In het vorige artikel legden we uit waarom identiteit het doelwit is. Nu maken we het concreet, want de realiteit is ongemakkelijk: inbreken via accounts is kinderlijk eenvoudig. De meeste aanvallen zijn geen hightech operaties. Ze beginnen met iets basaals: een hergebruikt wachtwoord, een vergeten beheeraccount, een recht dat nooit is ingetrokken. Hieronder drie tactieken uit het MITRE ATT&CK-raamwerk die aanvallers elke dag gebruiken, wereldwijd, en waarschijnlijk ook bij jou.
Initial access: binnenkomen met een gevonden sleutel
MITRE ATT&CK T1078, Valid Accounts
Het woord inbreken is misleidend. Meestal loopt de aanvaller gewoon naar binnen. Een medewerker gebruikt zijn werkmail en wachtwoord ook op een extern platform: een evenementregistratie, een online tool, de website van de sportclub. Dat platform lekt, de combinatie belandt in een credential dump, en een aanvaller probeert dezelfde inlog op je VPN, op Microsoft 365, op Citrix.
Staat daar geen MFA op, of alleen op een deel van de omgeving, dan is hij binnen. Zo’n poging kost een aanvaller een paar minuten, en het werkt vaker dan je denkt. Inloggegevens uit lekken van jaren geleden worden nog steeds met succes gebruikt, simpelweg omdat wachtwoorden niet zijn veranderd.
Privilege escalation: het vergeten beheeraccount
MITRE ATT&CK T1078.002, Domain Accounts
Eenmaal binnen kijkt de aanvaller rond. Welke accounts zijn er, en waar zit meer macht? Bijna altijd vindt hij het: een beheeraccount zonder MFA, zonder monitoring, met toegang tot alles.
Een realistisch voorbeeld. Een gebruiker kreeg ooit beheerdersrechten voor een project. Het project is klaar, de rechten zijn nooit ingetrokken, en de gebruiker weet het zelf niet eens. Een aanvaller ontdekt dat met een eenvoudige scan en heeft binnen een minuut de rechten van een domeinbeheerder. Geen zero-day, geen malware. Alleen misbruik van iets dat al jaren is vergeten.
Discovery: Active Directory als open boek
MITRE ATT&CK T1087, Account Discovery
Met een beetje rechten gaat de aanvaller op verkenning, en Active Directory werkt daar graag aan mee. Met vrij verkrijgbare tools ziet hij wie welke rechten heeft, welke servers er zijn, welke shares openstaan en waar hij naartoe kan bewegen.
Daar is geen beheerder voor nodig: een standaard gebruikersaccount volstaat om deze informatie op te halen. De aanvaller inventariseert rustig, dagen of weken, zonder dat iemand iets merkt.
Waarom dit zo vaak lukt
Omdat het zelden om jouw organisatie gaat, en bijna altijd om het verkeerde moment op de verkeerde plek. Een gebruiker die thuis inlogt zonder MFA, precies wanneer zijn wachtwoord wordt geprobeerd. Een werkplek met een stukje software erop dat alle inloggegevens doorstuurt. Een beheerder met een openstaande VPN-sessie op een besmet apparaat. Een oud projectaccount dat nog actief is en opduikt in een lek van vier jaar geleden.
Aanvallen zijn zelden gericht. Maar als de deur op een kier staat, wordt er vroeg of laat op geduwd.
Wat je ertegen doet
Dit soort aanvallen is te stoppen. Niet met nieuwe tooling, maar met focus op een handvol dingen.
Weet welke identiteiten er zijn, inclusief de accounts die niemand meer kent. Beperk toegang tot wat echt nodig is, en maak beheerdersrechten tijdelijk in plaats van permanent. Zet phishing-resistant MFA aan op alles wat ertoe doet, inclusief beheerdersaccounts en de systemen waar je het niet verwacht. En kijk naar gedrag: niet alleen aan de rand van je netwerk, maar juist intern, waar een aanvaller met een geldig account onzichtbaar lijkt.
Conclusie
Wat hierboven staat, gebeurt elke dag. Bij grote bedrijven, bij het mkb, bij overheden. Het kost aanvallers geen dure tools en geen team van experts. Alleen geduld en een paar openstaande deuren. Daarom is identity security geen luxe, maar de basis.
In het volgende artikel gaan we een stap verder: hoe een aanvaller zich vanaf zo’n eerste voet aan de grond door je netwerk beweegt tot hij alles in handen heeft.