LONDON (IT BOLTWISE) – Die US-Sicherheitsbehörde CISA beschreibt zwei parallel durchgeführte Red-Team-Angriffe auf kritische Infrastruktureinrichtungen. Beide Ziele wurden auf Domain-Ebene vollständig kompromittiert, allerdings mit völlig unterschiedlichen Detektions- und Eindämmungsreaktionen in den SOC-Prozessen. Ein Unternehmen blieb dabei ohne jede Erkennung, während das andere die betroffenen Workstations innerhalb von Minuten isolierte. Die Lücke liegt laut CISA vor allem in Menschen, Abläufen und Sichtbarkeit zwischen den eingesetzten Security-Tools.
Beim Vergleich zweier Red-Team-Engagements fällt sofort auf, wie stark der Ausgang weniger von der reinen „Tools-Qualität“ als von der operativen SOC-Realität abhängt. CISA hat am 25. August 2026 die Ergebnisse zweier gleichzeitig durchgeführter Assessments veröffentlicht, mit einer ähnlichen Angriffstechnik („similar tradecraft“), aber deutlich unterschiedlichen Verteidigungsresultaten. Das erste Ziel (Organisation A) gehörte dem Sector „Government Services and Facilities“ an, das zweite (Organisation B) dem Sector „Water and Wastewater Systems“. In beiden Fällen gelang dem Red Team die Kompromittierung auf Domain-Ebene; zugleich erreichten die Angreifer sensitive Business Systems sowie Cloud-Ressourcen, allerdings mit stark abweichender Sichtbarkeit in den jeweiligen Security-Betriebsprozessen.
Technisch startete Organisation A mit einem Zugriff über eine Webanwendung, die laut CISA Default Credentials für mehrere integrierte Konten nutzte. Dadurch konnte das Team laut Bericht Phishing-E-Mails von einer internen Absenderadresse versenden und anschließend auf vier Workstations landen. Von dort aus kippte die Angriffssequenz über Missbrauch von Standardkonfigurationen: CISA nennt als Hebel ein defaultes „Machine Account Quota“, das es jedem Domain-Benutzer erlaubt, Machine Accounts zu ergänzen, sowie eine Fehlkonfiguration in Active Directory Certificate Services (AD CS) durch eine missbrauchbare Certificate-Template-Ausprägung. Genau diese Klasse wird von CISA mit dem Kürzel ESC1 beschrieben und als derselbe Zertifikats-Template-Angriffskontext eingeordnet, der zuvor im Zusammenhang mit einem Domain-Takeover-Exploit namens Certighost öffentlich geworden war.
Der nächste Schritt zeigte, wie eng Identitäts- und Datenebenen in der Praxis gekoppelt sind. Gegen Organisation A fand das Red Team drei sensitive Business Systems mithilfe von Zugangsdaten, die in Klartext gespeichert waren. Dazu gehörten laut CISA entlockte, entschlüsselte Datenbank-Konfigurationsdateien und statische AWS-Zugriffsschlüssel, die „never to expire“ gesetzt waren. In der Cloud genügte dem Team zudem ein Griff in Authentifizierungstokens: Es stahl einen „Primary Refresh Token“ und missbrauchte Entra-ID-Anwendungen mit erhöhten Berechtigungen, um Postfächer der Security-Teams auszulesen und zu prüfen, ob Defender bereits von der Aktivität wussten. Entscheidend war am Ende nicht nur, dass der Zugriff möglich war, sondern dass Organisation A laut CISA keine relevanten Erkennungen zu den Red-Team-Aktivitäten aufbauen konnte, obwohl die intrusionsnahen Schritte durchaus Spuren hinterlassen hätten.
Als Ursache adressiert CISA vor allem die „SOC-zu-SOC“-Betriebsrealität: Tausende False-Positive-Alerts aus normalem Geschäftsbetrieb hätten die echten, durch das Red Team erzeugten Signale überdeckt, wobei viele der Störmeldungen zugleich mit höheren Schweregraden bewertet worden seien. Dazu kommt, dass Organisation A laut Bericht mehrere Security Operations Center und Endpunkttools ohne gemeinsame Sichtbarkeit betrieb; die Analyse verlief damit nicht wie eine durchgängige Telemetrie-Kette, sondern wie getrennte Inseln. Auch die Handhabung konkreter Alarme habe gehakt: CISA nennt fehlende Eskalationsprozeduren und eine begrenzte Befugnis, um auf Vorfälle wirklich einwirken zu können. Ein konkreter Fall auf einem System Center Configuration Manager (SCCM)-Server sei als False Positive verworfen worden, nachdem die Verantwortlichen den Systembesitzer nicht identifizieren konnten.
Organisation B lieferte demgegenüber ein Bild, in dem dieselbe grundlegende Angriffslogik zwar zunächst ebenfalls zündet, aber die Ausbreitung frühzeitig gekappt wird. CISA berichtet, dass die SOC dort die initialen Phishing-Payloads bereits beim Ausführen erkannte und die betroffenen Workstations innerhalb von 2 bis 20 Minuten isolierte. Dieses Time-to-Containment ist im Kern ein Unterschied in der „Detektions-zu-Action“-Kette: Sobald das Command-and-Control (C2) abreißt, verliert der Angreifer den Kanal für weitere Schritte, bevor sich die Kompromittierung im üblichen lateralen Muster stabilisieren kann. Da der Foothold damit abgetrennt wurde, wechselte das Engagement in einen „assume-breach“-Ansatz: CISA zufolge ließen die vertrauenswürdigen Agenten im Unternehmen einen Red-Team-Payload auf einem definierten nicht-privilegierten Host laufen, um den Zugriff nachzubilden, den das Team sonst nach erfolgreicher Ausbreitung erhalten hätte.
Trotz dieser Eindämmung fand das Red Team bei Organisation B laut CISA dieselben zugrunde liegenden Schwachstellenklassen. Wieder tauchten Klartext-Zugangsdaten auf, etwa für einen Domain-Service-Account in einer SCCM-Konfigurationsdatei, der Rechte über einen Domain Controller mitbrachte. Mit diesen Bedingungen führte das Team anschließend einen DCSync-Angriff aus und konnte das krbtgt-Geheimnis auslesen. Auch ein weiterer Schritt auf einen Bastion-Host im OT-demanilitarisierten Bereich (OT DMZ) sei gelungen, allerdings blieb dieser Host so konfiguriert, dass er ausgehend keinen Internetzugang erlaubt; damit kam kein C2-Kanal zustande, und das Team drang nicht in die OT-Systeme selbst ein. CISA fasst den Unterschied zwischen den beiden Ergebnissen damit bewusst als menschlich-prozessualen Abstand auf: „Detection tools are only as effective as the people, processes, and procedures supporting them“ – ein Hinweis darauf, dass die Lücke weniger im Sensorbestand als in der Betriebslogik liegt.
Für Unternehmen in sicherheitskritischen Umgebungen ergibt sich daraus ein klarer, operativer Handlungsfokus. Erstens sollten Default- und „quasi unveränderliche“ Werte als Angriffsziele behandelt werden, weil sie im Red-Team-Kontext besonders zuverlässig funktionieren: Machine Account Quota auf Standardniveau, AD-CS-Template-Fehlkonfigurationen und Klartext-Zugangsdaten in Konfigurationsdateien sind aus Angreifersicht wiederkehrende Muster. Zweitens verschiebt sich der Schwerpunkt von „ein Tool melden“ hin zu „das SOC kann konsistent entscheiden und handeln“, also mit sauberer Alarmhygiene, weniger False-Positive-Lärm und klaren Eskalationspfaden. Drittens zeigt der Cloud-Teil, dass Token- und Key-Strategien wie „never to expire“ sowie überpermissionierte Entra-ID-Apps unmittelbare Auswirkungen auf die Schadenshöhe haben; auch dann, wenn der klassische Endpoint bereits isoliert wurde, können Identitäts- und Datenrechte die Schwachstellenweitergabe verstetigen. Genau diese Mischung aus AD-, SCCM-, Cloud- und Prozesslayer macht die CISA-Erzählung so nützlich: Sie ist weniger eine reine Technikgeschichte als eine Anleitung, wie Detektion in echte Eindämmung übersetzt wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CISA: Zwei Red-Teams, zwei SOCs – komplette Kompromittierung trotz Lücke in Detection" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CISA: Zwei Red-Teams, zwei SOCs – komplette Kompromittierung trotz Lücke in Detection" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CISA: Zwei Red-Teams, zwei SOCs – komplette Kompromittierung trotz Lücke in Detection« bei Google Deutschland suchen, bei Bing oder Google News!