Die Ent­schlüsselung von BitLocker mit TPM + PIN erfordert physi­schen Zugriff auf das Gerät, wenn es hoch­fährt oder aus dem Ruhe­zustand auf­wacht. Dies kann ein Hindernis für das Remote-Management sein, falls PCs dafür über Wake-on-LAN starten. Für diesen Fall hat Micro­soft die BitLocker Netz­werk­ent­sperrung ent­wickelt.

Die Ver­wendung von unver­schlüs­seltem LDAP stellt ein Risiko dar. Es ermög­licht Angreifern das Aus­nutzen einer Schwach­stelle, um erhöhte Privilegien zu erlangen. Diese lassen sich wiederum für Man-In-The-Middle-Angriffe nutzen. Admins können ihre Systeme über mehrere LDAP-Einstellungen davor schützen.

Das Active Directory bietet nur wenige Optionen zur Authen­tifizierung. In den meisten Unter­nehmen kommt daher bloß die Kombi­nation aus Benutzer­name und Pass­wort zum Einsatz. Die Ham­burger Systola GmbH ergänzt das AD um moderne Ver­fahren, ohne dass Anwender dafür einen Cloud-Service nutzen müssen.

Azure Active Directory (AAD) ist ein Identity-as-a-Service-Provider. Seine zen­trale Aufgabe besteht darin, Iden­titäten (Identities) und Zugriffe (Access) zu (managen) - daher die Abkürzung IAM. Es setzt zu­dem das Kon­zept des rollen­basierten Zugriffs (RBAC) um. Microsoft bietet den Service in mehreren Editionen an.

Einem Report von Verizon zufolge gehen 80 Prozent der IT-Sicher­heits­vorfälle, die personen­bezogene oder geschäf­tliche Daten betreffen, auf schwache oder kom­pro­mittierte Kenn­wörter zurück. Daher sollten Admins regel­mäßig prüfen, ob die Konten im Active Directory durch starke Pass­wörter abge­sichert sind.*

Conditional Access ist eine Funk­tion von Azure Active Directory (AAD), welche besonders die Sicherheit für Remote-Mitarbeiter erhöht. Unter­nehmen können damit den Zugriff auf Cloud-Ressourcen abhängig von ver­schiedenen Bedin­gungen ein­schränken. Dieser Artikel zeigt, wie man solche Policies definiert.

Mit Conditional Access (CA), einer Funktion von Azure Active Directory Premium, können Unter­nehmen den Zugriff auf lokale und Cloud-Anwendungen absichern. Richtlinien bestimmen, unter welchen Bedingungen und auf welche Weise Benutzer und Geräte auf IT-Ressourcen zugreifen dürfen.

Neben schwachen und kompro­mittierten Pass­wörtern bilden inak­tive Accounts beliebte An­griffs­punkte, um Netz­werke zu infil­trieren. Wird ein solches Konto gehackt, können An­greifer in aller Ruhe ihr Un­wesen treiben. Admins sollten daher das Active Direc­tory regel­mäßig mit geeig­neten Tools auf solche Schwach­punkte prüfen.*

Microsoft gab kürz­lich die Version 1.0 des PowerShell-Moduls Secret­Management frei. Es dient der Verwaltung von Anmelde­daten in Passwort-Managern und nutzt Konnek­toren zu diversen Vaults, darunter KeePass und Bit­Warden. Mit Secret­Store kommt ein eigener Passwort­speicher für PowerShell hinzu.

Auch wenn Microsoft regel­mäßig das Ende der Passwörter ausruft, so bleiben diese trotz ihrer Schwächen das populärste Verfahren zur Authen­tifizierung. Unter­nehmen sollten daher nur starke Kenn­wörter zulassen. Passphrasen bilden einen guten Kompromiss zwischen Sicherheit und Benutzer­freundlichkeit.*