Eine Salami-Attacke (oder Salami-Slicing) ist eine Cyber-Intrusionsstrategie, bei der Angreifer schrittweise Privilegien durch winzige, oft unbemerkte Schritte ausbauen – wie das Schneiden dünner Salamischeiben – und schließlich die administrative Kontrolle erlangen.
Typisches Angriffsmuster
- Erster Fußabdruck durch Phishing, Schwachstellen-Exploit oder Credential Stuffing.
- Niedrigzugriff für laterale Bewegung und inkrementelle Privilegieneskalation.
- Jeder Schritt bleibt unter den Alarmschwellen und entgeht der Erkennung.
- Über Wochen oder Monate erreicht der Angreifer Domain-Admin- oder Systemkontrolle.
Defense-in-Depth-Maßnahmen
1. Angriffsfläche reduzieren
- Automatisiertes Patch-Management; priorisieren Sie CVEs mit bekannten Exploits.
- Least Privilege erzwingen: keine Admin-Rechte für tägliche Aufgaben; Just-In-Time (JIT)-Erhöhung verwenden.
- Unbenutzte Dienste/Ports deaktivieren; Application Whitelisting implementieren.
2. Starke Authentifizierung
- Phishing-resistente MFA überall (FIDO2/WebAuthn, nicht nur SMS).
- Passwort-Manager vorschreiben; Passwortwiederholung verbieten; Dienstkonten regelmäßig rotieren.
3. Überwachung und Erkennung
- SIEM mit UEBA (User Entity Behavior Analytics) für anomale Logins, Privilegienutzung und laterale Bewegung.
- Alle Privilegienänderungen, Admin-Gruppenmodifikationen, geplanten Tasks und Dienstinstallationen protokollieren.
- Honeypots und Täuschungstechnologie bereitstellen.
4. Audit und Reaktion
- Vierteljährliche Zugriffsüberprüfungen (Attestation).
- Jährliches Red-Team/Penetrationstesting.
- Incident-Response-Plan mit spezifischen Salami-Attack-Szenarien.
5. Netzwerksegmentierung
- Zero-Trust-Architektur mit Mikrosegmentierung; jede Anfrage verifizieren.
- Admin-Netzwerke isolieren (Privileged Access Workstations - PAWs).
Salami-Attacken gedeihen in Heimlichkeit. Umfassende Sichtbarkeit, strikte Least Privilege und schnelle Erkennungsfähigkeiten durchbrechen die Angriffskette, bevor kritische Assets kompromittiert werden.
