Was ist Active Directory-Sicherheit? AD-Sicherheit erklärt

Was sind die größten Bedrohungen und Angriffstechniken gegen Active Directory?

Dies sind die größten Bedrohungen und Angriffstechniken gegen Active Directory:

Kontobasierte Angriffe

Kontobasierte Angriffe auf Active Directory (AD) zielen auf Ihre Benutzer und deren Anmeldedaten. So funktionieren die wichtigsten Angriffe:

Golden Ticket (T1558.001)

Golden-Ticket-Angriffe  sind eine Untertechnik von Steal or Forge Kerberos Tickets: Golden Ticket (T1558.001). Sie können ganze Netzwerke kompromittieren und unbefugten Zugriff auf Domänenressourcen verschaffen.

Dabei setzen Angreifer Tools wie Impacket und Mimikatz ein, um der Erkennung zu entgehen, und manipulieren das Kerberos-Authentifizierungsprotokoll in Windows-Netzwerken.

Silver Ticket

Silver-Ticket-Angriffe funktionieren anders. Sie kompromittieren Benutzeranmeldedaten und nutzen die Funktionsweise des Kerberos-Protokolls aus. Angreifer können damit Ticket-Granting-Service-Tickets (TGS) für bestimmte Dienste fälschen. Diese Tickets sind mit einem Passwort-Hash verschlüsselt und können für die betreffenden Dienste erstellt werden. Silver-Ticket-Angriffe verschaffen unauffälligen, dauerhaften Zugriff auf Ressourcen. Dafür benötigen Angreifer lediglich den Passwort-Hash des Dienstkontos.

Dienstkonten mit übermäßigen Berechtigungen

Nicht personenbezogene Konten mit übermäßigen Berechtigungen und Kontrollmöglichkeiten gelten in Active Directory als überprivilegierte Konten. Sie können zu Datenschutzverletzungen, dem Diebstahl von Anmeldedaten und Betriebsstörungen führen.  Ihre Berechtigungen gehen über das hinaus, was im Netzwerk erforderlich ist.

Diebstahl von Anmeldedaten

Bei Angriffen auf Active Directory (AD) stehlen Angreifer Benutzernamen, Passwörter und andere Authentifizierungsdaten. So funktionieren diese Angriffe:

Pass-the-Hash (T1550.002)

Pass-the-Hash (PtH) (MITRE T1550.002) ist eine Technik zur lateralen Bewegung. Dabei stehlen Gegner über ein kompromittiertes System Ihren Passwort-Hash. Mit diesem authentifizieren sie sich auf einem anderen System als legitimer Benutzer.

Pass-the-Ticket (T1550.003)

Bei Pass-the-Ticket (PtT) (MITRE T1550.003) werden gestohlene Kerberos-Tickets wiederverwendet, um unbefugten Zugriff auf Ressourcen in Ihren Netzwerken zu erhalten. Angreifer extrahieren mit Mimikatz TGTs aus dem Arbeitsspeicher Ihres Systems. Anschließend schleusen sie die gestohlenen Tickets in ihre eigenen Sessions ein und geben sich als legitime Benutzer aus, um auf geschützte Dienste zuzugreifen.

Kerberoasting (T1558.003)

Kerberoasting (MITRE T1558.003) ist eine Technik zum Sammeln und Offline-Knacken von Anmeldedaten für Dienstkonten. Jeder authentifizierte Domänenbenutzer kann sie anwenden. Da der Angriff offline erfolgt, können Gegner der Erkennung im Netzwerk und Richtlinien zur Kontosperrung entgehen. Solange SPNs mit Benutzerkonten verknüpft sind, besteht eine Schwachstelle.

AS-REP Roasting

Dieser Angriff auf Anmeldedaten nutzt Fehlkonfigurationen in Ihrem Active Directory aus. Zunächst sucht der Angreifer nach Konten, für die die Einstellung „Keine Kerberos-Vorauthentifizierung erforderlich“ aktiviert ist. Im Namen eines betroffenen Benutzers sendet er eine Authentifizierungsanfrage (AS-REQ) an einen Domänencontroller. Da keine Vorauthentifizierung erforderlich ist, muss er kein Passwort angeben. Als Antwort erhält er eine gültige Authentication Server Response (AS-REP), die ein Ticket-Granting Ticket (TGT) enthält.

Ausnutzung von Verzeichnisdiensten

So können Angreifer Active Directory-Dienste ausnutzen:

DCsync/DCShadow (T1003.006/T1528)

Ein DCSync-Angriff nutzt den Replikationsprozess von AD aus, um Anmeldedaten abzurufen. Der Angreifer kann sich als Domänencontroller ausgeben und einen anderen Controller auffordern, sensible Passwortdaten an ihn zu replizieren.

Bei DCShadow-Angriffen schleusen Angreifer mit zuvor erlangten höheren Berechtigungen bösartige Änderungen ein. Die Technik ermöglicht unauffällige Persistenz: Kompromittierte Systeme können sich im Netzwerk als unbefugte Domänencontroller ausgeben.

Ausnutzung von AD Certificate Services (Angriffspfade ESC1–ESC8)

Bei ESC1-Angriffspfaden nutzen Angreifer Fehlkonfigurationen anfälliger Zertifikatvorlagen aus. Mit Tools wie Certipy können sie solche Vorlagen identifizieren und im Namen von Benutzern Zertifikate anfordern. Mit diesen Zertifikaten authentifizieren sie sich als privilegierte Benutzer und starten weitere Angriffe.

ESC8 (NTLM Relay) nutzt fehlkonfigurierte Webregistrierungsdienste von AD CS aus. Diese verwenden NTLM-Authentifizierung statt HTTP. Durch die Weiterleitung von NTLM-Hashes können Angreifer privilegierte Konten dazu bringen, sich bei bösartigen Diensten zu authentifizieren.

Missbrauch von Vertrauensstellungen und Delegierung

Angreifer können Vertrauensstellungen in Umgebungen mit mehreren Domänen missbrauchen, über die Benutzer auf weitere Ressourcen zugreifen. Sie können ihre Berechtigungen in vertrauenswürdigen Domänen ausweiten und Systeme mit uneingeschränkter Delegierung kompromittieren.  Eine weitere Möglichkeit ist die ressourcenbasierte eingeschränkte Delegierung (RBCD). Dabei nutzen sie fehlkonfigurierte Dienste auf Systemen, um ihre Berechtigungen auszuweiten.

Replikationsangriffe

Angreifer können die Replikationsdienste von Active Directory ausnutzen, um bösartige Änderungen einzuschleusen und Anmeldedaten zu stehlen. So funktionieren Replikationsangriffe:

• Unbefugte Replikationsanfragen (DCsync): Dabei gibt sich ein Angreifer als Domänencontroller (DC) aus und fordert sensible Daten an.
• Gefälschter Domänencontroller (DCShadow): Bei dieser schwer erkennbaren Technik registriert der Angreifer einen unbefugten DC. Dieser schleust bösartige Änderungen über die reguläre Replikation in das Verzeichnis ein.
• Persistenz durch Missbrauch von AdminSDHolder/ACL: Über ein kompromittiertes privilegiertes Konto verschafft sich der Angreifer dauerhaften Zugriff. Dazu ändert er die Berechtigungen des AdminSDHolder-Objekts. Manuelle Änderungen an den Berechtigungen geschützter Gruppen werden dadurch ebenfalls automatisch zurückgesetzt.

Active Directory härten: Best Practices und Checkliste

Hier finden Sie Ihre Checkliste zur Härtung der Active Directory-Sicherheit. Sie enthält außerdem Best Practices für die Active Directory-Sicherheit, die Sie umsetzen können:

• Beschränken Sie den Zugriff auf Administratorkonten durch Privileged Access Management. Entfernen Sie unnötige Berechtigungen und setzen Sie das Prinzip der minimalen Rechte um. Prüfen Sie Konten regelmäßig, um die unkontrollierte Verbreitung von Anmeldedaten in Ihrer Domänenumgebung zu verhindern.
• Jump-Server bieten kontrollierte Zugangspunkte und verhindern bei möglichen Sicherheitsverletzungen laterale Bewegungen. Trennen Sie reguläre Nutzer und Aufgaben der Domänenverwaltung durch Netzwerksegmentierung. Sichern Sie Ihre Admin-Workstations ab und setzen Sie ein Stufenmodell für Administratorrechte um.
• Aktivieren Sie LDAP-Signierung, um Man-in-the-Middle-Angriffe zu verhindern. Channel Binding unterbindet Credential-Relay-Versuche gegen Ihre Verzeichnisdienste.
• Legen Sie strenge Passwortrichtlinien und eine automatisierte Passwortrotation für Dienstkonten fest, um die Angriffsfläche zu reduzieren. Ändern Sie Passwörter regelmäßig und verwenden Sie für jedes Konto ein eigenes Passwort. So erschweren Sie Gegnern Angriffe mit Zugangsdaten.
• Härten Sie Zertifikatdienste mit geeigneten Vorlagen und Kontrollen für die Zertifikatregistrierung. Konfigurieren Sie Federation-Vertrauensstellungen sorgfältig, um domänenübergreifende Rechteausweitung und unbefugte Zugriffe auf Ressourcen zu verhindern.
• Prüfen Sie Workstations, Anwendungen, Mitgliedsserver und Datenrepositorys auf übermäßige Berechtigungen für Benutzerkonten. Nutzen Sie sichere Admin-Hosts und prüfen Sie neben der System- und Netzwerksicherheit auch deren physische Sicherheit.
• Legen Sie Sicherheitskonfigurations-Baselines für Ihre Domänencontroller fest und setzen Sie diese mit Gruppenrichtlinienobjekten (GPOs) durch.  Nutzen Sie erweiterte Überwachungsrichtlinien und klassifizieren Sie Ihre AD-Daten.

Active Directory-Angriffe erkennen: Überwachung und Signale zur Bedrohungserkennung

In Active Directory-Umgebungen gibt es zahlreiche Signale, mit denen Sie Angriffe erkennen und stoppen können. Achten Sie auf Folgendes:

Protokolle und Telemetrie

Erfassen Sie Ereignisprotokolle von Domänencontrollern. Prüfen Sie Kerberos-Ticketanfragen und Diagnoseberichte der Domänencontroller auf ungewöhnliche Muster. Achten Sie auf sprunghaft steigende Anfragen nach Ticket‐Granting-Tickets oder wiederholte fehlgeschlagene Authentifizierungen von einem einzelnen Host. Korrelieren Sie Telemetriedaten verschiedener Dienste, um Aufklärungsversuche oder Berechtigungsmissbrauch zu erkennen.

Tools/Analysen

Nutzen Sie Tools zur Darstellung von Angriffspfaden und Systeme zur Anomalieerkennung, um den Weg von Zugangsdaten durch Ihr Netzwerk sichtbar zu machen. Plattformen zur Netzwerküberwachung erfassen Ost-West-Datenverkehr und erkennen ungewöhnliche SMB- oder RPC-Aufrufe. So decken sie verborgene laterale Bewegungen auf.

Kompromittierungsindikatoren

Achten Sie auf SPNs auf unerwarteten Hosts, mehrfach verwendete Kerberos-Tickets für verschiedene Konten und plötzliche Änderungen an Gruppen. Markieren Sie Konten, deren Zugriffsrechte sich ohne genehmigten Prozess ändern, sowie Tickets, die außerhalb der üblichen Geschäftszeiten ausgestellt werden.

Auf eine Active Directory-Sicherheitsverletzung reagieren und Systeme wiederherstellen

Unbeachtete Bedrohungen für Active Directory können Ihrem Unternehmen erheblich schaden. So reagieren Sie auf eine Active Directory-Sicherheitsverletzung und stellen Ihre Systeme wieder her:

Isolieren Sie kompromittierte Konten sofort, um weiteren Schaden zu verhindern. Widerrufen Sie Tickets und setzen Sie Passwortbeschränkungen während der forensischen Analyse zurück. Sichern Sie alle gefundenen Beweise für weitere Untersuchungen und die Planung der Wiederherstellung.

Stellen Sie auch Ihre Systeme wieder her. Erstellen Sie saubere Backups und konzentrieren Sie sich auf die Wiederherstellung der NTDS-Datenbank. Eine forensische Analyse identifiziert Active Directory-Angriffstechniken, Angriffsvektoren und kompromittierte Systeme, bevor Sie Dienste sicher wieder in Betrieb nehmen.

Nutzen Sie die Erkenntnisse aus der Sicherheitsverletzung, um Ihre Systeme nach dem Vorfall zu härten. Passen Sie Konfigurationen an und weiten Sie die Überwachung aus. So verhindern Sie ähnliche Angriffe und verbessern die Sicherheitslage und Erkennungsfähigkeiten Ihres Unternehmens.

Welche Tools und Technologien stärken die Sicherheit von Active Directory?

Diese Tools und Technologien stärken die Sicherheit Ihres Active Directory:

Technologien für SIEM/EDR und die Erkennung identitätsbezogener Bedrohungen

Systeme für das Management von Sicherheitsinformationen und -ereignissen erfassen Authentifizierungsprotokolle von Domänencontrollern und analysieren Verhaltensmuster auf Anzeichen verdächtiger Aktivitäten wie den Diebstahl von Zugangsdaten oder die Ausweitung von Berechtigungen. Endpoint Detection and Response-Systeme prüfen Workstations proaktiv auf Malware-Infektionen und Versuche, sich lateral auszubreiten, während Systeme zur Erkennung identitätsbezogener Bedrohungen Authentifizierungsanomalien in Ihrer hybriden Umgebung analysieren. Diese Systeme korrelieren Ereignisse aus mehreren Quellen miteinander, um Anzeichen für Advanced Persistent Threats zu erkennen.

Software zur Verwaltung von Cyberangriffspfaden + Identitäts-/Berechtigungsverwaltung

Privileged-Access-Management-Software schützt Administrator-Anmeldedaten in verschlüsselten Vaults und gewährt zeitlich begrenzten Zugriff über automatisierte Genehmigungsprozesse. Diese Plattformen modellieren potenzielle Angriffsflächen in Ihrer Umgebung und setzen das Least-Privilege-Prinzip durch, indem sie Passwörter von Servicekonten automatisch rotieren. Produkte wie SentinelOne Singularity™ Identity Detection & Response verhindern zudem die unkontrollierte Verbreitung von Anmeldedaten: Sie verwalten privilegierte Konten und überwachen Sitzungsaktivitäten in Echtzeit.

Überwachung, Automatisierung und  Threat Hunting

Kontrollen zur Änderungsüberwachung erfassen Änderungen an Active Directory-Objekten, Gruppenmitgliedschaften und Berechtigungen und melden sie in Echtzeit. Automatisierte Systeme erkennen Konfigurationsabweichungen, identifizieren inaktive Konten und weisen auf ungewöhnliche Authentifizierungsmuster hin, die auf eine Kompromittierung hindeuten können. Threat-Hunting-Technologien verknüpfen Identitätssignale mit Netzwerk- und Endpunktdaten, um fortgeschrittene Bedrohungen zu erkennen, die herkömmliche Sicherheitskontrollen umgehen.

Häufige Fehler und Fehlkonfigurationen gefährden Active Directory

Häufige Fehler und Fehlkonfigurationen gefährden die Sicherheit von Active Directory. Dazu zählen ungeschütztes LDAP, schwache Passwörter, zu viele Mitglieder in privilegierten Gruppen, falsch konfigurierte Vertrauensstellungen und inaktive Konten.

Viele Unternehmen lassen LDAP-Kanäle unsigniert. Dadurch entstehen bei Authentifizierungsprozessen Möglichkeiten, Anmeldedaten abzufangen und Relay-Angriffe durchzuführen. Schwache Passwortrichtlinien und zu viele Mitglieder in Domain Admins-Gruppen vergrößern die Angriffsfläche unnötig. Fehlkonfigurierte Vertrauensstellungen zwischen Domänen begünstigen die Ausweitung von Berechtigungen. Inaktive Konten schaffen dauerhafte Hintertüren, die von den üblichen Überwachungssystemen nicht erkannt werden. Ohne regelmäßige Überprüfung erhalten Dienstkonten häufig übermäßige Berechtigungen.

Neue Entwicklungen und Risiken für die Sicherheit von Active Directory

Achten Sie auf Folgendes:

Integrationsrisiken bei hybridem AD und Azure AD

Hybride Cloud-Bereitstellungen schaffen neue Angriffsflächen. Gegner nutzen Synchronisierungslücken zwischen lokalen und cloudbasierten Identitätsinfrastrukturen aus. Unzureichend konfigurierte Bereitstellungen von Azure AD Connect und ADFS-Federation-Vertrauensstellungen eröffnen Möglichkeiten zur Rechteausweitung in beiden Infrastrukturen. Angreifer nutzen Identitätssynchronisierungsdienste, um lokale und cloudbasierte Zugangsdaten gleichzeitig anzugreifen.

Bedrohungen für Cloud-Identitäten, Lieferkettenangriffe und KI-gestützte Gegnertaktiken

Fortgeschrittene Cyberbedrohungen nutzen Algorithmen des maschinellen Lernens, um Listen gestohlener Zugangsdaten zu prüfen. So automatisieren sie ausgefeilte Angriffsmethoden wie Password Spraying und Credential Stuffing. Angriffe auf die Lieferkette richten sich zunehmend gegen Identitätsadministratoren und Zertifizierungsstellen. Zugleich greifen Gegner Cloud-Dienstprinzipale und Anwendungsidentitäten mit übermäßigen Berechtigungen an.

Änderungen bei Richtlinien und Governance sowie regulatorischer Druck

Compliance-Standards verlangen heute, dauerhaft vergebene Berechtigungen abzuschaffen und Identitäten kontinuierlich zu überwachen. Jede privilegierte Aktivität muss vollständig protokolliert werden. Unternehmen müssen Just-in-Time-Zugriffsmodelle mit Funktionstrennung und automatisierten Zugriffsprüfungen umsetzen. Neue gesetzliche Vorgaben fördern Identitäts-Governance-Technologien, die risikobasierte Authentifizierung und eine kontinuierliche Überprüfung der Compliance vorschreiben.

Kennzahlen und KPIs zur Sicherheit von Active Directory, die Sie verfolgen sollten

Verfolgen Sie diese wichtigen Sicherheitskennzahlen und KPIs für Active Directory:

• Mittlere Erkennungszeit: Messen Sie, wie schnell Ihr Sicherheitsteam potenzielle Bedrohungen von der ersten Kompromittierung bis zur Erkennung entdeckt. Der optimale Zeitraum für die Erkennung liegt zwischen 30 Minuten und 4 Stunden.
• Mittlere Reaktionszeit: Sie misst die Zeit von der Bedrohungserkennung bis zur vollständigen Eindämmung und Behebung. Beide Kennzahlen zeigen, wie ausgereift Ihre Prozesse zur Reaktion auf Sicherheitsvorfälle sind und wie gut Ihre Erkennung Domänencontroller und Authentifizierungssysteme abdeckt.
• Exposition privilegierter Konten: Behalten Sie die Gesamtzahl der Konten mit privilegierten Administratorrechten in Ihrer Domäne im Blick. Überwachen Sie dazu Änderungen an der Mitgliedschaft in Hochrisikogruppen wie Domain Admins und Enterprise Admins.  Erfassen Sie außerdem ungenutzte privilegierte Konten, auf die innerhalb eines bestimmten Zeitraums nicht zugegriffen wurde, fehlgeschlagene Anmeldeversuche bei Administratorkonten, die Dauer privilegierter Sessions und Hinweise auf die Nutzung privilegierter Konten außerhalb der Geschäftszeiten.
• Nutzung veralteter Protokolle: Überwachen Sie Authentifizierungsversuche mit veralteten Protokollen wie NTLM, unsigniertem LDAP und älteren TLS-Versionen, die Credential-Relay-Angriffe ermöglichen..
• Abdeckung durch die Protokollierung: Erfassen Sie die Anzahl der Domänencontroller, auf denen die vollständige Protokollierung von Authentifizierungsereignissen, Berechtigungsänderungen und Richtlinienanpassungen aktiviert ist. Identifizieren Sie Lücken bei der Erfassung und Aufbewahrung von Protokollen in Ihrer AD-Infrastruktur, um blinde Flecken zu vermeiden.
• Anzahl inaktiver Konten: Prüfen Sie Benutzer- und Computerkonten, die sich innerhalb festgelegter Zeiträume nicht authentifiziert haben. Üblich sind 90 Tage für Benutzer und 30 Tage für Computer. Überwachen Sie Bereinigungsmaßnahmen und das Verhältnis aktiver zu inaktiven Konten in Ihrer Domänenumgebung.

Active Directory-Sicherheit mit SentinelOne

Wenn Sie wissen möchten, wie Sie Active Directory absichern, ist dies ein möglicher Ansatz:

Singularity™ Identity Detection & Response schützt vor dem Missbrauch von Anmeldedaten. Dazu sichert es die Active Directory-Infrastruktur in Echtzeit und schützt Active Directory und Entra ID. Es verteidigt Domänencontroller und in die Domäne eingebundene Systeme gegen Angreifer, die höhere Berechtigungen erlangen und sich unbemerkt bewegen wollen.

Erkennen Sie unternehmensweit AD-Angriffe, die von verwalteten oder nicht verwalteten Systemen ausgehen – unabhängig von Betriebssystem und Gerätetyp, einschließlich IoT und OT. Lenken Sie Angreifer von besonders wertvollen AD-Ressourcen ab und führen Sie sie mit Ködern und falschen Informationen in Sackgassen. Die Plattform verbirgt lokal und in der Cloud gespeicherte Daten, verweigert den Zugriff darauf und erschwert Angreifern zugleich die laterale Bewegung erheblich.

Sie können:

• die Sicherheit von Active Directory verbessern und Angreiferaktivitäten gegen kritische Domänenserver erkennen und nachvollziehen
• Kompromittierungen von Dienstkonten erkennen, über die Angreifer ihre Berechtigungen auf Endpunkten ausweiten.
• Fehlkonfigurationen von Zugriffssteuerungslisten und Delegierungen identifizieren, die Konten ohne entsprechende Mitgliedschaft erhöhte Berechtigungen gewähren.
• besonders wichtige Benutzer-, Dienst- und Systemkonten vor einer Kompromittierung durch Angreifer schützen.
• schnell einen Mehrwert erzielen und Active Directory vor Ort, Entra ID und Multi-Cloud-Umgebungen vollständig abdecken

Singularity™ Identity Detection & Response unterstützt Ihr Zero-Trust-Programm und begrenzt implizites Vertrauen durch kontrollierte Zugriffsverwaltung für Anwendungen und Datenressourcen. Es erkennt Sicherheitsrisiken für Identitäten auf Endpunkten, in AD und in der Cloud und reduziert so Ihre gesamte Angriffsfläche. Zudem erkennt es identitätsbezogene Angriffe über Endpunkte oder Domänencontroller und meldet Verstöße gegen Vertrauensregeln für Identitäten.

Sie erkennen die möglichen Wege zu einer Sicherheitsverletzung. Topologische Karten zeigen Ihnen, wie Gegner ihre Angriffe von einem System zum nächsten ausweiten könnten. Damit decken Sie verborgene Elemente im Netzwerk auf, die laterale Bewegung begünstigen: exponierte Angriffsflächen, verwaiste Anmeldedaten und Richtlinienverstöße. Nutzen Sie unser AI-SIEM  für die Protokollanalyse. SentinelOne bietet außerdem Singularity™ Endpoint für die Sicherheit Ihrer Endpunkte.

Verringern Sie das Identitätsrisiko in Ihrer gesamten Organisation

Erkennen und reagieren Sie auf Angriffe in Echtzeit mit ganzheitlichen Lösungen für Active Directory und Entra ID.

Demo anfordern

Fazit

Für die Sicherheit von Active Directory gibt es keinen universellen Ansatz. Sie erfordert eine Kombination aus Maßnahmen, Werkzeugen, Technologien und Verfahren zur Härtung von Active Directory-Umgebungen. Gehen Sie Schritt für Schritt vor und beginnen Sie mit den Grundlagen. Prüfen Sie Ihre bestehende Sicherheitsinfrastruktur und Ihre Benutzerkonten und führen Sie ein Audit durch. Darauf können Sie aufbauen.

Wenn Sie nach den besten Werkzeugen für die Sicherheit von Active Directory suchen, wenden Sie sich an das SentinelOne-Team. Wir unterstützen Sie mit unseren Services.