Active Directory

Ein Active Directory Audit ist eine White-Box-Sicherheitsanalyse deines lokalen Active Directory, die Fehlkonfigurationen, gefährliche Berechtigungen und Angriffspfade bis zur Domänenübernahme aufdeckt, bevor ein Angreifer oder Ransomware sie ausnutzen kann.

Die Ransomware-Angriffe mit der größten Auswirkung laufen über Active Directory: Wer die Domäne übernimmt, kontrolliert jedes System und jede Datei im Unternehmen. Oft reicht dafür eine einzige vergessene Berechtigung oder eine alte Fehlkonfiguration. Genau diese Schwachstellen deckt das Audit auf, bevor ein Angreifer sie findet.

Ein interner IT-Infrastruktur Penetrationstest simuliert einen Angreifer, der bereits einen Fuß im Netzwerk hat (etwa nach einem Phishing-Klick), und testet, ob er sich lateral bewegen und Domain Admin erreichen kann.

Jemand in deinem Team klickt auf den falschen E-Mail-Anhang, und ein Angreifer ist in deinem Netzwerk. Was dann passiert, hängt davon ab, was er dort vorfindet: Endet der Angriff bei einem einzelnen Rechner, oder bewegt er sich lateral weiter und übernimmt alle deine Systeme? Dieser Test beantwortet diese Frage, bevor ein echter Angreifer es tut.

Kerberos funktioniert ähnlich wie ein Reisepass: Eine Passbehörde stellt den Pass aus, nachdem sich die Person identifiziert hat. Mit diesem Pass kann man dann zur Grenze gehen und sich dort ausweisen.

In diesem Blogpost werde ich kurz auf 2 oft übersehene Schwachstellen und Fehlkonfigurationen im Active Directory Tiering Modell eingehen. Konkret werde ich auf die Fehlbehandlung von Terminalserver und Helpdesk Usergruppe eingehen.

BloodHound ist ein Tool, das von Pentestern und Red Teamern entwickelt wurde, um Angriffswege im Active Directory besser zu finden und zu visualisieren. Das heißt aber nicht, dass es nicht auch von Admins oder dem Blue Team sinnvoll verwendet werden kann.

Eine gute Passwortrichtlinie für das Active Directory festzulegen, ist leider schwierig. Dies liegt auch daran, dass es mehrere Best Practices gibt, die sich teilweise widersprechen. In diesem Beitrag werde ich versuchen, auf die verschiedenen Best Practices einzugehen und meine eigene Empfehlung abzugeben.

Kernaussagen: NIST empfiehlt mindestens 8 Zeichen, keine Komplexitätsregeln und keine erzwungene Rotation; Microsofts AD-Empfehlung weicht davon ab. VidraSec-Empfehlung: Minimum 10 Zeichen, Komplexität aus, maximales Passwortalter auf „Unbegrenzt“, Passworthistorie aus; zusätzlich Blockliste schwacher Passwörter und wo möglich MFA (z. B. Windows Hello for Business).

Dies ist der erste Teil einer Serie zu unsicheren Standardeinstellungen in Active Directory. Dieser Teil behandelt die Pre-Windows 2000 Compatible Access-Gruppe. Was ist das? Welche Risiken gibt es? Und was kannst du dagegen tun?