White-Box-Pentest von Azure, Entra ID und AD für einen Gasnetzbetreiber mit 1.500 Benutzern

Ausgangslage

Ein regionaler Gasnetzbetreiber mit rund 1.500 Benutzern betreibt eine hybride Umgebung aus Active Directory, Entra ID und mehreren Azure Landing Zones. Als Betreiber kritischer Infrastruktur brauchte er eine belastbare Aussage, wie weit ein Angreifer mit einem gewöhnlichen Konto in dieser Umgebung käme. WCS führte dazu einen White-Box-Pentest durch, also einen Test mit vollem Einblick in Architektur und Konfiguration. Weil keine Zeit für die Erkundung der Umgebung verloren geht, konzentriert sich ein solcher Test auf die Wege, die tatsächlich zu kritischen Rechten führen.

Vorgehen

Vor dem Test wurden Scope, Testzeitraum und Zugänge festgelegt und die Architektur- und Berechtigungskonzepte gesichtet. Geprüft wurde dann aus der Perspektive regulärer Benutzer- und Dienstkonten:

• Entra ID und Azure RBAC: Rollen und Berechtigungen, Szenarien zur Rechteausweitung (Privilege Escalation), die Trennung der Landing Zones und die wirksamen Policies.
• Active Directory: Angriffspfade über ACLs, Delegationen und verschachtelte Gruppen bis in die höchste Administrationsebene (Tier 0), Schwächen in Kerberos und die Credential-Hygiene von Dienstkonten.
• Übergänge zwischen AD und Entra ID, insbesondere Entra Connect und die Synchronisationskonten.

Ergebnis

Der Test ergab 5 kritische und 10 hohe Befunde. Welche Schwachstellen das im Einzelnen sind, bleibt vertraulich. Jeder Befund ist nach Ausnutzbarkeit und Risiko bewertet und mit einer priorisierten Empfehlung versehen, sodass das interne Team mit den Punkten beginnen kann, die einen Angreifer am schnellsten weiterbringen würden.

Der Abschlussbericht enthält eine Management-Summary für die Geschäftsführung und die technischen Details für den Betrieb. In einer Ergebnisvorstellung hat WCS die Befunde mit beiden Seiten durchgesprochen. Die gesamte Prüfung dauerte einen Monat.