Im Internet gibt es zahlreiche Fragen dazu, welche Software auf einem „ domain controller “ (DC) installiert werden sollte. Welche Rollen sollten bereitgestellt werden? Welche Anwendungen sind erforderlich? Um diese Fragen zu beantworten, müssen Sie zunächst überlegen, welche Aufgaben ein DC überhaupt erfüllen soll .
Welche Windows Server-Rollen sollten Sie auf einem Domänencontroller ausführen?
Letztendlich sollte ein „ domain controller “ nur einen Zweck erfüllen: die Verwaltung einer Domäne. Er hostet Active Directory Domain Services (ADDS) und in der Regel das Domain Name System (DNS). Mehr braucht er eigentlich nicht.
Alle darüber hinausgehenden Serverrollen sollten auf separaten Servern ausgeführt werden. Da Domänencontroller Active Directory hosten, beherbergen sie die Schlüssel zum Königreich. Domänencontroller sind in der Regel die Kronjuwelen Ihrer Identitätsumgebung und müssen um jeden Preis geschützt werden.
Wir bei Semperis sind der Ansicht, dass die Anzahl der Rechenzentren auf ein absolutes Minimum beschränkt werden sollte. Auf diese Weise können Sie, falls bei einem Rechenzentrum ein Problem auftritt, einfach ein weiteres aufbauen, um es zu ersetzen. Hier ist die Faustregel in Bezug auf Rechenzentren: Verwenden Sie stets dasselbe Basisbetriebssystem, dieselben Patch-Stände, dieselbe Software und dieselben Rollen.
Welche Software sollten Sie auf einem DC installieren?
Wie sieht es mit der auf Ihren DCs installierten Software aus? Dieses Thema ist etwas kniffliger und hängt wirklich von den Sicherheitsanforderungen Ihres Unternehmens ab.
Denken Sie daran, dass ein DC leicht austauschbar sein sollte. Als absolutes Minimum (aus Sicherheitsgründen) sollten Sie Antivirensoftware sowie eine EDR- oder XDR-Lösung einsetzen. Diese können in das Betriebssystem integriert sein (z. B. Microsoft Defender), oder Sie können ein Tool eines Drittanbieters verwenden. Darüber hinaus empfiehlt es sich möglicherweise, eine Lösung zur Protokollierung einzusetzen. Das ist das Maximum dessen, was wir empfehlen würden.
Jede einzelne Software, die auf einem Rechenzentrum bereitgestellt wird, stellt eine weitere Angriffsfläche dar. Dies gilt insbesondere für alle Anwendungen, für die die Installation eines Agenten (sei es KI oder anderweitig) erforderlich ist. Ein Agent kann eine direkte Befehls- und Kontrollmöglichkeit über das jeweilige System eröffnen, auf dem er installiert ist.
Aus diesem Grund richtet Semperis im Rahmen jedes „Identity Forensics “- und „ Incident Response “ (IFIR) -Projekts Rechenzentren mit einer absolut minimalen Installation ein. Erst wenn sich die Lage beruhigt hat, gestatten wir unseren Kunden, mit der Einführung weiterer Software zu beginnen … vorausgesetzt, sie akzeptieren das damit verbundene Risiko.
Was könnte schiefgehen?
Leider halten sich viele Umgebungen nicht an diese Richtlinien, sondern richten auf ihren Domänencontrollern zusätzliche Rollen und Software aller Art (Browser, Anwendungen, Dateifreigaben usw.) ein. Dieser Ansatz erhöht nicht nur die Komplexität bei der Wiederherstellung, sondern vergrößert auch die Angriffsfläche Ihrer Domänencontroller. Das Letzte, was Sie tun möchten, ist, einem Angreifer weitere Möglichkeiten zu bieten, Tier 0 zu kompromittieren.
Hier ein Beispiel. Nehmen wir an, jemand hält es für eine gute Idee, Google Chrome auf einem „ domain controller “ zu installieren, um im Internet zu surfen. Er geht sogar noch einen Schritt weiter und richtet einige Chrome-Erweiterungen ein … doch eine dieser Erweiterungen enthält eingebetteten C2-Code, der es einem Angreifer ermöglicht, sich ungehinderten Zugang zu verschaffen und den Domänencontroller zu übernehmen. Von dort aus kann der Angreifer einfach die Datei „NTDS.DIT“ kopieren und extrahieren, wodurch der Angreifer alle Zeit der Welt hat, jedes Benutzerkonto und jedes Passwort zu knacken.
Ein weiteres Beispiel: Ihr Unternehmen ist bestrebt, im Bereich der KI-Agenten auf dem neuesten Stand zu bleiben, doch die von Ihnen gewählte agentenbasierte KI wurde noch nicht vollständig geprüft. Dennoch gewährt jemand einem Agenten Zugriff auf ein Konto mit übermäßigen Berechtigungen. Und da die KI ein hilfsbereites Werkzeug ist, kommt sie dem Angreifer bereitwillig nach, wenn dieser versucht, sie dazu zu manipulieren, Informationen oder Zugriff über dieses Konto preiszugeben. Es versteht sich von selbst, dass es dann zu ernsthaften Problemen kommt. Dieses Problem lässt sich bereits in realen Umgebungen beobachten.
Fazit: Schützen Sie Ihre Domänencontroller
Zusammenfassend lässt sich also sagen: Sie benötigen ADDS und DNS (zusammen mit den entsprechenden Verwaltungstools) auf Ihren Domänencontrollern. Das ist alles. Rollen wie DHCP, Dateiserver und alles andere sollten Sie auf separaten Servern bereitstellen .
Halten Sie die Dinge in Bezug auf Domänencontroller einfach so einfach wie möglich, und Sie werden automatisch die Sicherheit Ihrer Identitäten verbessern.
Weitere Ressourcen für DC-Sicherheit und Identitätsschutz
