Penetrationstest für Cloud und Microsoft 365
In der Cloud wird selten der Anbieter angegriffen, sondern fast immer die eigene Konfiguration. Microsoft betreibt das Rechenzentrum – wer welche Rechte hat, welche Anmeldung ohne zweiten Faktor durchgeht, welcher Gastzugang seit zwei Jahren besteht und welches Protokoll nach 30 Tagen gelöscht wird, entscheiden Sie. Genau das prüfen wir.
- Identitäten und Rollen in Entra ID: privilegierte Zuweisungen, dauerhafte statt zeitlich begrenzte Rechte
- Bedingter Zugriff: Regeln, ihre Lücken und die Ausnahmen, die niemand mehr kennt
- Anwendungen und Dienstprinzipale mit zu weit gefassten Berechtigungen
- Gastzugänge und externe Freigaben in SharePoint und Teams
- Exchange Online: Weiterleitungen, Postfachrechte, Absenderprüfung mit SPF, DKIM und DMARC
- Azure-Ressourcen: Netzarchitektur, Speicher, Schlüsselverwaltung, öffentliche Endpunkte
- Protokollierung und Aufbewahrung – reicht sie, um einen Vorfall aufzuklären?
Was wir prüfen
- Identitäten und Rollen in Entra ID: privilegierte Zuweisungen, dauerhafte statt zeitlich begrenzte Rechte
- Bedingter Zugriff: Regeln, ihre Lücken und die Ausnahmen, die niemand mehr kennt
- Anwendungen und Dienstprinzipale mit zu weit gefassten Berechtigungen
- Gastzugänge und externe Freigaben in SharePoint und Teams
- Exchange Online: Weiterleitungen, Postfachrechte, Absenderprüfung mit SPF, DKIM und DMARC
- Azure-Ressourcen: Netzarchitektur, Speicher, Schlüsselverwaltung, öffentliche Endpunkte
- Protokollierung und Aufbewahrung – reicht sie, um einen Vorfall aufzuklären?
Was wir dabei typischerweise finden
Ausnahmen im bedingten Zugriff
Eine Regel verlangt Mehr-Faktor-Anmeldung, eine Ausnahme davon gilt für Dienstkonten, und in dieser Ausnahme steht auch das Konto der Geschäftsführung. Solche Ausnahmen entstehen unter Zeitdruck und werden nie zurückgenommen.
Stille Weiterleitungen
Eine Regel im Postfach leitet Nachrichten an eine externe Adresse weiter. Sie stammt aus einem übernommenen Konto und läuft seit Monaten unbemerkt.
Protokolle, die zu kurz aufbewahrt werden
Der Vorfall wird nach acht Wochen bemerkt, die Protokolle reichen 30 Tage zurück. Die Aufklärung endet, bevor sie beginnt.
Was Sie dafür bereitstellen
- Ein Konto mit Leserechten auf die Konfiguration – für die Prüfung genügt lesender Zugriff
- Die Liste der Mandanten und Abonnements, die zum Prüfumfang gehören
- Kenntnis darüber, welche Anwendungen produktiv angebunden sind
- Bei Azure: Freigabe im Rahmen der Testrichtlinien des Anbieters
Häufige Fragen
Darf man Microsoft 365 überhaupt testen?
Ja, im Rahmen der Testrichtlinien des Anbieters. Geprüft wird ohnehin nicht die Plattform selbst, sondern Ihre Konfiguration – Identitäten, Rechte, Regeln und Freigaben. Diese Prüfung ist unkritisch und für Microsoft nicht von normaler Verwaltung zu unterscheiden.
Ist das dasselbe wie ein Secure-Score-Bericht?
Nein. Der Secure Score bewertet, ob eine Einstellung gesetzt ist. Wir prüfen, ob sie im Zusammenspiel mit allen anderen Einstellungen tatsächlich wirkt – ob also eine Ausnahme, ein Dienstprinzipal oder eine Legacy-Anmeldung sie wieder aufhebt. Genau diese Kombination sieht ein Punktestand nicht.
Wir nutzen auch Google Workspace oder AWS.
Kein Problem – die Fragen sind dieselben, nur die Begriffe unterscheiden sich: Identitäten, Rollen, öffentliche Endpunkte, Schlüsselverwaltung, Protokollierung. Nennen Sie im Scoping die eingesetzten Plattformen, dann nehmen wir sie in den Prüfumfang auf.
Wie hängt das mit unserem lokalen Active Directory zusammen?
Meist eng. Synchronisierte Identitäten verbinden beide Welten, und ein Angriff auf die eine kann in die andere führen. Wir prüfen den Übergang deshalb ausdrücklich mit, wenn beides im Einsatz ist.
Quellen und weiterführende Informationen
- BSI: Durchführungskonzept für Penetrationstests (Studie)
- OWASP Top 10 – die häufigsten Web-Schwachstellen
- FIRST: Common Vulnerability Scoring System (CVSS)
Zuletzt aktualisiert am · Inhaltlich verantwortlich: Christian Renkes, Geschäftsführer der Nica Systems GmbH.
Kontakt
Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr
Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.