Der hier vorgestellte Pentest beinhaltet eine Sicherheitsanalyse Ihrer Microsoft-Cloud-Umgebung aus der Perspektive eines Angreifers. Wir simulieren einen realen Angreifer mit kompromittierten Zugangsdaten oder einen böswilligen Insider und versuchen, Schwachstellen wie übermäßige Berechtigungen, fehlkonfigurierte Conditional Access Policies oder unsichere App-Registrierungen zu identifizieren und auszunutzen.

In der ersten Phase führen wir eine unauthentifizierte Reconnaissance durch. Hierbei identifizieren wir öffentlich erreichbare Informationen über Ihren Tenant, darunter Domain-Konfigurationen, exponierte Authentifizierungs-Endpunkte und Hinweise auf eingesetzte Dienste. Zusätzlich prüfen wir die Anfälligkeit für Password Spraying und die Durchsetzung von MFA auf allen Authentifizierungs-Flows, einschließlich Legacy-Protokolle.

In der zweiten Phase verwenden wir ein von Ihnen bereitgestelltes M365-Nutzerkonto mit niedrigen Privilegien. Als authentifizierter Angreifer enumerieren wir Ihre Entra ID Umgebung, darunter Benutzer, Gruppen, Rollen, Administrative Units, App-Registrierungen, Service Principals und Conditional Access Policies. Wir analysieren Rollenvererbungen und Gruppenmitgliedschaften auf Angriffspfade zur Rechteausweitung.

Parallel dazu untersuchen wir Ihre Azure-Ressourcen auf Fehlkonfigurationen und unsichere RBAC-Zuweisungen. Dazu gehören Storage Accounts mit öffentlichem Zugriff, Key Vaults mit zu weitreichenden Access Policies, Automation Accounts und Function Apps mit Managed Identities, die zur Privilege Escalation missbraucht werden können.

Besonderes Augenmerk legen wir auf Hybrid-Szenarien: Verbindungen zwischen On-Premises Active Directory und Entra ID über Azure AD Connect eröffnen Angreifern häufig Wege zur Rechteausweitung in beide Richtungen. Wir untersuchen die Konfiguration des MSOL-Kontos, die ADFS-Infrastruktur und mögliche Angriffspfade wie Pass-the-Certificate oder Golden SAML.

In der dritten Phase dokumentieren wir den tatsächlichen Business Impact: Zugriff auf Postfächer, Exfiltration vertraulicher Dokumente aus SharePoint, gespeicherte Zugangsdaten in Key Vaults und die Möglichkeit zur persistenten Kompromittierung des Tenants.