Sobald man als Incident Responder ein Erstgespr\u00e4ch mit einem Kunden f\u00fchrt, entwickelt man bereits (unbewusst) Theorien, wie der geschilderte Fall zustande gekommen sein k\u00f6nnte und was noch alles passieren kann. Ab und zu bekommt man jedoch einen Fall geschildert, bei dem man das Gef\u00fchl nicht loswird, dass es sich dabei nicht um einen Incident handelt, sondern um irgendein harmloses IT-Problem. Diesen Fall hatten wir neulich wieder. Die Ausgangssituation war, dass mehrere Portscans durch das NDR erkannt wurden und die firmeninternen Security Analysten Unterst\u00fctzung ben\u00f6tigten. Die Portscans waren hier auch gegen Clients gerichtet und haben immer die gleichen Ports gescannt.<\/p>\n\n\n\n
Zu diesem Zeitpunkt wurde bereits vermutet, dass es sich hierbei nicht um einen Incident handelt, da a) Clients gescannt werden und b) die Anzahl der scannenden Ger\u00e4te sehr hoch ist. Ein Angreifer w\u00fcrde vermutlich eher Server scannen und die Anzahl der Ger\u00e4te vielleicht etwas geringer halten, um nicht erkannt zu werden. Trotzdem muss man nat\u00fcrlich in alle Richtungen analysieren.<\/p>\n\n\n\n
Da wir durch das NDR nur einen Timestmap, das Quellsystem und die gescannten IPs\/Ports zur Verf\u00fcgung hatten, entschieden wir uns, das betroffene System, welches einen Portscan durchgef\u00fchrt hat, forensisch zu analysieren, um herauszufinden, was den Portscan verursacht hat und ob es b\u00f6sartig war. Da wir \u00fcber einen Timestamp des Portscans verf\u00fcgten, konnten wir die initiale Triage auf einen kurzen Zeitraum eingrenzen und nichts Verd\u00e4chtiges entdecken, au\u00dfer dass viele verschiedene PowerShell-Skripte ausgef\u00fchrt wurden, was im Windows-Powershell<\/strong> und Microsoft-Windows-PowerShell Operational<\/strong> Eventlog protokolliert wurde. Bei n\u00e4herer Betrachtung stellte sich heraus, dass diese PowerShell-Skripte Teil des Defender Advanced Threat Protection (ATP) sind. Da wir einen gro\u00dfen Kreis von Defender Experten haben, wussten wir auch, dass der Defender ein Device Discovery Feature hat, das durch diese PowerShell Skripte ausgef\u00fchrt wird. Bei der Device Discovery scannen die Systeme, die bereits mit dem Defender ausgestattet sind, das Netzwerk, um weitere Systeme zu finden und zu inventarisieren (mehr dazu hier https:\/\/learn.microsoft.com\/en-us\/defender-endpoint\/device-discovery-faq?view=o365-worldwide).<\/p>\n\n\n\n