Lepide Active Directory Auditor: AD überwachen und Angriffe blockieren So prüfen Sie Konfi­gu­ra­tions- und Berechtigungs­änderungen

Anbieter zum Thema

Pathlock Deutschland | akquinet enterprise solutions GmbH

Specops Software GmbH

Mit dem Lepide Active Directory Auditor können Admins ihre Active Directory-Umgebung überwachen, den Gesundheitszustand überprüfen, und parallel dazu Angriffe rechtzeitig erkennen und bekämpfen. Das geht sogar in Echtzeit.

Active Directory ist bei vielen Unternehmen einer der wichtigsten Bestandteile der Infrastruktur. Das ist auch einer der Gründe, warum Cyberkriminelle immer öfters versuchen, an Anmeldedaten von Benutzern zu kommen, um dann die Infrastruktur angreifen zu können. Daher sollten sich Unternehmen vorbereiten und mit Tools wie Lepide Active Directory Auditor https://www.lepide.com/lepideauditor/active-directory-auditing.html die Umgebung überwachen und eventuell auftretende Angriffe so schnell wie möglich zu identifizieren und zu beheben. Wir gehen in diesem Beitrag vor allem auf die AD-Funktionen ein; der Hersteller bietet aber auch die Möglichkeit zur Überwachung von Microsoft 365, also vor allem von Exchange Online und SharePoint Online. Seine Daten speichert Active Directory Auditor in einer SQL-Datenbank.

Konfiguration von Active Directory prüfen und Änderungen nachverfolgen

Das Tool wurde speziell für die Prüfung von Änderungen an Konfigurationen und Berechtigungen in Microsoft-Ökosystemen entwickelt. Dazu gehört zunächst Active Directory, aber auch lokal betriebene Exchange Server, Gruppenrichtlinien, SQL und SharePoint. Admins erhalten durch das Tool einen guten Überblick zur AD-Umgebung. Außerdem ist Lepide Active Directory Auditor hilfreich, um Sicherheits- und Compliance-Anforderungen zu erfüllen. Admins können in Echtzeit verfolgen, wer welche Änderungen an Konfigurationen und Berechtigungen vornimmt oder vorgenommen hat.

Bildergalerie

Bildergalerie mit 7 Bildern

Das Tool lässt sich 7 Tage lang kostenlos testen. Dabei kann die Installation natürlich im eigenen Rechenzentrum erfolgen. Die Umgebung lässt sich darüber hinaus als Appliance für VMware-Produkte oder als Hyper-V-VM herunterladen. Das macht die Bereitstellung einfacher, vor allem im Testzeitraum. Allerdings muss dabei beachtet werden, dass in diesem Fall der Download schnell größer als 12 GB ist.

Active Directory vor Ransomware schützen

Das schützt Unternehmen auch vor Ransomware-Angriffen. In vielen Fällen laufen diese so ab, dass Angreifer versuchen, an Anmeldedaten zu gelangen, um sich dann unbemerkt an Active Directory anzumelden. Nach der Anmeldung erfolgt die Übertragung der Malware/Ransomware. Solche Angriffe lassen sich nur dann halbwegs zuverlässig verhindern, wenn Lösungen wie Lepide Active Directory Monitor im Einsatz sind, die in Echtzeit Konfigurationsänderungen erkennen, zum Beispiel das Entsperren von gesperrten Benutzerkonten oder Anmeldungen von Konten, die lange Zeit inaktiv waren.

Der BSI-Lagebericht 2022 legt dazu dar: "Die Gefährdungslage im Cyber-Raum ist so hoch wie nie". Nach einem Forschungspaper der Cyber Rescue Alliance aus dem Jahr 2022 sind nahezu alle Unternehmen auf der Welt Ziel von Phishing-Angriffen geworden. Bei 12 Prozent der erfolgreich durchgeführten Attacken konnten Angreifer über ein Jahr vollständigen Zugriff auf die Daten des Unternehmens nehmen, bevor Ransomware die Daten verschlüsselt hat.

Schneller Überblick zum Active Directory und zu Gruppenrichtlinien

In der Verwaltungskonsole von Lepide Active Directory Auditor lassen sich alle wichtigen Bereiche in Active Directory überwachen. Dazu gehören auch die Gruppenrichtlinien. Oben links steht in der Konsole darüber hinaus der Menüpunkt "All Environment Changes" zur Verfügung. Darüber lassen sich die Änderungen der Umgebung schnell überwachen und gegebenenfalls Gegenmaßnahmen ergreifen.

Berichte aus Active Directory erstellen

Zu den Funktionen des Active Directory Auditors gehören auch Berichte, die sich über verschiedene Zeithorizonte aus Active Directory erstellen lassen. Dazu gehören zum Beispiel Berichte zum Status von Active Directory, den Änderungen im ausgewählten Berichtszeitraum und über den Status der Sicherheit. Das lässt sich in größeren Umgebungen auch auf einzelne OUs herunterbrechen.

Als Datenquelle für die Berichte nutzt das Tool auf Anforderung nicht das produktive Active Directory, sondern eine Datensicherung. Das entlastet die produktive Umgebung und sorgt dafür, dass zu jeder Zeit Berichte erstellt werden können, ohne Rücksicht auf die AD-Umgebung nehmen zu müssen.

Hinzu kommt die Möglichkeit, Berichte über Benutzerkonten zu erstellen. Dazu gehören zum Beispiel Listen aller Benutzer oder auch spezifische Berichte, zum Beispiel zu Benutzern, die ihr Kennwort längere Zeit oder noch nie geändert haben. Alle Berichte stehen auf der linken Seite des Menüs zur Verfügung. In der Mitte des Fensters erfolgt die Spezifikation des Berichtes, zum Beispiel die Auswahl des Zeitraums. Nach der Erstellung kann der Bericht auch direkt im Fenster angezeigt werden. Das Gleiche lässt sich für Computerkonten erstellen.

Sicherheitsrelevante Berichte decken Änderungen in Active Directory auf

Bei sicherheitsrelevanten Berichten lassen sich natürlich auch produktive Daten einlesen. Interessant ist das zum Beispiel für den Bericht, der alle Änderungen des aktuellen Tages in Active Directory zusammenfasst und in der Weboberfläche anzeigt (Active Directory Reports -> Active Directory Modifications Report -> All Modifications Report -> Object Modifications).

In großen Umgebungen lassen sich diese Berichte beliebig filtern, zum Beispiel nach Datum der Änderung, wer die Änderung durchgeführt hat, welche Objekte geändert wurden, wo die Änderung durchgeführt wurde und der genaue Zeitraum. Dadurch lassen sich auch sehr schnell Änderung von Gruppenmitgliedschaften herausfinden und wer diese wann und wo durchgeführt hat. Das gilt auch für Änderungen in den Berechtigungen.

Interessant ist an dieser Stelle aber auch das Anmeldeverhalten von Benutzerkonten, Auch das lässt sich nachverfolgen, um zum Beispiel Remotebenutzer und deren Anmeldungen zu überprüfen. Darüber hinaus kann Lepide Active Directory Auditor auch fehlgeschlagene Anmeldeversuche überprüfen und Berichte erstellen. Besonders häufige fehlgeschlagene Anmeldeversuche deuten auf Angriffsversuche hin und sollten besonders sorgfältig überprüft werden.

So lassen sich zum Beispiel Brute-Force-Angriffe erkennen. Außerdem bietet der Active Directory Auditor auch die Möglichkeit, Anmeldungen an Domänencontrollern oder Anmeldungen eines Benutzers an mehreren Computern gleichzeitig zu erkennen. Dabei kann es sich zum Beispiel um ein kompromittiertes Konto handeln, das Cyberkriminelle dazu nutzen Malware im Netzwerk zu verteilen.

Darüber hinaus kann der Auditor umfassende Berichte zum Erstellen, Benutzerkonten und Computerkonten löschen und bearbeiten und Organisationseinheiten erstellen. Genauso lassen sich Berichte erstellen, welche Benutzer in andere OUs verschoben wurden, oder welche Benutzerkonten umbenannt wurden. Auch das kann auf Angriffe hindeuten.

(ID:49692272)