Wenn es jemals einen Zeitpunkt gab, an dem Sie die Sicherheit Ihres Active Directory überprüfen sollten, dann ist es jetzt.
Als Reaktion auf die wachsende Besorgnis hinsichtlich der berüchtigten „Zerologon“-Sicherheitslücke (CVE-2020-1472) hat die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) eine„Notfallanweisung“ an die Bundesbehörden erlassen, den Patch von Microsoft unverzüglich zu installieren. Unternehmen täten gut daran, diesem Beispiel zu folgen.
„Zerologon“ – Schwere Sicherheitslücke, die eine Eskalation von Berechtigungen ermöglicht
In der vergangenen Woche ist im Internet Exploit-Code für die schwerwiegende Sicherheitslücke zur Rechteausweitung aufgetaucht, die als „Zerologon“ bezeichnet wird. Die Sicherheitslücke liegt im Netlogon-Remote-Protokoll. Durch das Senden einer Reihe von Netlogon-Nachrichten, bei denen verschiedene Felder mit Nullen gefüllt sind, kann der Angreifer das in Active Directory (AD) gespeicherte Passwort für den domain controller DC) ändern. Im Endeffekt ermöglicht der Angriff jedem Angreifer im lokalen Netzwerk, seine Rechte zu erweitern und die Windows-Domäne ohne jegliche Benutzeranmeldedaten zu kompromittieren. Mit Zerologon können Angreifer die Anmeldedaten des Domänenadministrators stehlen und das ursprüngliche domain controller wiederherstellen, was Angriffe aller Art – von Ransomware bis hin zum Datendiebstahl – erleichtert.
Der von Secura-Forschern entdeckte Fehler hat einen CVSS-Score von 10 von 10, der höchsten Einstufung. Mehrere Proof-of-Concept-Exploits für Zerologon wurden bereits in freier Wildbahn veröffentlicht. Zerologon wurde auch in einer aktualisierten Version des Mimikatz-Tools implementiert.
Haben Sie schon gepatcht?
Da Exploits im Umlauf sind, besteht großer Druck, so schnell wie möglich Patches zu installieren. Dieses Problem wird in zwei Schritten angegangen. Im August veröffentlichte Microsoft einSicherheitsupdate, das das Netlogon-Protokoll so ändert, dass Windows-Geräte standardmäßig geschützt werden, Ereignisse zur Erkennung nicht konformer Geräte protokolliert werden und der Schutz für alle domänengebundenen Geräte mit expliziten Ausnahmen aktiviert wird. Ein zweites Update ist für das erste Quartal 2021 vorgesehen. Es wird die sichere Nutzung von Remote Procedure Call (RPC) für Maschinenkonten auf nicht Windows-basierten Systemen erzwingen, sofern dies nicht durch die Gruppen policy „Domain controller: Allow vulnerable Netlogon secure channel connections“ zugelassen ist.
Es ist zu beachten, dass nach der Bereitstellung des August-Updates gepatchte Domänencontroller (DCs) im Systemereignisprotokoll die Ereignis-ID 5829 protokollieren, sobald eine anfällige „Netlogon Secure Channel“-Verbindung zugelassen wird. Microsoft rät Unternehmen, diese Ereignisse zu beheben, bevor derDC-Durchsetzungsmoduskonfiguriert wird oder bevor das Update im Jahr 2021 erfolgt, um Ausfälle zu vermeiden. Es ist zudem von entscheidender Bedeutung, dass alle Domänencontroller, auch schreibgeschützte Domänencontroller, aktualisiert werden. Der Patch-Prozess ist nicht immer einfach und wird häufig durch Verzögerungen behindert, die auf die schiere Anzahl von Anwendungen und Systemen in IT-Umgebungen sowie auf die allgemeine Befürchtung zurückzuführen sind, den Betrieb zu stören. Dennoch sollte jedes Unternehmen, das Active Directory nutzt, bereits jetzt damit beginnen, anfällige Systeme zu identifizieren und der Installation von Patches Priorität einzuräumen.
Seien Sie auf einen Zustrom neuer Angriffe auf Active Directory vorbereitet
Nach einer gründlichen Installation von Patches ist es an der Zeit, sich der Flut neuer Angriffe bewusst zu werden, die Active Directory ausnutzen. Machen Sie sich Ihre Schwachstellen bewusst und konzentrieren Sie sich auf die Absicherung von AD. Schwachstellen- und Konfigurationsanalysen sind wesentliche Bestandteile, um die Hürden für Angreifer, die es auf AD abgesehen haben, zu erhöhen. Ebenso werden durch die kontinuierliche Überwachung von AD-Änderungen, die Sicherheitsprotokolle umgehen, sowie durch die Aktivierung einer automatischen Rückgängigmachung verdächtiger Änderungen – bei denen das Warten auf menschliches Eingreifen zu riskant ist – laterale Bewegungen und fortgeschrittene, hartnäckige Bedrohungen verhindert. Automatisierte Überwachung, Schwachstellenanalysen und Korrekturmaßnahmen sind wesentliche Bestandteile zur Gewährleistung der Sicherheit Ihrer AD-Umgebung.
Im Falle einer Cyberkatastrophe können regelmäßige Backups und die Offline-Speicherung von Kopien den Unterschied zwischen einem kurzen Ausfall und einer längeren Ausfallzeit ausmachen, wenn AD kompromittiert wird. Andernfalls können Backups, auf die über das Netzwerk zugegriffen werden kann, leicht zerstört werden und die Chancen auf eine Entschädigung durch das Opfer erhöhen. Unternehmen sollten immer über genügend Backups verfügen, um eine vollständige Wiederherstellung einer Gesamtstruktur durchzuführen. Schließlich sollten Sie bei der Wiederherstellung nach einem Cyberangriff Bare-Metal- und Systemstatus-Wiederherstellungen vermeiden, da diese Ansätze schwerwiegende Probleme mit sich bringen, einschließlich der wahrscheinlichen Möglichkeit einer erneuten Malware-Infektion.
Wie „Zerologon“ zeigt, ist es an der Zeit, dass Unternehmen die Sicherheitslage von Active Directory kritisch unter die Lupe nehmen. Ein motivierter Angreifer wird immer auf die eine oder andere Weise einen Weg finden, sich Zugang zu verschaffen. Lassen Sie AD nicht zu einem leichten Ziel werden.
