Vol. 1 av 25
·
Angripares taktiker och validering
Slutpunktsillusion
Din EDR-översikt ser normal ut. Penetrationstestet godkändes. SOC-teamets handböcker finns på plats. Det outtalade antagandet är att EDR-lösningen upptäcker en angripares laterala förflyttning och att teamet hinner reagera. Det antagandet testas sällan.
2–4 dagar
Så länge en skicklig angripare kan verka oupptäckt på en företagsägd klient, även med mogen EDR. Källa: Syndis, data från adversariell validering 2025–2026.
0
Material i LSASS som kan återanvändas vid replay-attacker när du kör lösenordsfri FIDO2. Det finns inga lösenordshashar eller token att extrahera.
T1003
MITRE ATT&CK-tekniken för dumpning av inloggningsuppgifter ur LSASS, den vanligaste metoden vid de testade intrången i klienter.
Antagandet
Många säkerhetsteam litar på sin EDR. Leverantörens översiktspaneler ser bra ut, penetrationstesterna har inte gett några anmärkningar och SOC-teamets handböcker finns på plats. Den underförstådda övertygelsen är att EDR-lösningen upptäcker en angripares laterala förflyttning och att teamet reagerar i tid.
Verkligheten
Skickliga angripare inaktiverar lokala säkerhetsagenter eller slår ut deras insyn innan de stjäl inloggningsuppgifter, och SOC ser ingenting. EDR-agenter körs lokalt och är beroende av att datorn i sig inte är komprometterad. En angripare som har eskalerat sina lokala behörigheter, vilket dumpning av LSASS ofta ger, kan manipulera agenten. Översikten fortsätter att visa grönt medan angriparen förflyttar sig lateralt i nätverket.
Målarkitekturen
Kör adversariell validering riktad mot dumpning av LSASS och kringgående av applikationskontroller, och ta sedan bort inloggningsuppgiften som mål. En lösenordsfri arkitektur med FIDO2-säkerhetsnycklar binder autentiseringen till en fysisk enhet med asymmetrisk kryptografi. Ingen delad hemlighet finns i minnet att extrahera.
Genomförande i steg
Spår 1, hitta detekteringsgapet: Kör en skarp övning på 2–4 dagar mot en verklig företagsägd arbetsstation. Testa dumpning av inloggningsuppgifter ur LSASS (inklusive varianter av Mimikatz), kringgående via LOLBins och utslagning av agenternas insyn. Resultatet är en uppmätt baslinje för detekteringsgapet.
Spår 2, ta bort inloggningsuppgiften som mål: Inför lösenordsfri inloggning med FIDO2-säkerhetsnycklar. Den privata nyckeln lämnar aldrig enheten. Även full åtkomst till LSASS ger ingenting att återspela.
Ordningsföljd: Validera först för att förstå exponeringen och inför sedan lösenordsfri inloggning för att stänga det strukturella gapet. Valideringsresultaten skapar det nödvändiga mandatet att påskynda utrullningen.
Källor
Syndis, adversariell validering av klienter i produktion, 2025–2026
MITRE ATT&CK T1003.001 (LSASS credential dumping)
Ciptor, data från lösenordsfria driftsättningar 2024–2026
Vill du veta hur det ser ut i er miljö?
Boka en genomgång med Ciptor, så går vi igenom era antaganden tillsammans.
Boka en genomgång