Microsofts-Cloud-Security: Lücken und Fehler mit SCUBA selbst finden und beheben (heise Security Webinar:-Aufzeichnung)

heise Security Webinar: Microsofts-Cloud-Security: Lücken und Fehler mit SCUBA selbst finden und beheben (Webinar-Aufzeichnung aus Dezember 2024)

ScubaGear ist ein kostenloses Security-Tool der US-Sicherheitsbehörde CISA, mit dem man seine eigene Microsoft-Cloud-Instanz selbst auditieren kann. Es deckt verbreitete Konfigurationsfehler, Policy-Verstöße und andere Sicherheitsprobleme systematisch auf.

Das Webinar erklärt das Konzept und die Funktionsweise des Tools; es zeigt, wie man es selbst nutzen kann und sollte, um die Sicherheit seines M365-Tenants zu verbessern. Dazu gehört auch, wie man das US-amerikanische Tool in einem deutschen beziehungsweise europäischen Kontext sinnvoll einsetzt.  

Der Referent Tim Mittermeier erläutert dazu verschiedene Angriffsprimitive und -verfahren, die Angreifer nutzen, um sich Zugriff auf Cloud-Infrastrukturen zu verschaffen und Privilegien zu erhöhen. Darauf aufbauend erklärt er mit praktischen Beispielen, wie man solche Schwachstellen in Microsoft Entra ID und M365 mit ScubaGear – und anderen, vergleichbaren Werkzeuge – gezielt aufspüren kann.

Abschließend gibt er Tipps zur Härtung der Entra-Mandanten und M365-SaaS-Applikationen. Administratoren und Sicherheitsverantwortliche erhalten damit direkt umsetzbare Hilfestellung bei der sicheren Konfiguration ihres M365-Tenants.

Themenschwerpunkte 

• Secure Cloud Business Applications (SCuBA) Project und ScubaGear
• Microsoft Azure, Entra ID und M365
• Angriffe auf und Absicherung von Cloud-Umgebungen
• Selbstauditierung und Härtung