Hallo,
Dies ist der zweite Teil eines Blogs, den ich früher geschrieben hatte. Im ersten Teil ging es darum, besser zu verstehen, welche Möglichkeiten Unternehmen haben, wenn ihr Active Directory kompromittiert wird. Wie können sie es so schnell wie möglich wieder zum Laufen bringen? Wie können sie so sicher wie möglich sein, dass sie keine Malware in die Instanz des wiederhergestellten Active Directory Forest zurückbringen?
Um den zweiten Teil vollständig zu verstehen, empfehle ich Ihnen, den ersten Teil zu lesen, den Siehier finden.
Denjenigen unter Ihnen, die den ersten Teil bereits gelesen haben, danke ich für das tolle Feedback. Alles gute Punkte und Kommentare.
Lassen Sie uns also mit dem Anwendungsfall beginnen, mit dem ich im ersten Teil aufgehört habe...
Alles ist verschlüsselt. Die Parkplätze sind leer. Die Fabriken sind still und der CEO ist alle 30 Sekunden am Telefon und sagt etwas "Buntes" über Ihre Abstammung. Leider ist das kein Szenario, das ich mir ausgedacht habe. Es ist ein monatliches und mittlerweile fast wöchentliches Gespräch, das ich führe. Es gehört zu meinem Beruf und in letzter Zeit ist es ein sehr hartes, realistisches Dilemma.
Die Kommentare, die ich zum ersten Teil des Blogs erhalten habe, fielen in zwei Bereiche. Der erste schlug vor, ein sichereres System zur Verwaltung von Berechtigungen zu verwenden. Das ist immer eine gute Idee, aber in diesem Fall ist es zu spät. Allerdings können wir uns das als Teil des Wiederherstellungsprozesses ansehen. Dazu später mehr. Der zweite Vorschlag war eine teilweise Wiederherstellung eines separaten Forests. Dieser zweite Forest wäre im Wesentlichen ein "VIP"-Forest, in dem alle wichtigen Vermögensinformationen des Unternehmens liegen würden. Das mag sein. Aber wie lange würde das dauern? Verfügt das Unternehmen über die Ressourcen, um einen ganzen Wald in kürzester Zeit neu zu gestalten? Denken Sie daran, dass ich das System gestern noch zum Laufen bringen muss.
Sollte es sich bei dem oben beschriebenen Szenario um einen Angriff handeln und Sie wissen, wann die Infektion stattfand und wie die Angreifer eingedrungen sind, dann ist die Antwort darauf, was Sie meiner Ansicht nach tun müssen, relativ einfach. Es geht darum, ein Backup Ihres Active Directory vom Tag vor dem Angriff zu erstellen und eine Forest-Wiederherstellung durchzuführen. (Auf die Herausforderung durch das Rootkit werde ich gleich noch eingehen.) Dann stellt sich nur noch die Frage: Haben Sie in eine Lösung investiert, die eine Forest-Wiederherstellung automatisiert und diese innerhalb weniger Stunden durchführt, oder handelt es sich bei Ihrem Backup eher um eine herkömmliche Systemzustands-Sicherung des Active Directory, bei der Sie nicht über spezialisierte automatisierte Prozesse verfügen, um das Active Directory in seiner Gesamtheit wiederherzustellen? Sollte Letzteres der Fall sein, sollten Sie damit rechnen, dass es vier oder fünf Werktage dauern wird, Ihre Forest manuell wieder vollständig in Betrieb zu nehmen.
In der Praxis könnten einige der oben genannten Angriffsszenarien ein eingebettetes Rootkit beinhalten. Das ist ein interessantes Rätsel … Wie entfernt man in dem oben beschriebenen Szenario ein Rootkit von einem Domain Controller? Das ist schwierig, denn für die Wiederherstellung muss der Systemzustand übertragen werden, wodurch der Angreifer sehr wohl erneut eingeschleust werden könnte. Das bedeutet auch, dass eine Bare-Metal-Sicherung und -Wiederherstellung nicht funktioniert, da das gleiche Risiko weiterhin besteht.
Erinnert sich jeder an den „Die Hard“-Film, in dem die Bösewichte wissen, dass das FBI in Geiselnahmen den Strom abschaltet und dass sie auf diese Weise letztendlich in den Banktresor gelangen? Hier läuft es genauso ab. Ich weiß, und Sie wissen, was nötig ist, um einen Domänencontroller wiederherzustellen, aber das eigentliche Problem ist: Die Bösewichte wissen es auch. Sie werden darauf setzen, dass sich alle an die „Standardarbeitsanweisung“ von Microsoft halten. Gibt es einen besseren Weg, um hartnäckig zu bleiben?
OK. Was würde ich also in einem Szenario tun, in dem der Angreifer schon eine Weile in Ihrem System ist oder Sie, wie in den meisten Fällen, nicht genau wissen, wann er eingedrungen ist, wie er eingedrungen ist, usw.
Der erste Teil wäre, alle Passwörter zurückzusetzen, oder zumindest alle privilegierten/sensiblen Konten. Ja, das ist eine sehr schwierige Aufgabe, aber ich würde sagen, sie ist viel einfacher und schneller als eine vollständige oder teilweise Wiederherstellung. Vergessen Sie nicht, dass die Uhr tickt. Natürlich sollte es selbstverständlich sein, dass Sie im Rahmen der Wiederherstellung der Berechtigungen die bewährten Verfahren zum Setzen oder in diesem Fall Zurücksetzen von Berechtigungen einbeziehen.
Der nächste Schritt wäre die Einführung einer automatisierten Forest Recovery-Lösung. Um es klar zu sagen: Diese Lösung muss eingerichtet werden, bevor irgendetwas davon passiert. Es handelt sich nicht um ein Tool, das Sie am nächsten Tag einführen können. Der Vorteil einer mehrtägigen Wiederherstellung gegenüber einer Wiederherstellung innerhalb weniger Stunden spricht für sich selbst. Eine weitere Überlegung, die vielen nicht bewusst ist, ist, dass AD funktionieren muss, damit viele Ihrer anderen DR-Lösungen funktionieren, da sie oft auf AD zur Authentifizierung und Autorisierung angewiesen sind, um Zugang zur DR-Lösung zu erhalten.
Unsere Forest Recovery-Lösung ist die Antwort auf das Rootkit-Problem. Ein Teil unseres Prozesses zur Wiederherstellung von Wäldern ist etwas, das wir "saubere Wiederherstellung" nennen. Ich werde nicht näher auf das Wie eingehen (das ist ein ganz anderes Blog), aber das Ergebnis ist, dass wir sicherstellen, dass nur die AD-Anteile des Systemstatus wiederhergestellt werden - nicht das Betriebssystem selbst. Sie können nun einen neuen Hardwareserver nehmen, ein frisches Windows-ISO laden und AD übernehmen, ohne das Risiko einer erneuten Einschleppung der Malware.
Die „Forest Recovery“-Lösung bietet noch einen weiteren erwähnenswerten Vorteil: die Möglichkeit, bei der Wiederherstellung von Active Directory auf einem Domain Controller hardwareunabhängig vorzugehen. Vor der Einführung dieser Funktion mussten Sie Active Directory auf derselben Hardware, mit demselben Betriebssystem, denselben Patch-Ständen und denselben Service Pack-Versionen wiederherstellen. Andernfalls kam es während der Wiederherstellung häufig zu einem Bluescreen, und Sie verbrachten mehrere Stunden damit, fehlende Treiber und Ähnliches ausfindig zu machen. Heute sind wir im Rahmen unserer Forest Recovery-Lösung unabhängig von der Hardware, den Service Packs oder den Patch-Levels des domain controller. Die einzige Voraussetzung ist, dass die Wiederherstellung auf dieselbe Betriebssystemversion erfolgt, auf der die Sicherung erstellt wurde.
Dies führt zu viel mehr Flexibilität bei Szenarien wie der Wiederherstellung von physischen zu virtuellen Systemen, der Erstellung von Labs und der Wiederherstellung von AD in der Cloud.
Ich habe zuBeginn deserstenTeils erwähnt, dass ich darüber schreiben wollte, weil es zwar einige Dokumentationen und "Anleitungen" dazu gibt, aber ich fand sie langsam, unvollständig und in vielen Fällen unrealistisch. Die andere Motivation kam aus einer zeitlichen Perspektive. Als ich vor ein paar Jahren begann, mich mit diesem Thema zu beschäftigen, war es eher eine akademische oder theoretische Übung. Ein Artikel hier oder da. Jetzt ist es IMO von einem interessanten Randfall zu einer normalen "Was wäre wenn"-Frage für die Notfallplanung geworden. Unternehmen erkennen allmählich, dass sie, wenn sie in eine SLA von, sagen wir, einem Tag für ihre Disaster Recovery-Planung investiert haben, sehr wohl noch viele weitere Tage hinzufügen müssen, da nichts funktioniert, wenn der AD-Dienst nicht funktioniert.
Schließlich stand noch nie so viel auf dem Spiel. Es geht um das Überleben ganzer Unternehmen. Verstehen Sie mich bitte nicht falsch – ich habe nicht DIE „Wunderwaffe“. Niemand hat sie. Aber hoffentlich habe ich einige neue Überlegungen zu einem sehr schwierigen Problem beigesteuert.
Wenn Sie mehr über unsere Technologie erfahren möchten oder einfach nur mit mir diskutieren wollen ? Nehmen Sie Kontakt mit mir auf.
