Schutz von Active Directory gegen Cyberkriminelle Sichere Admin-Arbeitsstationen für ein sicheres AD

Anbieter zum Thema

Microsoft Deutschland GmbH

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

Specops Software GmbH

Im Rahmen der Absicherung von Active Directory spielen sichere PCs zur Verwaltung eine wesentliche Rolle. Wir zeigen in diesem Beitrag, warum ein separater Admin-PC für Verwaltungsaufgaben ein wichtiger Faktor ist, um die Sicherheit in Active Directory zu gewährleisten.

Bei der Verwaltung von Active Directory spielt die Sicherheit eine wesentliche Rolle. Das gilt auch dann, wenn parallel Azure AD zum Einsatz kommt. Daher sollten Admins bei der Verwaltung von AD einige Punkte beachten, um die Sicherheit deutlich zu verbessern.

Zunächst ist es sehr wichtig, dass jeder Administrator in Active Directory ein separates Benutzerkonto erhält, das lediglich zur Verwaltung genutzt wird. Die tägliche Arbeit von Admins sollte mit eigenen Benutzerkonten erfolgen, die nur über genau die Rechte verfügen, die unbedingt nötig sind.

Bildergalerie

Bildergalerie mit 9 Bildern

Die Verwaltungsaufgaben in Active Directory sollten mit Benutzerkonten erfolgen, die nur zur Verwaltung zum Einsatz kommen, sonst für keine anderen Aufgaben. Auch diese Konten sollten nur die notwendigen Rechte erhalten. Es ist an dieser Stelle zudem wichtig, dass jeder Administrator sein eigenes Adminkonto erhält und kein gemeinsames Konto zum Einsatz kommt. Das stellt sicher, dass Änderungen und Verwaltungsaufgaben nachverfolgbar sind. Außerdem lässt sich dadurch vermeiden, dass das Adminkonto von verschiedenen Stellen aus angegriffen werden kann.

Die Verwaltung über sichere Admin-PCs als wichtiger Faktor für die AD-Sicherheit

Damit ein Active Directory nicht durch die Unsicherheit von herkömmlichen Computern oder Arbeitsstationen gefährdet wird, sollte die Verwaltung der Umgebung von speziellen Arbeitsstationen aus verwaltet werden, die ansonsten keine anderen Aufgaben haben. Das stellt sicher, dass Sicherheitslücken anderer Anwendungen keine negativen Auswirkungen auf das Active Directory haben. Außerdem lassen sich dadurch die Netzwerkzugriffe deutlich reduzieren, und es sind weniger offene Ports auf den Admin-PC notwendig.

In älteren Umgebungen mit Red Forests nach dem Prinzip Enhanced Security Administrative Environment (ESAE) wurden dazu Privileged Access Workstations (PAW) aufgebaut. Bei modernen Umgebungen mit Privileged Access Strategy und dem Zero Trust Rapid Modernization Plan (RAMP) gibt es diese Arbeitsstationen in ähnlicher Form. Wenn Unternehmen daher auf ESAE setzen und in Zukunft parallel Azure AD einsetzen wollen, kann der klassische Ansatz modernisiert werden. Die Verwaltung findet dann weiterhin über PAWs (Privileged Access Workstations) statt, um die Angriffsvektoren in Active Directory zu reduzieren.

Bereitstellung mit Windows Autopilot

Generell ist die Bereitstellung von Verwaltungs-PCs für privilegierte Benutzerkonten und Admins auch mit Windows Autopilot möglich. Microsoft empfiehlt über die Absicherung mit dem Zero Trust Rapid Modernization Plan (RAMP) die Verwendung von Hardware, die möglichst viele Sicherheitsfunktionen von Windows 10/11 unterstützt. Die Bereitstellung sollte möglichst automatisiert erfolgen, zum Beispiel über Windows Autopilot. Wir haben das Thema bereits im Beitrag "Windows AutoPilot und Microsoft Endpoint Manager" behandelt. Generell empfiehlt Microsoft, die Arbeitsstationen im Netzwerk und auch die Verwaltungs-PCs der Admins möglichst automatisiert bereitzustellen und idealerweise auch automatisiert zu verwalten, zum Beispiel mit Microsoft Endpoint. Dabei kommt Intune zum Einsatz und möglichst Microsoft Defender für Endpoint.

Die wichtigsten Sicherheitseinstellungen für Windows 10/11-Admins-PCs

Damit die Verwaltungs-Computer maximal sicher sind, sollten folgende Funktionen verfügbar sein:

• Trusted Platform Module (TPM) 2.0

• BitLocker-Laufwerkverschlüsselung

• UEFI Secure Boot

• Über Windows Update verteilte Treiber und Firmware

• Aktivierte Virtualisierung und HVCI

• HVCI-bereite Treiber und Apps

• Windows Hello

• DMA-E/A-Schutz

• Systemschutz

• Moderner Standbymodus

Dadurch lassen sich die in Windows 10/11 integrierten Sicherheitsfunktionen nutzen. Beim Einsatz von Windows 11 haben Unternehmen zudem den Vorteil, dass sie alle Sicherheitsfunktionen kostenlos einbinden können, die Microsoft in das Betriebssystem integriert hat.

TPM-Chips sind zwar durchaus umstritten, dennoch stellen sie eine grundlegende Sicherheitsfunktion dar, auf der viele Sicherheitsfunktionen von Windows 11 aufbauen. Mehr dazu ist im Beitrag "TPM 2.0 und Secure Boot – PCs fit machen für Windows 11" zu finden. Parallel dazu sind die empfohlenen Sicherheitseinstellungen von Microsoft sehr relevant für die Sicherheit. Wir haben dieses Thema im Beitrag "Security-Baseline für Windows Server 2022 und Windows 11" behandelt.

Admins-PCs mit Bitlocker verschlüsseln

Admin-PCs, vor allem wenn es sich um Notebooks handelt, mit denen Admins auch von unterwegs Netzwerke verwalten, sollten in jedem Fall mit Bitlocker verschlüsselt werden. Der Beitrag "10 Tipps zur Datenverschlüsselung in Windows" zeigt, wie das geht.

Natürlich sollte ein UEFI zum Einsatz kommen, das Secure Boot unterstützt, was bei der Installation von Windows 11 ohnehin Voraussetzung ist. Secure Boot vermeidet, dass Malware mit dem Betriebssystem startet und vor dem Virenscanner aktiv ist.

Sicherheitseinstellungen in Windows 11 prüfen und optimieren

Grundsätzlich sollten die Sicherheitseinstellungen von Windows 11 auf allen Arbeitsstationen aktiv sein. Auf Admin-PCs ist das aber besonders wichtig, denn hier sind Cyberattacken besonders gravierend. Bei allen möglichen Automatismen sollten Admins ab und an die Einstellungen manuell überprüfen. Denn es gibt durchaus die Möglichkeit, dass veraltete oder unsichere Systemtreiber ein komplettes Betriebssystem kompromittieren können. Ein Beispiel dafür ist ein unsicherer Maustreiber, der den Kernelschutz in Windows ausschaltet und dadurch wiederum Angriffe ermöglicht. Die installierten Treiber spielen daher für die Sicherheit ebenfalls eine wichtige Rolle.

Sicherheitseinstellungen in Windows 11: Kernisolierung und Co. sind wichtig

Bei Admin-PCs ist die App "Windows-Sicherheit" ein wichtiger Faktor für die Sicherheit. Neben den Standardeinstellungen für einen aktiven und aktuellen Malwarescanner spielt der Menüpunkt "Gerätesicherheit" eine wichtige Rolle. Bei "Datenverschlüsselung" und "Sicherheitschip" sollten keine Fehler angezeigt werden. Das zeigt, dass Bitlocker aktiv ist und der TPM-Chip funktioniert.

Der Menüpunkt "Kernisolierung" ist an dieser Stelle ebenfalls wichtig. Zeigt Windows 11 an dieser Stelle eine Warnung an, deutet das darauf hin, dass wichtige Sicherheitseinstellungen nicht richtig funktionieren. Mit "Details zur Kernisolierung" kann dies überprüft werden. Lässt sich an dieser Stelle die "Speicher-Integrität" nicht aktivieren, zeigt der Link "Inkompatible Treiber überprüfen" Treiber oder andere Softwarekomponenten an, die das Aktivieren dieser Funktion verhindert. Solche problematischen Treiber sollten auf herkömmlichen PCs genauso deinstalliert werden, wie auf Admin-PCs. Auch hier gilt aber, dass die Deinstallation des Treibers vor allem auf Admin-PCs die Sicherheit verbessert.

Das Gleiche gilt für die Einstellung "Schutz durch lokale Sicherheitsautorität". An dieser Stelle sollten darüber hinaus die beiden Funktionen "Microsoft Defender Credential Guard" und "Microsoft-Sperrliste gefährdeter Treiber" aktiviert sein. Das schützt die Anmeldedaten von Admins und verhindert, dass sich gefährliche Treiber installieren lassen und das System kompromittieren.

Benutzerkonten in Windows 11 schützen: Windows Hello

Natürlich müssen die Benutzerkonten der Administratoren in Windows 11 besonders geschützt werden. Dazu steht in der Windows-Sicherheits-App der Menüpunkt "Kontenschutz" zur Verfügung. An dieser Stelle ist es zu Beispiel möglich, Windows Hello zu überprüfen. Die Anmeldung von Windows Hello bietet den Vorteil, dass biometrische Anmeldefunktionen zur Verfügung stehen, welche die Anmeldesicherheit deutlich verbessern. Hier sollte in Windows 11 auf Admin-PCs auch immer ein Blick in den Bereich "Konten -> Anmeldeoptionen" gehen.

An dieser Stelle kann Windows Hello aktiviert und konfiguriert werden. Außerdem ist es an dieser Stelle möglich, die Sicherheitsfunktion "Dynamische Sperre" zu aktivieren. Dadurch kann Windows 11 den Zugriff auf den Admin-PC automatisch sperren, wenn ein Benutzer vergisst sich abzumelden.

Anwendungen auf Admin-PCs schützen

Über den Menüpunkt "App und Browsersteuerung" gibt es die drei Menüpunkte "Smart App Control", "Zuverlässigkeitsbasierter Schutz" und "Exploit-Schutz". Für jeden Menüpunkt stehen an dieser Stelle verschiedene Sicherheitsfunktionen zur Verfügung, die auf Admin-PCs unbedingt aktiviert werden sollten. Bei "Zuverlässigkeitsbasierter Schutz" gibt es hier zum Beispiel "Apps und Dateien überprüfen", "SmartScreen für Microsoft Edge" und "Phishing-Schutz". Bei "Exploit-Schutz" gibt es zahlreiche tiefergehende Einstellungen, die auf Admin-PCs so sicher wie nur möglich gesetzt werden sollten.

Mehr Sicherheit im Netzwerk durch den Schutz privilegierter Konten

Privileged Access Strategy: So sichern Sie Active Directory ab

Azure AD und Enhanced Security Admin Environment

Active-Directory-Schutz: Zero-Trust & Rapid Modernization Plan

(ID:49692294)