Active Directory-Änderungsüberprüfung & Rollback

Mit Active Directory Auditing überwachen Sie AD auf Schwachstellen und häufige Konfigurations- und Verwaltungsfehler, die zu einer Kompromittierung der Sicherheit führen können. In vielen Unternehmen entstehen im Laufe der Zeit veraltete AD-Umgebungen mit Dutzenden oder Hunderten von Fehlkonfigurationen. Aufgrund begrenzter Ressourcen und mangelnder AD-Kenntnisse der Mitarbeiter wird die kontinuierliche Überprüfung von AD und Azure AD auf Sicherheitslücken oft außer Acht gelassen. Cyberkriminelle wissen, dass viele gängige AD-Sicherheitslücken nicht behoben werden. Daher ist AD das Ziel Nummer 1 für Cyberangriffe: Laut Forschern von Mandiant betreffen 9 von 10 aller Angriffe AD in irgendeiner Form. Um die AD-Sicherheitsschwachstellen in Ihrem Unternehmen zu verstehen, laden Sie Purple Knight herunter. Mit diesem kostenlosen AD-Sicherheitsbewertungstool, das die AD-Umgebung auf Hunderte von Gefährdungsindikatoren (Indicators of Exposure, IOEs) und Kompromottierungsindikatoren (Indicators of Compromise, IOCs) durchsucht erhalten Sie eine Gesamtsicherheitsbewertung und von AD-Sicherheitsexperten empfohlene priorisierte Abhilfemaßnahmen.

Das Überwachen von Gruppenrichtlinienänderungen ist ein wichtiger Bestandteil der Härtung der Active Directory-Sicherheit und stellt eine Herausforderung dar, da herkömmliche ereignisbasierte Überwachungslösungen in der Regel keine Details zu Änderungen innerhalb einer Gruppenrichtlinie enthalten. Ein Beispiel, Wenn ein Angreifer eine bösartige Änderung mit Ryuk Ransomware, wird das einzige Signal sein dass ein Konto mit Zugriff auf die Gruppenrichtlinie eine Änderung vorgenommen hat, was wahrscheinlich keinen Alarm auslösen wird. Um bösartige Änderungen an Gruppenrichtlinien zu erkennen, benötigen Sie eine Lösung, die mehrere Datenquellen, einschließlich des AD-Replikationsstroms, nutzt, um zusätzlichen Kontext zu erhalten, der auf einen potenziellen Angriff hinweist. Um ein Verständnis der Sicherheitslücken in Ihrem AD im Zusammenhang mit Fehlkonfigurationen der Gruppenrichtlinien zu erlangen, laden Sie Purple Knight herunter, ein kostenloses AD-Sicherheitsbewertungstool, das die AD-Umgebung auf Hunderte von Indicators of Exposure (IOEs) und Kompromittierungen (IOCs) scannt. Purple Knight scannt auf verschiedene Fehlkonfigurationen der Gruppenrichtlinien, einschließlich Änderungen der ausführbaren SYSVOL-Datei, GPO-Verknüpfungsdelegierung auf AD-Standortebene und umkehrbare Passwörter in GPOs.

Um Änderungen in Active Directory zu verfolgen, müssen Sie die AD-Umgebung kontinuierlich auf Gefährdungsindikatoren (Indicators of Exposure, IOEs) und Kompromittierungsindikatoren (Indicators of Compromise, IOCs) im Zusammenhang mit der Sicherheit von Active Directory-Konten, AD-Delegierung, Gruppenrichtlinien, Kerberos, Azure AD-Sicherheit und AD-Infrastruktur-Sicherheit überwachen. Ransomware-Gruppen entwickeln ständig neue Methoden, um AD zu kompromittieren, das für 90 % der Unternehmen weltweit der primäre Identitätsspeicher ist. Mit privilegiertem Zugriff auf AD können Cyberkriminelle auf das gesamte Netzwerk zugreifen und so den Geschäftsbetrieb zum Erliegen bringen. Für eine Momentaufnahme von AD-Sicherheitslückenladen Sie Purple Knight herunter. Dieses kostenlose Tool zur Bewertung der AD-Sicherheit überprüft die AD-Umgebung auf Hunderte von IOEs and IOCs und stellt eine Gesamtsicherheitsbewertung sowie von AD-Sicherheitsexperten empfohlene priorisierte Abhilfemaßnahmen bereit. Um Änderungen in AD und Azure AD kontinuierlich zu verfolgen, schauen Sie sich Directory Services Protector an. Mit dieser Lösung zur Erkennung und Überwachung von AD-Bedrohungen können Sie Änderungen in AD und Azure AD verfolgen und ein automatisches Rollback böswilliger AD-Änderungen durchführen.

Sie können das kostenlose AD-Sicherheitsbewertungstool verwenden Purple Knight verwenden, um Ihre Azure AD-Umgebung auf verschiedene IOEs und IOCs zu scannen, einschließlich inaktiver Gastkonten, falsch konfigurierter Richtlinien für bedingten Zugriff und privilegierter Benutzer in Azure AD, die auch privilegierte Benutzer in On-Prem AD sind, was zu einer Gefährdung beider Umgebungen führen kann. Sie können Directory Services Protector verwenden, um Azure AD-Änderungen in Echtzeit zu verfolgen. Weitere Informationen finden Sie unter "5 neue Möglichkeiten zur Sicherung von AD und Azure AD".

DCShadow ist eine der wenigen Arten von Angriffen, die keine Spuren hinterlassen. Beweise von bösartige Aktivitäten hinterlassen, so dass sie mit herkömmlichen ereignis- oder protokollbasierten Systemen nur schwer zu erkennen sind. Diese Angriffstechnik umgeht die traditionelle SIEM-basierte Protokollierung. Stattdessen werden die Änderungen direkt in den Replikationsstrom der Produktions-Domänencontroller eingespeist. Um sich vor Angriffen zu schützen, die die herkömmliche Überwachung umgehen, benötigen Unternehmen Lösungen, die mehrere Datenquellen nutzen, darunter auch den AD-Replikationsstrom. Für eine umfassende Erkennung von und Reaktion auf AD-Bedrohungen, einschließlich der Möglichkeit, AD auf Angriffe zu überprüfen, die SIEMs und andere herkömmliche Überwachungstools umgehen, sehen Sie sich Directory Services Protector.