Active Directory absichern: Passwortregeln, priviligierte Gruppen prüfen, Baselines vergleichen

Ein Defizit besteht in vielen Firmen darin, dass oftmals Domänen Controller aufgesetzt und Gruppen­richtlinien­objekte (GPOs) erstellt werden, ohne dass Pläne für eine künftige Wartung dieser Systeme existieren. Daher entfällt anschließend allzu oft das dringend nötige Monitoring und Auditing des AD.

Das Security Auditing von Active Directory ist mit Bordmitteln möglich, sprengt bei KMUs ohne separaten AD-Administrator jedoch häufig den Zeitrahmen. Bei großen Infra­strukturen wird die Datenflut zudem schnell unübersichtlich.

Tools wie AD Audit Plus von ManageEngine helfen, den Aufwand für das Auswerten klein zu halten und auch laufende Änderungen einfach zu überwachen. Ziel sollte es sein, den Prozess des Security Hardening nicht zum Stillstand kommen zu lassen.

Häufig fehlt es nicht bloß an diesen vergleichsweise aufwändigen Vorkehrungen, vielmehr ließe sich in vielen kleineren Firmen schon durch relativ einfache Maßnahmen mehr Sicherheit erzielen. Im Folgenden nenne ich daher Beispiele, die schnell umsetzbar sind und zu einer weiter­gehenden Prüfung der AD-Konfiguration anregen sollen.

Strengere Passwort- und Sperrrichtlinien

Die Nachrichten über erfolgreiche Hacker­angriffe sind allgegenwärtig und trotzdem ist es vielen Benutzern immer noch möglich, triviale Passwörter zu verwenden. Offenbar existieren in vielen Umgebungen nach wie vor keine Vorgaben für Komplexität und minimale Länge von Kennwörtern. Das Active Directory gibt standardmäßig Kennwort­richtlinien in der Domain Policy vor, welche sich jedoch schnell und einfach mit Hilfe von GPOs verfeinern lassen.

Speziell bei Firmen, die Exchange-Mailboxen per Outlook Web App (OWA) von außen zugänglich machen, spielen sichere Passwörter und Kontosperr­richtlinien eine wichtige Rolle. Kontosperrungs­schwellen könnten dann bei 3 ungültigen Anmelde­versuchen liegen und die Kontosperrdauer bei 30 Minuten mit einer automatischen Zurücksetzungsdauer von 30 Minuten (siehe dazu: Best Practices für die Kontosperrung (Account Lockout))

Ganz allgemein kann man zusätzlich für User mit Zugang zu sensibleren Daten Fine-grained Password Policies konfigurieren. Welche Richtlinie dann tatsächlich beim Rechner der Domäne ankommt, lässt sich mit secpol.msc am Client verifizieren.

Ein weiterer Schutz vor Angriffen lässt sich erreichen, wenn Benutzer die Passwörter in regel­mäßigen Intervallen ändern müssen. Dies erschwert Hackern immer wieder den Zugang zum Netzwerk. Ein Richtwert kann hier bei 90 bis 180 Tage liegen.

Auch Azure bietet durch seine Multi-Factor Authentication weitergehende Maßnahmen zum Schutz der Daten im internen Rechenzentrum.

Limitierung privilegierter Gruppen

Ein schnelles und einfaches Hardening des AD wird durch die Limitierung privilegierter Standard-Gruppen erzielt. Dazu zählen allen voran die Schema-Admins, deren Mitglieder das Schema des AD ändern und auf diese Weise die gesamte Infrastruktur in Mitleiden­schaft ziehen können. Diese Anpassungen des Schemas sind meistens kein Tagesgeschäft und somit ist es Best Practice, diese Gruppe nur bei Bedarf mit den entsprechenden Mitgliedern zu besetzen und die restliche Zeit einfach leer zu lassen.

Das gleiche Prinzip gilt auch für Organisations-Admins (Enterprise Admins) und Domänen-Admins. Eine strenge Beschränkung ist auch hier sinnvoll, da beispielsweise Orga-Admins globale Rechte an allen Domänen der Gesamtstruktur besitzen. Sie sind damit ebenfalls zu gravierenden Eingriffen fähig. Zusätzlich empfehlen sich das regelmäßige Monitoring und das Warnen bei Modifikation dieser Gruppen.

Baselines vergleichen mit SCM

Der Prozess des Härtens von AD-Strukturen kann unter Umständen erst lange nach der Implementierung der Infrastruktur beginnen, beispielsweise weil ein neuer Admin die Verantwortung für eine bestehende Installation übernimmt.

Auch dann ist ein Vergleich des IST-Zustandes mit den von Microsoft empfohlenen Einstellungen immer noch sinnvoll. Ein kostenloses Tool für diese Aufgabe kann immer noch der Security Compliance Managers (SCM) sein.

Er lässt es unter anderem zu, bereits konfigurierte GPOs zu importieren und diese mit den empfohlenen Einstellungen zu vergleichen. Des Weiteren kann er auf kritische Sicherheitslücken hinweisen.