Was ist ein Active Directory?
Definition von Active Directory
Das Active Directory ist ein zentraler Bestandteil der meisten modernen Informationssysteme. Der von Microsoft Ende der 1990er Jahre entwickelte Verzeichnisdienst dient beispielsweise der Erstellung und Verwaltung von privilegierten Zugängen und Benutzeridentitäten.
Ein Active Directory ermöglicht die Speicherung von Ressourcen, darunter:
- Drucker,
- Server,
- Benutzer,
- Workstations.
Das Active Directory verfügt auch über Funktionen, die als GPOs (oder „Group Policy Objects“) bekannt sind und dazu dienen, die Verwaltung der Konfigurationen aller Computer des Computerparks zu zentralisieren.
Mit GPO können Sie beispielsweise den Zugriff auf sensible Ressourcen auf akkreditierte Benutzer beschränken oder die Aktivierung sicherer Konfigurationen für die gesamte Flotte erzwingen.
Was ist darin enthalten?
Ein Active Directory ist dreistufig aufgebaut:
- Domains,
- Forests,
- Bäume.
Mehrere Domains können zu einem Baum und mehrere Bäume zu einem Forest (einem „Wald“) zusammengefasst werden. Ihre Gliederung wird im Folgenden erläutert.
Domain-Controller (DCs) werden verwendet, um all diese Ressourcen zu organisieren und zu sichern: Jedes Mal, wenn eine neue Domäne erstellt wird, wird der Server, von dem aus dieser Vorgang ausgeführt wird, zum „Domain-Controller“.
Weitere Server können als „Domain-Controller“ hinzugefügt werden, um Authentifizierungsanfragen zu bearbeiten. Es ist auch möglich, die Rollen eines DC zu segmentieren, sodass beispielsweise die Authentifizierung oder DNS an einen anderen Server delegiert werden können.
Je mehr Bereiche es gibt, desto schwieriger ist es jedoch, sie zu schützen, und desto größer sind die Risiken bezüglich Cybersicherheit.
Active Directory: Wozu dient es?
Das Active Directory ist ein Dienst, der die Interoperabilität zwischen verschiedenen Systemen durch die zentrale Authentifizierung von Benutzern und die Verwaltung von Zugriffsrechten auf Ressourcen sicherstellt.
Es ermöglicht auch die Verteilung von Konfigurations- und Sicherheitselementen an alle PCs und Server, die über Active Directory verwaltet werden. Es fördert also – unter anderem – die Zusammenarbeit zwischen den Benutzern.
Welche Schwachstellen gibt es in einem Active Directory?
Erstens: Schlechte Verwaltung des Active Directory
Wenn die Passwortkontrolle des Benutzers nicht wirksam ist, mit schwachen Passwörtern (oder gar keinen!), sind Eindringlingen Tür und Tor geöffnet …
Dies ist auch dann der Fall, wenn auf demselben Rechner die Anmeldung als Administratormit allen damit verbundenen Rechten zugelassen wird: Wenn ein Benutzer mit einem Administratorkonto im Internet surft oder verdächtige Dateien öffnet, könnte er unbeabsichtigt das gesamte Informationssystem mit einem Virus oder einer Malware infizieren. Daher ist es von entscheidender Bedeutung, dass diese Zugriffe auf die Aufgaben beschränkt werden, für die sie erforderlich sind.
Objekte wie Computer, Gruppen und Benutzer müssen innerhalb des Verzeichnisses korrekt organisiert sein: Ist die Organisation schlecht, können Berechtigungen falsch vergeben oder Sicherheitsrichtlinien nicht richtig durchgesetzt werden.
Zweitens: Veraltete Systeme
Der Einsatz veralteter Systeme vergrößert die Angriffsfläche für Hacker erheblich. Beispielsweise werden die Windows-Server 2003 seit mehr als fünf Jahren nicht mehr von Microsoft unterstützt. Sie erhalten daher keine regelmäßigen Sicherheitsupdates mehr.
Drittens: Verbindungen zwischen verschiedenen Diensten, die die Eskalation von Privilegien begünstigen
Dienste wie Lohnbuchhaltung, E-Mail und Webserver sind oft miteinander verknüpft. Auf diese Weise entstehen gefährliche Pfade, die es Hackern ermöglichen, sich innerhalb des Informationssystems zu bewegen – oft erleichtert durch die Wiederverwendung von Passwörtern zwischen verschiedenen Informationssystemen – und höhere Privilegien zu erlangen.
Ein Angreifer kann z. B. eine Schwachstelle ausnutzen, um an sensible E-Mail-Informationen zu gelangen: Mit diesen Daten kann er dann auf andere Dienste zugreifen und drohen, diese ohne Zahlung eines Lösegelds lahmzulegen.
Viertens: Schlechte Überwachung des Active Directory
Eine der größten Herausforderungen bei der Überwachung des Active Directory ist die Verwaltung der Ereignisprotokolle unter Windows. Ereignisprotokolle enthalten wertvolle Informationen über die Aktivitäten der Einrichtung: Wenn sie schlecht geführt oder nicht überwacht und bearbeitet werden, können potenzielle Risiken nicht erkannt oder vorhergesehen werden.
Sicherheitsverletzungen in einem Active Directory: Was sind die Konsequenzen für den IS?
Eine Sicherheitsverletzung im Active Directory kann schwerwiegende Folgen für das gesamte Unternehmen haben. Sie kann zu einer Lähmung oder Verlangsamung des IS führen und die Zusammenarbeit einschränken: Jeder Benutzer kann sich zwar an seiner Workstation anmelden, arbeitet aber nur lokal, da er keinen Zugriff mehr auf E-Mails oder Datenfreigaben hat.
Der Wiederaufbau des IS bedeutet auch einen Verlust an Zeit und Produktivität, da ein Teil isoliert werden muss, um es von einem gesunden Zustand aus wieder aufzubauen. Und es kommt noch schlimmer: In manchen Fällen muss die gesamte Active-Directory-Infrastruktur neu aufgebaut werden – oder sogar ein großer Teil des gesamten IS, wenn die Komponente so kritisch ist, dass die Sicherheit des gesamten IS in Frage gestellt ist.
Sicherung des Active Directory: 3 bewährte Praktiken
Um Ihr Active Directory zu sichern, sollten Sie zunächst bewährte Verfahren der Cyberhygiene anwenden, wie etwa:
- Systeme auf dem neuesten Stand halten;
- eine solide Passwortpolitik einführen;
- Administrator- und Benutzerkonten trennen;
- ein regelmäßiges Überprüfungsverfahren einführen, um unbefugten Zugang zu verhindern.
Wenn Sie Ihr Active Directory verstärken möchten, sollten Sie auch ein Projekt für ein Drittanbieter-Verwaltungsmodell erstellen. Diese auch als „Tiering Modeling“ bezeichnete Praxis besteht darin, das IS in verschiedene hermetische Schichten zu organisieren, um die Komponenten nach ihrer Wichtigkeit zu trennen und zu verhindern, dass ein Angreifer von einer kompromittierten Schicht aus die anderen infiltrieren kann.
Eine weitere Möglichkeit besteht darin, den Zugriff mit hohen Privilegien durch eine Privileged Access Management (PAM)-Lösung zu schützen, die den unberechtigten Zugriff auf kritische Ressourcen überwacht, erkennt und blockiert.
Die Sicherheit Ihres Active Directory ist ein wichtiges Anliegen. Haben Sie noch Zweifel oder Fragen? Durchsuchen Sie die gesamte Domain. Die Sicherung des Active Directory sollte als eigenständiges Projekt betrachtet werden, das mit speziellen Fähigkeiten angegangen werden sollte. Das bedeutet, dass Sie Schwachstellen angehen, aber auch bewährte Verfahren anwenden müssen, um Ihr IS vor Cyberangriffen zu schützen und zu vermeiden, dass Sie es neu aufbauen müssen!
