Warum AD so attraktiv ist
Wer die Kontrolle über das Active Directory übernimmt, kontrolliert praktisch das gesamte Netzwerk. Angriffe verlaufen oft nach demselben Muster: ein Konto wird übernommen, Rechte werden ausgeweitet, bis ein Domänenadministrator erreicht ist. Die Abwehr setzt an jeder dieser Stufen an.
Die wichtigsten Maßnahmen
- Privilegierte Konten reduzieren: Die Gruppe der Domänenadministratoren sollte klein sein, und Administratoren nutzen separate Konten, die nicht für E-Mail und Surfen dienen.
- Tiering-Modell: Zugänge zu Domänencontrollern, Servern und Arbeitsplätzen trennen, damit ein gestohlenes Konto nicht die ganze Umgebung öffnet.
- Lokale Administratorkennwörter einzigartig machen: Windows LAPS vergibt je Gerät ein eigenes Kennwort.
- Dienstkonten absichern: lange, zufällige Kennwörter oder gruppenverwaltete Dienstkonten (gMSA) gegen Kerberoasting.
- Veraltete Protokolle abschalten: NTLMv1, SMBv1 und unsichere Verschlüsselung.
- Delegierung prüfen: uneingeschränkte Kerberos-Delegierung vermeiden.
- Zertifikatsdienste prüfen: Fehlkonfigurierte Vorlagen sind ein bekannter Angriffsweg.
- Protokollierung und Überwachung: Änderungen an privilegierten Gruppen und auffällige Anmeldungen erfassen.
- Sicherung der Domänencontroller: regelmäßige, getestete Backups und Wiederherstellungsplan für das Verzeichnis.
Erst messen, dann ändern
Bevor Sie Einstellungen verändern, sollten Sie wissen, wo Sie stehen. Ein Active-Directory-Audit prüft Konten, Gruppen, Richtlinien, Vertrauensstellungen und Konfiguration und liefert eine priorisierte Maßnahmenliste. So vermeiden Sie, dass eine Härtung Anwendungen lahmlegt, die auf alte Protokolle angewiesen sind.