Mobile-Menu

Open Source-Schwachstellenscanner kann Domänencontroller schützen Active Directory mit OpenVAS auf Sicherheitslücken untersuchen

Von Thomas Joos 5 min Lesedauer

Mit OpenVAS können Admins Netzwerkgeräte auf Schwachstellen scannen. Das ist auch bei AD-Domänencontroller sinnvoll. Das Tool lässt sich zum Beispiel auf Ubuntu installieren, steht aber auch in Kali und ParrotOS zur Verfügung.

Mit OpenVAS, dem kostenfreien Greenbone Vulnerability Manager, lassen sich Schwachstellen auf Domänen-Controllern schnell und einfach aufdecken.(Bild: Gary - stock.adobe.com / KI-generiert)
Mit OpenVAS, dem kostenfreien Greenbone Vulnerability Manager, lassen sich Schwachstellen auf Domänen-Controllern schnell und einfach aufdecken.
(Bild: Gary - stock.adobe.com / KI-generiert)

Die Absicherung von Domänencontrollern in einer Active-Directory-Umgebung (AD) ist von entscheidender Bedeutung für die Sicherheit eines Unternehmensnetzwerks. Domänencontroller sind zentrale Knotenpunkte, die die Authentifizierung und Autorisierung von Benutzern und Computern im Netzwerk steuern. Daher ist es essenziell, diese Systeme regelmäßig auf Schwachstellen zu überprüfen. Ein weit verbreitetes Open-Source-Tool für die Schwachstellensuche ist OpenVAS (Open Vulnerability Assessment System).

Vor der eigentlichen Untersuchung muss OpenVAS korrekt konfiguriert werden. Die aktuelle Version von OpenVAS (auch bekannt als Greenbone Vulnerability Manager ) unterstützt eine breite Palette von Protokollen und Diensten, die auf einem Domänencontroller laufen. Es ist notwendig sicherzustellen, dass die NVT-Feeds (Network Vulnerability Tests) von OpenVAS auf dem neuesten Stand sind, um aktuelle Schwachstellen zu erkennen. Um die Umgebung auf den Scan vorzubereiten, ist es zudem notwendig, die Ziel-IP-Adressen oder -Bereiche der Domänencontroller zu erfassen. Darüber hinaus sollte eine gründliche Portscan-Konfiguration in OpenVAS vorgenommen werden, um sicherzustellen, dass alle relevanten Dienste erkannt und untersucht werden.

Bildergalerie
Bildergalerie mit 6 Bildern

Um Domänencontroller in Active Directory auf Schwachstellen zu untersuchen, reicht eine VM mit einer aktuellen Ubuntu-Installation aus. Natürlich lässt sich die Installation auch auf einem anderen System durchführen, auch im WSL von Windows 11 oder Windows Server 2022/2025. Wir gehen nachfolgend von der Installation auf einem Computer mit Ubuntu 24.04 aus. Kommt es bei der Installation von OpenVAS auf Ubuntu 24.04 zu Problemen, hilft oft die Installation auf Ubuntu 22.04.

OpenVAS auf Ubuntu installieren

Die Installation von OpenVAS ist schnell abgeschlossen, nachdem die Linux-Installation aktualisiert wurde. Es ist sinnvoll möglichst die aktuellen Versionen zu nutzen:

sudo apt-get updatesudo apt upgrade -ysudo apt dist-upgrade -ysudo apt install openvas

Die Befehle können mit sudo -s auch direkt in einer Root-Shell erledigt werden. Im Anschluss erfolgt die Einrichtung von OpenVAS mit:

sudo gvm-setup

Hier lädt OpenVAS die aktuelle Liste der Schwachstellen herunter und bereitet das System vor. Im Rahmen der Einrichtung erzeugt der Assistent auch das Kennwort für den Nutzer "admin". Dieses ist später für die Verwaltung notwendig. Nach der Einrichtung lässt sich OpenVAS noch testen:

sudo gvm-check-setup

Wichtig ist, dass hier keine Fehler erscheinen, auch nicht bezüglich des Downloads der Schwachstellen-Listen. Sind diese noch nicht eingebunden, kann dies mit folgenden Befehlen erfolgen:

sudo greenbone-feed-sync --type SCAPsudo greenbone-feed-sync --type CERTsudo greenbone-feed-sync --type GVMD_DATAStarten lassen sich die OpenVAS-Dienste mit:sudo gvm-start

Wichtige Dienste und Ports auf Domänencontrollern

Ein Domänencontroller bietet verschiedene Dienste, die für die Funktion von Active Directory unerlässlich sind. Zu den wichtigsten Diensten und deren Standard-Ports gehören:

  • LDAP (Lightweight Directory Access Protocol): LDAP läuft standardmäßig auf Port 389 (TCP/UDP) für unverschlüsselte Verbindungen und auf Port 636 (TCP) für LDAPS, also LDAP über SSL/TLS.
  • Kerberos: Der Authentifizierungsdienst verwendet Port 88 (TCP/UDP).
  • DNS: Häufig fungiert ein DC auch als DNS-Server, der über Port 53 (TCP/UDP) erreicht wird.
  • SMB (Server Message Block): Wird für die Datei- und Druckerfreigabe sowie für die Kommunikation zwischen Computern im Netzwerk genutzt. Die relevanten Ports sind 445 (TCP) und 137-139 (NetBIOS, TCP/UDP).
  • Global Catalog: Für die standortübergreifende Suche verwendet AD den Global Catalog, der auf Port 3268 (unverschlüsselt, TCP) und 3269 (verschlüsselt, TCP) läuft.
  • RPC (Remote Procedure Call): Verwendet dynamische Ports, typischerweise ab Port 49152, aber Port 135 (TCP/UDP) ist der initiale Endpunkt.

Durchführung eines Scans mit OpenVAS

In OpenVAS wird zuerst das Ziel festgelegt. Dazu gehören die IP-Adressen der Domänencontroller. Es kann sinnvoll sein, eine Gruppe von Zielen zu erstellen, um alle relevanten DCs in einem Scan zusammenzufassen. Der Portscanner in OpenVAS sollte so konfiguriert sein, dass er alle bekannten Ports überprüft, die von einem DC genutzt werden. Dies schließt die oben genannten Ports ein. Es ist sinnvoll, den Scan auf alle 65535 Ports auszudehnen, um mögliche unerwartete Dienste zu identifizieren.

Die Scan-Konfiguration muss angepasst werden, um sicherzustellen, dass alle relevanten NVTs angewendet werden. Dazu gehört unter anderem die Suche nach Schwachstellen in den folgenden Bereichen:

  • Unsichere LDAP-Konfigurationen (z.B. anonymes Binden oder fehlende SSL/TLS-Verschlüsselung)
  • Schwächen in der Kerberos-Konfiguration, wie z.B. schwache Verschlüsselungen
  • Offene und nicht autorisierte RPC-Dienste
  • DNS-Schwachstellen, die Cache Poisoning oder andere Angriffe ermöglichen könnten
  • Unsichere SMB-Konfigurationen, insbesondere hinsichtlich der SMBv1-Protokollnutzung

Nachdem der Scan konfiguriert und gestartet wurde, analysiert OpenVAS die gefundenen Schwachstellen. Es ist entscheidend, die Ergebnisse im Detail zu betrachten und nicht nur auf die Risikobewertungen zu achten. Auch als „Low“ oder „Medium“ eingestufte Schwachstellen können in bestimmten Kontexten kritisch sein, insbesondere wenn sie in Kombination ausgenutzt werden können.

Ein typisches Beispiel aus der Praxis könnte das Auffinden einer unsicheren LDAP-Konfiguration sein. OpenVAS könnte erkennen, dass der DC LDAP auf Port 389 ohne SSL/TLS verwendet. Diese Konfiguration ermöglicht potenziell Man-in-the-Middle-Angriffe, bei denen ein Angreifer vertrauliche Informationen abgreifen kann. Die empfohlene Maßnahme wäre hier, LDAPS auf Port 636 zu erzwingen. Ein weiteres Beispiel ist die Erkennung von schwachen Kerberos-Verschlüsselungen. OpenVAS kann erkennen, dass ein DC eine schwache Verschlüsselung wie RC4 unterstützt. Diese Art der Schwachstelle sollte adressiert werden, indem nur sichere Algorithmen wie AES-256 erlaubt werden.

Scans mit OpenVAS durchführen

Nach dem Aufrufen der Weboberfläche über die Adresse https://<localhost>:9392 lassen sich erste Schwachstellen-Scans mit "Scans -> Tasks" starten. Im Assistenten kann hier ausgewählt werden, welche Netzwerkgeräte untersucht werden sollen. Das erfolgt über einen Klick auf "Task Wizard". Mit "New Task -> Scan Targets" geben Sie die IP-Adressen der Domänencontroller ein, die Sie nach Schwachstellen untersuchen wollen. Die Targets, zum Beispiel alle Domänencontroller, definieren Sie über "Configuration". Sie können bei "Scanner" auswählen, welchen der installierten Scanner OpenVAS für seine Untersuchung verwenden soll. In den meisten Fällen reicht "OpenVAS Default".

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Bei "Scan Config" stehen die Konfigurationen zur Verfügung, die bei "Configuration -> Scan Configs" konfiguriert wurden. Oft ist "Full and fast" als Vorlage ideal. Danach wird der Scanvorgang über "Actions" gestartet und OpenVAS sucht gezielt nach Schwachstellen auf den Servern.

Scans auswerten und Schwachstellen schließen

Nach einem Scanvorgang stehen die Ergebnisse bei "Scans -> Reports" bereit. Es ist auch möglich mehrere Scans parallel durchführen zu lassen. Im Report zeigt das Tool alle bekannten Schwachstellen aus den OpenVAS-Listen und auch Informationen an, wie sich diese schließen lassen.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle bisher auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:50180255)

Weiterführende Inhalte