Active Directory-Änderungsüberprüfung & Rollback

Active Directory Auditing ist die Überwachung des AD auf Schwachstellen und häufige Konfigurations- und Verwaltungsfehler, die die Tür zu Sicherheitslücken öffnen können. Viele Unternehmen verfügen über veraltete AD-Umgebungen mit Dutzenden oder Hunderten von Fehlkonfigurationen, die sich im Laufe der Zeit angesammelt haben. Aufgrund begrenzter Ressourcen und mangelnder AD-Kenntnisse der Mitarbeiter wird die kontinuierliche Überprüfung von AD und Entra ID auf Sicherheitslücken oft übersehen. Cyber-Kriminelle wissen, dass viele gängige AD-Sicherheitslücken nicht behoben werden, was AD zum Ziel Nummer 1 für Cyber-Angriffe macht: Mandiant-Forscher berichten, dass 9 von 10 Angriffen in irgendeiner Form AD betreffen. Um die AD-Sicherheitslücken in Ihrem Unternehmen zu verstehen, laden Sie Purple Knight herunter, ein kostenloses AD-Sicherheitsbewertungstool, das die AD-Umgebung auf Hunderte von Indikatoren für die Gefährdung (IOEs) und Kompromittierung (IOCs) scannt, eine Gesamtsicherheitsbewertung liefert und von AD-Sicherheitsexperten priorisierte Anleitungen zur Behebung bietet.

Das Überwachen von Gruppenrichtlinienänderungen ist ein wichtiger Bestandteil der Härtung der Active Directory-Sicherheit und stellt eine Herausforderung dar, da herkömmliche ereignisbasierte Überwachungslösungen in der Regel keine Details zu Änderungen innerhalb einer Gruppenrichtlinie enthalten. Ein Beispiel, Wenn ein Angreifer eine bösartige Änderung mit Ryuk Ransomware, wird das einzige Signal sein dass ein Konto mit Zugriff auf die Gruppenrichtlinie eine Änderung vorgenommen hat, was wahrscheinlich keinen Alarm auslösen wird. Um bösartige Änderungen an Gruppenrichtlinien zu erkennen, benötigen Sie eine Lösung, die mehrere Datenquellen, einschließlich des AD-Replikationsstroms, nutzt, um zusätzlichen Kontext zu erhalten, der auf einen potenziellen Angriff hinweist. Um ein Verständnis für die Sicherheitslücken in Ihrem AD im Zusammenhang mit Fehlkonfigurationen der Gruppenrichtlinien zu erlangen, laden Sie Purple Knight herunter, ein kostenloses AD-Sicherheitsbewertungstool, das die AD-Umgebung auf Hunderte von Indikatoren für die Gefährdung (IOEs) und Kompromittierung (IOCs) scannt. Purple Knight scannt nach verschiedenen Fehlkonfigurationen von Gruppenrichtlinien, einschließlich Änderungen an ausführbaren SYSVOL-Dateien, Delegierung von GPO-Verknüpfungen auf AD-Standortebene und umkehrbare Passwörter in GPOs.

Um Änderungen in Active Directory zu verfolgen, müssen Sie die AD-Umgebung kontinuierlich auf Indikatoren für die Gefährdung (IOEs) und Kompromittierung (IOCs) in Bezug auf Active Directory-Kontosicherheit, AD-Delegation, Gruppenrichtlinien, Kerberos, Entra ID-Sicherheit und AD-Infrastruktursicherheit überwachen. Ransomware-Gruppen entwickeln ständig neue Methoden, um AD zu kompromittieren, das für 90 % der Unternehmen weltweit der primäre Identitätsspeicher ist. Mit privilegiertem Zugriff auf AD können Cyberkriminelle auf das gesamte Netzwerk zugreifen und so den Geschäftsbetrieb zum Erliegen bringen. Laden Sie Purple Knight herunter, ein kostenloses AD-Sicherheitsbewertungstool, das die AD-Umgebung auf Hunderte von Indikatoren für eine Gefährdung (IOEs) und Kompromittierung (IOCs) untersucht, eine Gesamtsicherheitsbewertung liefert und von AD-Sicherheitsexperten eine Anleitung für priorisierte Abhilfemaßnahmen erhält. Um Änderungen in AD und Entra ID kontinuierlich zu verfolgen, sollten Sie sich Directory Services Protectoreine Lösung zur Erkennung und Überwachung von AD-Bedrohungen, die Änderungen in AD und Entra ID verfolgt und bösartige AD-Änderungen automatisch rückgängig macht.

Sie können das kostenlose Tool zur Bewertung der AD-Sicherheit verwenden Purple Knight verwenden, um Ihre Entra ID-Umgebung auf verschiedene IOEs und IOCs zu scannen, einschließlich inaktiver Gastkonten, falsch konfigurierter Richtlinien für bedingten Zugriff und privilegierter Entra ID-Benutzer, die auch privilegierte Benutzer im lokalen AD sind, was zu einer Gefährdung beider Umgebungen führen kann. Sie können Directory Services Protector verwenden, um Änderungen an Entra ID in Echtzeit zu verfolgen. Weitere Informationen finden Sie unter "Verbessern Sie den Schutz von AD und Entra ID vor Cyber-Bedrohungen".

DCShadow ist eine der wenigen Arten von Angriffen, die keine Spuren hinterlassen. Beweise von bösartige Aktivitäten hinterlassen, so dass sie mit herkömmlichen ereignis- oder protokollbasierten Systemen nur schwer zu erkennen sind. Diese Angriffstechnik umgeht die traditionelle SIEM-basierte Protokollierung. Stattdessen werden die Änderungen direkt in den Replikationsstrom der Produktions-Domänencontroller eingespeist. Um sich vor Angriffen zu schützen, die die herkömmliche Überwachung umgehen, benötigen Unternehmen Lösungen, die mehrere Datenquellen nutzen, darunter auch den AD-Replikationsstrom. Für eine umfassende Erkennung von und Reaktion auf AD-Bedrohungen, einschließlich der Möglichkeit, AD auf Angriffe zu überprüfen, die SIEMs und andere herkömmliche Überwachungstools umgehen, sehen Sie sich Directory Services Protector.