Active Directory-Bedrohungserkennung und -Reaktion

Die Absicherung von AD beginnt damit, dass Sie die Schwachstellen und häufigen Konfigurations- und Verwaltungsfehler, die den Weg zu Kompromittierungen ebnen, in den Griff bekommen. Um AD zu verteidigen, müssen Administratoren wissen, wie Angreifer ihre Umgebung ins Visier nehmen. Die Durchführung einer vollständigen Schwachstellenbewertung der AD-Umgebung erfordert eine Lösung, die ständig aktualisiert wird, um nach aktuellen Indicators of Exposure (IOEs) und Indicators of Compromise (IOCs) zu suchen. Um eine erste Bewertung durchzuführen, können Sie das kostenlose Tool Purple Knightherunterladen und verwenden, das Ihre AD- und Entra ID-Umgebung auf Hunderte von IOEs und IOCs scannt, eine Gesamtsicherheitsbewertung erstellt und Ihnen von AD- und Entra ID-Sicherheitsexperten eine Anleitung zur Behebung von Problemen nach Prioritäten gibt.

Aufgrund veralteter AD-Fehlkonfigurationen, die sich im Laufe der Zeit ansammeln, weisen viele hybride AD-Umgebungen Dutzende oder Hunderte von Sicherheitslücken auf. Zu den kritischen Schwachstellen gehören Fehlkonfigurationen im Zusammenhang mit der Authentifizierung, wie z.B. die Aktivierung des anonymen Zugriffs auf AD. Die Gewährung übermäßiger Rechte ist eine weitere häufige Quelle für AD-Sicherheitsschwachstellen. Weitere Informationen über häufige AD-Sicherheitsschwachstellen finden Sie unter "Kennen Sie Ihre Active Directory-Sicherheitsschwachstellen?"

Cyberangreifer entwickeln immer raffiniertere Methoden, um in hybride AD-Umgebungen einzudringen, die sich der Entdeckung entziehen. Um bösartige Änderungen zu erkennen, die traditionelle Überwachungssysteme (wie SIEMs) umgehen, benötigen Sie eine Lösung, die mehrere Datenquellen nutzt. Suchen Sie nach einem Tool, das Änderungen auch dann erfassen kann, wenn die Sicherheitsprotokollierung ausgeschaltet ist, Protokolle gelöscht werden, Agenten deaktiviert werden oder nicht mehr funktionieren oder Änderungen direkt in AD eingespeist werden.

Sie können das kostenlose Tool zur Bewertung der AD-Sicherheit verwenden Purple Knight verwenden, um Ihre Entra ID Umgebung auf verschiedene IOEs und IOCs zu überprüfen, einschließlich inaktiver Gastkonten, falsch konfigurierter Richtlinien für den bedingten Zugriff und privilegierter Entra ID Benutzer, die auch privilegierte Benutzer im lokalen AD sind, was zu einer Gefährdung beider Umgebungen führen kann. Sie können mit Directory Services Protector verwenden, um Änderungen an Entra ID in Echtzeit zu verfolgen. Weitere Informationen finden Sie unter "5 neue Wege, AD und Azure AD zu sichern".