Nie verwendete privilegierte Benutzerkonten sind anfällig für Kompromittierungen, da sie von Abwehrmaßnahmen häufig nicht erkannt werden. Darüber hinaus sind sie aufgrund ihrer Standardpasswörter ein bevorzugtes Ziel für Angreifer.

<ul>
<li>Dieser IoE funktioniert aufgrund von Datenverfügbarkeitsbeschränkungen von Microsoft nur mit einer Microsoft Entra ID-P1- oder -P2-Lizenz.*</li>
</ul>
Ein nie verwendeter Benutzer ist ein in Entra ID erstelltes Benutzerkonto, das seit einer bestimmte Anzahl von Tagen (standardmäßig 90 Tage, Wert kann angepasst werden) seit seiner Erstellung nie erfolgreich authentifiziert wurde.
Diese Benutzerkonten vergrößern aus verschiedenen Gründen die Angriffsfläche, unter anderem:
<ul>
<li>Ein Backdoor-Konto, das Einzelpersonen Zugriff ermöglicht, die ihn nicht mehr benötigen, z. B. ehemalige Mitarbeiter oder Praktikanten.</li>
<li>Weiterverwendung des Standardpassworts, wodurch das Konto einem höheren Kompromittierungsrisiko ausgesetzt wird. So wurde in einer <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a">CISA-Warnung</a> Folgendes gemeldet:<blockquote>
Kampagnen zielten auch auf inaktive Konten ab, die Benutzern gehören, die nicht mehr in der betroffenen Organisation arbeiten, deren Konten aber im System verbleiben
</blockquote>
</li>
</ul>
 Außerdem:
<blockquote>
Nach einer erzwungenen Passwortrücksetzung für alle Benutzer während eines Vorfalls wurden SVR-Akteure auch dabei beobachtet, wie sie sich in inaktive Konten einloggten und die Anweisungen zum Zurücksetzen des Passworts befolgten. Dies ermöglichte es dem Akteur, sich nach Incident Response-Behebungsmaßnahmen erneut Zugriff zu verschaffen.
</blockquote>
<ul>
<li>Verschwendung von Ressourcen wie Lizenzen. Durch regelmäßige Identifizierung, Deaktivierung oder Entfernung unnötiger Benutzer können Unternehmen die Ressourcenzuweisung optimieren und unnötige Kosten sparen.</li>
</ul>
Beachten Sie auch den zugehörigen IoE „Inaktiver Benutzer“, der alle zuvor aktiven Benutzer identifiziert, die seitdem inaktiv geworden sind.
Für privilegierte Benutzer ist das Risiko höher. Siehe auch den zugehörigen IoE „Nie verwendeter nicht privilegierter Benutzer“ für nicht privilegierte Benutzer.
Hinweis:
<ol>
<li>Dieser IoE stützt sich auf die Eigenschaft <code>lastSuccessfulSignInDateTime</code> innerhalb der Eigenschaft <code>signInActivity</code> von Benutzerobjekten. Der Vorteil liegt darin, dass im Gegensatz zur Eigenschaft <code>lastSignInDateTime</code> nur erfolgreiche Anmeldungen gemeldet werden, um Unterbrechungen durch fehlgeschlagene Versuche zu vermeiden. Die Eigenschaft <code>lastSuccessfulSignInDateTime</code> ist seit Dezember 2023 verfügbar.</li>
<li>Um auf den Ressourcentyp <code>signInActivity</code> zuzugreifen, benötigen Sie für jeden Mandanten <a href="https://learn.microsoft.com/de-de/graph/api/resources/user?view=graph-rest-beta#:~:text=Details%20for%20this%20property%20require%20a%20Microsoft%20Entra%20ID%20P1%20or%20P2%20license%20and%20the%20AuditLog.Read.All%20permission">eine Microsoft Entra ID-P1- oder -P2-Lizenz</a>. Andernfalls kann dieser IoE nie verwendete Benutzer nicht erkennen und überspringt daher die gesamte Analyse.</li>
<li>Da diese Eigenschaft für Benutzer, die sich noch nie oder zuletzt <a href="https://learn.microsoft.com/de-de/graph/api/resources/signinactivity?view=graph-rest-beta#:~:text=Effective%20December%201%2C%202023">vor Dezember 2023</a> angemeldet haben, nicht ausgefüllt ist, sind die zur Auswertung des Intervalls benötigten Daten nicht verfügbar. Folglich kann Tenable Identity Exposure das Datum der letzten Anmeldung nicht korrekt erkennen, was möglicherweise zu falsch positiven Ergebnissen führt.</li>
</ol>

Erkennungen

Nie verwendeter privilegierter Benutzer

MEDIUM

Version 202507150942

Version 202501131029

Version 202507150942 Jul 15, 2025, 9:42 AM Detection (Remove duplicate role assignments in displayed incriminating attributes) Release: 202507150942
Version 202501131029 Jan 13, 2025, 10:29 AM New Release: 202501131029