Angriffe auf verwundbare Endpoints Typische Angriffe auf PC-Arbeitsplätze

Anbieter zum Thema

secunet Security Networks AG

sysob IT-Distribution GmbH & Co. KG

Specops Software GmbH

Angriffsflächen auf IT-Systeme sind nicht immer versteckt im Netzwerk, auch gängige PC-Arbeitsplätze können zu Einfallstoren von Cyberangriffen werden. Manche Schwachstellen bei PC-Arbeitsplätzen sind fast schon Klassiker, weil sie Angreifern zuverlässig Zugang zu Endgeräten und Netzwerken verschaffen können.

In den vermeintlich sicheren vier Wänden des Büros unterschätzen viele Unternehmen die Gefahr durch Außenstehende. So gibt es neben den eigenen Mitarbeitenden zahlreiche Personen, die ebenfalls Zugang zu den Bürogebäuden haben wie Servicekräfte oder der Sicherheitsdienst. Zudem gelingt es auch Unbefugten immer wieder, sich ohne Anmeldung den Weg in Unternehmensräume zu verschaffen. Eine Übersicht der gängigsten Schwachstellen bei PC-Arbeitsplätzen – und wie Unternehmen sich davor schützen können.

So wird die Firewall zum sicheren System

Typische Schwachstellen von Firewalls

Fast schon ein Klassiker: die Festplattenverschlüsselung

Unternehmen fühlen sich in ihren eigenen Büroräumen sicher – doch müssen sie auch hier Vorkehrungen treffen, um ihre IT-Systeme vor Unbefugten zu schützen. Denn auch ohne Login oder Zugangsdaten ist es möglich, Daten einzusehen und zu verändern. Bei mobilen Geräten ist es Standard, Festplatten zu verschlüsseln, bei PC-Arbeitsplätzen leider nicht. Und hier liegt das Problem. So können Angreifer sich beispielsweise durch den Austausch der Datei OSK.EXE im Windows-Verzeichnis Zugang zum System verschaffen. Wird genannte Datei ausgetauscht, lassen sich über eine Kommandozeile lokale Administrator-Rechte einrichten, man spricht hier auch von einer vertikalen Rechteausweitung. Ein Angreifer erschleicht sich über einen Account also höhere Nutzerprivilegien als ihm eigentlich zustehen. Um dieser Gefahr vorzubeugen, sollten alle Arbeitsplätze mit einer Festplattenverschlüsselung ausgestattet werden. Durch diese können Nutzer das System erst verwenden, wenn sie es durch ein Kennwort oder einen Hardware-Token freigeschaltet haben.

Der nächste Klassiker: Passwörter

Die erschlichenen Administrator-Rechte können Angreifer nutzen, um beispielsweise an gehashte Passwörter zu kommen. Denn in vielen Windows-Umgebungen existieren lokale Benutzer wie Administratorenkonten oder Management-User für den lokalen Virenschutz oder die Softwareverteilung. Angreifer müssen häufig nicht einmal das Klartextpasswort berechnen, sondern können das gehashte Passwort verwenden. Man spricht hier von „Pass-the-Hash“-Angriffen, kurz „PtH“. Ist der lokale Administrator auf verschiedenen PC-Arbeitsplätzen eingerichtet, können Angreifer auf all diese zugreifen – im schlimmsten Fall sogar auf interne Server. Hilfreich ist hier die Local Administrator Password Solution (kurz: LAPS), mit der Passwörter automatisch verwaltet werden können. Zudem erstellt das Tool unterschiedliche Passwörter pro Arbeitsplatz und ändert diese regelmäßig.

Local Administrator Password Solution (LAPS) schützt Admin-Konten

Lokale Kennwörter in AD mit Microsoft LAPS schützen

Stichwort gehashte Passwörter: In den Standardeinstellungen speichern Windows-Systeme die zehn letzten erfolgreichen lokalen Logins ebenfalls gehasht ab. Ob „normale“ Nutzer oder Support-Mitarbeiter: Die Daten können von einem lokalen Administrator ausgelesen und mittels Passwortlisten berechnet werden. Erschwerend kommt hinzu, dass die Logins auch über das Netz auf allen Systemen, auf denen der Angreifer lokale Adminrechte hat, ausgelesen werden können. Bei dieser sogenannten horizontalen Rechteausweitung verschafft sich der Angreifer Rechte eines Users, dessen Ressourcen besonders geschützt sind. Die Gegenmaßnahme ist hier vergleichsweise einfach, man muss sie nur kennen. Die Standardeinstellung bei Windows kann geändert und die Anzahl der Logins über eine Gruppenrichtlinie angepasst werden. Ratsam ist bei PC-Arbeitsplätzen lediglich ein Login, bei mobilen Geräten zwei.

Und noch ein Klassiker, der zur Schwachstelle werden kann: Die Kerberos-Authentifizierung

Zur Verwaltung von Windows-basierten Netzwerken wird standardmäßig das Active Directory verwendet. Zur Authentisierung nutzt dieses das Kerberos-Verfahren. Benannt nach dem dreiköpfigen Höllenhund Kerberos basiert die Sicherheit des Verfahrens ebenfalls auf drei Komponenten: dem Client, dem Key-Distribution-Center und dem Hosting-Server. Nutzern werden dabei Tickets ausgestellt, mit denen sie sich an anderen Servern anmelden können. Diese Tickets gelten meist für einzelne Dienste – doch hier gibt es Ausnahmen. Kerberos-Server können eine Authentisierungsanfrage an Nutzer stellen, die ein Angreifer speichern und als Basis für seinen Angriff nutzen kann. Mit dem Passwort kann sich der Angreifer als diese Person ausgeben und sich im Active Directory anmelden. Kerberostable Accounts sind in einigen Fällen durchaus notwendig, können jedoch durch möglichst lange und komplexe Passwörter gut geschützt werden.

Über die Autoren: Dirk Reimers ist Abteilungsleiter Pentest & Forensik bei secunet.
Alexandra Roszkowski ist Senior Marketing Managerin PR ebenfalls bei secunet.

(ID:49725487)