Credential Dumping: Erkennung und Abwehr für Blue Teams

Credential Dumping ist eine der folgenreichsten Techniken, die ein Eindringling nach dem ersten Zugriff ausfuehren kann, denn gestohlene Geheimnisse verwandeln einen einzigen kompromittierten Host in laterale Bewegung, Rechteausweitung und schliesslich domaenenweite Kontrolle. Dieser Artikel richtet sich an Verteidiger. Er erklaert, was Credential Dumping ist, wie es konzeptionell funktioniert und — vor allem — wie Sie das Verhalten in Ihrer Telemetrie erkennen und Ihre Umgebung so haerten, dass die Technik laut, teuer oder unmoeglich wird. Es gibt hier keine operativen Angriffsrezepte; das Ziel ist, die Bedrohung gut genug zu verstehen, um sie zu besiegen.

Was Credential Dumping wirklich ist

Credential Dumping (abgebildet auf MITRE ATT&CK T1003, OS Credential Dumping) ist das Extrahieren von Kontomaterial — Passwort-Hashes, Klartextpasswoerter, Kerberos-Tickets oder Authentifizierungstoken — aus den Orten, an denen ein Betriebssystem sie zur Laufzeit oder im Ruhezustand speichert. Unter Windows sind die kanonischen Ziele der Speicher des LSASS-Prozesses, die lokale SAM-Datenbank, zwischengespeicherte Domaenen-Anmeldedaten und in Active Directory die Replikationsschnittstelle eines Domaenencontrollers. Unter Linux und macOS umfassen die Aequivalente /etc/shadow, Keyrings und Prozessspeicher. Das Verstaendnis dieser Speicherorte ist der erste Verteidigungsschritt: Sie koennen nicht ueberwachen, was Sie nicht inventarisiert haben.

Wie die Technik auf hoher Ebene funktioniert

Moderne Betriebssysteme halten Authentifizierungsmaterial im Speicher, damit Benutzer nicht fuer jede Netzwerkressource erneut aufgefordert werden — das ermoeglicht Single Sign-on. Ein Angreifer mit ausreichenden Rechten missbraucht diesen Komfort, indem er den Prozess oder die Datenbank mit dem Material liest und daraus nutzbare Geheimnisse rekonstruiert. Konzeptionell gibt es drei Familien: das Lesen des aktiven Prozessspeichers (etwa des Speichers des Authentifizierungs-Subsystems), das Lesen von On-Disk-Speichern und ihren Schutzschluesseln sowie den Missbrauch legitimer Replikations- oder Sicherungsprotokolle, um die Geheimnisse ueber eine unterstuetzte Schnittstelle anzufordern. In jedem Fall braucht der Angreifer zuerst erhoehte Rechte — ein entscheidender Punkt fuer die Verteidigung: Anmeldedatendiebstahl ist eine Post-Exploitation-Aktivitaet, sodass Kontrollen gegen Rechteausweitung die Gefaehrdung direkt verringern.

Die Angriffsflaeche: wo Anmeldedaten liegen

Kartieren Sie Ihre Gefaehrdung nach Speicherort. Der LSASS-Speicher haelt interaktive und zwischengespeicherte Anmeldedaten auf jedem Windows-Host, an dem sich privilegierte Benutzer angemeldet haben. Die SAM- und SYSTEM-Hives halten lokale Konto-Hashes. LSA-Secrets bewahren Dienstkonto-Passwoerter und zwischengespeicherte Geheimnisse auf. Auf Domaenencontrollern legen die NTDS.dit-Datenbank und die Verzeichnisreplikationsschnittstelle jede Domaenen-Anmeldung offen. Sicherungen davon — VM-Snapshots, Schattenkopien, ungeschuetzte NTDS.dit-Exporte — sind ebenso gefaehrlich. Schliesslich werden Passwortmanager, Browser-Tresore und Konfigurationsdateien mit Token oder Verbindungszeichenfolgen zunehmend angegriffen, weil sie weniger Rechte erfordern als der LSASS-Zugriff. Ein Verteidiger sollte jeden davon als ueberwachtes Asset behandeln.

Erkennung: Signale in Ihrer Telemetrie

Die Erkennung konzentriert sich auf das Zugriffsmuster, nicht auf den Werkzeugnamen, denn Werkzeuge aendern sich staendig. Aktivieren und weiterleiten sollten Sie unter Windows Folgendes. Sysmon Event ID 10 (ProcessAccess) ist das wertvollste Signal: Alarmieren Sie bei jedem Prozess, der ein Handle auf lsass.exe mit Zugriffsmasken oeffnet, die Speicherlesevorgaenge erlauben (etwa 0x1010, 0x1410), besonders von untypischen Aufrufern. Erstellen Sie eine Baseline der legitimen LSASS-Leser in Ihrer Umgebung — eine kleine Menge an Sicherheits- und Systemprozessen — und behandeln Sie alles andere als verdaechtig.

Ergaenzen Sie das mit Sysmon Event ID 11 (FileCreate) fuer auf die Platte geschriebene Dump-Dateien mit LSASS-typischer Groesse, Event ID 4656/4663 (Objektzugriff) auf die SAM- und SECURITY-Registry-Hives und Event ID 4688 (Prozesserstellung mit Befehlszeilenpruefung) zum Erfassen bekannter Dumping-Werkzeuge und ihrer Argumente. Fuer den Missbrauch der Active-Directory-Replikation (DCSync) ist das entscheidende Signal Windows-Sicherheits-Event ID 4662, bei dem ein Prinzipal, der kein Domaenencontroller ist, die durch die Control-Access-GUIDs fuer DS-Replication-Get-Changes und DS-Replication-Get-Changes-All gekennzeichneten Replikationsrechte anfordert. Legitime Replikation stammt immer nur von Domaenencontrollern, daher ist jede andere Quelle ein starker Indikator.

EDR-Plattformen ergaenzen die Verhaltensabdeckung: Handle-Open-Telemetrie zu LSASS, ungewoehnliche Eltern-Kind-Prozessketten, In-Memory-Lesevorgaenge aus dem Authentifizierungs-Subsystem und Zugriff auf den Schattenkopiedienst zum Erfassen gesperrter Hives. Unter Linux achten Sie auf Lesevorgaenge von /etc/shadow durch nicht als root laufende Prozesse, ptrace-Anhaenge an Authentifizierungsdienste und unerwartete Nutzung von Speicherpruefwerkzeugen. Korrelieren Sie Credential-Access-Alarme mit vorausgehenden Rechteausweitungs- und Lateral-Movement-Ereignissen; Credential Dumping tritt selten allein auf, und die umgebende Sequenz erhoeht die Zuversicht und senkt Fehlalarme.

Bauen Sie Ihre Erkennungen auf bestaendigen Indikatoren auf statt auf fragilen. Zugriff auf lsass.exe, Anforderungen von Verzeichnisreplikationsrechten und Lesevorgaenge der SAM- und SECURITY-Hives sind Verhaltensweisen, die ein Angreifer nicht vermeiden kann, wenn er das Material will, und altern daher als Erkennungslogik gut. Datei-Hashes, Prozessnamen und Befehlszeilenzeichenfolgen lassen sich dagegen trivial aendern und sollten als schwache Anreicherung behandelt werden, niemals als primaeres Signal. Setzen Sie nach Moeglichkeit Honeytoken-Konten ein — Koeder-Konten mit privilegierten Anmeldedaten, die kein legitimer Prozess je verwendet — sodass jede Authentifizierung oder jedes Lesen ihres Geheimnisses ein eindeutiger, hochpraeziser Alarm ist. Leiten Sie all diese Signale in ein zentrales SIEM mit einer Aufbewahrungsfrist, die lang genug ist, um eine Angriffs-Zeitachse zu rekonstruieren, denn Anmeldedatendiebstahl wird oft erst Wochen nach dem ersten Zugriff entdeckt, und eine kurze Log-Aufbewahrung loescht genau die Beweise, die Sie brauchen.

Denken Sie auch an die Gegenmassnahmen des Angreifers gegen Ihre Sichtbarkeit: das Loeschen von Ereignisprotokollen, das Anhalten von Sensoren oder das Manipulieren von Agenten sind selbst Erkennungsmoeglichkeiten. Ueberwachen Sie Event ID 1102 (Loeschung des Sicherheitsprotokolls), das Stoppen von Sysmon- oder EDR-Diensten und Aenderungen an deren Konfiguration, und leiten Sie Protokolle in nahezu Echtzeit an einen zentralen Sammler weiter, damit lokale Manipulation die Beweise nicht mehr erreicht. Eine luecken- oder manipulationssichere Protokollpipeline ist selbst eine Verteidigungsschicht gegen Anmeldedatendiebstahl.

Minderung und Haertung

Beginnen Sie damit, das Material zu entfernen, das Angreifer wollen. Aktivieren Sie Credential Guard (virtualisierungsbasierte Sicherheit), damit LSASS-Geheimnisse in einem geschuetzten Container isoliert werden, den gewoehnlicher Code nicht lesen kann. Schalten Sie LSASS als Protected Process Light (PPL) mit RunAsPPL ein, sodass nur signierte, geschuetzte Prozesse es oeffnen koennen. Deaktivieren Sie das WDigest-Klartext-Caching (auf modernen Builds bereits aus) und loeschen Sie zwischengespeicherten Klartext, wo Alteinstellungen fortbestehen.

Verringern Sie, wo privilegierte Anmeldedaten ueberhaupt offengelegt werden. Fuehren Sie ein gestuftes Administrationsmodell ein, damit sich Domaenen-Admin-Anmeldedaten nie an Arbeitsstationen oder Servern anmelden, an denen sie geerntet werden koennen. Nutzen Sie Windows LAPS, um lokale Administratorpasswoerter zu randomisieren und zu rotieren, und beseitigen Sie das gemeinsame lokale Passwort, das SAM-Diebstahl wertvoll macht. Verlangen Sie Mitgliedschaft in der Gruppe Geschuetzte Benutzer und Authentifizierungsrichtlinien-Silos fuer hochwertige Konten, um Anmeldedaten-Caching zu verhindern und die Authentifizierungsorte zu beschraenken. Erzwingen Sie phishing-resistente MFA, damit ein gestohlener Hash oder ein Passwort allein nicht ausreicht. Speziell fuer DCSync: pruefen und minimieren Sie, welche Prinzipale Verzeichnisreplikationsrechte halten, und alarmieren Sie, wenn sich diese Zugriffsmenge aendert.

Ergaenzen Sie Anwendungssteuerung (WDAC oder AppLocker), um unsignierte Werkzeuge zu blockieren, beschraenken Sie Debug- und Sicherungsrechte (SeDebugPrivilege, SeBackupPrivilege) auf die minimale Kontenmenge und schuetzen Sie Schattenkopie- und Sicherungsschnittstellen. Rotieren Sie das krbtgt-Kontopasswort planmaessig und nach jedem vermuteten Vorfall, da es die Integritaet von Kerberos-Tickets untermauert. Jede dieser Kontrollen hebt die Rechtehuerde oder entfernt den Anreiz und verkleinert das Fenster, in dem Dumping ueberhaupt moeglich ist.

Haeufige Fallstricke und blinde Flecken

Der haeufigste Fehler ist das Alarmieren auf Werkzeugnamen oder Datei-Hashes statt auf Verhalten; das Umbenennen einer Binaerdatei umgeht das voellig, verankern Sie Erkennungen also am Zugriffsmuster auf LSASS und auf Replikationsrechte. Ein zweiter blinder Fleck ist das Weiterleiten von Logs ohne Baselining — LSASS wird legitim von Antivirus und Systemprozessen gelesen, und ohne eine abgestimmte Allowlist ertrinkt der ProcessAccess-Alarm im Rauschen und wird ignoriert. Drittens aktivieren Teams Credential Guard auf neuen Laptops, vergessen aber Server und Domaenencontroller und lassen die wertvollsten Hosts ungeschuetzt. Viertens werden Sicherungen und VM-Snapshots von Domaenencontrollern oft mit schwaecheren Kontrollen gespeichert als die Live-Systeme und bieten einen Offline-Pfad zu NTDS.dit. Vernachlaessigen Sie schliesslich nicht Nicht-Windows- und Cloud-Identitaetsspeicher; Token in Konfigurationsdateien und Cloud-Metadatendiensten sind zunehmend das weichste Ziel.

Checkliste fuer Verteidiger

Nutzen Sie dies als Haertungs- und Erkennungsbaseline. 1. Credential Guard auf allen unterstuetzten Endpunkten, Servern und Domaenencontrollern aktivieren. 2. LSASS als PPL konfigurieren (RunAsPPL). 3. Sysmon bereitstellen und bei Event ID 10 Handle-Oeffnungen zu lsass.exe alarmieren, an bekannte Leser angeglichen. 4. Bei Event ID 4662 Replikationsrechte-Zugriff von Nicht-Domaenencontroller-Quellen alarmieren. 5. SAM/SECURITY-Hive-Zugriff (4656/4663) und Dump-Datei-Erstellung (Event ID 11) pruefen. 6. Windows LAPS bereitstellen und kein gemeinsames lokales Admin-Passwort bestaetigen. 7. Gestufte Administration und Geschuetzte Benutzer fuer privilegierte Konten umsetzen. 8. Phishing-resistente MFA erzwingen. 9. Konten mit Replikations-, Debug- und Sicherungsrechten minimieren. 10. DC-Sicherungen und Schattenkopien schuetzen und ueberwachen. 11. krbtgt regelmaessig rotieren. 12. Credential-Access-Alarme mit Rechteausweitungs- und Lateral-Movement-Telemetrie korrelieren.

FAQ

Reicht es allein, LSASS-Lesevorgaenge zu deaktivieren? Keine einzelne Kontrolle genuegt. Credential Guard und PPL heben die Huerde drastisch, aber entschlossene Eindringlinge weichen auf On-Disk-Hives, Replikationsmissbrauch oder Token-Diebstahl aus. Tiefenverteidigung — Isolation, geringste Rechte, gestufte Administration, MFA und Verhaltenserkennung zusammen — macht Anmeldedatendiebstahl fuer einen Angreifer unzuverlaessig.

Wie unterscheide ich einen echten Dumping-Versuch von legitimem LSASS-Zugriff? Erstellen Sie eine Baseline: identifizieren Sie die kleine Menge signierter Sicherheits- und Systemprozesse, die LSASS legitim oeffnen, und alarmieren Sie dann bei allem ausserhalb dieser Allowlist, gewichtet nach angeforderter Zugriffsmaske und Abstammung des aufrufenden Prozesses. Die Korrelation mit nahegelegenen Rechteausweitungsereignissen senkt Fehlalarme deutlich und bestaetigt die Absicht.

Fazit

Credential Dumping ist gerade deshalb gefaehrlich, weil es eine Kompromittierung in viele verwandelt, aber es ist auch hoch erkennbar und weitgehend vermeidbar, sobald Sie verstehen, wo Anmeldedaten liegen und wie der Zugriff in der Telemetrie aussieht. Isolieren Sie Geheimnisse mit Credential Guard und PPL, entfernen Sie den Anreiz mit LAPS und gestufter Administration, erzwingen Sie phishing-resistente MFA und instrumentieren Sie LSASS-Zugriff und Replikationsrechte, damit abnormaler Zugriff sofort auffaellt. Verstehen Sie die Technik, um sich dagegen zu verteidigen — und machen Sie Anmeldedatendiebstahl zum lautesten, teuersten Schritt im Weg eines Angreifers statt zum einfachsten.