Active Directory härten und anschließend überprüfen: Was ein Pentest zusätzlich sichtbar macht
In den meisten Windows-Landschaften ist das Active Directory die wichtigste Instanz zur Authentifizierung und zur Vergabe von Rechten. Wer das AD beherrscht, beherrscht auch das Netz. Das wissen auch Angreifer und gehen meist nach demselben Schema vor: Erst wird ein einzelner Rechner übernommen und dann werden schrittweise die Rechte erweitert. Viele Domänen sind über Jahre gewachsen, mit alten Dienstkonten, verschachtelten Gruppen und Einstellungen, die sich niemand mehr hinterfragt. Härtung verkleinert die Angriffsfläche erheblich. Ob sie aber im Ernstfall auch hält, zeigt sich erst, wenn jemand versucht, diese Abwehr zu umschiffen.
Kontentrennung als Grundbaustein
Ein ordentliches Administrationsmodell ist der Anfang. Für dieses beschreibt Microsoft das Tiering, das mittlerweile im Enterprise Access Model fortentwickelt wurde. Tier 0 sind die Domänencontroller und alle Konten mit Domänenrechten, darunter kommen die Server und dann die Arbeitsplätze. Administrative Konten melden sich nur in ihrer eigenen Ebene an. Dahinter steckt ein praktischer Hintergrund: Wer sich mit einem Domänenadmin-Konto an einer ganz normalen Arbeitsstation anmeldet, hinterlässt dort Anmeldedaten, die sich auslesen lassen.
Geeignet ergänzen lässt sich das durch die Gruppe „Protected Users“, die vielen Angriffen auf Anmeldedaten das Leben erschwert, und durch Windows LAPS, das für jeden Rechner ein eigenes, regelmäßig wechselndes lokales Administratorpasswort vergibt. Wie trennscharf eine solche Praxis im Alltag tatsächlich ist, prüfen Sicherheitsdienstleister wie AWARE7 mit kontrollierten Angriffssimulationen im Nachgang zur Tätervorgehensweise.
Weitere Stellschrauben im Betrieb
Neben der Kontentrennung gibt es eine Vielzahl konkreter Einstellungen, die sich mit überschaubarem Aufwand abklopfen lassen:
- Dienstkonten: Konten mit einem Service Principal Name lassen sich per Kerberoasting angreifen. Das Ticket wird offline geknackt, so dass schwache Passwörter hier problematisch werden. Group Managed Service Accounts (gMSA) sorgen für lange Passwörter, die nicht manuell gepflegt werden müssen.
- Protokolle: NTLM genau dort abschalten, wo es machbar ist. SMB-Signing sowie LDAP-Signing und Channel Binding erschweren Relay-Angriffe.
- krbtgt-Konto: Bei Verdacht auf Kompromittierung wird dessen Passwort zweimal hintereinander zurückgesetzt, das Konto akzeptiert den Vorgängerhash noch.
- Protokollierung: Ereignisprotokolle der Domänencontroller sollten zentral gesammelt und ausgewertet werden. Lösungen wie Microsoft Defender for Identity erkennen dort verdächtige Muster.
Zur Bestandsaufnahme nutzen wir Werkzeuge wie PingCastle oder Purple Knight, die eine Domäne gegen bekannte Fehlkonfigurationen prüfen und einen Reifegrad ausweisen.
Was ein Pentest zusätzlich sichtbar macht
Ein Audit vergleicht Ist und Soll. Ein Penetrationstest fragt, ob sich aus dem Ist ein tatsächlicher Angriffsweg ergibt. Häufig keine einzelnen Fehler, sondern Kombinationen: Eine Gruppe mit unscheinbaren Schreibrechten, die in einer weiteren Gruppe hängt, die wiederum Rechte auf einen Server hat, wo Admin-Anmeldedaten gespeichert sind. Solche Ketten lassen sich mit Analysewerkzeugen wie BloodHound sichtbar machen, ihre Ausnutzbarkeit muss aber jemand bewerten, der damit Erfahrung hat.
Ein anderes Beispiel sind die Active Directory Certificate Services: Fehlerhaft konfiguriert erlauben Zertifikatsvorlagen in einigen Fällen, sich als privilegierter Benutzer auszugeben. Hinzu kommt die Erkennung: Ein Pentest zeigt auch, ob Überwachung und Alarmierung greifen. Wenn ein Angreifer stundenlang unbemerkt Konten auslesen kann, ist das ein Befund, auch wenn alle Richtlinien formal stimmen.
Am Ende steht ein Bericht mit nachvollziehbar dokumentierten Angriffswegen, einem Risikobewertung, häufig nach CVSS, sowie konkreten Maßnahmen. Zum Vorgehen gehören ein abgestimmter Umfang und feste Regeln, was getestet werden darf.
Werbung
