Hinweis für Ihr Sicherheitsteam

DirectoryOps in Defender und EDR

Die Risikobewertung liest viel aus Ihrem Active Directory. Hier steht, warum ein EDR das melden kann, was DirectoryOps dagegen tut und wie Ihr SOC Meldungen eng abstimmt, ohne Schutz abzuschalten.

Warum Defender meldet

Angreifer lesen ein Active Directory, bevor sie zuschlagen. Deshalb beobachten EDR- und ITDR-Produkte LDAP-Abfragen genau:

Microsoft Defender for Endpoint sieht auf dem Admin-Arbeitsplatz, welcher Prozess welchen LDAP-Filter schickt. Filter, die genau so in bekannten Angriffswerkzeugen stehen, führen zu Meldungen wie „Suspicious LDAP query“, egal wie das Programm heißt.
Microsoft Defender for Identity sieht die Abfragen am Domain Controller und lernt, was für ein Gerät normal ist. Liest ein Gerät zum ersten Mal die ganze Domäne, kann zum Beispiel „Security principal reconnaissance (LDAP)“ folgen. Die Lernphase dauert laut Microsoft 15 Tage pro Computer.
Andere Prüfwerkzeuge mit ähnlichem Umfang, etwa PingCastle oder Purple Knight, lesen ebenfalls umfassend und können in der Praxis ähnliche Meldungen auslösen. Ein solcher Alert bei einem angekündigten Prüflauf ist also kein Sonderfall.

Was DirectoryOps tut

In Arbeit

Mit der nächsten Version liest die Risikobewertung „leise“: einen Schnappschuss des Verzeichnisses mit wenigen generischen, seitenweisen LDAP-Suchen (1000 Objekte je Seite). Alle 130 Regeln wertet DirectoryOps danach lokal auf Ihrem Arbeitsplatz aus. Gezielte Filter, wie Angriffswerkzeuge sie schicken, gehen nicht mehr über die Leitung.

Alle LDAP-Suchen einer Risikobewertung
Was	Filter
Benutzer, Computer, Gruppen, Dienstkonten, OUs der Domäne	`(&(objectCategory=person)(objectClass=user))`, `(objectCategory=computer)`, `(objectCategory=group)`, `(\|(objectCategory=msDS-GroupManagedServiceAccount)(objectCategory=msDS-ManagedServiceAccount))`, `(objectCategory=organizationalUnit)`
Domänenkopf und Container: oberste Ebene, System, GPOs, Kennwortrichtlinien, fremde Sicherheitsprinzipale, Domain Controller	`(objectClass=*)`
Konfiguration: Verzeichnisdienst, Papierkorb, KDS-Stammschlüssel (nur Name und Datum), Standorte, Subnetze	`(objectClass=*)`
PKI: Zertifikatvorlagen, Zertifizierungsstellen, OIDs, aufgelistet wie in ADSI Edit	`(objectClass=*)`
Schema: nur die Attributnamen	`(objectClass=attributeSchema)`
Einzelne Objekte und ihre Berechtigungen (nur Besitzer und DACL, nie SACL)	`(objectClass=*)`

Nie: bitweise userAccountControl-Filter, servicePrincipalName=*, adminCount=1, Delegationsfilter, sIDHistory=* oder (objectClass=pKICertificateTemplate). Keine Kennwörter, keine LAPS-, BitLocker- oder gMSA-Geheimnisse, keine PowerShell, kein SMB oder RPC zu Clients, keine Kerberos-Tickets. LDAP nur zu Domain Controllern, signiert und verschlüsselt.

Vor der ersten Bewertung je Domäne zeigt DirectoryOps den Hinweis für Ihr Sicherheitsteam. Mit „Text für das SOC kopieren“ erhalten Sie eine fertige Nachricht mit Prozess, Arbeitsplatz, Konto und Zeitfenster.

Was trotzdem gemeldet werden kann

Leise heißt nicht unsichtbar. Verhaltensbasierte Erkennung kann das Lesen weiter melden, vor allem:

Defender for Identity in der Lernphase, wenn ein Arbeitsplatz zum ersten Mal die ganze Domäne liest
das Lesen sicherheitsrelevanter Attribute und Berechtigungen, etwa von AdminSDHolder, Tier-0-Gruppen und PKI-Objekten
das Auflisten der PKI-Container, auch ohne den typischen Filter

Bei einem angekündigten Lauf ordnet Ihr SOC solche Alerts als „Informational, expected activity“ ein und stimmt dann eng ab, wie unten beschrieben.

Abstimmen, nicht abschalten

Keine Antivirus-Ausnahmen für Pfade oder Prozesse. Eine Pfadausnahme auf einem Admin-Arbeitsplatz öffnet genau den Ordner, den ein Angreifer nutzen würde.
Immer mehrere Merkmale zusammen: Prozess, Herausgeber oder Hash und der Admin-Arbeitsplatz bzw. dessen Gerätegruppe. Ein Pfad allein reicht nie.
Lieber automatisch auflösen als verstecken, damit Treffer nachvollziehbar bleiben. Regeln nach dem Pilotlauf prüfen.

Defender XDR: Alert tuning

Alert tuning (früher „alert suppression“) ist der empfohlene Weg für Alerts aus Defender for Endpoint und für Defender-for-Identity-Alerts im Defender-Format.

Im Microsoft Defender-Portal Settings > Microsoft Defender XDR > Alert tuning öffnen und Add new rule wählen. Alternativ im Alert selbst Tune alert wählen und die Regel auf diesen Alerttyp beschränken.
Unter Select service sources Microsoft Defender for Endpoint und Microsoft Defender for Identity wählen.
Unter Conditions mit AND verknüpfen: Datei bzw. Prozess DirectoryOps.exe, Herausgeber TOMORIS GmbH (bei einer unsignierten Vorabversion der SHA-256-Hash) und der Admin-Arbeitsplatz. Für Defender-for-Identity-Alerts, die keinen Prozess kennen: Quellgerät und Konto.
Unter Action Resolve alert wählen. Hide alert gibt es nur für Defender for Endpoint und verbirgt mehr als nötig.
Einen sprechenden Namen und einen Kommentar mit Ihrer Ticketnummer eintragen und mit Save speichern.

Microsoft beschreibt das Vorgehen unter Tune an alert. Wie die Bedingung für den Herausgeber im Editor genau heißt, kann je nach Portalstand abweichen.

Defender for Identity

Microsoft empfiehlt auch hier Alert tuning. Ausnahmen wirken nur auf Alerts im klassischen Format; nach dem Umzug einer Erkennung auf Defender XDR gelten sie nicht mehr. Wenn Sie sie trotzdem brauchen:

System > Settings > Identities > Excluded entities öffnen, dann Exclusions by detection rule.
Die Erkennung wählen, etwa Security principal reconnaissance (LDAP), dann Excluded entities und Exclude devices.
Den Admin-Arbeitsplatz eintragen, nicht das Konto. Ein ausgenommenes Konto wäre auf jedem Gerät blind. Global excluded entities nicht verwenden.

Quelle: Detection exclusions in Microsoft Defender XDR.

Defender for Endpoint: Indikatoren

Ein Indikator „Allow“ ist nur nötig, wenn Defender DirectoryOps blockiert. Gegen LDAP-Alerts hilft er nicht: Laut Microsoft wirkt Allow auf Antivirus und automatische Untersuchung, nicht auf Verhaltensalarme.

Settings > Endpoints > Indicators, dann Add indicator. Für das Zertifikat von TOMORIS die Indikatorart Certificates (Datei .cer oder .pem, nur das Blattzertifikat).
Ablaufdatum setzen und den Geltungsbereich auf die Gerätegruppe der Admin-Arbeitsplätze beschränken. Erst nach Klärung einer Fehlerkennung durch Microsoft wieder entfernen.
Voraussetzung: Microsoft Defender Antivirus im aktiven Modus mit Cloud-Schutz. Änderungen können bis zu drei Stunden dauern.

Quellen: Create indicators based on certificates, Overview of indicators.

Andere EDR

Für CrowdStrike Falcon, SentinelOne und andere gilt sinngemäß dasselbe. Die Bezeichnungen unterscheiden sich je Hersteller; bitte in der jeweiligen Konsole prüfen.

Bevorzugt: Unterdrückung oder Ausnahme für die konkrete Erkennung, eingegrenzt auf Prozess DirectoryOps.exe, Herausgeber TOMORIS GmbH bzw. SHA-256 und die Host-Gruppe der Admin-Arbeitsplätze.
Vermeiden: Ausnahmen, die die Sichtbarkeit des Sensors abschalten, reine Pfadausnahmen und Ausnahmen von der Malware-Erkennung.
ITDR am Domain Controller: das Quellgerät abstimmen, nicht das Konto.

Herausgeber oder Hash

Release-Pakete sind digital von TOMORIS GmbH signiert und mit einem Zeitstempel versehen. Prüfen Sie den Status Valid und den Herausgeber. Regeln stützen sich am besten auf diesen Herausgeber; er bleibt über Updates gleich. Bei einer älteren unsignierten Laborversion verwenden Sie den SHA-256-Hash der Datei zusammen mit dem Arbeitsplatz. Jede neue Version hat einen neuen Hash.

Get-FileHash 'C:\Program Files\TOMORIS\DirectoryOps\DirectoryOps.exe' -Algorithm SHA256
Get-AuthenticodeSignature 'C:\Program Files\TOMORIS\DirectoryOps\DirectoryOps.exe' |
  Select Status, SignerCertificate

Text für das SOC

Die App füllt diesen Text mit echten Werten (Text für das SOC kopieren). Als Vorlage zum Anpassen:

Deutsch

Betreff: Angekündigte Verzeichnisabfragen durch DirectoryOps (Risikobewertung, nur lesend)

Hallo,

wir führen mit DirectoryOps eine Risikobewertung unseres Active Directory durch. Die Bewertung liest nur;
Microsoft Defender for Endpoint bzw. Defender for Identity kann die Verzeichnisabfragen dennoch als
Aufklärung melden (z. B. „Suspicious LDAP query“). Bitte ordnen Sie Meldungen mit den folgenden Merkmalen
als erwartete Aktivität ein.

Prozess:            DirectoryOps.exe
Herausgeber:        TOMORIS GmbH (bei einer unsignierten Vorabversion SHA-256: <SHA-256>)
Installationspfad:  C:\Program Files\TOMORIS\DirectoryOps\DirectoryOps.exe
Admin-Arbeitsplatz: <COMPUTERNAME>
Konto:              <DOMÄNE\Konto>
Domäne / DC:        <domäne> / <domain-controller>
Zeitfenster:        <von> – <bis> (<Zeitzone>)
Ansprechpartner:    <Name, Telefon, E-Mail>

Was DirectoryOps tut: Es liest nur, mit generischen, seitenweisen LDAP-Suchen, und wertet die Regeln lokal
auf dem Admin-Arbeitsplatz aus. Keine Kennwörter, keine LAPS-, BitLocker- oder gMSA-Geheimnisse, keine
PowerShell, kein SMB/RPC zu Clients, keine Kerberos-Tickets. LDAP mit Signierung und Verschlüsselung, nur zu
Domain Controllern.

Eine dauerhafte Regel bitte eng fassen: Prozess mit Signatur bzw. Hash, dieser Arbeitsplatz, dieses Konto.
Anleitung für SOC-Teams: https://directoryops.tomoris.com/hilfe/defender/

Englisch

Subject: Announced directory reads by DirectoryOps (risk assessment, read-only)

Hello,

we are running a risk assessment of our Active Directory with DirectoryOps. The assessment is read-only;
Microsoft Defender for Endpoint or Defender for Identity may still report the directory reads as
reconnaissance (e.g. "Suspicious LDAP query"). Please treat alerts matching the details below as
expected activity.

Process:            DirectoryOps.exe
Publisher:          TOMORIS GmbH (for an unsigned pre-release SHA-256: <SHA-256>)
Install path:       C:\Program Files\TOMORIS\DirectoryOps\DirectoryOps.exe
Admin workstation:  <COMPUTERNAME>
Account:            <DOMAIN\account>
Domain / DC:        <domain> / <domain controller>
Time window:        <from> – <to> (<time zone>)
Contact:            <name, phone, e-mail>

What DirectoryOps does: it is read-only, uses generic paged LDAP searches and evaluates the rules locally
on the admin workstation. No passwords, no LAPS, BitLocker or gMSA secrets, no PowerShell, no SMB/RPC to
clients, no Kerberos tickets. LDAP with signing and sealing, to domain controllers only.

Please scope any permanent rule narrowly: process with signature or hash, this workstation, this account.
Guide for SOC teams: https://directoryops.tomoris.com/hilfe/defender/

Fragen Ihres SOC beantworten wir gern: contact@tomoris.com.