Kerberos-Ticket-Abuse ist in vielen Windows-Enterprise-Umgebungen einer der häufigsten Wege, wie Angreifer sich seitwärts bewegen, Privilegien ausweiten oder persistente Zugriffe sichern – ohne ständig Passwörter zu tippen. Genau deshalb ist Kerberos für Incident Response (IR) so wichtig: Tickets sind faktisch „Sitzungsartefakte“. Wer ein Ticket kontrolliert, kann oft wie ein legitimer Nutzer oder Dienst auftreten, selbst wenn…
VPN-Session-Abuse ist längst kein Nischenthema mehr, sondern ein wiederkehrendes Muster in echten Enterprise-Incidents: Angreifer zielen nicht nur auf den initialen Login ab, sondern auf die „Sitzung“ selbst – also auf das, was nach der Authentifizierung bestehen bleibt. Während Passwortschutz und MFA häufig im Vordergrund stehen, werden Session-Lebenszyklen, Token-Handling, Re-Authentication-Regeln, Gerätebindung und Telemetrie oft zu wenig…
Remote-Access-Session-Monitoring entscheidet in vielen Organisationen darüber, ob ein Incident innerhalb von Minuten eingegrenzt oder über Tage „im Nebel“ gesucht wird. Remote Access ist heute weit mehr als ein klassisches VPN: ZTNA-Gateways, SASE/Proxy-Zugänge, VDI, RDP-Jump-Hosts, Bastion-Hosts, Privileged Access Workstations und Cloud-Identity-Provider bilden zusammen eine Zugriffskette, in der die eigentliche Sicherheitsentscheidung häufig auf Session-Ebene fällt. Genau deshalb…
Layer-4-Security wird oft erst dann ernst genommen, wenn es weh tut: Wenn öffentliche Services trotz „genug Bandbreite“ nicht mehr erreichbar sind, wenn Load Balancer in einen Failover-Zustand kippen oder wenn Firewalls plötzlich legitimen Traffic droppen, weil ihre State-Tabellen voll sind. Genau hier setzt das Thema connection-basierte Angriffe und State-Exhaustion an. Im Gegensatz zu reinen Volumenangriffen…
SMB/LDAP Session Enumeration gehört zu den subtilsten Reconnaissance-Mustern in Windows-dominierten Unternehmensnetzen. Anders als lautes Port-Scanning oder offensichtliche Brute-Force-Versuche wirkt diese Form der Erkundung oft „administrativ“: Es werden Sitzungen, Freigaben, Benutzer- und Gruppeninformationen abgefragt, häufig mit gültigen Credentials und in kleinen Häppchen, um nicht aufzufallen. Genau das macht sie gefährlich. SMB (Server Message Block) liefert Angreifern…
SYN Flood vs. Connection Exhaustion zu unterscheiden ist eine der wichtigsten Fähigkeiten in der operativen Netzwerksicherheit, weil beide Muster auf den ersten Blick gleich wirken können: Nutzer melden „Service nicht erreichbar“, Monitoring zeigt steigende Fehlerquoten, und die erste Reaktion lautet oft „DDoS“. In der Praxis sind es jedoch zwei unterschiedliche Problemklassen, die andere Telemetrie-Signale, andere…
RDP-Session-Security ist in vielen Unternehmen der stille Dreh- und Angelpunkt zwischen produktiver Administration und riskanter Angriffsfläche. Remote Desktop Protocol (RDP) wird für Serverbetrieb, Helpdesk-Aufgaben, Wartung von Legacy-Systemen, Jump-Host-Konzepte und manchmal sogar für Applikationszugriff genutzt. Genau diese Normalität macht RDP für Angreifer attraktiv: Wenn ein Konto oder ein Endpunkt kompromittiert ist, lässt sich über RDP schnell…
UDP Flood und Amplification gehören zu den häufigsten Ursachen für plötzliche Erreichbarkeitsprobleme von Internet-Services, obwohl „genug Bandbreite“ vorhanden scheint. Der Grund ist, dass diese Angriffsklasse nicht nur auf Bytes pro Sekunde (bps) zielt, sondern oft auf Pakete pro Sekunde (pps), auf die Paketverarbeitung in Routern/Firewalls/Load Balancern und auf das Verhalten verbindungsloser Protokolle. Bei einer klassischen…
Stateful vs. Stateless ist mehr als eine Architekturfrage – in großen Systemen entscheidet dieser Gegensatz maßgeblich über Sicherheitsniveau, Resilienz und Betriebskosten. „Stateful“ bedeutet, dass Komponenten Zustand (State) über mehrere Requests oder Verbindungen hinweg behalten: Sessions, Connection-Tabellen, Caches, Transaktionskontext, Token-Listen, Rate-Limit-Zähler oder Replikationsstände. „Stateless“ bedeutet dagegen, dass eine Komponente jeden Request so verarbeitet, als wäre es…
Wenn die Meldung „Firewall-State-Table voll“ auftaucht, ist das selten ein „kleiner Netzwerkfehler“ – es ist fast immer ein akutes Verfügbarkeits- und Sicherheitsrisiko. Stateful Firewalls verwalten für TCP, UDP und oft auch ICMP Zustände (Sessions/Flows), um Rückverkehr korrekt zuzuordnen, Policy konsistent durchzusetzen und Angriffe zu erkennen. Ist diese State-Table ausgelastet oder erschöpft, kippt die Firewall in…
Got questions? Ideas? Fill out the form below & our specialist will contact you.