LSASS Credential Dumping Zertifizierungstest 2026
AV-Comparatives führt gezielte offensive Sicherheitsevaluierungen durch und bietet den Anbietern die Möglichkeit, sich in bestimmten Schutzbereichen zertifizieren zu lassen. Im Jahr 2026 lag ein Schwerpunkt auf “Credential Dumping” (LSASS-Schutz). Zertifizierungsberichte werden ausschließlich für Anbieter veröffentlicht, die die festgelegten Kriterien erfolgreich erfüllen. Die teilnehmenden Anbieter erhalten detailliertes technisches Feedback, um ihre Produkte weiter zu verbessern.
https://www.av-comparatives.org/news/lsass-credential-dumping-certification-test-2026/
Das Auslesen von Anmeldeinformationen aus dem LSASS-Prozess ist nach wie vor eine der kritischsten Techniken bei Angriffen in der realen Welt. Sobald ein Angreifer auf einem System Fuß gefasst hat, ist der Zugriff auf den LSASS-Speicher ein gängiges Ziel, da dieser hochsensible Informationen wie Benutzeranmeldedaten in Klartext oder gehashter Form enthält. Ein erfolgreicher Zugriff auf den LSASS-Speicher ermöglicht häufig eine seitliche Bewegung und eine Eskalation in der gesamten Umgebung.
Positionierung
Der LSASS Credential Dumping Test ist als gezielte Bewertung eines einzigen, hochwirksamen Angriffsziels, und nicht eine vollständige Angriffskettensimulation.
Während umfassendere Bewertungen den End-to-End-Schutz und die betrieblichen Auswirkungen beurteilen, isoliert dieser Test einen der entscheidendsten Schritte nach der Kompromittierung: die Fähigkeit, das Material der Anmeldeinformationen im Speicher zu schützen. Dies macht sie besonders relevant für Analysten und Entscheidungsträger in Unternehmen, die bewerten, wie effektiv eine Lösung einen Angreifer nach dem ersten Zugriff eindämmen kann.
Methodik
Die Bewertung konzentriert sich auf die Fähigkeiten zur Prävention und Aufdeckung von AV-, EPP- und EDR-Lösungen gegen Versuche, auf den LSASS-Speicher zuzugreifen und diesen zu löschen.
Die Tests werden auf vollständig aktualisierten Windows-Systemen unter realistischen Bedingungen durchgeführt. In den Szenarien wird davon ausgegangen, dass der Angreifer bereits über privilegierten Zugriff verfügt (z. B. lokaler Administrator oder Systemebene), wie es in der Praxis häufig vorkommt, wenn nach der ersten Kompromittierung ein Credential Dumping stattfindet. .
Der Test prüft, ob Produkte:
- den unbefugten Zugriff auf LSASS zu verhindern
- Entdeckung von Credential Dumping Techniken in Echtzeit
- umsetzbare Warnmeldungen zu generieren, wenn solche Aktivitäten auftreten
Schlüsselvariablen
Um eine realistische und umfassende Abdeckung zu gewährleisten, werden mehrere Faktoren variiert:
- Techniken und Tools für Credential Dumping: einschließlich Standard- und kundenspezifischer Ansätze
- Integritätsebenen: Ausführung unter verschiedenen Berechtigungskontexten
- Techniken zum Leben auf dem Lande: Verwendung rechtmäßiger System-Binärdateien
- API-Verwendung: WIN32-APIs vs. direkte Systemaufrufe
- Ausweichtechniken: einschließlich PPID-Spoofing und mehrstufiges Dumping
Wie aus den 2026-Testfällen hervorgeht, reichen die Szenarien von bekannten Dumping-Techniken bis hin zu fortgeschritteneren Varianten wie indirekten Syscalls, Snapshot-basiertem Dumping und abgestuften oder verschleierten Ansätzen
Zertifizierte Produkte
Die Ergebnisse für 2026 zeigen, dass Robuster LSASS-Schutz bleibt ein schwieriger Bereich, insbesondere gegen moderne und ausweichende Techniken.
Eine Reihe von Unternehmensprodukten nahm an der Bewertung teil, aber nur zwei haben die Zertifizierung erfolgreich abgeschlossen. Um sich zu qualifizieren, muss ein Produkt mindestens zwei Drittel aller getesteten Credential-Dumping-Szenarien erfolgreich verhindern oder erkennen.
Die folgenden Produkte erfüllen diese Anforderungen im Jahr 2026:
Nur zertifizierte Anbieter werden öffentlich aufgeführt. Nicht zertifizierte Teilnehmer erhalten ein detailliertes internes Feedback, um weitere Verbesserungen zu unterstützen.
Ausblick
Da sich die Angriffstechniken ständig weiterentwickeln, insbesondere durch den zunehmenden Einsatz von kernel- und treiberbasierten Ansätzen zur Umgehung von Schutzmaßnahmen, bleibt der Schutz von LSASS ein kritisches und bewegliches Ziel.
Zukünftige Iterationen dieses Tests werden die Abdeckung weiter ausbauen, um diese Entwicklungen zu reflektieren und die Relevanz für reale Unternehmensumgebungen zu erhalten.
Schlussfolgerung
Die Ergebnisse aus dem Jahr 2026 unterstreichen die Bedeutung von wirksamer Schutz der Anmeldeinformationen auf Speicherebene, insbesondere in Szenarien nach einem Kompromiss.
Durch die Isolierung des LSASS-Zugangs als speziellen Bewertungsschwerpunkt bietet dieser Test klare und umsetzbare Erkenntnisse über die Fähigkeit eines Produkts, den Diebstahl von Zugangsdaten zu verhindern, Sie ergänzen die umfassenderen Sicherheitsbewertungen und unterstützen eine fundiertere Entscheidungsfindung.
