Beginnen wir mit einem kleinen historischen Rückblick … Im Jahr 2014 erschien eine Reihe von Artikeln, in denen aus verschiedenen Gründen der Abbau und das Ende von Active Directory (AD) gefordert wurden. Spulen wir vor ins Jahr 2018: Wir forderten dessen Ende oder einfach, dass Unternehmen ihre AD-Server nehmen, sie von der Klippe werfen und auf den Cloud-Zug der verwalteten Verzeichnisdienste und „Identity as a Service“ aufspringen sollten …
Wenn man sich heute einige der Anbieter von Identitätslösungen anhört, erklären diese, dass Active Directory bereits 20 Jahre alt ist und in den Ruhestand geschickt sowie zu Klebestiften eingeschmolzen werden muss, da sie sich um alles kümmern können. Und mal ehrlich: Wer möchte sich schon mit gemeinsam genutzten Druckern und all diesen Kleinigkeiten im Büro herumschlagen? Das ist kein Problem, die Cloud kümmert sich darum, und was auch immer dort übersehen wird, wird von ihnen geregelt – ODER es ist keine große Sache.
Hmmm, Realitätscheck, bitte.
Zunächst einmal: Ja, Active Directory gibt es nun schon seit rund 20 Jahren, und es hat sich weiterentwickelt, ist ausgereift und vielseitiger geworden, sodass es viele der modernen Herausforderungen bewältigen kann, denen wir es ausgesetzt haben. Es ist nicht perfekt – wie nichts anderes auf dem Markt auch –, aber es kann als Teil einer Hybridlösung fungieren, um viele der Cloud-basierten Anwendungen zu verwalten, die wir alle nutzen.
Zweitens: Wer glaubt, dass Ressourcen wie Drucker „sich von selbst regeln“, sollte sich einmal den Kopf untersuchen lassen. Als Hacker gehören Drucker zu meinen Lieblingsorten, um mich dort aufzuhalten, die Lage zu erkunden, das Büro zu beobachten, Daten zu ernten, zu sammeln und zu exfiltrieren … sie sind einfach großartig. Niemand mag es, Antivirenprogramme darauf zu installieren, Patches zu installieren oder sie gar in Netzwerk-Sicherheitsrichtlinien aufzunehmen, da ihre Verwaltung äußerst mühsam ist … was bedeutet, dass sie für jeden mit einer angriffslustigen Mentalität so etwas wie ein Platz in der ersten Reihe in der Oper darstellen.
Drittens müssen Sie völlig den Verstand verloren haben, wenn Sie glauben, dass das, was Sie heute besitzen, einfach weggenommen und einer Identitätsmanagement-Organisation übergeben werden kann. Ja, vieles von dem, was diese Organisationen leisten, ist hervorragend und ergänzt Teile der AD-Architektur. Es fügt eine zusätzliche Ebene hinzu und bietet weitere Authentifizierungsmechanismen, über die AD schlichtweg nicht verfügt. Aber es wird mit Sicherheit NICHT alle Ihre Systeme, Architekturen, Freigaben, Umgebungen und Feinheiten innerhalb Ihres Unternehmens verwalten.
Damit kommen wir nun nahtlos zum Abschnitt „WARUM“ …
Wie oben unter Punkt 3 bereits erwähnt, ist Active Directory komplex und umfangreich. Es hat mehr Tentakel in Ihrem Unternehmen verankert als Cthulhu an einem guten Tag – was bedeutet, dass es Schwachstellen und Herausforderungen birgt. Einige dieser Probleme sind auf die Art und Weise zurückzuführen, wie AD eingerichtet ist, andere auf die Verwaltung und dessen Entwicklung, und wieder andere einfach darauf, dass die Verwaltung von AD (ich meine die WIRKLICHE Verwaltung) eine schwarze Kunst ist, die nur wenigen ausgewählten Fachleuten bekannt ist … von denen die meisten im Laufe der Jahre den Verstand verloren haben.
All dies führt dazu, dass AD ein Hauptziel für jeden Angreifer ist, der versucht, in Ihre Umgebung einzudringen. Bei einer kurzen Durchsicht verschiedener Schwachstellendatenbanken zeigt sich, dass AD so viele Schwachstellen aufweist, dass wir eine ganze Gruppe von Freunden bräuchten, die ihre Finger und Zehen zusammenzählen, um zu ermitteln, auf wie viele Arten man in das System eindringen oder es ausnutzen könnte. Und das arme LDAP hat so viele Probleme, dass es seit seinem Erscheinen fast wöchentlich einen Therapeuten aufsucht (fast 600 Möglichkeiten, LDAP zum Eindringen in Systeme zu nutzen … und es werden immer mehr).
Herzlichen Glückwunsch also: Im Zentrum Ihres Unternehmens steht eine fantastische technologische Lösung, die alle Ihre Ressourcen, Benutzer, Systeme, Richtlinien, Profile und Berechtigungen verwaltet … und dennoch so undicht wie ein Sieb und so anfällig wie ein eintägiges Fohlen ist.
Was tun Sie? Sie umgeben das Ganze mit einer Fülle von Abkürzungen, die zum Schutz und zum Dienst gedacht sind, doch als Angreifer werde ich trotzdem eindringen. Verdammt, im Durchschnitt bin ich bereits drinnen. Wahrscheinlich sitze ich gerade in diesem Drucker und bin schon seit mehreren Monaten dort, um einfach nur zu beobachten … und Sie wussten nicht einmal, dass ich hier war. Wir haben diese Diskussion bereits geführt, aber ich möchte Sie daran erinnern: Sie können mich nicht fernhalten – keine Chance. Nichts, was Sie kaufen, abonnieren oder in das Sie investieren, wird mich davon abhalten, in Ihrem Netzwerk Fuß zu fassen. Die Herausforderung lautet: Was tun Sie als Nächstes?
WENN Sie nach dem Grundsatz „Gehen Sie von einer Sicherheitsverletzung aus“ handeln, dann haben Sie bereits einige Überlegungen angestellt. Sie haben Simulationsübungen durchgeführt. Sie kennen Ihre Probleme und Herausforderungen. Sie haben verschiedene Technologien im Einsatz, die Ihnen proaktivere und präventivere Warnmeldungen liefern – und genau hier kommen die Kollegen von Semperis ins Spiel. UND genau das ist auch der Grund, warum ich mit ihnen zusammenarbeite und ihnen dabei helfe, ein wenig mehr zu verstehen. (Sie verfügen bereits über eine Fülle von Informationen darüber, wie der Angreifer vorgeht … Ich bin nur wegen der wirklich hinterhältigen Tricks hier …)
Ein proaktiver Ansatz … wie wäre es, wenn wir das Konzept eines Tools zur Überwachung von Integrität, Sicherheit und Schutz im AD-Umfeld nehmen, es auf die volle Leistung hochfahren und es der Community kostenlos zur Verfügung stellen? Ja, das wird bald etwas sein, worauf sich Forscher und Technikbegeisterte freuen können.
Was den Audit-Ansatz betrifft … wie wäre es, wenn wir die Herausforderungen von AD aufgreifen, die Angriffsvektoren dem MITRE ATT&CK-Framework zuordnen und Ihnen anschließend verdeutlichen, wie wir diese Probleme mindern? Ja, das wird in Kürze veröffentlicht und dürfte sowohl die Audit- als auch die Management-Seite zufriedenstellen.
Nehmen wir einmal den schlimmsten Fall an … wenn Sie tatsächlich angegriffen werden: Wie wäre es, wenn wir einen Wiederherstellungsprozess ausarbeiten, bei dem Sie Ihre Zeit damit verbringen, wieder auf die Beine zu kommen, anstatt Lösegeld an anonyme Personen im Internet zu zahlen? Ja, dafür haben wir gesorgt … das wird sowohl die Technikfreaks als auch die Versicherungsleute zufriedenstellen.
Sie verstehen, worauf es ankommt. Das Team hier verfolgt einen proaktiven Ansatz. Es wendet sich an die Gemeinschaft, um eine Forschungseinrichtung zur Förderung des Wissensaustauschs aufzubauen, und bringt so den dringend benötigten Geist der Zusammenarbeit in die Gespräche ein.
Daher ist es logisch, dass Sie sich mit ihnen treffen, denn sie kümmern sich.
„Das war’s erst einmal“
Chris
