Active Directory

    Technisches Webinar: Änderungen im Active Directory und auf File-Shares in Echtzeit erkennen

    ADAudit PlusWenn sich im Active Dirctory die Mit­glieder von privile­gierten Gruppen ändern, dann sollte gewährleistet sein, dass es sich dabei um eine legitime Aktion handelt. Ähnliches gilt beim Zugriff auf Ver­zeichnisse eines File-Servers, der sen­sible Infor­mationen ent­hält. Die Windows-Bordmittel bieten dafür einige Basisfunktionen.

    Im Test: BitLocker, Web-Browser, USB-Geräte, Schwachstellen und App-Whitelists mit ​Endpoint Central verwalten

    Desktop Central Security Add-onManageEngine hat ​Endpoint Central (ehemals Desktop Central) um ein Security-Modul erweitert. Dieses deckt ein weites Spektrum an sicher­heits­kritischen Aufgaben ab. Dieses reicht von einer zent­ralen Browser- und BitLocker-Verwaltung über ein Device- und Schwach­stellen-Manage­ment bis zum App-Whitelisting.

    Microsoft 365 mit Intune-Compliance und Conditional Access absichern

    Azure Active DirectoryEin Hybrid Join in einem lokalen Active Directory und Azure AD ist die Voraussetzung, um Geräte im M365 Endpoint Manage­ment (Intune) zu verwalten. Die Registrierung in Intune lässt sich dann für eine Richtlinie von Conditional Access nutzen, um nur solchen Clients den Zugriff auf M365-Dienste zu erlauben, die über das Online-Tool verwaltet werden.

    AD-Konten mit DES- und RC4-Algorithmus für Kerberos-Verschlüsselung finden

    EncryptionNachdem DES schon lange als unsicher gilt, beschleunigt CVE-2022-37966 nun den Abschied von RC4 für die Ver­schlüsselung von Kerberos-Tickets. Wenn man Konten keinen Algorithmus zugewiesen hat, dann kommt künftig AES zum Einsatz. Welche Accounts durch eine schwache Ver­schlüsselung gefährdet sind, kann man mit PowerShell ermitteln.

    UserAccountControl: Sicherheitseinstellungen für AD-Konten prüfen und ändern

    Account LockoutDas Attribut User­Account­Control im Active Direc­tory enthält mehrere kritische Konto­­ein­­stellungen. Das be­trifft etwa das Ablauf­­datum von Pass­wörtern oder die Dele­gierung. Ein AD-Audit sollte dieses Attribut regel­mäßig prüfen. Das lässt sich mit Power­­Shell erle­digen, und für das Ändern der Flags gibt es ein eigenes Cmdlet.

    November-Update bringt 3 Patches für Domain-Controller (CVE-2022-37966, CVE-2022-37967, CVE-2022-38023)

    KerberosDas kumulative Update KB5019081 beseitigt drei Schwach­stellen im Kerberos- und Netlogon-Protokoll. Die Patches können erheb­liche Aus­wirkungen haben und erfordern daher eine Über­­prüfung oder Anpassung des Systems. Die Änderungen lassen sich teil­weise noch aufschieben, werden aber im nächsten Jahr vollständig durchgesetzt.