Living-off-the-Land-Angriffe (LotL) sind zu einem Markenzeichen ausgefeilter Angreifer geworden, von Ransomware-Gruppen bis hin zu staatlich geförderten Akteuren. Anstatt benutzerdefinierte Malware einzusetzen, missbrauchen Angreifer integrierte Systemtools wie PowerShell, Windows Management Instrumentation (WMI), certutil und bitsadmin, um bösartige Aktivitäten auszuführen, während sie sich in den normalen administrativen Datenverkehr einfügen. Dies macht die Erkennung für herkömmliche signaturbasierte Abwehrmaßnahmen äußerst schwierig. Für Blue Teams erfordert die Verteidigung gegen LotL einen Perspektivwechsel: vom Blockieren bekannter Schädlinge zum Erkennen anomalen Verhaltens. Zu den wichtigsten Strategien gehören die Aktivierung einer umfassenden Protokollierung (z. B. PowerShell-Skriptblockprotokollierung, Windows-Ereignisprotokolle), die Implementierung von Verhaltensanalysen und UEBA (User and Entity Behavior Analytics) sowie die proaktive Bedrohungsjagd. Dieser Leitfaden bietet einen strukturierten Ansatz zum Verständnis gängiger LotL-Techniken – wie dateilose Ausführung, laterale Bewegung über WMI und Credential Dumping mit integrierten Tools – und skizziert praktische Erkennungs- und Abwehrmaßnahmen. Er behandelt auch die Bedeutung von Application Whitelisting, eingeschränkten Sprachmodi und Netzwerksegmentierung. Für SOC-Analysten und Incident Responder ist die Beherrschung der LotL-Verteidigung unerlässlich, um modernen Bedrohungen einen Schritt voraus zu sein.
Living-off-the-Land-Angriffe (LotL) nutzen legitime Systemtools wie PowerShell, WMI und certutil, um der Erkennung zu entgehen, und sind daher ein Hauptanliegen für Blue Teams. Dieser Artikel bietet einen umfassenden Überblick über LotL-Techniken und praktische Verteidigungsstrategien, einschließlich Protokollierung, Verhaltensanalyse und Bedrohungsjagd. Eine wertvolle Ressource für Sicherheitsingenieure, die die Abwehr ihres Unternehmens gegen stealthige Angreifer stärken möchten.