Die US-Behörde für Cybersicherheit und Infrastruktur-Sicherheit (CISA) hat zwei parallele Red-Team-Übungen veröffentlicht, die sich an jeweils unterschiedlichen Organisationen aus kritischen Infrastrukturbereichen richteten. Dabei nutzten die Tester nach eigenen Angaben vergleichbare Vorgehensweisen, beobachteten jedoch drastisch unterschiedliche defensive Ergebnisse. Genau hier liegt der Kern der Meldung: Die CISA-Red-Team Erkennung hängt nicht nur von Tools ab, sondern vor allem von Prozessen, Zuständigkeiten und Zusammenarbeit.
In beiden Fällen gelang es dem Red Team auf Domänenebene vollständig Fuß zu fassen. Außerdem erreichten die Teams sensible Business Systems (SBSs) und Cloud-Ressourcen. Der Unterschied bestand jedoch darin, wie schnell das SOC reagierte, ob Warnungen durch echte und falsche Signale überdeckt wurden und wie konsequent die Ausbreitung gestoppt werden konnte.
Zwei parallele Red-Team-Assessments, ähnliche Taktik
CISA veröffentlichte die Ergebnisse als Advisory mit der Kennung AA26-237A und dem Titel „A Tale of Two SOCs“. Die Veröffentlichung erfolgte am 25. August 2026. Die erste Zielorganisation wurde nur als Einheit aus dem Government Services and Facilities Sector bezeichnet (Organisation A). Die zweite Organisation stammte aus dem Water and Wastewater Systems Sector (Organisation B).
Wichtig für das Verständnis der Aussagekraft: CISA beschreibt, dass beide Assessments gleichzeitig durchgeführt wurden und auf ähnlicher Tradecraft-Basis beruhten. Gerade diese Vergleichbarkeit macht die Unterschiede in den Resultaten so aussagekräftig.
Organisation A: Kompromittierung ohne erkennbare Gegenwehr
Bei Organisation A verlief der Einstieg besonders reibungslos. Das Red Team fand zunächst eine Webanwendung, die für mehrere integrierte Konten mit Standardanmeldedaten betrieben wurde. Dadurch konnte das Team Phishing-E-Mails von einer internen Absenderadresse versenden und damit auf vier Workstations landen.
Im nächsten Schritt gelang die Eskalation der Berechtigungen. Das Team nutzte dafür eine Standardkonfiguration der Machine Account Quota sowie eine fehlerhaft konfigurierte Active-Directory-Certificate-Services-(AD CS)-Vorlage. CISA ordnet diese Schwachstelle in die Klasse ein, die mit ESC1 bezeichnet wird. Als Kontext nennt die Behörde zudem die grundlegende Idee hinter einem kürzlich offengelegten Domain-Takeover-Ansatz namens Certighost.
Danach drang das Red Team in drei sensitive Business Systems vor. Entscheidend war dabei, dass Credentials im Klartext gespeichert waren. Zu den gefundenen Artefakten zählten entschlüsselte Konfigurationsdateien für Datenbanken sowie statische AWS-Zugriffsschlüssel, die laut CISA niemals ablaufen.
Auch in der Cloud arbeitete das Team aktiv weiter. Es stahl einen Primary Refresh Token und missbrauchte zudem Entra-ID-Anwendungen mit erhöhten Rechten. Diese Anwendungen konnten unter anderem die E-Mail der Sicherheitsgruppe lesen und überprüfen, ob die Verteidiger die laufenden Aktivitäten bereits bemerkten.
Das zentrale Ergebnis: Organisation A erkannte keine der Aktivitäten. Laut CISA führten tausende Fehlalarme aus dem normalen Geschäftsbetrieb dazu, dass die von den Red-Teams erzeugten Warnungen im Rauschen untergingen. Hinzu kam, dass viele dieser Alerts mit hoher Priorität geratet waren.
Als weitere Hürden nennt CISA, dass die Organisation mehrere SOCs sowie Endpoint-Tools mit fehlender gemeinsamer Sicht betrieb. Zudem fehlten eindeutige Eskalationsverfahren und das Personal hatte nur begrenzte Entscheidungs- und Handlungsbefugnisse. Sogar ein realer Hinweis, der das Red-Team-Verhalten auf einem System Center Configuration Manager (SCCM)-Server betraf, wurde als Fehlalarm abgetan. Der Grund: Die Verteidiger konnten den Systeminhaber nicht identifizieren.
Organisation B: Frühe Detektion und Eindämmung der Ausbreitung
Bei Organisation B war das Bild deutlich anders. Das Red Team nutzte zwar den gleichen allgemeinen Angriffsstil, doch das SOC erkannte die Phishing-Nachladen bereits beim Ausführen. CISA berichtet, dass betroffene Workstations innerhalb von 2 bis 20 Minuten isoliert wurden. Dadurch wurden Command-and-Control-(C2)-Kommunikationen unterbrochen, bevor sich der Angriff ausweiten konnte.
Da die anfängliche Zugriffsmöglichkeit damit gekappt wurde, wechselte CISA das Vorgehensmodell. Statt den ursprünglich gewonnenen Zugang weiter auszunutzen, ließen „vertrauenswürdige Agenten“ der Organisation auf einem vordefinierten, nicht privilegierten Host einen Red-Team-Payload laufen, um den Zugriff nachvollziehbar zu simulieren. Damit wurde der Einsatz zu einem „assume-breach“-Ansatz verschoben.
Auch in dieser Organisation fanden die Tester später die gleichen grundlegenden Schwachstellenklassen. Dazu gehörten wiederum Credentials im Klartext, diesmal etwa für ein Domain-Service-Konto in einer SCCM-Konfiguration. Dieses Konto besaß Rechte, die bis über den Domain Controller reichten. Im Anschluss führte das Team einen DCSync-Angriff durch und konnte den krbtgt-Geheimschlüssel abrufen.
Darüber hinaus gelang es dem Red Team, einen Bastion-Host im OT-demilitarized-zone-(OT-DMZ)-Umfeld zu erreichen. Laut CISA blockierte der Host jedoch den Outbound-Internetzugriff. Dadurch kam kein tragfähiger C2-Kanal zustande, und die Tester gingen nicht in die OT-Systeme selbst.
Welche Schwachstellen CISA als Treiber nennt
Um zu erklären, warum die Angriffe erfolgreich waren (zumindest in Teilen), listet CISA mehrere konkrete Schwächen als Hauptenabler auf. Für die Kompromittierung in Organisation A und als zugrunde liegende Probleme auch bei Organisation B nennt die Behörde insbesondere:
- Machine Account Quota blieb in der Standardeinstellung, sodass Domänenbenutzer Maschinenkonten hinzufügen konnten.
- AD CS-Zertifikatsvorlagen waren fehlerhaft konfiguriert, sodass Zertifikatsanfragen von praktisch jedem Benutzer möglich waren (ESC1).
- Klartext-Credentials für Service- und Datenbankkonten lagen auf erreichbaren Systemen.
- Statische Cloud-Access-Keys ohne Ablaufdatum, ohne wirksame Token-Revocation.
- Überprivilegierte Entra-ID-Anwendungen, die E-Mails über alle Nutzer hinweg auslesen konnten.
Die gemeinsame Linie: Selbst wenn eine frühe Phase gestoppt wird, können andere Teilbereiche der Umgebung durch falsche Konfigurationen weiterhin angreifbar bleiben. Genau deshalb ist die Kombination aus technischer Härtung und operativer Reife so entscheidend.
Warum die Ergebnisse so stark auseinanderliefen
CISA betont, dass der Unterschied zwischen den beiden Ausgangslagen nicht primär auf die eingesetzten Tools zurückzuführen ist. Stattdessen liege die Erklärung in den Menschen und Prozessen, die die Sicherheitswerkzeuge betreuen.
Die Kernaussage der Behörde lautet sinngemäß: Erkennungstechnik ist nur so gut wie die organisatorischen Strukturen, Abläufe und Verantwortlichkeiten, die dahinterstehen. Das zeigt sich in Organisation A besonders deutlich: Fehlalarme überlagerten die relevanten Signale, fehlende Sicht über mehrere SOCs erschwerte die Bewertung, und unklare Eskalationswege verhinderten ein konsequentes Handeln.
Bei Organisation B hingegen funktionierte der operative Teil: Das SOC erkannte die Nutzdaten aus dem Phishing-Vektor beim Ausführen, isolierte die betroffenen Systeme zügig und unterband damit eine weitere Ausbreitung. Selbst wenn das Red Team später zusätzliche Schwächen ausnutzen konnte, führte die frühe Eindämmung zu einer deutlich kontrollierteren Lage.
Praktische Lehren aus „A Tale of Two SOCs“
Aus der CISA-Analyse lassen sich mehrere Handlungsfelder ableiten, die unabhängig vom konkreten Angriffsszenario relevant bleiben. Erstens lohnt es sich, die Qualität der Alert-Triage zu prüfen: Wenn normale Betriebsaktivitäten zu vielen Fehlalarmen mit hoher Priorität führen, leidet die CISA-Red-Team Erkennung im Ernstfall.
Zweitens sollte eine durchgängige Sicht über SOCs, Endpoint-Werkzeuge und Teams hinweg etabliert werden. Wer nur in Teilbereichen Informationen sieht, kann Ereignisse oft zu spät oder gar nicht in einen Gesamtzusammenhang bringen.
Drittens braucht es klare Eskalationsregeln und ausreichende Handlungsbefugnisse. Wenn ein Hinweis auf einen potenziell relevanten Prozess als Fehlalarm endet, weil Zuständigkeiten unklar sind, bleibt der organisatorische Sicherheitskreis zu löchrig.
Schließlich unterstreicht der Bericht den Wert technischer Hygiene: Standardkonfigurationen wie bei Machine Account Quota, fehlerhafte AD-CS-Vorlagen oder statische Cloud-Credential-Setups erhöhen die Angriffsfläche erheblich. Auch wenn operative Teams schnell handeln, dürfen die Grundlagen nicht zu schwach bleiben.
Fazit
CISA-„A Tale of Two SOCs“ macht eindrucksvoll sichtbar, wie unterschiedlich die Verteidigung bei ähnlicher Angriffstechnik ausfallen kann. Während Organisation A trotz Kompromittierung auf Domänenebene keine relevanten Aktivitäten bemerkte, konnte Organisation B die Ausbreitung früh stoppen und die Situation kontrollierter halten. Die zentrale Botschaft für Sicherheitsverantwortliche lautet: CISA-Red-Team Erkennung ist weniger eine Frage einzelner Tools, sondern vor allem eine Frage von Prozessen, Zuständigkeiten, Triage und gemeinsamer Sicht.
Quelle: https://thehackernews.com/2026/08/cisa-red-team-compromised-two-critical.html
