SR Labs Developed Open Source Product
SIEM Honey Pot
Open-Source-Honeypot auf Basis von Certiception für Active Directory Certificate Services. Eine als Köder angelegte Zertifikatsvorlage löst bei jedem Missbrauchsversuch einen Alert mit hoher Erkennungssicherheit aus.
Die Lösung im Überblick
SIEM Honey Pot platziert einen Köder in Active Directory Certificate Services, um Angreifer zu erkennen, die laterale Bewegungen oder eine Rechteausweitung versuchen. Auf Basis von SRLabs Certiception wird eine scheinbar ausnutzbare Zertifikatsvorlage bereitgestellt. TameMyCerts blockiert den Missbrauchsversuch, während die zugehörigen Ereignisse an Ihr bestehendes SIEM übermittelt werden. Die Bereitstellung umfasst eine getestete Alarmierung und eine dokumentierte Übergabe.
Ihr Handlungsbedarf
Ihre ADCS-Umgebung braucht gezielte Detection
Laterale Bewegungen und Rechteausweitung
Angreifer, die bereits im Netzwerk sind, können Zertifikatsdienste ausnutzen, ohne verlässliche Alerts auszulösen.
Alert-Qualität
Viele Fehlalarme erschweren es Analysten, die Aktivitäten zu erkennen, die tatsächlich Aufmerksamkeit erfordern.
ADCS-Monitoring
Bei Zertifikatsdiensten fehlen häufig die Ereigniserfassung und Detections, die verdächtige Aktivitäten sichtbar machen.
Zielgruppe
Für Security- und Betriebsteams
Für Organisationen mit Active Directory Certificate Services, einem bestehenden SIEM und einem SOC-Prozess zur Untersuchung von Alerts.
CISO oder SOC-Leitung
Eine gezielte Detection für versuchte laterale Bewegungen und Rechteausweitungen über ADCS.
AD/PKI-Team
Eine geprüfte Bereitstellung mit klarer PKI-Verantwortung und dokumentierten Schutzeinstellungen.
SIEM-Team oder SOC
Konfigurierte Detection Rules und eine getestete Alarmierung mit dokumentierten Bearbeitungshinweisen.
Unsere Leistungen
Ein bereitgestellter Honeypot mit validierter Alarmierung
Das Bereitstellungspaket zum Festpreis umfasst eine AD-Umgebung, eine Honey CA und ein unterstütztes SIEM.
- Voraussetzungen prüfen — Wir prüfen Infrastruktur, Zugriffe, Ereignisweiterleitung und betriebliche Zuständigkeiten.
- Eingang der erforderlichen Ereignisse prüfen — Wir prüfen, ob TameMyCerts Event ID 6 und Windows Event ID 4886 im SIEM ankommen.
- End-to-End-Test durchführen — Wir prüfen die vollständige Kette: Interaktion, blockierte Anfrage, Ereignis und SIEM-Alert.
- Certiception bereitstellen — Wir richten Honey CA, Honey Template, TameMyCerts und erweitertes Audit Logging ein.
- Sigma Rules konvertieren und konfigurieren — Wir konvertieren und konfigurieren die Detection Rules für die vereinbarte SIEM-Plattform.
- Dokumentation und Übergabe — Wir dokumentieren die Bereitstellung, die Bearbeitung der Alerts und die PKI-Verantwortung.
- Verhindern der initialen Kompromittierung
- ADCS-/AD-Härtung oder Assessments
- SIEM-Implementierung
- 24/7-Monitoring und Incident Response
- Umfassende Deception-Plattformen
- Zusätzlicher Leistungsumfang
Unsere Vorgehensweise
Von der Prüfung der Voraussetzungen bis zum getesteten Alert
-
Wir prüfen die ADCS-Umgebung, die Ereignisweiterleitung und die von Ihnen bereitgestellten Zugriffe.
-
Wir installieren Honey CA, Honey Template und das schützende Policy-Modul.
-
Wir prüfen die Ereignisübermittlung und konfigurieren die SIEM-Regeln.
-
Wir bestätigen, dass der Missbrauchsversuch blockiert wird und den erwarteten Alert auslöst.
-
Wir dokumentieren die Bearbeitung der Alerts, die Schutzeinstellungen und die PKI-Verantwortung.
Detection-Ansatz
Eine Ködervorlage mit Schutz und gezielter Alarmierung
Honey CA und Honey Template
Eine Zertifikatsvorlage, die für einen Angriff nach dem ESC1-Muster ausnutzbar erscheint.
TameMyCerts
Ein Policy-Modul, das den Missbrauchsversuch blockiert.
SIEM-Alert
Die relevanten Ereignisse lösen einen Alert mit hoher Erkennungssicherheit zur Untersuchung durch das SOC aus.
Technologiepartner
Gezielte Deception, angebunden an Ihr bestehendes SIEM
Die Bereitstellung nutzt SRLabs Certiception und bindet die Alarmierung an ein unterstütztes SIEM an. Laufendes Monitoring kann separat vereinbart werden.
Häufige Fragen
Gut zu wissen, bevor wir starten
Sie benötigen Active Directory mit ADCS, einen in die Domäne eingebundenen Windows-Server, die erforderlichen Berechtigungen und Konten, eine Change-Freigabe und eine für die PKI verantwortliche Person. Ihr SIEM muss die relevanten Ereignisse bereits empfangen. Für die Bearbeitung der Alerts muss eine verantwortliche Person im SOC benannt sein.
Die Bereitstellung nutzt TameMyCerts, um den Missbrauchsversuch zu blockieren. Im Abnahmetest werden der Schutz und die Alarmierung überprüft. Spätere PKI-Änderungen müssen die geprüfte Konfiguration erhalten.
Nein. Das Paket umfasst Bereitstellung, Tests und Übergabe. Ihr SOC bearbeitet die Alerts. Alternativ kann separates Monitoring über Aiuken oder Infigo vereinbart werden.
Sprechen wir über Ihren nächsten Schritt
Erzählen Sie uns von Ihrer ADCS-Umgebung. Gemeinsam klären wir den Leistungsumfang und ob SIEM Honey Pot zu Ihren Detection-Anforderungen passt.