Neue Integrationen: NinjaOne & Datto Autotask

Bestimmte Berechtigungen in Active Directory erlauben es einem Konto, sich gegenüber einem Domänencontroller als Domänencontroller auszugeben und Kennwortinformationen aller Benutzerkonten anzufordern. Ist ein solches Konto kompromittiert, kann ein Angreifer damit die Anmeldeinformationen aller Benutzer im Unternehmen auslesen, einschließlich hochprivilegierter Konten. Dies stellt ein sehr hohes Risiko dar, da es einem Angreifer im Ergebnis die vollständige Kontrolle über die Active-Directory-Umgebung ermöglicht.

Die Kommunikation zwischen Servern und dem Active Directory ist nicht ausreichend gegen Manipulation abgesichert. Ohne eine Signierung kann ein Angreifer, der sich bereits im internen Netzwerk befindet, diese Kommunikation abfangen und verändern. Dadurch könnte er sich unbemerkt als legitimer Benutzer ausgeben oder Anfragen so manipulieren, dass er sich selbst weitreichende Berechtigungen verschafft.

Domänencontroller nehmen Anmeldungen über eine verschlüsselte Verbindung (LDAPS) entgegen, ohne zusätzlich zu prüfen, ob diese Verbindung während der Übertragung manipuliert wurde.

Im Mandanten existiert keine Conditional-Access-Richtlinie, die für administrative Konten eine Multi-Faktor-Authentifizierung (MFA) verlangt. Administrative Konten verfügen über weitreichende Berechtigungen und sind deshalb ein bevorzugtes Ziel von Angreifern. Fehlt die MFA-Pflicht, genügt bereits ein gestohlenes oder erratenes Passwort, um vollständigen Zugriff auf ein privilegiertes Konto zu erlangen.

Die Verbindung von Computern zu den Gruppenrichtlinien-Freigaben SYSVOL und NETLOGON ist nicht ausreichend gegen Manipulation abgesichert. Das liegt daran, dass Windows standardmäßig nicht sicherstellt, dass diese Verbindung tatsächlich zu einem echten Domänencontroller aufgebaut wird und die übertragenen Daten unterwegs nicht verändert werden können. Befindet sich ein Angreifer im selben Netzwerk, etwa in einem öffentlichen WLAN oder im internen Firmennetz, kann er sich als Domänencontroller ausgeben und dem Computer manipulierte Gruppenrichtlinien unterschieben. Dadurch können Angreifer Schadcode mit den höchsten Rechten auf dem Zielsystem ausführen, was zur vollständigen Übernahme des Computers führen kann.

In den Richtlinien für den bedingten Zugriff (Conditional Access) werden Sicherheitsgruppen referenziert, die im Verzeichnis bereits gelöscht wurden. Dadurch entstehen unbemerkte Lücken in der Zugriffssteuerung: Die betroffene Richtlinie greift möglicherweise nicht mehr für die vorgesehenen Benutzer, oder sie wird gar nicht mehr angewendet. Im schlimmsten Fall bleiben dadurch schützenswerte Konten oder Anwendungen ohne die geplanten Sicherheitsauflagen wie Multi-Faktor-Authentifizierung zugänglich.