Tenable Identity Exposure – Versionshinweise 2024

• Computer können nicht aus dem Grund „Nicht vor Delegierung geschützt“ als Abweichung eingestuft werden. In Tenable Identity Exposure wurden alle bestehenden Abweichungen im Zusammenhang mit diesem Problem behoben.

• Erweiterung eines Indicator of Exposure (IoE) – Im IoE Kerberos-Konfiguration in Benutzerkonto sind Benutzer mit Smartcards immun gegen den AS-REP-Roasting-Angriff und werden von Tenable Identity Exposure nicht länger als Sicherheitsproblem gekennzeichnet.

• Verbesserungen bei Indicators of Attack (IoA):

  • Ermitteln von Passwörtern – Die neue Option „Zeitintervall für Erkennung“ gibt die Anzahl der Minuten an, ab der jeder fehlgeschlagene Login-Versuch als potenzieller laufender Angriff klassifiziert wird.

  • Auflistung lokaler Administratoren

    • Die neue Option „Zugriffsliste“ berücksichtigt nur spezifische Zugriffsrechte, die vom Ereignis „Netzwerkfreigabeobjekt wurde überprüft“ abgerufen werden, als potenziellen laufenden Angriff. Diese Liste gilt nur im aggressiven Modus.

    • Der Standardwert für die Option „Heuristik für Domänencontroller mit Versionen vor Windows Server 2016“ lautet jetzt „Falsch“.

  • DCSync – Der Standardwert für die Option „Unbekannte Quelle zulassen“ lautet jetzt „Falsch“.

  • NTDS-Extrahierung – Neue „Sperrliste“ in „Einfacher Modus“: diskshadow, ntdsutil, esentutl, esentutldefrag mode, vssown, copy-vss, WMI-basierte Methode, psexec_ntds_grab, wmiprvse, vssadmin, vss, impacket-secretsdump, vss_requestor, VeeamGuestHelper, WMI-basierte Methode.

  • Credential Dumping: LSASS-Speicher – Neue „Sperrliste“ in „Einfacher Modus“: mimikatz, taskmgr, ipconfig, arp, powershell, net, auditpol, whoami, cmd, route, processhacker, net1, csc, procdump, osqueryi.

Tenable Identity Exposure Version 3.67 enthält die folgenden Fehlerkorrekturen:

Indicators of Attack (IoA) – Neue Optionen für die folgenden IoAs, um die Anzahl falsch positiver Ergebnisse zu beschränken. Weitere Informationen finden Sie im Referenzhandbuch zu Indicators of Attack.

Hinweis: Ab dieser Version ist für alle IoAs in jedem Sicherheitsprofil die Option „Aggressiver Modus“ standardmäßig auf „Falsch“ festgelegt. Sie können diese Option in einzelnen Sicherheitsprofilen für jeden IoA auf „Wahr“ umstellen.

• Verdächtige Änderung des DC-Passworts – Neue Optionen:

  • „Aggressiver Modus“:

• Wahr: Erkennt den Angriff unabhängig davon, ob der Benutzer authentifiziert ist oder nicht.

• Falsch (Standardeinstellung): Erkennt nur authentifizierte Benutzer.

• „Zeitintervall für Erkennung von Passwortänderungen“: Im „aggressiven Modus“ gibt diese Option den Zeitraum zwischen zwei Passwortänderungen an (standardmäßig 30 Tage).

• DCSync – Neue Option:

• „Aggressiver Modus“:

  • Wahr: Es werden alle Angriffe auf der Grundlage der IoA-Regeln erkannt und gemeldet, wodurch zahlreiche Fehlalarme generiert werden können.

  • Falsch (Standardeinstellung): Erkennt und meldet nur dann einen Angriff, wenn sich der Computer nicht in der Domäne befindet. Dadurch werden weniger Angriffe erkannt, aber falsch positive Ergebnisse vermieden.

Erweiterungen

• Die Berechnungsdauer für RSoP-basierte Indicators of Exposure (Resultant Set of Policy, resultierender Richtliniensatz) wurde optimiert, was dazu führt, dass Abweichungen im Zusammenhang mit dem RSoP langsamer berechnet werden. Weitere Informationen finden Sie unter RSoP-basierte Indicators of Exposure im Tenable Identity Exposure-Benutzerhandbuch.

• In der Verwaltung von Rollenberechtigungen kann jetzt die Sichtbarkeit von Daten für Entra ID-Mandanten eingeschränkt werden.

Tenable Identity Exposure Version 3.66 enthält die folgenden Fehlerkorrekturen:

Indicators of Attack (IoA) – Neue Standardwerte für die folgenden IoAs, um die Anzahl falsch positiver Ergebnisse zu beschränken. Weitere Informationen finden Sie im Referenzhandbuch zu Indicators of Attack.

• Golden Ticket – Neue Option „Aggressiver Modus“:

  • Falsch (einfacher Modus, Standard): Es wird nur dann eine Angriffsmeldung ausgelöst, wenn der Zielbenutzer ein Domänencontroller oder ein Benutzer ist, der zur Gruppe „Domänenadministratoren“ gehört.

  • Wahr: Erkennt und meldet Angriffe auch dann, wenn der Ziel-Benutzername kein Mitglied der Gruppe „Domänenadministratoren“ oder ein Domänencontroller ist. Außerdem werden Angriffe auch dann erkannt und gemeldet, wenn einzelne Domänencontroller nicht überwacht werden (d. h., wenn sie kein Windows-Ereignisprotokoll ausgeben).

• Identitätswechsel bei SAMAccountName – Neue Option „Aggressiver Modus“:

  • Falsch (einfacher Modus, Standard): Es wird keine Angriffsmeldung ausgelöst, wenn TargetUserName kein Domänencontroller (DC) ist.

  • Wahr: Es werden alle Angriffe auf der Grundlage der IoA-Regeln erkannt und gemeldet, wodurch zahlreiche Fehlalarme generiert werden können.

• OS Credential Dumping: LSASS-Speicher – Neue Optionen:

  • „Aggressiver Modus“:

  • Falsch (einfacher Modus, Standard): Der IoA erkennt das Tool und betrachtet nur die vordefinierten Prozesse als nicht legitim.

  • Wahr: Der IoA betrachtet alle Angriffstools als nicht legitim, es sei denn, sie sind in der Zulassungsliste enthalten.

  • „Zulässige Prozesse im aggressiven Modus“: Optional. Gilt nur, wenn die Option „Aggressiver Modus“ = „Wahr“ ist.

  • „Einfacher Modus – Sperrliste“: Im einfachen Modus können nur die angegebenen Tools Angriffe auslösen.

• NTDS-Extrahierung – Neue Optionen:

  • „Aggressiver Modus“:

• Falsch (einfacher Modus, Standard): Der IoA erkennt das Tool und betrachtet nur die vordefinierten Prozesse als nicht legitim.

• Wahr: Der IoA betrachtet alle Angriffstools als nicht legitim, es sei denn, sie sind in der Zulassungsliste enthalten.

• „Einfacher Modus – Sperrliste“: Im einfachen Modus können nur die angegebenen Tools Angriffe auslösen.

• „Einfacher Modus – Angriff durch Prozesse auf der Zulassungsliste“ (vormals „Prozesse auf der Zulassungsliste“): Optional; gilt nur, wenn die Option „Aggressiver Modus“ = „Wahr“ ist.

• Massive Auskundschaftung von Computern – Neue Standardwerte für Optionen:

  • Anzahl an Computern – 5.000

  • Mindestanzahl an Computern – 100

  • Prozentsatz der Computer – 95

  • Anpassbarer Zeitraum – 240

  • Wartezeit zwischen Angriffen – 240

• Ermitteln von Passwörtern – Neuer Standardwert für Option:

  • Anzahl Konten mit fehlgeschlagenen Versuchen – 10.000

• Auflistung lokaler Administratoren – Die Option „Heuristik für Domänencontroller mit Versionen vor Windows Server 2016“ ist jetzt standardmäßig auf „Falsch“ festgelegt.

Indicators of Exposure (IoE)

• Neue IoEs

• Konfiguration des privilegierten Authentifizierungssilos – Stellt eine Schrittanleitung zur Konfiguration eines Authentifizierungssilos für privilegierte Konten (Stufe 0) bereit.

• Mit Microsoft Entra ID synchronisierte privilegierte AD-Benutzerkonten – Überprüft, dass privilegierte Active Directory-Benutzerkonten nicht mit Microsoft Entra ID synchronisiert werden.

• Erweiterungen

  • IoE Gefährliche Kerberos-Delegierung – Führt einen neuen Grund ein, um die aktuelle Konfiguration der Kerberos-Delegierung für ein Microsoft Entra Connect-Konto (AZUREADSSOACC) zu ermitteln.

  • IoE Umkehrbare Passwörter – Validiert Passwörter, die so konfiguriert sind, dass sie in einem umkehrbaren Format gespeichert werden, basierend auf den Einstellungen, die vom Attribut msDS-PasswordReversibleEncryptionEnabled im Passworteinstellungsobjekt (Password Settings Object, PSO) definiert werden.

  • IoE Lokale Administratorkonto-Verwaltung – Stellt eine neue Option namens „Installierte LAPS-Version“ bereit, um die neue Microsoft LAPS-Funktion (Local Administrator Password Solution) zu unterstützen, und validiert die LAPS-Versionskonfiguration basierend auf den vom Benutzer ausgewählten Optionen.

Tenable Identity Exposure Version 3.65 enthält die folgenden Fehlerkorrekturen:

Tenable Identity Exposure Version 3.64 enthält die folgenden Fehlerkorrekturen:

• Indicators of Attack – Die Option „Zulässige Prozesse“ in den Indicators of Attack Credential Dumping: LSASS-Speicher und NTDS-Extrahierung enthält Prozesse, von denen bekannt ist, dass sie Fehlalarme auslösen.

Tenable Identity Exposure Version 3.63 enthält die folgenden Fehlerkorrekturen: