Active-Directory-Penetrationstest
Das Active Directory ist in den meisten Unternehmen der Generalschlüssel: Wer es kontrolliert, kontrolliert jeden angemeldeten Rechner und jeden Dateizugriff. Genau deshalb ist es das Ziel fast jedes Ransomware-Angriffs. Der Test beantwortet eine einzige, sehr konkrete Frage: Wie kommt jemand von einem gewöhnlichen Benutzerkonto zum Domänen-Administrator – und wie viele Schritte braucht er dafür?
- Angriffspfade vom Standardkonto zu hochprivilegierten Gruppen, vollständig kartiert
- Kerberos-Schwächen: angreifbare Dienstkonten, Delegierungen, veraltete Verschlüsselung
- Passwortrichtlinien in der Praxis – nicht in der Vorgabe
- Zugangsdaten, die auf Arbeitsplatzrechnern und in Freigaben liegen bleiben
- Gruppenrichtlinien und ihre unbeabsichtigten Nebenwirkungen
- Alte Konten, Vertrauensstellungen und Reste früherer Migrationen
- Absicherung der Domänencontroller und der Verwaltungswege dorthin
Die Frage, die der Test beantwortet
- Wie kommt jemand von einem gewöhnlichen Benutzerkonto zum Domänen-Administrator, und wie viele Schritte braucht er dafür?
Der Pfad in drei Schritten
Ein gewöhnliches Benutzerkonto
Der Test beginnt ohne Sonderrechte, von einem Netzanschluss, an dem dieses Konto arbeiten würde.
Ein angreifbares Dienstkonto
Kerberos-Schwächen, Delegierungen und veraltete Verschlüsselung öffnen den ersten Schritt.
Ein Server mit Administratorspuren
Dort liegen zwischengespeicherte Administratorzugangsdaten, die sich weiterverwenden lassen.
Domänen-Administrator
Die Domäne gehört dem Angreifer: jeder angemeldete Rechner und jeder Dateizugriff.
Härtung schließt den Pfad
Erfahrungsgemäß schließen die ersten drei Maßnahmen den größten Teil der Pfade. Diese Reihenfolge steht im Bericht.
Was den laufenden Betrieb berührt und was nicht
- Angriffspfade werden weitgehend lesend kartiert
- Der Betrieb wird dabei nicht gestört
- Ausgangspunkt ist ein Standardkonto ohne Sonderrechte
- Schritte, die Konten sperren könnten
- Schritte, die Dienste beeinflussen könnten
- Beides kündigen wir vorher an
- Bei Entra ID in Mischform prüfen wir beide Seiten und den Übergang dazwischen.
Was wir prüfen
- Angriffspfade vom Standardkonto zu hochprivilegierten Gruppen, vollständig kartiert
- Kerberos-Schwächen: angreifbare Dienstkonten, Delegierungen, veraltete Verschlüsselung
- Passwortrichtlinien in der Praxis – nicht in der Vorgabe
- Zugangsdaten, die auf Arbeitsplatzrechnern und in Freigaben liegen bleiben
- Gruppenrichtlinien und ihre unbeabsichtigten Nebenwirkungen
- Alte Konten, Vertrauensstellungen und Reste früherer Migrationen
- Absicherung der Domänencontroller und der Verwaltungswege dorthin
Was wir dabei typischerweise finden
Der Pfad in drei Schritten
Standardbenutzer, ein angreifbares Dienstkonto, ein Server mit zwischengespeicherten Administratorzugangsdaten – und die Domäne gehört dem Angreifer. Ein Muster, das wir in fast jedem gewachsenen Netz finden.
Passwörter in Gruppenrichtlinien
Zugangsdaten in Skripten und Richtlinien, die jeder angemeldete Benutzer lesen kann. Oft aus einer Migration, die vor Jahren abgeschlossen wurde.
Administratoren ohne getrennte Konten
Wer mit dem Administratorkonto E-Mails liest, hinterlässt dessen Zugangsdaten auf einem Rechner, der auch Anhänge öffnet.
Was Sie dafür bereitstellen
- Ein gewöhnliches Benutzerkonto ohne Sonderrechte als Ausgangspunkt
- Einen Netzanschluss, von dem aus dieses Konto arbeiten würde
- Die Bereitschaft, den Befund gemeinsam durchzugehen – Härtung im AD betrifft Betriebsabläufe
- Einen aktuellen, geprüften Sicherungsstand der Domänencontroller
Häufige Fragen
Warum ein eigener Test nur für das Active Directory?
Weil hier der Hebel am größten ist. Ein einzelner Angriffspfad zum Domänen-Administrator entwertet fast jede andere Schutzmaßnahme – und umgekehrt bringt seine Beseitigung mehr als zehn behobene Einzelbefunde in Anwendungen.
Wir setzen bereits auf Entra ID – ist das AD dann noch relevant?
In der Regel ja. Die meisten Unternehmen betreiben eine Mischform mit synchronisierten Identitäten. Genau diese Verbindung ist interessant: Wer die lokale Domäne kontrolliert, kann sich unter Umständen auch in der Cloud-Umgebung ausbreiten. Wir prüfen deshalb beide Seiten und den Übergang dazwischen.
Ist der Test riskant für den laufenden Betrieb?
Die Analyse der Angriffspfade erfolgt weitgehend lesend und stört den Betrieb nicht. Schritte, die Konten sperren oder Dienste beeinflussen könnten, kündigen wir an und führen sie nur nach ausdrücklicher Freigabe durch.
Was bekommen wir als Ergebnis?
Neben dem Bericht eine Darstellung der gefundenen Angriffspfade und eine nach Wirkung sortierte Liste von Härtungsschritten. Erfahrungsgemäß schließen die ersten drei Maßnahmen den größten Teil der Pfade – das ist die Reihenfolge, die im Bericht steht.
Kontakt
Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr
Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.