Eine ungewöhnlich lange Gültigkeitsdauer für ein Verbundsignaturzertifikat ist verdächtig, da sie darauf hinweisen könnte, dass ein Angreifer erhöhte Rechte in Entra ID erlangt und über den Vertrauensstellungsmechanismus des Verbunds eine Backdoor erstellt hat.

Bei Verbunddomänen übernimmt im Gegensatz zu verwalteten Domänen ein Drittanbieter-Identitätsanbieter, z. B. ein Microsoft AD FS-Server, anstelle von Entra ID die Authentifizierung. In diesem Setup stellt Entra ID eine Vertrauensstellung zum Identitätsanbieter her.
Wenn AD FS als Identitätsanbieter fungiert, werden Signaturzertifikate mit einer Standard-Gültigkeitsdauer von einem Jahr generiert. Sie können <a href="https://learn.microsoft.com/de-de/powershell/module/adfs/set-adfsproperties">diese Dauer zwar ändern</a>, sie ist jedoch in den meisten Umgebungen weiterhin verbreitet.
Daher muss beachtet werden, dass diese Heuristik als Indikator dient, der einen Vergleich mit der tatsächlichen Konfiguration des Identitätsanbieters erfordert, aber kein direkter Indicator of Compromise (IoC) ist. Stattdessen ist er ein Verhaltensindikator, der bei bestimmten Entra ID-Angriffen wie etwa dem <a href="https://www.microsoft.com/de-de/security/blog/2020/12/28/using-microsoft-365-defender-to-coordinate-protection-against-solorigate/#Hands-on-keyboard-activity-on-prem">Solorigate-Angriff</a> beobachtet wurde.
Außerdem sollte unbedingt eine Einschränkung beachtet werden: Der IoE würde keinen Angreifer erkennen, der ein Rogue-Signaturzertifikat mit einer Gültigkeitsdauer von einem Jahr (Standardwert der Option) oder der gleichen Dauer wie ein normales Signaturzertifikat in Ihrer Umgebung einfügt.

Erkennungen

Ungewöhnliche Gültigkeitsdauer des Verbundsignaturzertifikats

MEDIUM

Version 202411071130