Mehr Sicherheit im Netzwerk Best Practices für die Absicherung von Active Directory

Active Directory steht oft im Fokus von Hackern oder von Malware. Daher sollten sich Admins vorbereiten und das Active Directory möglichst zuverlässig vor Angriffen schützen. Wir zeigen in diesem Beitrag verschiedene Möglichkeiten.

Die Absicherung und Härtung von Active Directory ist ein elementarer Bestandteil zum sicheren Betreiben von Netzwerken. Denn in vielen Fällen fokussieren sich Angreifer und Malware vor allem auf das Active Directory, weil hier die Chancen groß sind, an Berechtigungen im Netzwerk zu kommen. Sobald Anmeldedaten vorliegen, können sich Hacker einfach anmelden und Malware kann Berechtigungen ausbauen, um Ressourcen im Netzwerk zu übernehmen.

Ein großer Teil der Hackerangriffe nutzt ungeschützte Benutzerkonten aus, um sich anzumelden. Hacker hacken daher meistens nicht, sie melden sich einfach an. Nach der erfolgreichen Anmeldung an Active Directory versuchen die Angreifer an Benutzerkonten mit höheren Rechten zu gelangen. Sobald das funktioniert, können sie in der Berechtigungshierarchie immer weiter nach oben gelangen, bis sie schlussendlich Admin-Rechte haben und damit umfassenden Zugriff auf das Active Directory.

Bildergalerie

Bildergalerie mit 9 Bildern

Anmeldeinformationen stehen im Fokus von Angreifern

Laut dem Verizon Data Breach Incident Report [PDF] sind Anmeldedaten mit über 60 Prozent die begehrteste Datenkategorie bei Sicherheitsverletzungen. Tools wie LaZagne, BloodHound und Mimikatz zeigen sehr schnell die Lücken im Sicherheitsnetzwerk. Den Angaben der Identity Defined Security Alliance zufolge haben 79 Prozent der Unternehmen in den letzten zwei Jahren eine Sicherheitsverletzung im Zusammenhang mit Identitäten erlebt.

Die bekannte Hackerin Alissa Knight sagt dazu: „Sobald ich in einem Netzwerk eine Lücke gefunden habe, mache ich mich zunächst auf die Suche nach Domänenadministrator-Rechten, indem ich Anmeldeinformationen aus dem Speicher der Systeme auslese. Ich suche so lange, bis ich solche Rechte in einem Netzwerk finde. Und das tue ich immer!“.

Tools und Bordmittel für das Härten von Active Directory nutzen

Wir haben uns bereits im Beitrag „Härtungsmaßnahmen für das Active Directory“ mit dem Thema Sicherheit von Domänencontrollern beschäftigt. Im folgenden Beitrag zeigen wir noch mehr Möglichkeiten, um die Sicherheit im Netzwerk zu verbessern. Für das Aufdecken von Sicherheitslücken spielen auch Zusatztools eine Rolle, mit der Active Directory aufgeräumt werden kann.

Wenn keine unnötigen Objekte vorhanden sind, zum Beispiel nicht benötigte Benutzerkonten oder leere Gruppen, sinkt die Gefahr von Angriffen deutlich. Wir haben in den Beiträgen „Aufräumen im Active Directory“ und „Diese Tools sorgen für mehr AD-Sicherheit“ bereits einige Möglichkeiten gezeigt, mit denen die Sicherheit in Active Directory deutlich verbessert werden kann.

Bloodhound ist ein Tool, mit dem sich vor allem Active Directory-Umgebungen angreifen lassen. Das Tool versucht Domänenadmin-Zugänge zu finden und zu übernehmen. Das Tool ist ideal dazu, um zu überprüfen, ob es in Active Directory Schwachstellen gibt, die Angreifer übernehmen können.

Zugriffsrechte mit Identity Management zentral verwalten

In vielen Umgebungen ist es sinnvoll, Benutzerkonten mit einer Identity Management-Lösung zu verwalten. Ein Beispiel dafür ist das IDM-Portal von Firstware. Solche Lösungen stellen sicher, dass die Felder und Attribute der Benutzerkonten richtig und konsistent gepflegt sind. Zugriffsberechtigungen werden über Gruppenmitgliedschaften vergeben, entweder direkt im Profil des Users oder im Gruppenverwaltungsbereich. Wechselt ein Mitarbeiter seine Abteilung oder verlässt das Unternehmen, enden automatisch auch die relevanten Zugriffsrechte. Das IDM-Portal ermöglicht eine umfassende Automatisierung von allen Aufgaben rund um das Identity & Access Management und die Delegierung von Aufgaben in die Fachabteilungen des Unternehmens. Genehmigungs-Workflows bieten eine zusätzliche Stufe an Sicherheit. Weiterhin ist es möglich, PowerShell-Skripte beim Anlegen von Benutzerkonten auszuführen. Hier können auch die Cmdlets zur Pflege der Sicherheitsattribute in Azure AD gepflegt werden.

Ein Identity Management bietet aber noch viel mehr. Das zentrale Management von Berechtigungen und das Setzen von Gruppenmitgliedschaften ist ein weiterer Vorteil, der sich aus der Verwendung des IDM-Portals ergibt. Dadurch ist nicht nur sichergestellt, dass die Benutzerattribute richtig gepflegt sind, sondern auch die Berechtigungen sind jederzeit im Griff. Interessant ist an dieser Stelle, dass sich die Vergabe von Berechtigungen auch automatisieren lässt. Automatisierte und strukturierte Verwaltung von Berechtigungen ist für die Sicherheit einer Umgebung elementar.

Wenn parallel noch Benutzerdaten mit Azure AD synchronisiert werden sollen, kommen Unternehmen kaum um den Einsatz eines Identity Management-Systems herum. Nur dann ist sichergestellt, dass die lokal gepflegten Benutzerdaten richtig sind und auch die richtigen Daten in die Cloud synchronisiert werden.

Privileged Access Management erhöht die Sicherheit in Active Directory

Parallel zu einem System für das Identity Management kann es sinnvoll sein, in Active Directory auch mit Privileged Access Management (PAM) zu arbeiten. Damit ist es möglich, Benutzerkonten für eine fest definierte Zeit erhöhte Rechte zuzuweisen. Ist die Zeit abgelaufen, entfernt Active Directory diese Rechte wieder. Mit der PowerShell lässt sich überprüfen, ob PAM in der Gesamtstruktur bereits aktiviert ist:

Wir haben im Beitrag „Admin auf Zeit in Active Directory“ das Thema in der Praxis behandelt.

So gefährden LaZagne, BloodHound und Mimikatz das Active Directory

Diese Tools nutzen Hacker für AD-Angriffe

Domänencontroller zuverlässig vor Angriffen schützen

Härtungsmaßnahmen für das Active Directory

Active Directory im Fokus

Bildergalerie mit 71 Bildern

(ID:48743088)