Neue Gefährdungen & GPOs
05. Mai 2024 · Collector v1.6.1
Mit der neuen Version haben wir die Überprüfung von Gruppenrichtlinienobjekte implementiert und insgesamt acht neue Gefährdungen (IoE) hinzugefügt. Außerdem schauen wir bereits in die Zukunft und haben uns auf das neue Funktionslevel mit Windows Server 2025 vorbereitet.
Neue Funktionen
Gruppenrichtlinien
Gefundene und analysierte Gruppenrichtlinien werden nun im AD-Explorer aufgeführt, und sämtliche vorgenommenen Änderungen sind im detaillierten Änderungsverlauf ersichtlich.
Verbesserter Änderungsverlauf
Der Änderungsverlauf wurde übersichtlicher gestaltet, sodass einzelne Vorgänge im Active Directory einfacher durchsucht, sortiert und gefiltert werden können.
Automatische Updatebenachrichtigungen
Der Collector wird nun regelmäßig auf seine Aktualität überprüft, und bei einer alten Version erhalten Sie eine automatische Benachrichtigung über verfügbare Updates. Neuere Versionen des Collectors aktualisieren sich automatisch, um eine effiziente Sicherheitsüberprüfung des Active Directories sicherzustellen. Für eine umfassende Überprüfung des Active Directories ist es notwendig, dass sich der Collector immer auf einem aktuellen Stand befindet.
Kompatibilität mit Windows Server 2025
Unser Produkt wurde erfolgreich gegen die Vorschauversion von Windows Server 2025 getestet und entsprechend angepasst, um das neue Funktions- und Domänenlevel zu unterstützen.
Neue Sicherheitsprüfungen
Mit der aktuellen Version werden folgende zusätzliche Sicherheitsprobleme im Active Directory überprüft:
LM (LanManager) ist aktiv
KritischZur Anmeldung mit NTLMv1 kann ein LM-Hash oder LAN Manager-Hash verwendet werden. Dieser Hash-Algorithmus ist sehr schwach und erlaubt es damit Angreifern, den Passworthash zu knacken
Eingeschränkte Delegierung für privilegierte Nutzer erlaubt
KritischDefinierte Objekte (z. B. Nutzer, Service Accounts, Computer etc.) dürfen sich als einer der unten aufgelisteten Nutzer ausgeben und in deren Namen bzw. mit ihren Rechten Operationen, wie Autorisierung gegenüber Services, durchführen.
Diese Gefährdung wurde bereits geprüft, es wurde nur eine Unterteilung zwischen privilegierten und nicht privilegierten Benutzer vorgenommen.
Passwordrichtlinie nicht stark genug
HochEs wurden Gruppenrichtlinien gefunden, die verschiedene Aspekte der Passwortsicherheit nicht nach aktuellen Best Practice vorgeben. Dies kann verschiedene Angriffsmethoden, die zur Übernahme eines Accounts durch Angreifer führen, erleichtern.
Passwortähnliche Zeichenkette gefunden
HochEs wurden Gruppenrichtlinien gefunden, die verschiedene Aspekte der Passwortsicherheit nicht nach aktuellen Best Practice vorgeben. Dies kann verschiedene Angriffsmethoden, die zur Übernahme eines Accounts durch Angreifer führen, erleichtern.
Passwörter sollten niemals unverschlüsselt in AD-Attributen gespeichert werden, da diese so einfach von Angreifern/unberechtigten Personen ausgelesen werden können.
Passwort des Domaincontrollers wird nicht regelmäßig geändert
MittelDie Änderung des Kennworts für das Maschinenkonto wird standardmäßig alle 30 Tage vom Computer veranlasst. Seit Windows 2000 haben alle Windows-Versionen denselben Wert. Dieses Verhalten kann mit der folgenden Gruppenrichtlinieneinstellung in Active Directory auf einen benutzerdefinierten Wert geändert werden.
Gruppe „Prä-Windows 2000 kompatibler Zugriff“ erlaubt Zugang ohne Account
MittelWenn eine der Gruppen „Jeder“ oder „Anonym“ Mitglied der Gruppe „Prä-Windows 2000 kompatibler Zugriff“ist, kann auf die Domäne ohne einen AD-Account zugegriffen werden.
Gruppe „Prä-Windows 2000 kompatibler Zugriff“ erlaubt Zugang für authentifizierte Benutzer
InfoDie Gruppe „Prä-Windows 2000 kompatibler Zugriff“ wurde erstellt, um mit Windows NT kompatibel zu sein. Die Gruppe ermöglicht es, Berechtigungen auf Objektebene für Active Directory-Objekte zu erteilen, die mit dem weniger sicheren Windows NT kompatibel sind, anstatt granularer Berechtigungen auf Attributebene zu verwenden.
Leere Gruppen
InfoUm die Entstehung von technischen Schulden und Komplexität zu vermeiden, sollten leere Gruppen gelöscht werden.
Verbesserungen & Fehlerbehebungen
Verbesserte Datenerfassung für lastLogon-Werte zur präziseren Überwachung von Anmeldezeitpunkten
Deutliche Leistungsverbesserungen bei der Suche im Änderungsverlauf.
Optimierung der Darstellung von Graphen im Kunden-Dashboard für verbesserte Übersichtlichkeit