Mobile-Menu

Techniken zur Umgehung der Exfiltrations-Erkennung in OneDrive und Sharepoint Varonis Threat Labs findet Lücken zum Datendiebstahl in SharePoint

Von Thomas Joos 1 min Lesedauer

Anbieter zum Thema

FTAPI Software GmbH

Sicherheitsforscher bei Varonis Threat Labs haben zwei Möglichkeiten identifiziert, wie Angreifer Audit-Protokolle umgehen und Downloads von SharePoint verheimlichen können. Das sind die Hintergründe dazu.

Angreifer können mit Tricks Audit-Protokolle umgehen und Downloads von SharePoint verheimlichen. Sicherheitsexperten empfehlen Zugriffsereignisse genau zu prüfen und ZTugriffsrechte streng zu kontrollieren.(Bild: spyarm - stock.adobe.com)
Angreifer können mit Tricks Audit-Protokolle umgehen und Downloads von SharePoint verheimlichen. Sicherheitsexperten empfehlen Zugriffsereignisse genau zu prüfen und ZTugriffsrechte streng zu kontrollieren.
(Bild: spyarm - stock.adobe.com)

Die Sicherheitsforscher bei Varonis Threat Labs haben zwei Techniken gefunden, mit denen Angreifer oder auch Anwender Sicherheitseinstellungen bei SharePoint umgehen können. Diese Methoden ermöglichen es, herkömmliche Erkennungs- und Durchsetzungspolitiken zu umgehen, indem sie Downloads als weniger verdächtige Zugriffs- und Synchronisationsereignisse tarnen.

Organisationen nutzen SharePoint und OneDrive zur Dateiverwaltung, was jedoch komplex sein kann und oft zu breit gefächerten Zugriffsberechtigungen führt. Fehlkonfigurationen und übermäßige Berechtigungen können dazu führen, dass bis zu 10 Prozent der Cloud-Daten eines Unternehmens für alle Mitarbeiter zugänglich sind.

Technik #1: „Open in App“

Diese Methode nutzt die Funktion „in Anwendung öffnen“, um Dateien zu extrahieren, während nur ein Zugriffsereignis im Audit-Log verzeichnet wird. Diese Technik kann manuell oder automatisiert über ein PowerShell-Skript ausgeführt werden, was eine schnelle Exfiltration vieler Dateien ermöglicht.

Technik #2: OneDriveSync User-Agent

Die zweite Technik verwendet den User-Agent für Microsoft OneDriveSync, um Dateien oder sogar ganze Sites herunterzuladen, während die Ereignisse fälschlicherweise als Dateisynchronisationen statt als Downloads gekennzeichnet werden.

Offenlegung und Empfehlungen

Varonis hat diese Methoden im November 2023 an Microsoft gemeldet. Microsoft hat diese Techniken als „moderates“ Sicherheitsrisiko eingestuft und in ihr Patch-Backlog-Programm aufgenommen. Varonis empfiehlt Organisationen, Zugriffsereignisse genau zu prüfen, um ungewöhnliche Zugriffsaktivitäten zu erkennen. Dazu zählen ungewöhnliche Zugriffsmengen, neue Geräte oder geografische Standorte.

Um verdeckte Aktivitäten zu erkennen, sollten Sicherheitsteams die Erkennungsregeln anpassen, um auch Synchronisations­ereignisse einzubeziehen. Verhaltensmuster, wie die Häufigkeit und das Volumen der Synchronisations­aktivitäten eines Nutzers, die verwendeten Geräte und ungewöhnliche geografische Standorte, sollten analysiert werden, um Anomalien zu identifizieren, die auf eine Manipulation der Synchronisations­ereignisse hindeuten könnten. Durch die Anpassung der Erkennungsmethoden können Organisationen besser auf Sicherheitsrisiken reagieren und Datenexfiltration effektiv verhindern.

(ID:50003237)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte