Sicherheit für die Active-Directory-Modernisierung und Migration Best Practices für eine sichere AD-Migration

Als Verzeichnisdienst für Netzwerkbenutzer und -ressourcen ist Active Directory eng in die meisten Organisationen integriert. In jüngster Zeit jedoch gerät es zunehmend ins Visier von Cyberkriminellen. Seit durch die Verbreitung von Cloud-Systemen die Idee eines Netzwerk­perimeters praktisch überholt ist, konzentrieren sich die Angriffsstrategien dieser Akteure auf die Kompromittierung von Identitäten, beispielsweise über Phishing-E-Mails.

Solche neuen Angriffsformen machen die Identitätssysteme Active Directory und Entra ID für Unternehmen zwangsläufig zu bedeutenden und äußerst schützenswerten Bereichen. Gelingt Angreifern der privilegierte Zugriff auf das AD, wird dies den Stillstand des Geschäftsbetriebs bedeuten. Dementsprechend konzentrieren sich Sicherheitsstrategien in Unternehmens-Umgebungen verstärkt auf Identitätsmanagement und Identitätskontrolle.

Vergrößerte Angriffsfläche durch mehrere AD-Domänen

Allerdings ist die ursprüngliche AD-Architektur in den meisten Unternehmen nicht für den Umgang mit Cloud-Infrastrukturen ausgelegt, weshalb die herkömmlichen Sicherheits- und Architekturempfehlungen für derartig erhöhte Anforderungen nicht ausreichen. Als Active Directory Ende des vergangenen Jahrtausends mit Windows Server 2000 eingeführt wurde, übten Faktoren wie Bandbreitenbeschränkungen in Netzwerkumgebungen sowie Schwierigkeiten mit der NT-Replikation bedeutenden Einfluss auf die Gestaltung von AD-Domänen aus. Diese Beschränkungen in Kombination mit Objekteinschränkungen und Migrationsherausforderungen von Windows NT 4-Legacydomänen führten zur Einführung mehrerer AD-Domänen innerhalb der Gesamtstruktur. Diese komplizierten Designs, zusammen mit jahrzehntelangen Konfigurationsabweichungen, haben zu übermäßig komplexen Designs und Fehlkonfigurationen geführt, die die Angriffsfläche der AD-Gesamtstrukturen signifikant vergrößern. Mitunter konzentrieren sich Angreifer bei ihren Attacken von vornherein auf bestimmte typische AD-Schwachstellen.

Herausforderungen einer AD-Modernisierung

Wollen Unternehmen robuste Autorisierungsmechanismen für ihr Identitätsmanagement einführen und die Kontrolle über ihre Netzwerke vollständig zentralisieren, ist die Modernisierung ihres AD unerlässlich. Dieser Prozess kann jedoch zahlreiche individuelle Herausforderungen mit sich bringen: In den meisten Fällen geht es technisch darum, Benutzer, Gruppen, Anwendungen und Computer in eine neue Gesamtstruktur zu migrieren. Dabei besteht das Risiko, dass bislang unentdeckte Schwachstellen aus der alten in die neue Umgebung übernommen werden. Während des Migrationsprozesses können außerdem neue Schwachstellen entstehen, die möglicherweise nicht erkannt werden, sofern währenddessen keine kontinuierliche Überwachung und Bewertung stattfindet.

In der Regel lässt sich der gesamte Vorgang nur schrittweise realisieren. Da die Migration von Ressourcen wie Anwendungen, Dateiservern und Datenbanken komplexer ist als das Verschieben von Benutzern und Gruppen, können diese vorübergehend in der alten Umgebung zurückbleiben. Oberste Priorität hat die Gewährleistung von Sicherheit während der Übergangsphase, da Angreifer eine unruhige Umgebung womöglich leichter kompromittieren könnten.

Best Practices für eine sichere AD-Migration

Für eine möglichst unterbrechungsfreie Migration benötigen Unternehmen einen detaillierten Migrationsplan, der sicherstellt, dass die Zieldomäne nach bewährten Sicherheitsmethoden gestaltet wird. Idealerweise sollten sie darin die folgenden Schritte berücksichtigen:

• 1. Bewertung der aktuellen Umgebung: Die bestehende Umgebung sollte zunächst einem Assessment unterzogen werden, um Sicherheitslücken wie kompromittierte Accounts und riskante Systemfehlkonfigurationen zu identifizieren. Ein AD-Analysetool kann dabei helfen, Schwachstellen und potenzielle Angriffswege schnell zu erfassen.

• 2. Einrichten einer Testumgebung: An zweiter Stelle steht das Einrichten einer Umgebung, die das Produktions-AD widerspiegelt und das Testen des Migrationsprozesses ermöglicht. Wichtige Voraussetzung dafür ist es, zu gewährleisten, dass Benutzerberechtigungen und Zugriffsrechte in Übereinstimmung mit der allgemeinen Richtlinie verschoben werden, dass Kennwörter synchronisiert werden und dass Konten, Authentifizierungsprotokolle und Verschlüsselungsalgorithmen mit der neuen Umgebung kompatibel sind. Dieselben Vorsichtsmaßnahmen gelten für die komplexere Aufgabe der Migration von Anwendungen, Ressourcen und mehrschichtigen Architekturen, welche häufig spezielle Konfigurationen erfordern.

• 3. Benutzer- und Servernamen abgleichen: IT-Verantwortliche müssen dafür Sorge tragen, dass hartkodierte Benutzernamen, definierte Namen und Servernamen in den beiden Umgebungen übereinstimmen und diese gegebenenfalls aktualisieren. Denn falls in der AD-Zielumgebung Benutzer- oder Servernamen abweichen, werden Benutzer möglicherweise nicht authentifiziert oder können auf bestimmte Ressourcen nicht zugreifen.

• 4. Testen und Validieren: Vor Aktivierung der AD-Zielumgebung steht eingehendes Testen und Validieren, um sicherzustellen, dass sie ordnungsgemäß funktioniert. Auch nach erfolgreicher Migration ist eine kontinuierliche Überwachung – auf unbefugten Zugriff, Berechtigungsänderungen und anomales Verhalten – wichtig. Zudem sollten Administratoren regelmäßige Sicherheitsaudits und Penetrationstests durchführen.

• 5. Migrieren von Benutzern und Gruppen: Damit die neuen Benutzer und Gruppen auf die ursprünglichen Ressourcen in der Quellgesamtstruktur zugreifen können, müssen die Sicherheits-IDs (SIDs) ursprünglicher Benutzer und Gruppen jeweils dem SID-History-Attribut des neuen, migrierten Objekts in der AD-Zielgesamtstruktur hinzugefügt werden. Damit bleiben die SIDs der ursprünglichen Objekte sowie der Zugriff auf die Quellgesamtstruktur erhalten. Die Alternative besteht darin, den ursprünglichen Ressourcen neue Zugriffssteuerungseinträge (Access Control Entries, ACEs) für die neuen Benutzer und Gruppen hinzuzufügen. Beide Ansätze setzen eine Vertrauensstellung zwischen der Quell- und der Zielgesamtstruktur voraus.

• 6. Für Benutzerprofile und Computerkonten sollte vorab ein Plan erstellt werden, damit benutzerspezifische Einstellungen, Konfigurationen, Daten und Netzwerkeinstellungen weiterhin zur Verfügung stehen. Anhand dessen lässt sich anschließend in der Zielumgebung nachvollziehen, ob alles ordnungsgemäß migriert wurde.

• 7. Aktivieren der Passwortsynchronisierung: Die Passwortsynchronisierung ermöglicht es Benutzern, ihre vorhandenen Anmeldeinformationen für den Zugriff auf Ressourcen in der Zielumgebung zu verwenden, ohne ihre Kennwörter zurücksetzen zu müssen. Für Unternehmen mit Remote-Mitarbeitern kann diese Synchronisierung entscheidend sein, sofern Remote-Verbindungen von den Kennwörtern abhängen, um einen VPN-Tunnel zu öffnen. Unternehmen sollten daher sicherstellen, dass die Kennwortsynchronisierung zwischen beiden Umgebungen aktiviert und entsprechend konfiguriert ist. Zudem sollten sie alle Remote-Konnektivitäts­szenarien sowohl vor als auch nach der Migration testen.

• 8. Migrieren von Ressourcen: Auch Drucker, Dateifreigaben, Anwendungen und andere IT-Ressourcen sind von AD abhängig. Während des Migrationsprozesses müssen Unternehmen sicherstellen, dass alle Ressourcen ordnungsgemäß migriert werden und ihre Berechtigungen und Zugriffsrechte beibehalten werden. Achten Sie auf einige potenzielle Probleme bei der Ressourcenmigration.

• 9. Migrieren einer mehrschichtigen Architektur: Mehrschichtige Architekturen sind meist hochgradig angepasst und erfordern spezielle Konfigurationen. Sie können auch Abhängigkeiten von bestimmten Versionen des Betriebssystems, der Hardware oder der Middleware aufweisen, was zu Kompatibilitätsproblemen führen kann, insbesondere, wenn die Migration eine Umstellung auf ein Zero-Trust- oder Least-Privilege-Sicherheitsmodell umfasst. Derartige Ansätze erhöhen die Komplexität des Migrationsprozesses und können Kompatibilitätsprobleme hervorrufen. Unternehmen sollten berücksichtigen, dass einige Anwendungen, um in einer Zero-Trust-Umgebung ordnungsgemäß zu funktionieren, möglicherweise Änderungen an der Konfiguration des Cloud-Diensts vornehmen müssen oder in Least-Privilege-Umgebungen erhöhte Berechtigungen verlangen.

• 10. Migrieren von Anwendungen: Während einer AD-Domänenmigration müssen alle Anwendungen und Systeme, die von AD abhängig sind, ebenfalls in die Zielumgebung migriert werden. Bleibt eine Anwendung oder ein System in der alten Gesamtstruktur zurück, entsteht eine Sicherheitslücke, die von Angreifern ausgenutzt werden kann. Um dies zu verhindern, muss vorab eine Bestandsaufnahme aller Anwendungen und Dienste, die von AD abhängig sind, durchgeführt werden. Außerdem müssen die Sicherheitskontrollen in der Zielumgebung mindestens so streng sein wie in der alten Umgebung. Nach Überprüfung der ordnungsgemäßen Migration sollte die alte Forest-Struktur stillgelegt werden, um die Angriffsfläche möglichst gering zu halten.

• 11. Schulung und Dokumentation: Haben Unternehmen die AD-Migration erfolgreich vollzogen, sollten sie Endanwender, IT-Mitarbeiter und das Management mit der neuen Umgebung vertraut machen. Um Fehlkonfigurationen künftig vorzubeugen, sollten sie eine detaillierte Dokumentation über die neue Domänenstruktur, die Benutzer- und Gruppenverfahren sowie alle Sicherheitsrichtlinien anlegen.

AD-Modernisierung erhöht die Cyber-Resilienz

Mit der Modernisierung ihres Active Directory sind Unternehmen nicht länger ausschließlich auf dessen native Sicherheitsfunktionen angewiesen. Stattdessen erhöhen sie ihre Resilienz gegen moderne Cyberbedrohungen, indem sie potenzielle Angriffswege schließen und geeignete Ausgangsbedingungen für robustes Identitäts- und Autorisierungs­management schaffen. Darüber hinaus kann die Vereinfachung der Umgebung dazu beitragen, langfristig Verwaltungskosten zu senken und durch verbesserte, zentrale Kontrolle das Einhalten regulatorischer Anforderungen einfacher zu gestalten.

Über den Autor: Oliver Keizers ist Area Vice President EMEA Central bei Semperis.

(ID:49948487)