Ungewöhnliche Anmeldezeiten als Indikator für Sicherheitsvorfälle
Cyberangriffe erfolgen häufig zu Zeiten, in denen IT-Abteilungen nur eingeschränkt besetzt sind. Besonders nachts, an Wochenenden oder außerhalb der regulären Geschäftszeiten versuchen Angreifer, kompromittierte Benutzerkonten für unbemerkte Zugriffe auf Unternehmenssysteme zu nutzen.
Der ISACA Use Case B28 – Anmeldungen außerhalb der Geschäftszeiten adressiert genau dieses Risiko. Ziel ist es, erfolgreiche Benutzeranmeldungen zu erkennen, die außerhalb eines definierten Zeitfensters stattfinden, und diese als potenziell sicherheitsrelevante Ereignisse zu melden.
Mit dem Open-Source-Security-Monitoring-System Wazuh lässt sich dieser Anwendungsfall durch individuelle Erkennungsregeln für Windows- und Linux-Systeme umsetzen.
Zielsetzung des Use Cases
Der Use Case B28 dient der Identifikation ungewöhnlicher Anmeldeaktivitäten, die auf kompromittierte Benutzerkonten, unbefugte Zugriffe oder den Missbrauch legitimer Zugangsdaten hinweisen können.
Dabei werden erfolgreiche Anmeldungen mit den festgelegten Geschäftszeiten eines Unternehmens abgeglichen.
Im vorliegenden Szenario gelten folgende Rahmenbedingungen:
- Reguläre Geschäftszeiten: Montag bis Freitag, 06:00 bis 20:00 Uhr
- Außerhalb der Geschäftszeiten: Montag bis Freitag, 20:00 bis 06:00 Uhr
- Wochenenden: Samstag und Sonntag gelten vollständig als außerhalb der Geschäftszeiten
- Windows-Systeme: Überwachung interaktiver Anmeldungen, einschließlich Remote Desktop
- Linux-Systeme: Überwachung erfolgreicher SSH-Anmeldungen
Die definierten Geschäftszeiten können individuell an die betrieblichen Anforderungen des jeweiligen Unternehmens angepasst werden.
Technische Umsetzung mit Wazuh
Für die Umsetzung des Use Cases werden drei spezifische Wazuh-Regeln eingesetzt. Diese analysieren bereits erfasste Authentifizierungsereignisse und lösen bei entsprechenden Anmeldungen einen Sicherheitsalarm aus.
Die Regeln basieren auf Windows-Security-Events sowie Linux-SSH-Logs und ergänzen die bereits vorhandenen Erkennungsmechanismen von Wazuh.
Download der ISACA-Wazuh-Regeln
Die Erkennungsregeln für den ISACA Use Case B28 stehen als Teil einer öffentlich zugänglichen Wazuh-Regelsammlung auf GitHub zur Verfügung.
Das Ruleset kann kostenlos heruntergeladen und in eine bestehende Wazuh-Installation integriert werden.
ISACA Wazuh Ruleset herunterladen (isaca_rules.xml)
Die XML-Datei enthält die entsprechenden Erkennungsregeln und dient als Grundlage für die Implementierung verschiedener ISACA-Anwendungsfälle innerhalb einer Wazuh-Umgebung.
Nach dem Download können die benötigten Regeln in die lokale Wazuh-Konfiguration übernommen werden, beispielsweise in eine eigene Regeldatei unter /var/ossec/etc/rules/.
Vor der produktiven Aktivierung sollten die Geschäftszeiten, vorhandene Ausnahmen und die Kompatibilität mit der eingesetzten Wazuh-Version überprüft werden. Anschließend können die Regeln getestet und durch einen Neustart des Wazuh-Managers aktiviert werden.
Regel 712280 – Windows-Anmeldungen außerhalb der Geschäftszeiten
Die erste Regel überwacht erfolgreiche interaktive Windows-Anmeldungen zwischen 20:00 und 06:00 Uhr.
Grundlage ist die Windows Event-ID 4624, die eine erfolgreiche Anmeldung dokumentiert.
Berücksichtigt werden ausschließlich folgende Anmeldetypen:
| Logon Type | Bedeutung |
|---|---|
| 2 | Interaktive Anmeldung, beispielsweise direkt an einer Workstation |
| 10 | RemoteInteractive, beispielsweise über Remote Desktop Protocol (RDP) |
| 11 | CachedInteractive, Anmeldung mit zwischengespeicherten Zugangsdaten |
Durch die Einschränkung auf diese Anmeldetypen werden typische Netzwerk- und Dienstanmeldungen nicht berücksichtigt. Zusätzlich schließt die Regel Benutzernamen aus, die mit einem Dollarzeichen ($) enden. Dadurch werden insbesondere klassische Windows-Computerkonten herausgefiltert.
Wird eine entsprechende Anmeldung außerhalb des Zeitfensters erkannt, erzeugt Wazuh einen Alarm mit Severity Level 7.
Die Alarmbeschreibung enthält den Benutzernamen, das betroffene System, den Anmeldetyp sowie die Quell-IP-Adresse, sofern diese im Ereignis vorhanden ist.
Regel 712281 – Windows-Anmeldungen am Wochenende
Die zweite Regel erweitert die Überwachung auf Samstage und Sonntage.
Während Regel 712280 die Uhrzeit berücksichtigt, verwendet Regel 712281 die Wazuh-Bedingung:
<weekday>weekends</weekday>
Damit können erfolgreiche interaktive Windows-Anmeldungen unabhängig von der Uhrzeit am Wochenende erkannt werden.
Dies ist insbesondere relevant, wenn Unternehmenssysteme normalerweise nur an Werktagen genutzt werden.
Regel 712282 – Linux-SSH-Anmeldungen außerhalb der Geschäftszeiten
Neben Windows-Systemen berücksichtigt der Use Case auch Linux-Server.
Hierfür wird die Wazuh-Basisregel 5715 verwendet, die erfolgreiche SSH-Authentifizierungen erkennt.
Die zusätzliche Regel 712282 prüft, ob die Anmeldung zwischen 20:00 und 06:00 Uhr erfolgt.
Bei einer Übereinstimmung wird ein Alarm erzeugt, der insbesondere folgende Informationen bereitstellt:
- Benutzerkonto, mit dem die Anmeldung erfolgt ist
- Quell-IP-Adresse der SSH-Verbindung
- Zeitpunkt des Zugriffs
- Zugeordnetes Wazuh-System und Sicherheitslevel
Damit lassen sich ungewöhnliche administrative Zugriffe auf Linux-Systeme frühzeitig identifizieren.
Hinweis: Im dargestellten Ruleset ist für Linux ausschließlich die zeitbasierte Überwachung implementiert. Eine zusätzliche Regel für SSH-Anmeldungen am Wochenende ist nicht enthalten. Für eine vollständige Umsetzung der beschriebenen Geschäftszeiten sollte diese ergänzt werden.
Zuordnung zum MITRE ATT&CK Framework
Die Erkennungsregeln sind der MITRE-ATT&CK-Technik T1078 – Valid Accounts zugeordnet.
Diese Technik beschreibt den Missbrauch legitimer Benutzerkonten durch Angreifer.
Ein Angreifer kann beispielsweise durch Phishing oder Credential Theft an gültige Zugangsdaten gelangen und diese anschließend verwenden, um sich an Unternehmenssystemen anzumelden.
Da die Anmeldung technisch erfolgreich und mit gültigen Zugangsdaten erfolgt, wird sie von klassischen Mechanismen zur Erkennung fehlgeschlagener Anmeldeversuche möglicherweise nicht erfasst.
Die Analyse ungewöhnlicher Anmeldezeiten liefert deshalb einen zusätzlichen Indikator für potenziell kompromittierte Konten.
Beispiel eines möglichen Sicherheitsvorfalls
Ein Mitarbeiter meldet sich normalerweise montags bis freitags zwischen 08:00 und 17:00 Uhr an seinem Arbeitsplatz an.
Am Dienstag um 02:34 Uhr wird jedoch eine erfolgreiche RDP-Anmeldung mit seinem Benutzerkonto auf einem internen Windows-Server registriert.
Wazuh erkennt dabei folgende Merkmale:
| Merkmal | Erkannter Wert |
|---|---|
| Ereignis | Windows Event-ID 4624 |
| Benutzer | max.mustermann |
| Anmeldetyp | 10 (RDP) |
| Zeitpunkt | Dienstag, 02:34 Uhr |
| Quell-IP | 192.168.10.45 |
| Wazuh-Regel | 712280 |
| Alarmlevel | 7 |
| MITRE ATT&CK | T1078 – Valid Accounts |
Da die Anmeldung außerhalb der definierten Geschäftszeiten erfolgt, wird ein Sicherheitsalarm ausgelöst.
Das Security Operations Center (SOC) kann anschließend überprüfen, ob es sich um einen autorisierten Zugriff, eine geplante Wartungsmaßnahme oder möglicherweise um eine unberechtigte Anmeldung handelt.
Bewertung und Behandlung der Alarme
Nicht jede Anmeldung außerhalb der Geschäftszeiten stellt automatisch einen Sicherheitsvorfall dar.
Insbesondere Administratoren, Bereitschaftsdienste oder Mitarbeiter mit flexiblen Arbeitszeiten können legitime Gründe für entsprechende Zugriffe haben.
Deshalb ist eine kontextbezogene Bewertung der erzeugten Alarme erforderlich.
Für die Analyse können beispielsweise folgende Informationen herangezogen werden:
- Ist der Zugriff für das betroffene Benutzerkonto üblich?
- Stammt die Anmeldung von einer bekannten oder ungewöhnlichen Quell-IP-Adresse?
- Existiert eine genehmigte Wartungsmaßnahme?
- Wurden kurz vor oder nach der Anmeldung weitere auffällige Aktivitäten festgestellt?
- Handelt es sich um ein privilegiertes Benutzerkonto?
Durch die Korrelation mit weiteren Sicherheitsereignissen können verdächtige Anmeldungen gezielter untersucht und Fehlalarme reduziert werden.
Besonderheiten bei der Implementierung
Bei der produktiven Umsetzung sind einige technische Aspekte zu berücksichtigen.
Zeitzone: Die zeitbasierte Auswertung orientiert sich an der Zeitzone des Wazuh-Managers. Bei international verteilten Standorten müssen Zeitverschiebungen entsprechend berücksichtigt werden.
Kundenspezifische Geschäftszeiten: Die Zeitfenster sollten an Schichtmodelle, Bereitschaftsdienste und individuelle Arbeitszeitregelungen angepasst werden.
Servicekonten: Die Windows-Regeln schließen Konten mit einem abschließenden $ aus. Andere Dienstkonten mit abweichenden Namenskonventionen werden dadurch nicht automatisch ausgeschlossen.
Vollständigkeit der Überwachung: Das vorliegende Ruleset erfasst Windows-Anmeldungen nachts und am Wochenende, Linux-SSH-Anmeldungen jedoch nur nachts. Außerdem sollte die zeitliche Abdeckung der Regelgrenzen im produktiven Betrieb getestet werden.
Alarmqualität: Da sämtliche Regeln mit Level 7 arbeiten, empfiehlt sich eine zusätzliche Priorisierung besonders kritischer Systeme und privilegierter Konten.
Fazit
Der ISACA Use Case B28 bietet eine wirkungsvolle Möglichkeit, ungewöhnliche Authentifizierungsaktivitäten innerhalb einer IT-Infrastruktur sichtbar zu machen.
Durch die Kombination aus Windows-Sicherheitsereignissen und Linux-SSH-Logs lassen sich erfolgreiche Anmeldungen außerhalb definierter Geschäftszeiten automatisiert erkennen und im zentralen Security Monitoring auswerten.
Die Zuordnung zur MITRE-ATT&CK-Technik T1078 unterstützt dabei die strukturierte Einordnung potenzieller Angriffsaktivitäten.
Der wesentliche Mehrwert liegt in der frühzeitigen Erkennung des möglichen Missbrauchs legitimer Benutzerkonten, insbesondere zu Zeiten, in denen ungewöhnliche Zugriffe ansonsten möglicherweise unbemerkt bleiben.
Die benötigten Erkennungsregeln stehen über das öffentlich verfügbare ISACA Wazuh Ruleset auf GitHub zur Verfügung und können als Ausgangspunkt für die Implementierung in bestehende Wazuh-Umgebungen genutzt werden.
In Verbindung mit einer kundenspezifischen Konfiguration, ergänzenden Korrelationsregeln und einer strukturierten Alarmbearbeitung stellt dieser Use Case einen wichtigen Baustein für ein kontinuierliches Security Monitoring dar.