LSASS Credential Dumping erkennen mit Sigma und ChatGPT

Von Marco Gundlach Zuletzt aktualisiert am 13. November 2026

Stell dir vor, ein Angreifer hat über eine Phishing-Mail Zugang zu einem Client erlangt und bewegt sich seit Stunden unbemerkt durchs Netzwerk. Der entscheidende Schritt kommt, wenn er Zugangsdaten angemeldeter Benutzer aus dem Speicher des Prozesses lsass.exe ausliest. Genau diesen Moment musst du erkennen, bevor daraus ein größerer Schaden entsteht.

Video von YouTube abspielen

Das Video wird erst beim Abspielen von YouTube geladen – dabei werden Daten (u. a. deine IP-Adresse) an YouTube bzw. Google übertragen. Mehr dazu in der Datenschutzerklärung

Diese Anleitung zeigt dir, wie du mit Sigma eine plattformunabhängige Detection Rule für LSASS Credential Dumping schreibst, mit ChatGPT in die Abfragesprachen gängiger SIEM-Systeme übersetzt und anschließend testest und optimierst. Die Grundlage bildet die Lektion „Detection Rule Engineering“ aus dem Kurs GenAI für Cybersecurity.

Wichtigste Erkenntnisse

• Detection Engineering bedeutet, Angriffe anhand von Verhalten und Spuren zu erkennen, bevor sie Schaden anrichten.
• Sigma ist eine YAML-basierte Regelsprache. Du schreibst die Regel einmal und konvertierst sie für Splunk SPL, Microsoft Sentinel KQL, Elastic, QRadar, CrowdStrike und weitere Plattformen.
• LSASS Credential Dumping entspricht der MITRE-ATT&CK-Technik T1003.001 (OS Credential Dumping: LSASS Memory).
• ChatGPT beschleunigt Entwurf, Konvertierung und Testplanung erheblich, ersetzt aber nicht deine fachliche Prüfung.
• Eine Regel ist erst dann brauchbar, wenn sie mit True Positives, True Negatives, Edge Cases und Lasttests geprüft wurde.

Schritt-für-Schritt-Anleitung

Schritt 1: Sigma als gemeinsame Sprache verstehen

Bevor du Code erzeugst, solltest du wissen, warum Sigma sinnvoll ist. Sigma ist eine offene, plattformunabhängige Beschreibungssprache für Detection Rules im YAML-Format. Darin legst du fest, welche Logquelle relevant ist, welche Felder und Werte auf eine Aktivität hindeuten und unter welcher Bedingung ein Alarm entstehen soll. Die Übersetzung in die Syntax deiner Zielplattform übernimmt anschließend ein Konverter oder, wie in dieser Lektion, ChatGPT. Der große Vorteil: Deine Erkennungslogik bleibt zentral gepflegt, egal ob dein Team morgen mit Splunk, Sentinel oder QRadar arbeitet.

Schritt 2: Das Angriffsszenario präzise beschreiben

Ein guter Prompt beginnt mit einem klaren Ziel. Du willst das Auslesen des Speichers von lsass.exe erkennen, über das Angreifer Passwort-Hashes oder Kerberos-Tickets gewinnen. Typische Werkzeuge dafür sind Mimikatz, Procdump oder der Task-Manager, der einen Speicherabzug des Prozesses erstellen kann. Nimm deshalb im Prompt die MITRE-ATT&CK-ID T1003.001, eine kurze Beschreibung der Angriffstechnik, die gewünschten Detection-Ansätze und die Anforderung an das Sigma-Format auf. Je präziser du formulierst, desto brauchbarer ist die erste Version.

Schritt 3: Sigma-Rule mit ChatGPT generieren

Nach dem Absenden erhältst du in wenigen Sekunden mehrere Varianten. Häufige Ansätze sind die Auswertung von Sysmon Event ID 10 (ProcessAccess), bei der das Zielprozess-Image auf lsass.exe zeigt, sowie die Prüfung auf verdächtige Zugriffsrechte oder bekannte Tool-Namen. Eine einfache Version könnte so aussehen:

title: LSASS Memory Access durch verdächtige Prozesse
status: experimental
logsource:
    category: process_access
    product: windows
detection:
    selection:
        TargetImage|endswith: '\lsass.exe'
    filter_legit:
        SourceImage|endswith:
            - '\MsMpEng.exe'
    condition: selection and not filter_legit
level: high
tags:
    - attack.credential_access
    - attack.t1003.001

Prüfe den generierten Code immer selbst. Die Struktur ist meist solide, die Feldnamen und Filter musst du aber an deine tatsächliche Telemetrie anpassen.

Schritt 4: Die Logik und die Empfehlungen kritisch prüfen

Lass dich nicht von einer sauber formatierten Regel täuschen. ChatGPT erklärt in der Regel, warum die Logik funktioniert, und das solltest du nachvollziehen können. Kontrolliere, ob die Logsource in deiner Umgebung tatsächlich erfasst wird, und ob die Filter nicht zu breit sind. Achte besonders auf die Praxisempfehlungen: Schwäche die Regel nicht pauschal ab, sondern nimm legitime Sicherheitsprozesse wie Virenscanner oder EDR-Agenten gezielt aus, und dokumentiere jede Ausnahme. Eine entschärfte Regel übersieht sonst genau die Angriffe, für die sie geschrieben wurde.

Schritt 5: Die Sigma-Rule nach Splunk SPL konvertieren

Jetzt übersetzt du die Regel in Splunk SPL. Füge die vollständige Sigma-Regel in einen neuen Chat ein und bitte um eine Konvertierung in SPL. Du erhältst eine Suche, die du direkt in die Suchleiste von Splunk kopieren kannst. Ergänze danach die Angaben zu Index und Sourcetype, denn Suchen ohne diese Eingrenzung sind langsam und unnötig breit. Speichere die Suche anschließend als gespeicherte Suche oder Correlation Search mit Zeitplan und Alarmierung.

Schritt 6: Die Regel für Microsoft Sentinel in KQL übersetzen

Für Microsoft Sentinel formulierst du den Prompt mit konkreten Vorgaben. Verlange KQL, nenne die Tabellen, etwa SecurityEvent oder die Sysmon-Daten, und bitte um ein let-Statement, damit Filter früh greifen und die Abfrage schneller läuft. Fordere außerdem eine Analytics Rule mit Entity Mapping und MITRE-Zuordnung an. Das Entity Mapping sorgt dafür, dass Host und Account im Incident sauber verknüpft werden. Füge den Code in Log Analytics ein und prüfe, ob die Abfrage ohne Syntaxfehler läuft und Ergebnisse liefert.

Schritt 7: Eine YARA-Regel für dateibasierte Erkennung ergänzen

Nicht jede Spur zeigt sich im Verhalten. Mimikatz-Binaries oder angepasste Varianten lassen sich auch anhand statischer Merkmale erkennen. Dafür erstellst du eine YARA-Regel mit bekannten Strings, Byte-Patterns und, wenn möglich, PE-Merkmalen. Bitte ChatGPT dabei um mehrere Condition-Varianten wie any of them oder all of them, gewichtete Strings und vollständige Metadaten mit Beschreibung, Referenz und Datum. YARA eignet sich besonders für Scans auf Endpoints oder in Sandboxes und ergänzt die SIEM-Regeln sinnvoll.

Schritt 8: Einen Testplan erstellen

Eine ungetestete Regel ist nur eine Vermutung. Bitte ChatGPT deshalb um einen Testplan mit vier Bereichen: True-Positive-Tests, die gezielt Angriffe auslösen sollen, True-Negative-Tests, die im Normalbetrieb nicht anschlagen dürfen, Edge Cases und einen Performance-Test. Der Plan enthält Szenarien, Erfolgskriterien und Tuning-Hinweise. Übernimm ihn als Grundlage für dein Testprotokoll und halte für jede Regel fest, welche Tests du durchgeführt hast.

Schritt 9: True Positives und True Negatives prüfen

Für True Positives gilt als Richtwert: Mindestens neun von zehn kontrolliert ausgelösten Zugriffen auf LSASS sollten einen Alarm erzeugen, und in jedem Alert müssen Host und verursachender Prozess sichtbar sein. Bei True Negatives im normalen Betrieb ohne Vorfall darf die Regel nur wenige Treffer erzeugen, und diese müssen sich durch Sicherheitstools oder bekannte Admin-Aktionen erklären lassen. Führe die Angriffssimulationen ausschließlich in einer isolierten Laborumgebung durch.

Schritt 10: Edge Cases, Performance und Tuning

Edge Cases decken Grenzfälle ab, etwa umbenannte Tools, Zugriffe über Remote-Verbindungen oder Prozesse mit ungewöhnlichen Rechten. Beim Performance-Test prüfst du, wie viel Last die Regel bei hohem Logvolumen verträgt, ohne dass dein SIEM überlastet wird. Die Tuning-Empfehlungen von ChatGPT helfen dir, Suchen zu beschleunigen, Zeitfenster anzupassen und Ausnahmen präziser zu formulieren. Teste jede Änderung erneut, bevor du sie übernimmst, denn ein Tuning kann neue Lücken öffnen.

Schritt 11: Dokumentation, Versionierung und Pflege

Dokumentiere jede Regel mit MITRE-ATT&CK-Referenz, Testergebnissen und bekannten False Positives. Lege die Sigma-Dateien in einem Git-Repository ab. Das ist kostenlos und schnell eingerichtet, und du behältst jede Änderung nachvollziehbar. Plane außerdem regelmäßige Reviews ein, denn Angriffstechniken und Logformate verändern sich. Neue Erkenntnisse aus Incidents fließen direkt in die nächste Iteration deiner Regeln ein.

Zusammenfassung – LSASS Credential Dumping erkennen: Detection Rules mit Sigma und ChatGPT entwickeln

Du hast gesehen, wie aus einer Angriffsbeschreibung eine einheitliche Sigma-Regel wird, die du anschließend in SPL, KQL und YARA übersetzt. Mit einem strukturierten Testplan prüfst du Trefferquote, Fehlalarme, Grenzfälle und Last, bevor die Regel produktiv geht. ChatGPT übernimmt dabei viel Vorarbeit, die Verantwortung für Logik, Tests und Freigabe bleibt aber bei dir. In der nächsten Lektion geht es mit einer Security Assessment, einem Deep Dive in den Penetrationstest-Bericht und der Priorisierung von Findings weiter.

Trainer Über Marco Gundlach Marco Gundlach kommt aus der Projektpraxis, nicht aus dem KI-Hype. Über 14 Jahre hat er Digitalisierungs- und IT-Projekte verantwortet, unter anderem bei Hugo Boss, Fressnapf und Aktion Mensch. Alle Kurse von Marco Gundlach →