CISA:s red team nådde full domänkontroll hos två samhällsviktiga organisationer med i stort sett samma metodik. Hos den ena isolerade säkerhetsavdelningen varje infekterad arbetsstation inom 2 till 20 minuter. Hos den andra reagerade ingen, och angriparna loggade in i säkerhetsteamets egen mejlkorg för att se om någon hade märkt något.
Jämförelsen publicerades den 25 augusti 2026 i rådgivningen AA26-237A, med titeln ”A Tale of Two SOCs”. CISA namnger ingen av organisationerna. Organisation A tillhör sektorn för offentliga tjänster och anläggningar. Organisation B är en aktör inom vatten och avlopp. Båda granskades samtidigt, och i båda fallen tog red teamet domänen, nådde verksamhetskritiska system och kom in i molnmiljön.
Larmen gick i båda näten
Organisation A:s SOC fick faktiskt larm. CISA dokumenterar EDR-detektioner med medelhög och låg allvarlighetsgrad som var direkt kopplade till red teamets aktivitet. Ingen av dem hanterades. Tusentals falska positiva larm från normal verksamhet, många med högre allvarlighetsgrad, dränkte de riktiga.
Organisationen drev flera SOC-funktioner och flera EDR-produkter utan gemensam insyn mellan dem. Analytikerna saknade eskaleringsrutiner och hade begränsad befogenhet att agera, vilket enligt CISA ledde till en avvaktande hållning. I en chattkonversation som red teamet läste från en komprometterad arbetsstation försökte försvararna ta reda på vem som ägde en SCCM-server och vad den användes till. De lyckades inte, och stängde larmet som falskt positivt.
Organisation A hade ingen brist på verktyg. Den hade fler detektionsprodukter än Organisation B och fick ut mindre av dem. CISA formulerar det rakt: ”Detection tools are only as effective as the people, processes, and procedures supporting them.”
En standardinställning och en certifikatmall räckte
Första fotfästet hos Organisation A kom via en webbapplikation som fortfarande använde standardlösenord för flera inbyggda konton. Det gav red teamet möjlighet att skicka mejl från en intern adress, och phishing inifrån organisationen landade på fyra arbetsstationer.
Därifrån kördes en modifierad BloodHound-collector, anpassad för att undvika statiska EDR-signaturer, som hämtade hela Active Directory-strukturen: användare, datorer, grupper, åtkomstlistor, organisationsenheter och grupprinciper. På en av arbetsstationerna låg Machine Account Quota kvar på Windows-standardvärdet 10, vilket innebär att vilken oprivilegierad användare som helst kunde lägga till datorkonton i domänen. Flera certifikatmallar hade felkonfigurationen ESC1, som låter vilken användare som helst begära certifikat för andra användare och datorer. Kedja ihop de två och vägen till domänprivilegier är öppen: skapa ett maskinkonto, begär ett certifikat för det och begär sedan certifikat för det konto du vill åt.
Lösenordshanteringen skötte resten. Klartextuppgifter på en administratörs arbetsstation öppnade den första databasen. För den andra hämtade teamet filerna connections.json och product-preferences.xml från ett SQL-verktyg och dekrypterade det sparade lösenordet. Det tredje systemet nåddes med statiska AWS IAM-nycklar som låg i konfigurationsfiler i användarnas hemkataloger, utan giltighetstid och utan rotation.
Den virtuella skrivbordsmiljön föll på samma sätt. De virtuella skrivborden synkroniseras mot rotdisken i ett distribuerat filsystem, så en kompromettering av roten gav teamet lokala filer från samtliga virtuella skrivbord, oavsett om användaren var inloggad. Inloggningsuppgifter och databasanslutningar för tusentals användare låg samlade på ett ställe.
I molnet kartlade teamet Entra ID med AzureHound och ROADrecon, hittade applikationer med Application-behörigheter som Mail.ReadWrite och tog sig vidare till en applikationsägares dator, där de stal användarens Primary Refresh Token. Med den lade de till en ny client secret i applikationen och läste mejl som applikationen. Det de läste var SOC-personalens inkorg. De ville se om någon hade upptäckt dem. Ingen hade.
Organisation B kapade fotfästet på två minuter
Organisation B utsattes för samma typ av angrepp. Tre användare klickade, och tre arbetsstationer började kommunicera med red teamets infrastruktur. Varje körning av payloaden genererade ett larm med medelhög allvarlighetsgrad om att en körbar fil laddat en oväntad DLL-fil. SOC-personalen triagerade alla tre och isolerade maskinerna manuellt efter 10, 2 respektive 20 minuter, och installerade om dem innan de togs i drift igen.
Det är samma allvarlighetsnivå som Organisation A lät ligga i kön. Skillnaden låg i en intrimmad baslinje och analytiker som fick isolera en maskin utan att först vänta på godkännande.
När fotfästet var borta gick CISA över till en assume breach-modell. Organisation B:s trusted agents körde en payload från red teamet på en utpekad värd kopplad till ett vanligt konto utan administrativa rättigheter, för att återskapa den åtkomst teamet annars hade haft.
Vad teamet hittade därefter var på en punkt sämre än hos Organisation A. Machine Account Quota var satt till 1 000 för samtliga domänanvändare. På en SCCM-distributionspunkt låg en XML-fil med klartextlösenordet till ett domäntjänstekonto, och kontot hade objektkontroll över närmare 1 000 konton samt AllExtendedRights på en domänkontrollant. Teamet använde det för en resource-based constrained delegation-attack, fick DCSync-rättigheter och hämtade ut krbtgt-hashen.
OT-nätet höll. Teamet hittade RDP-filer som pekade mot en bastion host i OT-nätets DMZ och loggade in över SSH med FTP-uppgifter, vilket gav insyn i OT-subnäten. Payloaderna nådde aldrig tillbaka, eftersom värden blockerade utgående internettrafik, och körningen utlöste ett larm som fick personalen att isolera systemet. Teamet kom aldrig in i OT-systemen.
Organisation B:s skydd hindrade inte domänkomprometteringen. De hindrade den från att ske tyst.
Molnet var den gemensamma svagheten
Båda organisationerna brast på samma punkt. Ingen av dem hade Conditional Access för workload identities, funktionen som utsträcker åtkomstpolicyer till de service principals som ligger bakom applikationer och inte bara till användarkonton. CISA konstaterar att deras red team aldrig har sett en granskad organisation använda den. Båda gav breda Application-behörigheter till de flesta av sina applikationer, och i båda miljöerna använde teamet dessa behörigheter för att läsa mejl.
Ingen av dem hade en rutin för att återkalla komprometterade access- och refresh-tokens. Hos Organisation B hittade teamet till slut en applikation med rätt att läsa, skriva och skicka mejl för samtliga användare i tenanten. Den ägdes av ett AD-synkroniserat konto som var avstängt. Teamet aktiverade kontot igen, DCSyncade dess uppgifter och lade till en client secret. Därefter var hela organisationens mejl åtkomlig från öppna internet.
De flesta säkerhetsteam kan beskriva hur de kastar ut en angripare ur Active Directory. Betydligt färre kan beskriva hur de återkallar varje aktiv refresh-token i sin tenant. Det är den luckan som håller en molnkompromettering vid liv efter att saneringen på plats förklarats avslutad.
Klockan på 24 timmar börjar ticka när någon märker något
Cybersäkerhetslagen gäller i Sverige sedan januari 2026, och vattenförsörjning, avlopp och offentlig förvaltning ligger alla inom lagens tillämpningsområde. NIS2 kräver en tidig varning till tillsynsmyndigheten inom 24 timmar från att en betydande incident upptäckts, och en fullständig anmälan inom 72 timmar.
Läs Organisation A:s förlopp mot det kravet. Full domänkontroll, tre verksamhetskritiska system, åtkomst till molnmejl och angripare som läste SOC-personalens egen inkorg, utan att någon reagerade. En organisation i det läget missar inte 24-timmarsfristen. Den startar aldrig klockan.
Sex åtgärder att genomföra före nästa granskning
- Sätt Machine Account Quota till noll om det inte finns ett dokumenterat verksamhetsbehov. Båda granskade organisationer lämnade inställningen utnyttjningsbar, den ena på standardvärdet 10 och den andra på 1 000.
- Ta bort flaggan CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT från certifikatmallarna och dra in registrerings- och skrivrättigheter från Domain Users. Det stänger ESC1.
- Byt ut långlivade AWS IAM-nycklar mot temporära uppgifter utfärdade via SSO, och granska och radera varje oanvänd access key.
- Aktivera Conditional Access för workload identities och gå igenom applikationsbehörigheter som Mail.Read, Mail.ReadWrite, Files.Read.All och Chat.Read.All mot vad varje applikation faktiskt behöver. Välj certifikatbaserad autentisering framför client secrets.
- Skriv ner rutinen för att återkalla tokens och öva på den, inklusive vem som har befogenhet att genomföra den klockan 03.00 en söndag.
- Räkna hur många larm era analytiker ser per dygn och hur många av de allvarliga som är falska positiva. Om en verklig detektion skulle vara osynlig i den volymen är intrimning den åtgärd som betyder något, inte ytterligare en produkt.
CISA har kartlagt hela engagemanget mot MITRE ATT&CK Enterprise version 19 och publicerat tekniktabellen i rådgivningen. Ta de tekniker som är relevanta för er miljö, kör dem mot era egna detektioner och dokumentera vad verktygen faktiskt fångar.
Referenser
- A Tale of Two SOCs: Insights From Two Red Team Assessments
- CISA Advisory Highlights Red Team Findings to Help Organizations Assess Risk, Identify Threats and Enable Effective Incident Response
- CISA Red Team Compromised Two Critical Infrastructure Orgs, One Detected Nothing
- Certified Pre-Owned: Abusing Active Directory Certificate Services
- Conditional Access for Workload Identities
This post is also available in:
English
