Mobile-Menu

Video-Tipp #57: Lithnet Password Protection Kennwörter in Active Directory optimal schützen

Von Thomas Joos Lesedauer: 4 min |

Anbieter zum Thema

Vogel IT-Medien GmbH
Specops Software GmbH

Sichere Kennwörter spielen in Active Directory eine wesentliche Rolle, wenn es um die Sicherheit des ganzen Netzwerks geht. Mit Bordmitteln lässt sich diese Sicherheit kaum optimal herstellen. Das Tool Lithnet Password Protection ist dabei eine sinnvolle Ergänzung.

Mit Windows-Bordmitteln lässt sich die Sicherheit der Anmeldekonten in Active Directory kaum optimal schützen. Aber zum Glück gibt es praktische Tools, die Admins dabei helfen können.
Mit Windows-Bordmitteln lässt sich die Sicherheit der Anmeldekonten in Active Directory kaum optimal schützen. Aber zum Glück gibt es praktische Tools, die Admins dabei helfen können.
(Bild: chinnarach - stock.adobe.com)

Die Sicherheit der Anmeldekonten in Active Directory ist zu einem großen Teil von den Kennwörtern abhängig, die Anwender nutzen. Über Gruppenrichtlinien lassen sich zahlreiche Einstellungen vorgeben, mit denen die Sicherheit der Kennwörter zumindest zum großen Teil wesentlich verbessert werden kann. Allerdings lässt sich über die Gruppenrichtlinien nicht steuern, dass Anwender vor bereits geleakten Kennwörtern oder Zeichenfolgen aus geleakten Kennwörtern geschützt werden.

Mit welchen Tools und Informationen man Kennwörter in Active Directory möglichst gut schützen kann, zeigen wir hier im Video-Tipp und in der Bildergalerie.

Bildergalerie
Bildergalerie mit 8 Bildern

Kennwörter in Active Directory mit Richtlinien absichern

Die Standardrichtlinien für Kennwörter sind in der Gruppenrichtlinienverwaltung in der „Default Domain Policy“ bei „Computerkonfiguration -> Richtlinien > Windows-Einstellungen -> Sicherheitseinstellungen -> Kontorichtlinien -> Kennwortrichtlinien zu finden. Wir haben unter anderem im Beitrag „Kennwortrichtlinien in Active Directory mit der PowerShell verwalten“ gezeigt, wie sich die Richtlinien auch mit Skripten und automatisiert über die PowerShell optimieren lassen. Im Beitrag „Windows-Passwörter mit Gruppenrichtlinien schützen“ sind weitere Anleitungen und ein Video zu finden, mit dem sich die Sicherheit von Kennwörtern in Windows und Active Directory noch einmal deutlich verbessern lässt.

Specops Password Auditor findet geleakte Kennwörter in Active Directory

Der Standardschutz reicht allerdings bei weitem nicht aus. Zwar ist es möglich mit kostenlosen Tools wie Specops Password Auditor das Active Directory auch kostenlos nach geleakten Kennwörtern zu untersuchen, allerdings geht das nur nachträglich, also wenn die Kennwörter bereits im Einsatz sind.

Password Filter in Active Directory vermeiden gehackte Kennwörter

Mit Password-Filtern in Active Directory lassen sich weitere Schutzmaßnahmen einbinden, durch die Benutzer daran gehindert werden überhaupt erst Kennwörter zu verwenden, die von vorneherein schon als gehackt im Internet bekannt sind. Das Tool Lithnet Password Protection (LPP) bindet sich an diese Filter in Active Directory an und verhindert durch Gruppenrichtlinien, dass Benutzer geleakte Kennwörter nutzen. Dazu kann das Tool auch bereits mit einer vorgefertigten Liste von Kennwörtern aktualisiert werden. Das Tool und die Liste stehen als Open Source auf GitHub zur Verfügung. Die Konfiguration kann übrigens auch mit der PowerShell erfolgen. Daher haben wir oben bereits unseren Beitrag zur Steuerung der Kennwortrichtlinie mit der PowerShell verlinkt.

Lithnet Password Protection in Betrieb nehmen

Der erste Schritt bei der Verwendung von Lithnet Password Protection (LPP) (https://lithnet.io/products/password-protection) besteht darin das Tool auf einem Domänencontroller zu installieren. Durch die Installation werden die Password Filter in Active Directory erweitert. Dazu kommen zusätzliche ADMX-Dateien, mit denen sich die Gruppenrichtlinien zum Schutz von Kennwörtern deutlich erweitern lassen. Nach der Installation stehen die neuen Gruppenrichtlinieneinstellungen auch bereits bei „Computerkonfiguration -> Richtlinien -> Administrative Vorlagen -> Lithnet -> Password Protection for Active Directory“ zur Verfügung. Beim Einsatz mehrerer DCs sollte darauf geachtet werden, dass die ADMX-Dateien des Tools auf allen Domänencontrollern zur Verfügung stehen.

Hier lassen sich ergänzende Einstellungen für Gruppenrichtlinien umsetzen, die für die Kennwörter angewendet werden. Darunter sind die Einstellungen zu verhindern, dass Anwender Kennwörter nutzen dürfen, die im Speicher von LPP als kompromittiert hinterlegt sind. Die Datenbank mit den geleakten Kennwörtern lässt sich auf den Domänencontrollern lokal ablegen, sodass für die Überprüfung keine Online-Verbindung notwendig ist.

Mit welchen Tools und Informationen man Kennwörter in Active Directory möglichst gut schützen kann, zeigen wir hier im Video-Tipp und in der Bildergalerie.

Bildergalerie
Bildergalerie mit 8 Bildern

HIBP: LPP nutzt die Have i been pwned-Datenbank

LPP kann auch auf die Daten der Datenbank HIBP zugreifen, in denen gehackte Kennwörter gespeichert sind. Soll die Datenbank auf den lokalen Domänencontrollern zum Einsatz kommen, muss auf jeden Fall mit einem Speicherplatz jenseits der 20 GB auf den Domänencontrollern gerechnet werden. Diesen Umfang hat die Datenbank mit gehackten Kennwörtern mittlerweile und die Tendenz ist eher wachsend. Die Daten können auf allen Domänencontrollern gespeichert werden, müssen das aber nicht. Es ist auch möglich eine lokale Datenbank freizugeben und auf den Domänencontrollern den Zugriff darauf zu konfigurieren. Parallel dazu unterstützt LPP auch DFS und natürlich auch die Replikation der Datenbank auf alle Domänencontroller.

Das Erstellen des Verzeichnisses und das Importieren der darin gespeicherten Daten in die Richtlinien erfolgt über die PowerShell zum Beispiel mit den folgenden Befehlen:

mkdir C:\password-protection\storeImport-Module LithnetPasswordProtectionOpen-Store -Path "C:\password-protection\store"

Benötigt wird die NTLM-formatierte Liste von HIBP. Diese hat eine Größe von etwa 12 GB bis 14 GB. Wenn die Datei heruntergeladen ist, lässt sie sich über die PowerShell in den lokal erstellten Store von LPP einbinden:

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung
Import-CompromisedPasswords -Filename "c:\password-protection\hashes.org-2022.txt"

Es ist auch möglich jederzeit Kennwörter in die Liste aufzunehmen. Auch das wird in der PowerShell durchgeführt, zum Beispiel mit:

Add-CompromisedPassword -Value p@ssw0rd

Um zu überprüfen, ob ein Kennwort in der Liste steht, kann in der PowerShell der folgende Befehl genutzt werden:

Test-IsCompromisedPassword -Value p@ssw0rd

In den Gruppenrichtlinieneinstellungen von LPP sollte vor allem die Einstellung „Reject passwords found in the compromised password store“ aktiviert und die beiden Einstellungen darin gesetzt werden. Sobald die Richtlinien angewendet werden, können Anwender jetzt keine Kennwörter mehr verwenden, die im Store hinterlegt sind. Auch die anderen Einstellungen in diesem Bereich können gesetzt werden. Für jede Einstellung zeigt die Vorlage eine Hilfe. Sinnvoll ist es zum Beispiel zu verhindern, dass Anwender ihren Benutzernamen in das Kennwort mit einbinden („Reject passwords that contan the user`s account name“). Es macht Sinn, sich die einzelnen Möglichkeiten dazu genauer anzuschauen und diese entsprechend zu setzen.

Mit welchen Tools und Informationen man Kennwörter in Active Directory möglichst gut schützen kann, zeigen wir hier im Video-Tipp und in der Bildergalerie.

Bildergalerie
Bildergalerie mit 8 Bildern

(ID:49043736)

Weiterführende Inhalte