Tenable Identity Exposure – Versionshinweise 2024

• Indicators of Attack (IoAs) DC-Synchronisierung, NTDS-Extrahierung, Auflistung lokaler Administratoren – Im Modus „Einfach“ werden in den folgenden Szenarien keine Warnungen mehr ausgelöst:

  • Wenn der IoA den Verlust einen Ereignisses oder eine erhebliche Verzögerung bei der Ereigniserfassung erkennt.

  • Wenn der IoA die Quelle eines Angriffs aufgrund fehlender Ereignisdaten nicht identifizieren kann.

• IoA NTDS-Extrahierung – Eine neue aktive Option namens „Whitelisted Processes“ (Prozesse auf der Zulassungsliste) in den Modi „Einfach“ und „Aggressiv“ schließt legitime Prozesse aus, die während Angriffen gemeldet werden.

Tenable Identity Exposure Version 3.74 enthält die folgenden Fehlerkorrekturen:

Tenable Identity Exposure Version 3.73 enthält die folgenden Fehlerkorrekturen:

• Benutzer können jetzt die Dauer der Ereigniserfassung für Indicators of Attack (IoA) festlegen, bevor die Analyse ausgelöst wird, mit Werten von 30 Sekunden bis 9 Minuten (ein Kompromiss zwischen Latenz und Genauigkeit).

• Golden Ticket IoA – Um falsch positive Ergebnisse zu reduzieren, hat Tenable Identity Exposure einen Verzögerungszeitraum von 10 Stunden eingeführt, in dem legitime Benutzer automatisch auf die Zulassungsliste gesetzt werden.

Tenable Identity Exposure Version 3.72 enthält die folgenden Fehlerkorrekturen:

• Indicators of Attack (IoA)

• DC-Synchronisierung:

• Der Standardwert für die Option „Verzögerung“ wurde von 1 Std. auf 12 Std. erhöht, um ein größeres Fenster zum Herausfiltern legitimer Ereignisse zu ermöglichen.

• Der Standardwert für die Option „Unbekannte Quelle zulassen” wurde von „Falsch“ in „Wahr“ geändert, um ein falsch negatives Ergebnis zu verhindern, das dadurch verursacht wird, dass das Standardprofil diese Option nicht anpassen kann.

• Golden Ticket – Erkennung des Verlusts des Windows-Ereignisprotokolls, um das Auslösen von falsch positiven Ergebnissen in bestimmten Fällen zu verhindern.

• Auflistung lokaler Administratoren – Verwaltete Dienstkonten werden Filterprozessen unterzogen, um das Auftreten von falsch positiven Erkennungen zu reduzieren.

• Indicators of Exposure (IoE)

  • Gruppe „Geschützte Benutzer“ wird nicht verwendet – Ein zusätzlicher Grund im IoE meldet alle privilegierten Benutzer, die nicht in dieser Gruppe sind.

  • Letzte Passwortänderung für das KRBTGT-Konto – Unterstützung für das krbtgt_AzureAD-Konto in Windows Hello for Business (Cloud Trust-Bereitstellung).

Tenable Identity Exposure Version 3.71 enthält die folgenden Fehlerkorrekturen:

• Neue Indicators of Exposure (IoEs)

  • Gefährliche Fehlkonfigurationen von verwalteten Dienstkonten – Stellt die ordnungsgemäße Bereitstellung und Konfiguration von verwalteten Dienstkonten sicher.

  • Gastkonto aktiviert – Überprüft, ob das integrierte Gastkonto deaktiviert ist.

• Verbesserungen von Indicators of Exposure

  • Domäne ohne GPOs für die Computerhärtung – Es wurden neue Überprüfungen integriert, die für die Suche nach NULL-Sitzungen entwickelt wurden. Dieser Sitzungstyp sollte auf allen Domänencomputern explizit deaktiviert werden.

  • Mitglieder der nativen Administratorgruppe – Der Zulassungsliste für benutzerdefinierte Gruppen wurden die Gruppen „Exchange-Server“, „Exchange-Windows-Berechtigungen“ und „Vertrauenswürdiges Exchange-Subsystem“ hinzugefügt. Diese Änderung gilt nur für das Standard-Sicherheitsprofil und nicht für vorhandene benutzerdefinierte Sicherheitsprofile.

  • Benutzerkonto mit altem Passwort – Es wurden zwei Gründe hinzugefügt, um zwischen privilegierten und regulären Benutzern zu unterscheiden.

• Ergebnisse von LDAP-Suchanfragen werden jetzt zwischen dem Relay und dem Ceti-Dienst zwischengespeichert, um den Durchsatz zu steigern.

Tenable Identity Exposure Version 3.69 enthält die folgenden Fehlerkorrekturen:

Verbesserungen von Indicators of Exposure (IoEs)

• Inaktive Konten – Zwei neue Gründe, um zwischen privilegierten und regulären Benutzern zu unterscheiden.

• Computer mit veraltetem BS – Neuer Wert „lastLogonTimestamp“, um in Abweichungen vom Typ „Inaktives veraltetes BS“ den Zeitstempel des letzten erfolgreichen Benutzer-Logins anzuzeigen.

• Domäne ohne GPOs für die Computerhärtung

  • Neue Überprüfungen im Zusammenhang mit gehärteten UNC-Pfaden, die für Domänencontroller konfiguriert sind (SYSVOL-/NETLOGON-Freigaben).

  • Neue Überprüfungen im Zusammenhang mit dem Druckspooler-Dienst, der auf Domänencontrollern deaktiviert bleiben sollte.

  • Ein Verbesserung, mit der sichergestellt werden soll, dass auf Domänencontrollern und anderen Servern ordnungsgemäße SMB-Signaturen (Server Message Block) erzwungen werden. Hiermit wird der Parameter „Default Domain Controllers Policy“ validiert und geprüft, ob die GPO-Konfiguration auf anderen Servern korrekt ist.

• RSoP-basierte IoEs (Resultant Set of Policy, resultierender Richtliniensatz) – Zur erneuten Ausführung von RSoP-basierten IoEs mit aktuellem Cache werden die gepufferten Ereignisse in Tenable Identity Exposure jetzt für einen kurzen Zeitraum aggregiert, um die Anzahl der zu analysierenden Änderungen zu verringern (standardmäßig 1 Minute und nur für den IoE „Login-Beschränkungen für privilegierte Benutzer“).

Tenable Identity Exposure Version 3.68 enthält die folgenden Fehlerkorrekturen:

• Computer können nicht aus dem Grund „Nicht vor Delegierung geschützt“ als Abweichung eingestuft werden. In Tenable Identity Exposure wurden alle bestehenden Abweichungen im Zusammenhang mit diesem Problem behoben.

• Verbesserung eines Indicator of Exposure (IoE) – Im IoE Kerberos-Konfiguration in Benutzerkonto sind Benutzer mit Smartcards immun gegen den AS-REP-Roasting-Angriff und werden von Tenable Identity Exposure nicht länger als Sicherheitsproblem gekennzeichnet.

• Verbesserungen bei Indicators of Attack (IoA):

  • Ermitteln von Passwörtern – Die neue Option „Zeitintervall für Password-Spraying-Erkennung“ gibt die Anzahl der Minuten an, ab der jeder fehlgeschlagene Login-Versuch als potenzieller laufender Angriff klassifiziert wird.

  • Auflistung lokaler Administratoren

    • Die neue Option „Gefilterte Zugriffsrechte im aggressiven Modus“ berücksichtigt nur spezifische Zugriffsrechte, die vom Ereignis „Netzwerkfreigabeobjekt wurde überprüft“ abgerufen werden, als potenziellen laufenden Angriff. Diese Liste gilt nur im aggressiven Modus.

    • Der Standardwert für die Option „Heuristik für Domänencontroller mit Versionen vor Windows Server 2016“ lautet jetzt „Falsch“.

  • DCSync – Der Standardwert für die Option „Unbekannte Quelle zulassen“ lautet jetzt „Falsch“.

  • NTDS-Extrahierung – Neue „Sperrliste“ in „Einfacher Modus“: diskshadow, ntdsutil, esentutl, esentutldefrag mode, vssown, copy-vss, WMI-basierte Methode, psexec_ntds_grab, wmiprvse, vssadmin, vss, impacket-secretsdump, vss_requestor, VeeamGuestHelper, WMI-basierte Methode.

  • Credential Dumping: LSASS-Speicher – Neue „Sperrliste“ in „Einfacher Modus“: mimikatz, taskmgr, ipconfig, arp, powershell, net, auditpol, whoami, cmd, route, processhacker, net1, csc, procdump, osqueryi.

Tenable Identity Exposure Version 3.67 enthält die folgenden Fehlerkorrekturen:

Indicators of Attack (IoA) – Neue Optionen für die folgenden IoAs, um die Anzahl falsch positiver Ergebnisse zu beschränken. Weitere Informationen finden Sie im Referenzhandbuch zu Indicators of Attack.

Hinweis: Ab dieser Version ist für alle IoAs in jedem Sicherheitsprofil die Option „Aggressiver Modus“ standardmäßig auf „Falsch“ festgelegt. Sie können diese Option in einzelnen Sicherheitsprofilen für jeden IoA auf „Wahr“ umstellen.

• Verdächtige Änderung des DC-Passworts – Neue Optionen:

  • „Aggressiver Modus“:

• Wahr: Erkennt den Angriff unabhängig davon, ob der Benutzer authentifiziert ist oder nicht.

• Falsch (Standardeinstellung): Erkennt nur authentifizierte Benutzer.

• „Zeitintervall für Erkennung von Passwortänderungen“: Im „aggressiven Modus“ gibt diese Option den Zeitraum zwischen zwei Passwortänderungen an (standardmäßig 30 Tage).

• DCSync – Neue Option:

• „Aggressiver Modus“:

  • Wahr: Es werden alle Angriffe auf der Grundlage der IoA-Regeln erkannt und gemeldet, wodurch zahlreiche Fehlalarme generiert werden können.

  • Falsch (Standardeinstellung): Erkennt und meldet nur dann einen Angriff, wenn sich der Computer nicht in der Domäne befindet. Dadurch werden weniger Angriffe erkannt, aber falsch positive Ergebnisse vermieden.

Verbesserungen

• Die Berechnungsdauer für RSoP-basierte Indicators of Exposure (Resultant Set of Policy, resultierender Richtliniensatz) wurde optimiert, was dazu führt, dass Abweichungen im Zusammenhang mit dem RSoP langsamer berechnet werden. Weitere Informationen finden Sie unter RSoP-basierte Indicators of Exposure im Tenable Identity Exposure-Benutzerhandbuch.

• In der Verwaltung von Rollenberechtigungen kann jetzt die Sichtbarkeit von Daten für Entra ID-Mandanten eingeschränkt werden.

Tenable Identity Exposure Version 3.66 enthält die folgenden Fehlerkorrekturen:

Indicators of Attack (IoA) – Neue Standardwerte für die folgenden IoAs, um die Anzahl falsch positiver Ergebnisse zu beschränken. Weitere Informationen finden Sie im Referenzhandbuch zu Indicators of Attack.

• Golden Ticket – Neue Option „Aggressiver Modus“:

  • Falsch (einfacher Modus, Standard): Es wird nur dann eine Angriffsmeldung ausgelöst, wenn der Zielbenutzer ein Domänencontroller oder ein Benutzer ist, der zur Gruppe „Domänenadministratoren“ gehört.

  • Wahr: Erkennt und meldet Angriffe auch dann, wenn der Ziel-Benutzername kein Mitglied der Gruppe „Domänenadministratoren“ oder ein Domänencontroller ist. Außerdem werden Angriffe auch dann erkannt und gemeldet, wenn einzelne Domänencontroller nicht überwacht werden (d. h., wenn sie kein Windows-Ereignisprotokoll ausgeben).

• Identitätswechsel bei SAMAccountName – Neue Option „Aggressiver Modus“:

  • Falsch (einfacher Modus, Standard): Es wird keine Angriffsmeldung ausgelöst, wenn TargetUserName kein Domänencontroller (DC) ist.

  • Wahr: Es werden alle Angriffe auf der Grundlage der IoA-Regeln erkannt und gemeldet, wodurch zahlreiche Fehlalarme generiert werden können.

• OS Credential Dumping: LSASS-Speicher – Neue Optionen:

  • „Aggressiver Modus“:

  • Falsch (einfacher Modus, Standard): Der IoA erkennt das Tool und betrachtet nur die vordefinierten Prozesse als nicht legitim.

  • Wahr: Der IoA betrachtet alle Angriffstools als nicht legitim, es sei denn, sie sind in der Zulassungsliste enthalten.

  • „Zulässige Prozesse im aggressiven Modus“: Optional. Gilt nur, wenn die Option „Aggressiver Modus“ = „Wahr“ ist.

  • „Einfacher Modus – Sperrliste“: Im einfachen Modus können nur die angegebenen Tools Angriffe auslösen.

• NTDS-Extrahierung – Neue Optionen:

  • „Aggressiver Modus“:

• Falsch (einfacher Modus, Standard): Der IoA erkennt das Tool und betrachtet nur die vordefinierten Prozesse als nicht legitim.

• Wahr: Der IoA betrachtet alle Angriffstools als nicht legitim, es sei denn, sie sind in der Zulassungsliste enthalten.

• „Einfacher Modus – Sperrliste“: Im einfachen Modus können nur die angegebenen Tools Angriffe auslösen.

• „Einfacher Modus – Angriff durch Prozesse auf der Zulassungsliste“ (vormals „Prozesse auf der Zulassungsliste“): Optional; gilt nur, wenn die Option „Aggressiver Modus“ = „Wahr“ ist.

• Massive Auskundschaftung von Computern – Neue Standardwerte für Optionen:

  • Anzahl an Computern – 5.000

  • Mindestanzahl an Computern – 100

  • Prozentsatz der Computer – 95

  • Anpassbarer Zeitraum – 240

  • Wartezeit zwischen Angriffen – 240

• Ermitteln von Passwörtern – Neuer Standardwert für Option:

  • Anzahl Konten mit fehlgeschlagenen Versuchen – 10.000

• Auflistung lokaler Administratoren – Die Option „Heuristik für Domänencontroller mit Versionen vor Windows Server 2016“ ist jetzt standardmäßig auf „Falsch“ festgelegt.

Indicators of Exposure (IoE)

• Neue IoEs

• Konfiguration des privilegierten Authentifizierungssilos – Stellt eine Schrittanleitung zur Konfiguration eines Authentifizierungssilos für privilegierte Konten (Stufe 0) bereit.

• Mit Microsoft Entra ID synchronisierte privilegierte AD-Benutzerkonten – Überprüft, dass privilegierte Active Directory-Benutzerkonten nicht mit Microsoft Entra ID synchronisiert werden.

• Verbesserungen

  • IoE Gefährliche Kerberos-Delegierung – Führt einen neuen Grund ein, um die aktuelle Konfiguration der Kerberos-Delegierung für ein Microsoft Entra Connect-Konto (AZUREADSSOACC) zu ermitteln.

  • IoE Umkehrbare Passwörter – Validiert Passwörter, die so konfiguriert sind, dass sie in einem umkehrbaren Format gespeichert werden, basierend auf den Einstellungen, die vom Attribut msDS-PasswordReversibleEncryptionEnabled im Passworteinstellungsobjekt (Password Settings Object, PSO) definiert werden.

  • IoE Lokale Administratorkonto-Verwaltung – Stellt eine neue Option namens „Installierte LAPS-Version“ bereit, um die neue Microsoft LAPS-Funktion (Local Administrator Password Solution) zu unterstützen, und validiert die LAPS-Versionskonfiguration basierend auf den vom Benutzer ausgewählten Optionen.

Tenable Identity Exposure Version 3.65 enthält die folgenden Fehlerkorrekturen:

Tenable Identity Exposure Version 3.64 enthält die folgenden Fehlerkorrekturen:

• Indicators of Attack – Die Option „Zulässige Prozesse“ in den Indicators of Attack Credential Dumping: LSASS-Speicher und NTDS-Extrahierung enthält Prozesse, von denen bekannt ist, dass sie Fehlalarme auslösen.

Tenable Identity Exposure Version 3.63 enthält die folgenden Fehlerkorrekturen: