Analyse der Angriffswege

Tier 0-Assets sind die Konten, Gruppen und anderen Assets, die direkte oder indirekte administrative Kontrolle über eine Active Directory-Gesamtstruktur, Domänen und Domänencontroller haben. Mit Zugriff auf diese Tier 0-Assets können Angreifer die Kontrolle über das gesamte Netzwerk übernehmen.

Microsoft hat das mehrstufige Verwaltungsmodell für Active Directory entwickelt, um es Bedrohungsakteuren zu erschweren, ihre Rechte zu erweitern, d.h. von der Workstation zu den Servern zu springen und die AD-Domäne zu beherrschen. Dieses Modell hat drei Ebenen:

• Tier 2 besteht aus der Domäne angeschlossenen Clients, Druckern, mobilen Geräten und den Konten, die sie verwalten.
• Tier 1 enthält die Server und Anwendungen sowie deren administrative Konten.
• Tier 0 enthält die Server (z.B. Domänencontroller), AD-Strukturen (z.B. das Standard-Domänenrichtlinien-GPO) und privilegierte Konten, die den Active Directory-Dienst selbst unterstützen.

Diese Hierarchie wird so durchgesetzt, dass der Zugriff auf Anmeldeinformationen höherer Ebenen von niedrigeren Ebenen aus nicht möglich ist (z. B. ein Domänenadministratorkonto, das sich bei einem Client-PC anmeldet, wo diese privilegierten Anmeldeinformationen anschließend von Malware wie Mimikatz abgegriffen werden könnten). Für hybride Umgebungen wurde dieses Modell erweitert, um ihrer zusätzlichen Komplexität Rechnung zu tragen, und wird als Enterprise Access Model bezeichnet.

Tier 0-Assets haben die administrative Kontrolle über Active Directory. Wenn eines dieser Assets kompromittiert wird, kann ein Bedrohungsakteur die Kontrolle über Active Directory und damit über jedes Asset - Server, Anwendungen, Datenbanken, Clients, andere Active Directory-Konten - innerhalb von Active Directory erlangen, um seine Ziele zu erreichen.

Aufgrund von Fehlkonfigurationen, die sich im Laufe der Zeit ansammeln, gibt es in vielen Unternehmen Konten und Gruppen, die privilegierten Zugriff haben - d.h. es handelt sich um Aktiva der Stufe 0 - aber diese übermäßigen Privilegien werden entweder übersehen oder die IT- und Sicherheitsteams haben nicht die Ressourcen, um sie zu überprüfen. Das Aufspüren dieser Assets kann eine Herausforderung sein. Forest Druid Das kostenlose Community-Tool von Semperis bringt Licht ins Dunkel der sensiblen Konten, so dass die IT-/Sicherheitsteams sie als "Tier 0" markieren und entsprechende Schutzmaßnahmen ergreifen können, einschließlich der Sperrung von Privilegien oder der vollständigen Löschung unnötiger Konten.

Angriffspfade sind die Wege, die ein Bedrohungsakteur vom ersten Zugriff auf die Umgebung (z. B. einen Client-PC) über Zwischenschritte bis hin zur Dominanz der Tier 0-Domäne nehmen kann.

Semperis stellt ein kostenloses Tool zur Erkennung von Tier 0-Angriffspfaden namens Forest Druid zur Verfügung, das Sie dabei unterstützt, anfällige Tier 0-Ressourcen aufzudecken, übermäßige Privilegien zu sperren und die gefährlichsten Pfade - nicht nur die häufigsten - schnell zu erkennen und zu beseitigen.(Klicken Sie hier, um mehr über Forest Druid zu erfahren).