Azure AD und Enhanced Security Admin Environment Active-Directory-Schutz: Zero-Trust & Rapid Modernization Plan

Anbieter zum Thema

Microsoft Deutschland GmbH

Fujitsu Technology Solutions GmbH

TXOne Networks

Specops Software GmbH

Bisher hat Microsoft das Enhanced Security Admin Environment für die Maximierung der AD-Sicherheit empfohlen. Mittlerweile gilt das nicht. Zero-Trust, Privileged-Access-Strategy und der Rapid Modernization Plan sind für aktuelle Herausforderungen wesentlich besser geeignet.

Beim Einsatz von Active Directory in reinen On-Premises-Umgebungen war bisher der „Enhanced Security Admin Environment“-Ansatz der empfohlene Weg, die Sicherheit im Netzwerk zu gewährleisten. Dabei kamen Admin-Forest, Red Forests und Gehärtete Forests zum Einsatz.

Bei diesem Vorgang werden die einzelnen Server und Verwaltungs-Stationen in Tier-Modelle untergliedert. Wir haben diesen Ansatz, zusammen mit anderen Technologien für mehr Sicherheit in AD im Beitrag "Ist Ihr Active Directory auf Angriffe vorbereitet?" behandelt.

Bildergalerie

Azure AD erfordert in Verbindung mit On-Premises-AD einen neuen Ansatz

Dieser Ansatz bietet immer noch genügend Sicherheit, wenn das Active Directory On-Premises zum Einsatz kommt, also keine Synchronisierung mit Azure AD im Einsatz ist. Sobald parallel zu AD auch Azure AD genutzt wird, reicht dieser klassische „Enhanced Security Admin Environment“-Ansatz nicht mehr aus. Microsoft empfiehlt stattdessen, auf Zero-Trust und eine Privileged Access Strategy zu setzen.

Die Umsetzung erfolgt mit dem Rapid Modernization Plan (RAMP). Dieser hilft dabei, hochsichere AD-Umgebungen auf einen neuen Stand zu bringen und AD-Umgebungen zu modernisieren, indem die Privileged Access Strategy zum Einsatz kommt. Der klassische Enhanced-Security-Admin-Environment-Ansatz wird dabei aufgelöst.

Mit Rapid Modernization Plan zur Privileged Access Strategy

Unabhängig davon, ob im Netzwerk Enhanced Security Admin Environment zum Einsatz kommt, oder noch keine Absicherung erfolgt, lässt sich durch den Rapid Modernization Plan die Privileged Access Strategy im Netzwerk umsetzen. Dabei schützt die Struktur das lokale Active Directory On-Premises genauso, wie die Benutzerkonten in Azure AD.

Für die Umsetzung muss explizit keine neue AD-Gesamtstruktur aufgebaut werden. Privileged Access Strategy sorgt dafür, dass bereits existierende AD-Umgebungen sicherer werden und Einfallstore für Cyberkriminelle geschlossen werden. Im Fokus steht dabei der Schutz vor Phishing und schlussendlich auch vor Ransomware oder anderer Cyberattacken.

RAMP und Privileged Access Strategy

Im Fokus von RAMP steht der Zero-Trust-Ansatz und die vollständige Umsetzung einer Privileged Access Strategy. Das System schützt dabei nicht nur AD und Azure AD, sondern auch kritische Geschäftsanwendungen, die sich dabei durchaus auch in anderen Cloud-Umgebungen befinden können. Ein wichtiger Faktor bei RAMP ist der kompromisslose Schutz von privilegierten Benutzerkonten, also Konten mit besonders hohen Rechten.

Notfallkonten beachten

Wichtig bei der Umsetzung ist es, dass sich Administratoren nicht versehentlich selbst von der Umgebung aussperren. Das ist vor allem in Cloud-Infrastrukturen mit Azure, Microsoft 365, AWS oder Google Cloud Platform (GCP) schnell passiert. Notfallkonten sind daher bei RAMP einer der ersten Punkte, die es abzuhaken gilt, bevor die Admin-Konten so stark abgesichert werden, dass Admins selbst nicht mehr auf die Umgebung gelangen. Wir haben die Vorgehensweise für Azure AD und Microsoft 365 dazu im Beitrag "Break Glass Account in Microsoft 365 – Notfallzugriff für Microsoft 365 einrichten" behandelt, inklusive Video zur Einrichtung.

Azure AD Privileged Identity Management und Azure AD Identity Protection

Um privilegierte Konten zu schützen, kommt in Azure AD Privileged Identity Management zum Einsatz. Diese Funktion wird in Azure AD aktiviert. Für die Verwendung ist ein Abonnement von Azure AD Premium P2 oder Enterprise Mobility + Security E5 notwendig. In diesem Zusammenhang kann es sinnvoll sein, parallel noch auf Just-in-Time zu setzen. Dabei erhalten die jeweiligen privilegierten Benutzerkonten nur so lang genau die Rechte, wie für die jeweilige Aufgabe notwendig ist. Danach entfernt das System die Rechte wieder vom Benutzerkonto.

Parallel dazu sieht RAMP den Einsatz von Azure AD Identity Protection vor. Dadurch lassen sich Probleme bezüglich der Sicherheit in Anmeldekonten erkennen. Die gefundenen Probleme sollten unverzüglich beseitigt werden.

Lokale Konten in Active Directory schützen

Da bei Privileged Access Strategy davon ausgegangen wird, dass On-Premises Active Directory zusammen mit Azure AD zum Einsatz kommt, muss noch die Absicherung der lokalen Konten erfolgen. Hier gibt es generell ähnliche Ansätze, wie bei Enhanced Security Admin Environment.

Für die Verwaltung der Umgebung dürfen nur speziell abgesicherte Arbeitsstationen zum Einsatz kommen. Die Privileged Access Workstations (PAW) dienen ausnahmslos der Verwaltung der Umgebung. Die Anmeldung an den PAW erfolgt wiederum nur mit Benutzerkonten, die explizit dafür erstellt wurden. Bei diesem Ansatz ist es besonders wichtig zu beachten, dass alle Benutzer, die über Adminrechte in der Umgebung verfügen sollen, mindestens zwei Benutzerkonten erhalten. Ein Benutzerkonto dient der Arbeit des Benutzers in der Umgebung, das zweite Konto dient ausschließlich der Verwaltung und darf auch nur auf Privileged Access Workstations zum Einsatz kommen. Dabei ist es zusätzlich wichtig, dass jeder Benutzer ein eigenes Admin-Konto erhält. Dieser Sicherheitsansatz sieht es keinesfalls vor, dass sich mehrere Admin-Benutzer ein gemeinsames Admin-Konto teilen.

Microsoft Defender for Identity schützt Azure AD und On-Premises-AD

Um die Identitäten in der Cloud und im lokalen AD zu schützen, kommt Microsoft Defender for Identity zum Einsatz. Der Dienst überwacht und schützt Benutzerkonten in Active Directory On-Premises und parallel dazu die privilegierten Konten in Azure AD.

Microsoft Defender for Identity ist dabei zentrales Element von RAMP und der Privileged Access Strategy. Der Dienst scannt laufend das Netzwerk und erkennt verdächtige Aktionen von privilegierten Benutzerkonten.

Multifaktor-Authentifizierung und kennwortloses Anmelden

Parallel dazu ist die Aktivierung von MFA sowie das kennwortlose Anmelden von Benutzerkonten ein wichtiger Faktor in RAMP und Privileged Access Strategy. Das schützt die Benutzerkonten mit Bordmitteln noch besser.

Mehr Sicherheit im Netzwerk durch den Schutz privilegierter Konten

Privileged Access Strategy: So sichern Sie Active Directory ab

Schutz von Active Directory gegen Cyberkriminelle

Sichere Admin-Arbeitsstationen für ein sicheres AD

Im Kampf gegen Tools wie Bloodhound, Mimikatz & Co.

Ist Ihr Active Directory auf Angriffe vorbereitet?

Video-Tipp: Break Glass Account in Microsoft 365

Notfallzugriff für Microsoft 365 einrichten

(ID:49650812)