Bedrohungsanalyseberichte nach Berichten filtern, die Ransomware enthalten.

1. Wählen Sie im Navigationsbereich Bedrohungsanalyse aus.
2. Wählen Sie Filter aus.
3. Wählen Sie unter Bedrohungstagsdie Option Ransomware aus, wählen Sie Anwenden aus, und schließen Sie dann den Bereich Filter .

Sie können auch auf diesen Link klicken.

Im Abschnitt Erkennungsdetails vieler Bedrohungsanalyseberichte wird eine Liste der Warnungsnamen angezeigt, die für die Bedrohung erstellt wurden.

Microsoft Defender APIs

Sie können auch die Microsoft Defender XDR-APIs verwenden, um die Microsoft Defender XDR Incidents und Warnungsdaten in Ihrem Mandanten abzufragen. Eine benutzerdefinierte App kann die Daten filtern, sie basierend auf benutzerdefinierten Einstellungen filtern und dann eine gefilterte Liste von Links zu Warnungen und Vorfällen bereitstellen, die Sie einfach auswählen können, um direkt zu dieser Warnung oder zu diesem Incident zu wechseln. Siehe API zum Auflisten von Vorfällen in Microsoft Defender XDR. Sie können Ihr SIEM auch in Microsoft Defender integrieren, siehe Integrieren Ihrer SIEM-Tools in Microsoft Defender XDR.

Integration von Microsoft Defender Sentinel

Die Microsoft Defender-Incident-Integration von Microsoft Sentinel ermöglicht es, alle Microsoft Defender-Vorfälle in Microsoft Sentinel zu streamen und sie zwischen beiden Portalen synchron zu halten. Incidents umfassen alle zugehörigen Warnungen, Entitäten und relevanten Informationen. Einmal in Sentinel, bleiben Vorfälle bidirektional mit Microsoft Defender synchronisiert, sodass Sie die Vorteile beider Portale bei Ihrer Vorfalluntersuchung nutzen können. Siehe die Integration von Microsoft Defender mit Microsoft Sentinel.

Proaktives Scannen mit erweiterter Suche

Die erweiterte Suche ist ein abfragebasiertes Tool zur Bedrohungssuche, mit dem Sie Ereignisse in Ihrem Netzwerk untersuchen und überprüfen können, um Bedrohungsindikatoren und Entitäten zu finden. Dieses flexible und anpassbare Analysetool ermöglicht die uneingeschränkte Suche nach bekannten und potenziellen Bedrohungen. Microsoft Defender unterstützt außerdem die Verwendung einer benutzerdefinierten Abfrage, um benutzerdefinierte Erkennungsregeln zu erstellen, die Warnungen basierend auf einer Abfrage erzeugen können, die automatisch ausgeführt und geplant werden.

Für die proaktive Überprüfung von Ransomware-Aktivitäten sollten Sie einen Katalog mit erweiterten Hunting-Abfragen für häufig verwendete Ransomware-Angriffsmethoden für Identitäten, Endpunkte, Apps und Daten zusammenstellen. Hier sind einige wichtige Quellen für sofort einsatzbereite erweiterte Huntingabfragen:

• Der Artikel Zur Suche nach Ransomware
• GitHub-Repository für erweiterte Huntingabfragen:
  • Ransomware-spezifische Abfragen
  • Alle Kategorien von Abfragen
• Berichte zur Bedrohungsanalyse
  • Abschnitt „Erweiterte Suche“ aus dem Analystenbericht Ransomware: eine allgegenwärtige und anhaltende Bedrohung
  • Abschnitt „Erweiterte Suche“ in anderen Analystenberichten

Automatisiertes Hunting

Erweiterte Hunting-Abfragen können auch verwendet werden, um benutzerdefinierte Erkennungsregeln und Aktionen basierend auf bekannten Elementen einer Ransomware-Angriffsmethode (z. B. der Verwendung ungewöhnlicher PowerShell-Befehle) zu erstellen. Benutzerdefinierte Erkennungsregeln erstellen Warnungen, die von Ihren Sicherheitsanalysten angezeigt und behandelt werden können.

Wählen Sie zum Erstellen einer benutzerdefinierten Erkennungsregel auf der Seite einer erweiterten Suchabfrage die Option Benutzerdefinierte Erkennungsregel erstellen aus. Nach der Erstellung können Sie Folgendes angeben:

• Wie oft die benutzerdefinierte Erkennungsregel ausgeführt wird
• Der Schweregrad der von der Regel erzeugten Warnung
• Die MITRE-Angriffsphase für die erstellte Warnung
• Betroffene Entitäten
• Aktionen, die für betroffene Entitäten ausgeführt werden sollen

Bereiten Sie Ihr SecOps-Team auf die gezielte Ransomware-Erkennung vor

Die Vorbereitung Ihres SecOps-Teams auf die proaktive Erkennung von Ransomware erfordert Folgendes:

• Vorarbeiten für Ihr SecOps-Team und Ihre Organisation
• Schulung von Sicherheitsanalysten nach Bedarf
• Laufende operative Arbeit, um die neuesten Angriffe und Erkennungserfahrungen Ihrer Sicherheitsanalysten zu integrieren

Vorarbeiten für Ihr SecOps-Team und Ihre Organisation

Erwägen Sie die folgenden Schritte, um Ihr SecOps-Team und organization für die gezielte Verhinderung von Ransomware-Angriffen vorzubereiten:

1. Konfigurieren Sie Ihre IT- und Cloud-Infrastruktur mit der Anleitung Schnelle Bereitstellung von Schutzmaßnahmen gegen Ransomware – Phase 3: Erschweren Sie das Eindringen für den Schutz vor Ransomware. Die Phasen und Aufgaben in diesem Leitfaden können parallel zu den folgenden Schritten ausgeführt werden.
2. Rufen Sie die entsprechenden Lizenzen für die Dienste Defender für Endpunkt, Defender für Office 365, Defender for Identity, Defender for Cloud Apps, App-Governance-Add-On, Defender für IoT und Microsoft Entra ID Protection ab.
3. Stellen Sie einen Katalog mit erweiterten Huntingabfragen zusammen, die auf bekannte Ransomware-Angriffsmethoden oder Angriffsphasen optimiert sind.
4. Erstellen Sie den Satz von benutzerdefinierten Erkennungsregeln für bestimmte erweiterte Huntingabfragen, die Warnungen für bekannte Ransomware-Angriffsmethoden erstellen, einschließlich des Zeitplans, der Benennung von Warnungen und automatisierten Aktionen.
5. Bestimmen Sie den Satz von benutzerdefinierten Tags oder Standards, um neue Tags zu erstellen, um Vorfälle zu identifizieren, die bekanntermaßen Teil eines größeren, koordinierten Ransomware-Angriffs sind.
6. Bestimmen Sie die Operativen Aufgaben für die Verwaltung von Ransomware-Vorfällen und Warnungen. Zum Beispiel:
   • Prozesse für die Sichtung eingehender Vorfälle und Alarme durch Tier-1-Analysten sowie für die Zuweisung an Tier-2-Analysten zur weiteren Untersuchung.
   • Manuelles Ausführen erweiterter Huntingabfragen und ihres Zeitplans (täglich, wöchentlich, monatlich).
   • Fortlaufende Änderungen auf Grundlage von Erfahrungen aus der Untersuchung und Eindämmung von Ransomware-Angriffen.

Schulung von Sicherheitsanalysten

Bei Bedarf können Sie Ihren Sicherheitsanalysten interne Schulungen für Folgendes bereitstellen:

• Häufige Ransomware-Angriffsketten (MITRE-Angriffstaktiken und gängige Bedrohungstechniken und Schadsoftware)
• Incidents und Warnungen sowie deren Auffinden und Analysieren im Microsoft Defender-Portal mit:
  • Warnungen und Vorfälle, die bereits von Microsoft Defender XDR erstellt wurden
  • Vorab gescannte URL-basierte Filter für das Microsoft Defender-Portal
  • Programmgesteuert über die Incidents-API
• Zu verwendende erweiterte Suchabfragen und deren manueller Zeitplan (täglich, wöchentlich, monatlich)
• Zu verwendende benutzerdefinierte Erkennungsregeln und deren Einstellungen
• Benutzerdefinierte Incidenttags
• Die neuesten Threat Analytics-Berichte für Ransomware-Angriffe im Microsoft Defender-Portal

Laufende Arbeit basierend auf operativem Lernen und neuen Bedrohungen

Im Rahmen der fortlaufenden bewährten Methoden für Tools und Prozesse Ihres SecOps-Teams und der Erfahrungen von Sicherheitsanalysten sollten Sie Folgendes tun:

• Aktualisieren Sie Ihren Katalog erweiterter Hunting-Abfragen mit dem Folgenden:
  • Neue Abfragen, die auf den neuesten Bedrohungsanalyseberichten im Microsoft Defender-Portal oder im GitHub-Repository advanced hunting basieren.
  • Änderungen an vorhandenen, um die Bedrohungserkennung oder die Warnungsqualität zu optimieren.
• Aktualisieren Sie benutzerdefinierte Erkennungsregeln basierend auf neuen oder geänderten erweiterten Huntingabfragen.
• Aktualisieren Sie den Satz von operativen Aufgaben für die Ransomware-Erkennung.