Password-Spray-Angriffe in Microsoft 365 mit Sentinel oder Überwachungsprotokollen erkennen und blockieren

Diese Anleitung zeigt Ihnen, wie Sie Password-Spray-Angriffe in Microsoft 365 erkennen und blockieren. Sie behandelt Strategien, um Protokolle auf Angriffsanzeichen zu überwachen, darunter der Einsatz von Microsoft Sentinel und der Sprache KQL, einheitliche Überwachungsprotokolle, PowerShell zum Aufspüren von Legacy-Authentifizierung sowie das Durchsuchen von Protokollen mit Befehlen, die sich über die Eingabeaufforderung oder mit Tools zur Sicherheitsautomatisierung ausführen lassen.

So erkennen Sie einen Password-Spray-Angriff

Password-Spray-Angriffe sind Brute-Force-Angriffe, bei denen Angreifer:innen versuchen, mit gängigen oder geleakten Passwörtern auf mehrere Konten zuzugreifen. Moderne Authentifizierungsverfahren (etwa MFA) helfen zwar dabei, das zu verhindern, doch Angreifer:innen nutzen häufig Legacy-Authentifizierungsverfahren aus (zum Beispiel einfache E-Mail- und Benutzernamen-Anmeldeinformationen, die für den E-Mail-Zugriff per POP3 verwendet werden) oder Anmeldeportale, um sie in Umgebungen zu umgehen, die noch nicht vollständig auf sicherere Authentifizierungsverfahren umgestellt haben.

Solche Password-Spray-Angriffe lassen sich erkennen, indem Sie Protokolle auf wiederholt fehlgeschlagene Anmeldeversuche und verdächtige Aktivitäten an Endpunkten mit Legacy-Authentifizierung überwachen. Automatisierung ist beim Erkennen und Eindämmen von Password-Spray-Angriffen entscheidend, denn unbefugte Zugriffe müssen sofort blockiert und die Anmeldeinformationen der betroffenen Benutzer:innen erneuert werden.

Zu den zentralen Zielen einer automatisierten Absicherung von Microsoft 365 gegen Password-Spray-Angriffe sollten gehören:

• Muster fehlgeschlagener Anmeldungen über mehrere Konten hinweg erkennen
• Anmeldeversuche von ungewöhnlichen IP-Adressen oder Standorten korrelieren
• Legacy-Authentifizierung blockieren
• Kontosperrungen oder Alarmierungen bei Erkennung automatisieren
• Systeme über Richtlinien, Skripte und Registry-Änderungen härten

Bevor Sie die automatisierte Abwehr von Password Spraying umsetzen können, benötigen Sie:

• Einen Microsoft 365-Mandanten mit aktivierter Überwachung
• Azure Sentinel oder Microsoft 365 Defender Plan 2 (für die erweiterte Suche)
• Ein aktiviertes einheitliches Überwachungsprotokoll in Microsoft Purview
• Administratorzugriff für Microsoft Graph, PowerShell und die GPO-Konfiguration

Endpunktschutz und Automatisierung lassen sich verbessern, indem Sie Ihre Microsoft 365-Bereitstellungen mit Fernwartung und -Verwaltung (RMM) verbinden. So ermöglichen Sie zentrale Überwachung und Alarmierung und automatisieren die Behebung in Ihrer gesamten Infrastruktur.

Password-Spray-Muster mit Microsoft Sentinel und KQL erkennen

Mit der Kusto Query Language (KQL) lässt sich Microsoft Sentinel abfragen, um Verhalten aufzuspüren, das auf Password-Spray-Angriffe hindeutet. Unten sehen Sie eine KQL-Beispielabfrage, die nach mehreren fehlgeschlagenen Anmeldungen mit demselben Passwort sucht:

SigninLogs
| where ResultType == 50053
| summarize Attempts=count() by UserPrincipalName, IPAddress
| where Attempts > 5
KQL-Beispiel 2, Anmeldefehler von derselben IP-Adresse überwachen, die mehrere Benutzer:innen betreffen:
SigninLogs
| where ResultType == 50053 or ResultType == 50126
| summarize CountByIP = count(), AccountsTargeted = dcount(UserPrincipalName) by IPAddress
| where AccountsTargeted > 10 and CountByIP > 30
KQL-Beispiel 3, Bekannte sichere Standorte herausfiltern:
| where Location != "YourSafeLocation"

Mit dieser Abfrage können Sie Sentinel-Analyseregeln einrichten, die Alarmierungen auslösen, sobald Schwellenwerte überschritten werden.

Einheitliche Überwachungsprotokolle von Microsoft 365 in Purview für die schlanke Erkennung nutzen

Aktivieren Sie das einheitliche Überwachungsprotokoll in Microsoft Purview mit dem folgenden Befehl in Exchange Online PowerShell:

Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true

Anschließend können Sie mit diesem Befehl nach fehlgeschlagenen Anmeldeversuchen suchen:

Search-UnifiedAuditLog -StartDate (Get-Date).AddHours(-1) -EndDate (Get-Date) -Operations UserLoggedIn |
Where-Object { $_.AuditData.ResultStatus -eq „Failed“ }

Mit Analysetools lassen sich diese Einträge dann mit IP-Adressen und Häufigkeiten korrelieren, um Angriffsversuche abzuleiten und diese Quellen zu blockieren. Dafür können Sie die Protokolldaten im Format .csv exportieren:

Export-Csv -Path "C:\Logs\M365_LoginFailures.csv" -NoTypeInformation

Legacy-Authentifizierung mit PowerShell aufspüren (häufig bei Password-Spray-Versuchen)

Password-Spray-Angriffe zielen häufig auf Legacy-Protokolle wie POP, IMAP und SMTP ab. Diese Protokolle sind in Microsoft 365 zwar veraltet, doch manche Unternehmen haben sie weiterhin aktiviert oder betreiben angebundene Infrastruktur mit veralteten, unsicheren Authentifizierungstechnologien. Legacy-E-Mail-Authentifizierung erkennen Sie mit dem folgenden Befehl in Exchange Online PowerShell:

Get-SignInLogs | Where-Object { $_.ClientAppUsed -in @(„IMAP“, „POP“, „SMTP“, „MAPI“, „Exchange ActiveSync“) } |
Select-Object UserPrincipalName, ClientAppUsed, IPAddress

Um diese Verfahren anschließend für bestimmte Benutzer:innen zu deaktivieren:

Set-CASMailbox [email protected] -ImapEnabled $false -PopEnabled $false -MAPIEnabled $false -SmtpClientAuthenticationDisabled $true

Legacy-Protokolle per GPO blockieren und Kontosperrung erzwingen

Neben dem Schutz von Microsoft 365 vor Password Spraying können Sie auch Endpunkte vor wiederholten Anmeldeversuchen schützen, und zwar mit Gruppenrichtlinien in einer Windows-Domänenumgebung. So nutzen Sie Gruppenrichtlinien, um die Durchsetzung auf Betriebssystemebene in hybriden Umgebungen zu unterstützen:

• Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole
• Navigieren Sie zu Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kontosperrungsrichtlinie
• Setzen Sie den Kontosperrungsschwellenwert auf 5 ungültige Versuche
• Setzen Sie die Kontosperrdauer auf 15 Minuten

Mit wevtutil durchsuchen Sie die Sicherheitsprotokolle nach fehlgeschlagenen Anmeldeversuchen, wahlweise automatisiert über Skriptbereitstellung oder RMM-Lösungen:

wevtutil qe Security „/q:*[System[(EventID=4625)]]“ /c:20 /f:text

Sie können außerdem moderne Authentifizierung erzwingen und die Standardauthentifizierung als Rückfallebene in Outlook per Gruppenrichtlinie deaktivieren, indem Sie den folgenden Registry-Wert „AlwaysUseMSOAuthForAutoDiscover“=dword:00000001 im Registry-Schlüssel unter HKEY_CURRENT_USER\Software\Microsoft\Exchange bereitstellen.

Fehlerbehebung sowie weitere Tipps und Tools zur Erkennung

Damit Ihre Schutzmaßnahmen gegen Password Spraying in Microsoft 365 zuverlässig greifen, sollten Sie Folgendes sicherstellen:

• Die Erfassung des einheitlichen Überwachungsprotokolls ist aktiviert.
• Vertrauenswürdige IP-Adressen oder Regionen sind in den Sentinel-Abfragen auf die Whitelist gesetzt, um Fehlalarme zu reduzieren, während Anmeldungen aus weit entfernten Ländern, aus denen Sie niemals einen Anmeldeversuch erwarten würden, direkt blockiert werden.
• Bedingter Zugriff blockiert Legacy-Authentifizierung und entsprechende Apps, statt darauf zu vertrauen, dass die Benutzer:innen selbst umstellen.
• Die Zeiträume der KQL-Abfragen werden erweitert und die Schwellenwert-Variablen so angepasst, dass verdächtiges Verhalten erfasst wird.
• Benutzerkonten werden bei hohem Anmelderisiko automatisiert gesperrt.

Erfolgreiche Password-Spray-Angriffe verhindern Sie, indem Sie MFA für alle Benutzer:innen in Ihrer gesamten IT-Infrastruktur einführen. Zugriffe durch Dritte sollten Sie zudem regelmäßig überprüfen, damit ungenutzte Dienstkonten entfernt oder ihre Berechtigungen angepasst werden können. Endbenutzer:innen sollten außerdem regelmäßig zu Best Practices in Cybersicherheit und Datenhandhabung geschult werden (etwa zum Erkennen verdächtiger Anmeldeaufforderungen und Phishing-Versuche), damit Ihr Unternehmen geschützt und compliant bleibt.

So reduziert NinjaOne RMM Ihre Angriffsfläche für Password Spraying und andere Angriffe

Password Spraying zielt auf schwache Anmeldewege ab. Fernwartung und -Verwaltung (RMM) von NinjaOne unterstützt Techniker:innen deshalb dabei, endpunktbezogene Risiken zu senken: durch das Entfernen veralteter Software, das Durchsetzen sicherer Konfigurationen, die Überwachung definierter Gerätezustände und die Automatisierung freigegebener Behebungsaufgaben.

Mit NinjaOne RMM können Techniker:innen Skripte bereitstellen, die veraltete Software deinstallieren, die sich womöglich mit überholten Authentifizierungsverfahren bei Microsoft 365 anmelden will. Teams können zudem über Richtlinien sichere Standardkonfigurationen auf allen verwalteten Geräten durchsetzen und Skripte ausführen, um Probleme im großen Maßstab zu beheben.

NinjaOne RMM kann Techniker:innen alarmieren, sobald verwaltete Geräte konfigurierte Bedingungen erfüllen, und hilft ihnen so, Probleme an Endpunkten zu erkennen und darauf zu reagieren. Die Lösung arbeitet außerdem mit Identitäts- und Sicherheitstools zusammen und stärkt so die gesamte Sicherheitslage verwalteter Windows-, macOS- und Linux-Endpunkte.