Mehr Sicherheit im Netzwerk durch den Schutz privilegierter Konten Privileged Access Strategy: So sichern Sie Active Directory ab

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Specops Software GmbH

Die Privileged Access Strategy mit Zero-Trust ist die neue, empfohlene Vorgehensweise für den Schutz von Netzwerken gegen Cyberangriffe. Hier stehen vor allem die privilegierten Benutzerkonten im Fokus, also Administratoren und Benutzer mit erhöhten Rechten.

In sehr vielen Fällen, wenn nicht sogar in den allermeisten Fällen, gelangt Ransomware über Phishing-Angriffe in Netzwerk. Dabei versuchen Cyberkriminelle, auf verschiedenen Wegen über Phishing und Spear-Phishing an Anmeldedaten von Benutzern zu kommen.

Die Übernahme von Benutzerkonten hebelt Sicherheitslösungen aus

Nachdem die Übernahme von Benutzerkonten geklappt hat, können sich die Angreifer mit den Benutzerrechten des Anwenders im Netzwerk bewegen – die meisten Sicherheits-Lösungen im lokalen Netzwerk sind dadurch ausgehebelt.

Bildergalerie

Ab diesem Zeitpunkt bewegen sich Cyberkriminelle seitwärts im Netzwerk, versuchen Daten zu stehlen, Systeme zu kompromittieren und Ransomware oder andere Malware einzuschleusen. Gelingt es, über diesen Weg auch noch an die Anmeldedaten von privilegierten Benutzerkonten zu kommen, erhöht sich der Schaden weiter. Wenn Angreifer mit solchen erbeuteten Benutzerdaten im lokalen Netzwerk unterwegs sind, können sie einiges an Schaden anrichten, indem sie die verschiedenen Sicherheitslücken ausnutzen.

Microsoft schließt zwar jeden Monat am Patchday zahlreiche Lücken, allerdings gelingt das nicht immer zuverlässig und vollständig. Besonders gefährlich ist es, wenn Angreifer die Chance erhalten, mit internen Benutzerkonten Systeme anzugreifen. Jüngst Tagen wurde in diesem Bereich eine Zero-Day-Lücke in VMware vSphere/ESXi entdeckt https://www.vmware.com/security/advisories/VMSA-2023-0013.html, über die Angreifer mittels lokaler Benutzerkonten komplette Netzwerke stark beeinträchtigen können.

Das sind nur einige Beispiele dafür, welchen großen Schaden schon die Übernahme herkömmlicher Benutzerkonten verursacht. Gelingt es einem Angreifer auch noch, ein privilegiertes Konto oder sogar ein Administrator-Konto zu übernehmen, wird die Situation sehr viel kritischer.

Der Schutz von privilegierten Benutzerkonten ist essenziell für die Netzwerk-Sicherheit

Aus diesen Gründen sollten Admins dafür sorgen, dass die privilegierten Konten maximal geschützt sind, um auch die Sicherheit von Active-Directory-Umgebungen zu unterstützen. Eine umfassende Sicherheit im Netzwerk lässt sich nur erreichen, wenn IT-Sicherheit und interne Administratoren zusammenarbeiten. Dazu gehören verschiedene Faktoren. Für Microsoft spielen in dieser Hinsicht Zero Trust und die Privileged Access Strategy eine wesentliche Rolle. Es geht an dieser Stelle noch nicht mal um Produkte, mit denen diese Absicherung erfolgt, sondern zunächst „nur“ um die richtige Planung.

So werden privilegierte Benutzerkonten besonders geschützt

Um privilegierte Benutzerkonten besonders zu schützen, müssen Admins in Active-Directory-Umgebungen strukturiert vorgehen. Zunächst sollten die Benutzer immer nur so viel Rechte erhalten, wie unbedingt notwendig. Es ist kein Vertrauensbeweis, wenn ein Benutzer mehr Rechte erhält, als er tatsächlich braucht.

Der zweite wichtige Schritt besteht darin, die Benutzerkonten zu identifizieren, die besonders gefährdet sind. Das können Benutzerkonten sein, die auf öffentlich zugänglichen Geräten zum Einsatz kommen (Kiosk-Computer), oder Benutzerkonten, die besonders hohe Rechte haben. Dabei muss es sich nicht um zentrale Administratoren handeln, es reichen auch weitreichende Rechte im ERP-System, Support-Benutzer oder Benutzer, die, aus welchem Grund auch imme,r in verschiedenen Systemen erhöhte Rechte haben.

Sobald bekannt ist, welche Benutzerkonten gefährdet sind, lässt sich eine Strategie erarbeiten, wie sich diese schützen lassen. Erst danach geht es darum, diese Benutzerkonten zu schützen. Hierbei spielen Administrator-Konten eine besonders wichtige Rolle.

Administrator-Konten in Active Directory schützen

Um Administrator-Konten in Active Directory zu schützen, sollte zunächst auf drei Dinge geachtet werden. Administratoren sollten ihre tägliche Arbeit mit herkömmlichen Benutzerkonten durchführen. Es ist keinesfalls sinnvoll und sehr riskant, wenn Admins in ihrem herkömmlichen Konto auch administrative Rechte in Active Directory oder anderen Systemdiensten haben.

Zweitens sollte jeder Administrator ein eigenes Administratorkonto haben, damit Änderungen nachvollziehbar sind und nicht mehrere Benutzer faktisch unkontrolliert mit dem gleichen Benutzerkonto arbeiten. Jeder Admin sollte nur genau die Rechte erhalten, die er zur Verwaltung der jeweiligen Systeme braucht und nicht mehr.

Der dritte Punkt ist der PC, an dem Admins die Umgebung verwalten. Es sollte sich dabei um einen PC handeln, der für keine anderen Aufgaben genutzt wird, sondern nur für Verwaltung der Umgebung zum Einsatz kommt. Dadurch ist es möglich, dass der PC besonders abgesichert wird und keine Gefahr besteht, dass er durch unsichere E-Mails oder andere Einfallstore kompromittiert wird. Wenn sich Admins an diese drei Grundsätze halten, ist die Umgebung schon sehr viel sicherer, ohne auch nur ein einziges Sicherheitssystem ändern oder implementieren zu müssen.

Es ist darüber hinaus auch nicht sinnvoll, neue Sicherheitslösungen zu implementieren, wenn die Grundlagen nicht gegeben sind. Zunächst sollte die Bordmittel von Windows und Linux ausgeschöpft sein, bevor zusätzliche Sicherheitsdienste eingebunden werden. Zusätzliche Dienste erhöhen nicht nur Kosten und Verwaltungsaufwand, sondern stellen generell durchaus ein weiteres Ziel für Angreifer dar. Wenn die Grundlagen geschaffen sind, ist es aber durchaus sinnvoll, mit zusätzlichen Lösungen für mehr Sicherheit zu sorgen.

Azure AD und Enhanced Security Admin Environment

Active-Directory-Schutz: Zero-Trust & Rapid Modernization Plan

Schutz von Active Directory gegen Cyberkriminelle

Sichere Admin-Arbeitsstationen für ein sicheres AD

(ID:49650803)