AD-Audits werden in der Regel von großen oder börsen­notierten Unter­nehmen gefordert. Aber auch kleinere Firmen sollten regel­mäßig Rechen­schaft über den Zustand ihres Ver­zeich­nisses ablegen. Active Directory Reports Professional ver­einfacht diese Auf­gabe durch mehr als 300 vorge­fertigte Berichte.

Das Active Directory ist in den meisten Unter­nehmen der Dreh- und Angelpunkt für die Verwaltung von Iden­titäten, IT-Ressourcen und Berech­tigungen. Es liegt auf der Hand, dass ein schlecht gepfleg­tes Ver­zeichnis nicht nur zu Lasten der Sicher­heit geht, sondern auch dessen Performance und Nutzen beein­trächtigt.

Neben schwachen und kompro­mittierten Pass­wörtern bilden inak­tive Accounts beliebte An­griffs­punkte, um Netz­werke zu infil­trieren. Wird ein solches Konto gehackt, können An­greifer in aller Ruhe ihr Un­wesen treiben. Admins sollten daher das Active Direc­tory regel­mäßig mit geeig­neten Tools auf solche Schwach­punkte prüfen.*

Fügt man Computer oder Benutzer zu einer Sicherheits­gruppe im Active Directory hinzu, dann wirkt sich dies nicht sofort aus. Damit verbun­dene Berech­tigungen greifen erst nach dem erneuten An­melden eines Users oder dem Reboot des Com­puters. Dies lässt sich durch Erneuern der Kerberos-Tickets ver­meiden.

Failover-Cluster spricht man normaler­weise nicht über seine Knoten an, sondern über das CNO im Active Directory. Es verfügt auch über einen DNS-Eintrag, der stets dem Owner-Node zugeordnet ist. Das CNO kann man bereits vor dem Cluster erstellen, die DNS-Konfi­guration ist oft Ursache für Ver­bindungs­probleme.

Auch wenn Microsoft regel­mäßig das Ende der Passwörter ausruft, so bleiben diese trotz ihrer Schwächen das populärste Verfahren zur Authen­tifizierung. Unter­nehmen sollten daher nur starke Kenn­wörter zulassen. Passphrasen bilden einen guten Kompromiss zwischen Sicherheit und Benutzer­freundlichkeit.*

Microsoft 365 nutzt Azure Active Directory (AAD) zur Verwaltung der Benutzer­konten, die Zugriff auf die Cloud-Dienste erhalten sollen. Wenn Unter­nehmen bereits ein AD on-prem betreiben, dann können sie die Accounts zwischen den Ver­zeichnissen getrennt halten oder einheitliche Iden­titäten ein­richten.

Wenn Admini­stratoren zu spät oder gar nicht erkennen, dass Systeme kompro­mittiert wurden, dann können sie den Schaden nicht recht­zeitig begrenzen. Große Firmen bauen dafür oft eigene Security Operations Center auf. Kleinere Unter­nehmen können zu diesem Zweck Managed Services oder lokale Tools nutzen.

Der Diebstahl von Iden­titäten ist für Angreifer der Königsweg zu den Daten eines Unter­nehmens. Daher sollte man über Policies starke Pass­wörter erzwingen. Aber auch sie können kompro­mittiert werden. Eine zusätz­liche Absicherung erreicht man durch MFA, das zudem auch Remote-Zugriffe schützen soll.

Im August 2020 wurde die Schwach­stelle CVE-2020-1472 im Netlogon Remote Protocol pub­liziert. Microsofts Patch er­zwingt ab dem 9. Februar die Kommu­nikation über einen Secure RPC. Inkom­patible Geräte können sich ab sofort nur mehr an einem DC authen­tifizieren, wenn man sie über ein GPO zulässt.