Zu den Begleiterscheinungen der Authentifizierung mit Passwörtern gehört, dass User diese vergessen. Um den Helpdesk zu entlasten, kann man das Zurücksetzen der Kennwörter an die Benutzer delegieren. Specops uReset bietet einen solchen Self-Service und schützt dabei vor dem Diebstahl von Identitäten.
Es ist nicht sonderlich praktisch, ständig ein privates und ein Firmentelefon mit sich herumzutragen. Daher bietet es sich an, dass Mitarbeiter mit ihren eigenen Smartphones beispielsweise ihre beruflichen E-Mails abrufen. Dies setzt jedoch eine strikte Trennung zwischen persönlichen und Firmendaten voraus.
Phishing-Angriffe sind nach wie vor das Einfallstor Nummer 1 für Cyberkriminelle. Der effektive Schutz dagegen erfordert den gezielten Abbau von Schwachstellen, und diese sind im Regelfall: die eigenen Mitarbeiter. Sie verfügen zumeist über kein ausreichend entwickeltes Sicherheitsbewusstsein.*
Microsoft sieht für das Active Directory nur beschränkte Mittel vor, um sichere Passwörter zu erzwingen. Der schwedische Hersteller Specops Software schließt diese Lücke mit Password Policy, das ein Management der Benutzerkennwörter über ein ausgeklügeltes Regelwerk und eine zentrale Blacklist erlaubt.
Für bestimmte Benutzer macht es sowohl im lokalen Active Directory als auch in Office 365 Sinn, dass sie ihr Kennwort nicht regelmäßig erneuern müssen. In der Cloud kann man aber die entsprechende Einstellung für einzelne User nicht auf der GUI ändern. Deshalb muss man auch dafür zu PowerShell greifen.
Zu den größten Einschränkungen von Office 365 Business gehört, dass sich Word, Excel & Co. nicht über GPOs konfigurieren lassen. Dadurch entfällt die Möglichkeit, Einstellungen für Makros zentral vorzugeben. Als Behelfslösung kann man Group Policy Preferences nutzen, um die entsprechenden Registry-Schlüssel zu setzen.
Das SMB-Protokoll erweist sich immer wieder als Schwachstelle, die Hacker für Angriffe ausnutzen. CVE-2020-0796 ist das jüngste Beispiel dafür. Neben dem Einspielen von Patches, um akute Sicherheitslücken schließen, sollte man auf den Rechnern nur die notwendigste SMB-Kommunikation zulassen.
Wenn ein Benutzer Probleme mit einer laufenden Anwendung hat, dann muss der Helpdesk auf die Sitzung des Users zugreifen können. Wenn dieser den Arbeitsplatz verlassen hat und Sie sein Passwort nicht kennen, dann wird es knifflig. Diese Anleitung zeigt, wie ein Admin den Desktop trotzdem entsperren kann.
Schwache und leicht zu erratende Passwörter sind ein willkommenes Einfallstor für Angreifer. Auch wenn Administratoren über Richtlinien im Active Directory triviale Kennwörter ausschließen, ist es ratsam, die Konten regelmäßig auf Passwortsicherheit zu prüfen. Dieser Aufgabe dient der kostenlose Specops Password Auditor.
PowerShell ist ein mächtiges Tool für die Systemverwaltung und als solches auch ein perfektes Instrument für Angreifer. Aufgrund der tiefen Verankerung im System sorgt ein generelles Blockieren nur für scheinbare Sicherheit. Den besten Schutz versprechen letztlich die Schutzmechanismen von PowerShell selbst.