Kompromittiertes Konto

Lizenzmatrix: Business Standard als Basis

Status und Aufbewahrung können sich ändern. Prüfen Sie die verlinkte Microsoft-Dokumentation für Ihren Tenant und Ihre Region.

Aktionsmatrix: kleinste passende Rolle

Die Rollen gelten für den Zielbenutzer und die jeweilige Aktion. Bei privilegierten Zielkonten ist häufig eine höher privilegierte Rolle erforderlich.

1. Den Benutzer unabhängig verifizieren

Nutzen Sie eine bekannte Telefonnummer, den Vorgesetzten oder den etablierten Helpdesk-Prozess. Verwenden Sie keine Kontaktdaten aus einer verdächtigen Nachricht.

2. Risky users und Rollen prüfen

1. Benutzer öffnen und Risk detections, Risk level und Risk state prüfen.
2. Unter Entra ID > Roles and administrators nach aktiven privilegierten Zuweisungen suchen.
3. Startzeit vor das früheste verdächtige Ereignis legen.

3. Beweise vor Änderungen sichern

1. Originale CSV- oder JSON-Exporte unverändert speichern.
2. Incident- und Alert-IDs sowie Untersuchungszeitraum in UTC notieren.
3. Vor dem Löschen Screenshots von Regeln, Grants und Methoden erstellen.

1. Konto deaktivieren und Sitzungen widerrufen

1. Mit einem separaten vertrauenswürdigen Administratorkonto arbeiten.
2. Konto deaktivieren.
3. Direkt danach alle Sitzungen widerrufen.
4. UTC-Zeit und ausführenden Administrator notieren.

2. Sonderfälle korrekt behandeln

• Privilegierter Benutzer: Privileged Authentication Administrator oder ausreichend privilegierte Rolle einsetzen.
• Hybrid: Konto auch im lokalen Active Directory deaktivieren. Bei Pass-the-Hash-Risiko kann Microsoft zwei Kennwortresets empfehlen.
• Föderiert: Kennwort im führenden Identitätssystem zurücksetzen.
• Gast: Das Kennwort wird im Heimmandanten verwaltet.

1. Interaktive und nicht interaktive Anmeldungen getrennt prüfen

1. Interactive user sign-ins öffnen. Hier hat eine Person aktiv einen Faktor bereitgestellt.
2. Non-interactive user sign-ins öffnen. Hier hat eine App oder das Betriebssystem Token ohne erneute Eingabe verwendet.
3. Beide Ansichten separat als CSV oder JSON exportieren.
4. IP, Standort, App, Ressource, Client, Gerät, Authentication details, Conditional Access, Correlation ID und Session ID prüfen.

2. Postfach-Persistenz prüfen

1. Versteckte und sichtbare Inbox Rules sichern und prüfen.
2. Externe Weiterleitung, Full Access, Send As und Send on behalf prüfen.
3. Message Trace für ausgehende Nachrichten im Incident-Zeitraum exportieren.
4. Purview Audit nach New-InboxRule, Set-InboxRule, Set-Mailbox und MailItemsAccessed durchsuchen.

Get-InboxRule -Mailbox user@contoso.com -IncludeHidden |
  Format-List Name,Enabled,Description,RedirectTo,ForwardTo,DeleteMessage

Get-Mailbox user@contoso.com |
  Format-List ForwardingAddress,ForwardingSmtpAddress,DeliverToMailboxAndForward

3. App-Zustimmungen und Enterprise Apps prüfen

1. App-Name, ID, Publisher, Consent-Zeit und Berechtigungen sichern.
2. Besonders Mail.*, Files.*, Contacts.*, Notes.*, People.* und Directory.AccessAsUser.All prüfen.
3. Tenant-weiten Admin Consent sofort eskalieren.
4. Verdächtige App deaktivieren und Grants widerrufen, statt nur den sichtbaren Eintrag zu löschen.

4. Blast Radius bestimmen

• Defender Incident und Alerts mit der Identität verknüpfen.
• Threat Explorer oder Real-time detections nach gleichen Absendern, URLs, Anhängen und Kampagnenmerkmalen durchsuchen.
• OneDrive, SharePoint, Teams und Power Automate auf ungewöhnliche Datei- oder Flow-Aktivität prüfen.
• Betroffene interne und externe Empfänger dokumentieren.

1. Kennwort und Authentifizierungsmethoden ersetzen

1. Kennwort nach unabhängiger Benutzerverifikation zurücksetzen.
2. Unbekannte Telefonnummern, Authenticator-Registrierungen, Passkeys und OATH-Methoden entfernen.
3. Require re-register multifactor authentication ausführen.
4. Sitzungen erneut widerrufen und alte App Passwords entfernen.

2. Persistenz entfernen

1. Schädliche sichtbare und versteckte Inbox Rules nach Beweissicherung entfernen.
2. Unbekannte Weiterleitungen und Delegierungen entfernen.
3. Schädliche OAuth Grants widerrufen und App deaktivieren.
4. Unberechtigte Rollen und Gruppenmitgliedschaften entfernen.
5. Bestätigte schädliche E-Mails über den Action Center Prozess entfernen.
6. Nur nachgewiesene OneDrive-, SharePoint- oder Flow-Änderungen zurücksetzen.

3. Zugriff in kontrollierter Reihenfolge wiederherstellen

1. Erst Persistenz-Check, Kennwortreset und MFA-Bereinigung abschließen.
2. Konto aktivieren.
3. Benutzer von einem vertrauenswürdigen Gerät anmelden lassen.
4. Neue interaktive Anmeldung, MFA und Conditional Access prüfen.
5. Nicht interaktive Anmeldungen auf unerklärte Aktivität nach dem Widerruf überwachen.
6. Erst danach eine Restricted Sender Sperre entfernen.

Mindestens sichern

• Incident- und Alert-IDs
• Benutzerstatement und Bestätigungsweg
• Interaktive und nicht interaktive Sign-in Exporte
• Purview Audit und Message Trace Exporte
• Vorher- und Nachher-Zustand von Regeln, Grants, Rollen und Methoden
• Alle Containment- und Remediation-Aktionen mit UTC-Zeit, Owner und Freigabe
• Liste betroffener Identitäten, Nachrichten, Dateien, Apps und externer Empfänger

Kopierbare Evidenzvorlage

Incident ID:
UTC date and time:
Responder and role:
Affected UPN and object ID:
Evidence source:
Reviewed time range:
Export filename:
Collection method:
Collected at UTC / by:
Storage location:
Observation:
Action taken:
Owner / approver:
Before and after state:
Related Microsoft alert or incident:

Speichern Sie keine Benutzernamen, Tenant-Daten oder Beweise in dieser öffentlichen Webseite. Die Häkchen bleiben nur in der aktuellen Browser-Sitzung.

Abschlusskriterien

1. Konto, Sitzungen, Kennwort und MFA wurden nachweislich bereinigt.
2. Regeln, Weiterleitung, Delegierungen, Rollen, Gruppen und OAuth Grants wurden geprüft.
3. E-Mail-, Datei-, App-, Geräte- und Berechtigungsauswirkungen sind eingegrenzt.
4. Benutzer oder Service Owner hat normalen Zugriff bestätigt.
5. Monitoring blieb für den intern festgelegten Beobachtungszeitraum sauber.
6. Beweise, Rechtsentscheidung, Restrisiko und Folgeaufgaben sind dokumentiert.
7. Incident Owner hat den Abschluss ausdrücklich freigegeben.