Catch me if you can! So sichern Sie Ihr Active Directory ab

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Specops Software GmbH

tenfold Software GmbH

Hat es ein Eindringling geschafft, sich ins Active Directory einzuschleichen, so beginnt ein Wettlauf gegen die Zeit: der Übeltäter muss gefasst werden, bevor er an das Gold in Form von Daten kommt. Wie das geht, erfahren Sie hier.

Active Directory (AD) ist ein Verzeichnisdienst für Windows-Netzwerke, der es ermöglicht, unternehmensinterne Strukturen abzubilden und Benutzer, Gruppen und Ressourcen (wie z.B. Drucker oder Computer), Ordnerfreigaben und Berechtigungen einfach und flexibel zu verwalten. Auch heute, mehr als zwei Jahrzehnte nach seiner Einführung, ist der Dienst aus dem Alltag in Windows-gesteuerten Umgebungen nicht mehr wegzudenken.

Obwohl Active Directory in den vergangenen Jahren stets verbessert und weiterentwickelt wurde – unter anderem besteht es seit Windows Server 2008 aus insgesamt fünf Diensten, welche unterschiedliche Aufgaben erfüllen – war es bei seiner Schaffung absolut nicht darauf ausgelegt, in einer Cloud-gesteuerten Welt gegen Cyberangriffe zu bestehen – und ist es bis heute nicht. Demnach weist Active Directory einige signifikante Schwachstellen auf, die sich Angreifer zunutze machen können. Diese gilt es abzusichern.

Allerdings zielt der moderne Ansatz zur Absicherung des Active Directory nicht ausschließlich darauf ab, potenzielle Eindringlinge daran zu hindern, sich ins Netzwerk einzuschleusen. Vielmehr geht man nach dem Assume-Breach-Paradigma davon aus, dass Hacker es ohnehin schaffen werden, einen Weg hineinzufinden – zu rissig und veraltet ist der äußere Schutzwall des Active Directory, um Angreifer zu 100 Prozent abwehren zu können. Zeitgemäßer ist daher der Ansatz, die Störenfriede im Inneren so schnell wie möglich aufzuspüren und zu erwischen, bevor sie an wichtige und vertrauliche Daten herankommen. Das Stichwort lautet also: Zeitoptimierung.

Cyber Kill Chain: Angriffe nachvollziehen

Zuerst ist es wichtig, den typischen Angriffszyklus eines externen Angreifers nachvollziehen zu können, um darauf zu reagieren. Zu diesem Zweck hat der amerikanische Rüstungs- und Technologiekonzern Lockheed Martin, in Anlehnung an militärische Verteidigungsmodelle, die so genannte Cyber Kill Chain erarbeitet, welche einen Hacker-Angriff in 7 Phasen aufteilt:

• 1. Erkundung – sammeln von E-Mail-Adressen und Informationen über das Ziel.

• 2. Vorbereitung – ein Brückenkopf in Form einer Backdoor wird platziert, der späteren Zugriff von außen ermöglicht.

• 3. Übermittlung eines verseuchten Pakets an das Opfer, z.B. einen schädlichen Link per E-Mail.

• 4. Ausnutzung einer Sicherheitslücke, um schadhaften Code im System des Opfers zu platzieren.

• 5. Installation von Malware auf dem anvisierten Gerät.

• 6. Kommunikationskanäle werden eröffnet, um die Schadsoftware aus der Ferne zu steuern.

• 7. Missbrauch und Manipulation von Zugängen und Berechtigungen, um Systeme zu zerstören und Daten zu kopieren.

Im ersten Schritt wollen Angreifer sich also Zugang zum Inneren des Systems verschaffen, um sich in weiterer Folge seitwärts bewegen zu können („Lateral Movement“), um so noch mehr Privilegien abzugreifen. Mit diesen bewaffnet machen sie sich dann auf die Suche nach dem eigentlichen Zielobjekt, nämlich den sensiblen und vertraulichen Daten, um diese zu kopieren bzw. zu stehlen und das System, z.B. im Zuge eines Ransomware-Angriffs lahmzulegen.

Das Mitre Att&ck Network bietet eine detaillierte Auflistung von Angriffsmethoden in jeder Phase der Cyber Kill Chain (und darüber hinaus) sowie Empfehlungen, wie dagegen vorgegangen werden kann.

Zeit ist alles

Wie zuvor erwähnt muss davon ausgegangen werden, dass ein Angreifer es auf irgendeinem Weg (z.B. über Phishing) schaffen wird, ins System einzudringen. Laut dem IBM Cost of Data Breach Report 2022 waren 86 Prozent der befragten Unternehmen sogar schon zweimal Opfer eines Hacker-Angriffs. Die Wahrscheinlichkeit, früher oder später von einem solchen Angriff betroffen zu sein, ist für Unternehmen also sehr hoch.

Die „gute“ Nachricht allerdings lautet: das Eindringen allein reicht noch nicht aus. Je nachdem, wo der Angreifer im System landet, muss er nun weitere Aktionen setzen, um zum Goldschatz – also den vertraulichen Firmendaten – durchzudringen. Das heißt: ab jetzt tickt die Uhr. Denn die Suche nach den Daten kann Tage bis hin zu Wochen dauern. Das Ziel von Verteidigern muss es also einerseits sein, dem Dieb den Weg zu den Daten so beschwerlich wie möglich zu machen, damit er länger braucht, um an sie heranzukommen – wie in der Illustration dargestellt – und andererseits, den eigenen Workflow sowie die Tools zur Erkennung und Vertreibung des Übeltäters ebenso zu optimieren.

5 Best Practices zur erfolgreichen Absicherung von Active Directory

Unlängst wurde eine kritische Sicherheitslücke in Outlook entdeckt, welche eine Hacker-Truppe mit dem klangvollen Namen Fancy Bear ein Jahr lang nutzen konnte, um sich bei ihren Zielen über verseuchte E-Mails einzuschleusen. Es war dabei nicht einmal notwendig, dass der Empfänger der E-Mail auf einen präparierten Link klickt – schon beim Eingang der E-Mail selbst wurde die Schadsoftware ausgeführt. Wie konnte diese Lücke so lange unentdeckt bleiben?

Die Antwort ist komplex, weil auch Active Directory, trotz aller Benutzerfreundlichkeit, komplex ist. Bei tausenden Aktionen, die jeden Tag im System stattfinden, ist es für Administratoren und IT-Fachkräfte schwierig, den Überblick zu behalten – vor allem mit den von Microsoft selbst zur Verfügung gestellten Tools.

• 1. Least Privilege Prinzip
  So bietet Microsoft zum Beispiel zur Umsetzung des Least-Privilege-Prinzips keine geeigneten Optionen an, obwohl dies eine der Top-Maßnahmen zur Absicherung von Active Directory ist. Denn: ein Angreifer kann nur auf jene Daten zugreifen, auf die auch das gehackte Benutzerkonto Zugriff hat. Hat ein Benutzer mehr Rechte als er für seine Arbeit braucht, so stellt dieser Umstand ein enormes Sicherheitsrisiko dar. Es ist daher wichtig, den gesamten Lebenszyklus von Mitarbeitenden in einem Unternehmen – vom Tag des Eintritts, über Abteilungswechsel, bis hin zum Austritt – berechtigungstechnisch abzudecken. Das heißt, nicht mehr benötigte Berechtigungen müssen sofort entzogen werden. Um dieses Ziel umzusetzen, müssen Unternehmen jedoch auf externe Lösungen setzen.

• 2. Überwachung
  Ein gekapertes Benutzerkonto weist meistens unübliches Verhalten auf: Anmeldeversuche zu ungewöhnlichen Uhrzeiten oder von unüblichen Orten sowie Mehrfachversuche. All das sind Hinweise darauf, dass ein Konto kompromittiert wurde. Daher sind Tools zur Überwachung von Benutzerkonten unabdingbar.

• 3. Starke Passwortrichtlinie
  Microsoft selbst führt eine Liste von Wörtern, die bei der Passwortrichtlinie eines jeden Unternehmens ausgeschlossen werden sollten, z.B. jegliche Kombination des Firmennamens oder der Location sowie Jahreszeiten und Jahreszahlen. Außerdem ist eine Mindestzahl von 15-20 Zeichen empfehlenswert.

• 4. Regelmäßige Patches
  Auch wenn es lang dauerte, konnte die Sicherheitslücke CVE-2023-23397, die sich Fancy Bear zunutze gemacht hatte, letztendlich durch einen Patch geschlossen werden. Patches sollten in jedem Fall sofort bei Verfügbarkeit installiert werden (Stichwort: Patchday).

• 5. Multi-Faktor-Authentifizierung (MFA)
  Bei jeder Anwendung, die MFA unterstützt, sollte diese auch angewendet werden. Dies bildet einen besonders hilfreichen Schutzmantel, denn so steht ein Angreifer trotzdem vor verschlossenen Türen, auch wenn er das Passwort kennt.

Die folgende Tabelle stellt weitere wichtige Schwachstellen und Angriffsmöglichkeiten in Active Directory gegenüber den möglichen Maßnahmen zur Abwehr dar:

Fazit

Bei der heutigen Angriffslage müssen wir uns von der Fantasie einer hundertprozentigen Absicherung des Active Directory gegen Eindringlinge verabschieden. Was wir aber tun können, ist, den Übeltätern durch die Umsetzung von Least-Privilege, starken Passwörtern und der Sensibilisierung von Benutzern im Umgang mit fragwürdigen E-Mails ein Weiterkommen so schwer wie nur möglich zu machen und den IT-Fachleuten so mehr Zeit zu verschaffen, um die Diebe zu erwischen.

Über den Autor

Helmut Semmelmayer ist VP Revenue Operations beim IAM-Entwickler Tenfold. In seiner Position als IT-Sicherheitsexperte hilft er Firmen dabei, Zugriffsrechte sicher und effizient zu verwalten.

(ID:49474526)