In het vorige artikel lieten we zien hoe aanvallen beginnen: een vergeten account, een misconfiguratie, ontbrekende MFA. Dat is pas het begin. Als een aanvaller eenmaal binnen is, begint het echte werk. Dit artikel volgt hem stap voor stap: hoe hij verkent, zijn rechten verhoogt, zich onzichtbaar maakt en uiteindelijk de hele omgeving in handen krijgt. Met bij elke stap de techniek uit het MITRE ATT&CK-raamwerk, zodat je weet waar je op moet letten.
Stap 1: een gestolen inlog
T1078, Valid Accounts
Het begint met een wachtwoord. Uit een lek van een extern platform, of van een besmet apparaat waar een credential stealer alles heeft doorgestuurd. De aanvaller probeert de inlog op je VPN of op Microsoft 365. Zonder MFA is hij binnen.
Vaak is er zelfs met MFA een weg: als verouderde protocollen als IMAP, POP3 of SMTP AUTH nog aanstaan, werken veel MFA-controles niet. Een wachtwoord is dan genoeg.
Stap 2: verkennen zonder op te vallen
T1087 Account Discovery, T1069 Permission Groups Discovery, T1018 Remote System Discovery
Eenmaal binnen brengt de aanvaller de omgeving in kaart met tools als PowerView, SharpHound en BloodHound. Wie zit in welke groep, waar staan fileshares open, welke beheeraccounts bestaan er, welke servers zijn bereikbaar. Een standaard gebruikersaccount volstaat om dit uit Active Directory te halen.
Je merkt hier meestal niets van. De opvragingen lijken op normaal gebruikersgedrag en vallen zonder gerichte detectie niet op.
Stap 3: rechten verhogen
T1558.003 Kerberoasting, T1558.004 AS-REP Roasting, T1078.002 Domain Accounts
De aanvaller zoekt het laaghangende fruit: een gebruiker met te veel rechten, een service-account met beheerdersrechten, een oud test- of projectaccount dat nog steeds domeinbeheerder is. Via technieken als Kerberoasting kraakt hij de wachtwoorden van service-accounts offline, in alle rust. Of hij gebruikt simpelweg een gedeeld wachtwoord dat op meer plekken werkt.
Zo werkt hij zich omhoog tot hij domeinbeheerder is, met alle rechten in je omgeving.
Stap 4: blijven, ook als je hem eruit gooit
T1136 Create Account, T1053 Scheduled Task, T1547 Boot or Logon Autostart Execution
Met volledige rechten zorgt de aanvaller dat hij niet meer weg te krijgen is. Hij maakt nieuwe accounts aan, past beveiligingsinstellingen aan, zet geplande taken klaar die zichzelf opnieuw activeren en plaatst een achterdeur. Als jij denkt dat je hem eruit hebt gegooid, zit hij er nog. Of hij loopt via de achterdeur weer naar binnen.
Hybride omgevingen: twee werelden, twee fronten
De meeste organisaties werken deels in de cloud en deels nog on-premise. Dat is operationeel handig, en voor een aanvaller ideaal. Hij trekt zich niets aan van jouw indeling in systemen en afdelingen; hij zoekt de zwakste plek, en in een hybride omgeving zijn dat er meestal meerdere.
Zodra hij ergens voet aan de grond heeft, beweegt hij tussen beide werelden. Tokens en inloggegevens die op beide plekken werken. Cloudbeheerders die lid zijn van lokale beheerdersgroepen. Scripts op een lokale server die Exchange Online of SharePoint benaderen. Sessies die in beide omgevingen worden hergebruikt.
Wat het lastig maakt, is dat de beveiliging zelden gelijk is. In de cloud staan MFA, Conditional Access en Identity Protection netjes aan, maar lokaal draait nog een fileserver met een vergeten service-account dat domeinbeheerder is, zonder wachtwoordrotatie en zonder monitoring. On-premise leven verouderde protocollen voort: NTLM, LDAP zonder signing, oude RDP-instellingen, scripts met wachtwoorden erin. En de logging is vaak in de cloud goed geregeld, met Sentinel, terwijl lokaal Windows-events nergens naartoe gaan. Tel daar de vergeten projectomgevingen, labservers en testmachines bij op die nog koppelingen hebben met productie, en één vergeten virtuele machine is genoeg voor een volledig datalek.
Conclusie
Dit klinkt als een complex scenario. Voor een gemiddelde aanvaller is het dagelijks werk. Hij hoeft niet in te breken, alleen goed te kijken. Als je identiteiten niet strak zijn geregeld, liggen de sleutels klaar.
De tegenmaatregelen volgen de stappen van de aanvaller. Phishing-resistant MFA en het uitzetten van verouderde protocollen tegen stap 1. Detectie op verkenningsgedrag in Active Directory tegen stap 2. Tijdelijke beheerdersrechten, sterke wachtwoorden op service-accounts en het opruimen van oude accounts tegen stap 3. Monitoring op nieuwe accounts, geplande taken en gewijzigde instellingen tegen stap 4. En over alles heen: dezelfde beveiliging en dezelfde zichtbaarheid in de cloud en on-premise, want de aanvaller maakt dat onderscheid ook niet.