KQL: Auffällige Anmeldungen
Fehlgeschlagene Anmeldungen der letzten 24 Stunden nach Benutzer zählen. Ein Einstieg in die Untersuchung, keine fertige Angriffserkennung.
Training / Identity
Token-Flow: Wo greift der Schutz?
Du erkennst, an welchem Schritt eine Kontrolle tatsächlich wirkt.
← Alle sechs Übungen10 Min. · Beispieldaten · Lokal im Browser
INTERAKTIV · KONZEPTLAB◷ 10 Min. zum Ausprobieren
Token-Flow: Wo greift der Schutz?
Wir verfolgen einen vereinfachten Authorization-Code-Flow mit PKCE. Jeder Schritt zeigt, was übertragen und geprüft wird.
So wird aus einer Anmeldung ein API-Zugriff.
1 · Der Browser startet den Flow
Der Client erzeugt einen zufälligen code_verifier und berechnet daraus den code_challenge. Nur der Challenge geht mit der Autorisierungsanfrage an Entra ID. Der Verifier bleibt beim Client.
Beobachten: client_id, redirect_uri, scope, state und code_challenge.
Schritt 1 / 5
Simulierte Übung zur Veranschaulichung. Keine Verbindung zu einem realen System. PKCE schützt vor Code-Interception; es verhindert allein keinen Diebstahl bereits ausgestellter Bearer Token.
AUS MEINEM WERKZEUGKASTEN
Handwerkszeug zum Mitnehmen.
Incident-Triage
Fragen für die erste Eingrenzung: Fakten, Identitäten, Sitzungen, Berechtigungen und die Wirkung der Maßnahmen.
OAuth nachvollziehen
Code, Token und Ressource auseinanderhalten. Den Normalfall mit einem abgefangenen Code vergleichen und Grenzen des Schutzes erkennen.