Mobile-Menu

Überwachungsrichtlinien in Active Directory implementieren Defender for Identity mit der PowerShell verwalten

Von Thomas Joos 5 min Lesedauer

Anbieter zum Thema

Microsoft Deutschland GmbH

Mit Gruppenrichtlinien lassen sich Aktionen auf und mit Domänencontroller überwachen. Dazu sind keine zusätzlichen Tools notwendig. Alles, was dazu notwendig ist, bringen Windows Server mit. Der Beitrag zeigt die Möglichkeiten und Vorgehensweisen dazu.

Die PowerShell bietet Administratoren eine flexible Möglichkeit, die Überwachungsrichtlinien für Defender for Identity effizient zu verwalten und sicherzustellen, dass alle sicherheitsrelevanten Ereignisse im Active Directory erfasst werden. (Bild: Vittaya_25 - stock.adobe.com)
Die PowerShell bietet Administratoren eine flexible Möglichkeit, die Überwachungsrichtlinien für Defender for Identity effizient zu verwalten und sicherzustellen, dass alle sicherheitsrelevanten Ereignisse im Active Directory erfasst werden.
(Bild: Vittaya_25 - stock.adobe.com)

Um Domänencontroller mit Richtlinien zu steuern, steht zunächst die Default Domain Controller Policy zur Verfügung, die auf den Container "Domain Controllers" gebunden ist. Alle Einstellungen in dieser Richtlinie werden automatisch auf die Domänencontroller angewendet. Generell ist es aber sinnvoll, bei manuellen Änderungen eine eigene Richtlinie zu erstellen und diese ebenfalls an den Container "Domain Controllers" zu binden. Dadurch ist sichergestellt, dass die Standardeinstellungen erhalten bleiben und eigene Einstellungen sich leichter finden und bei Problemen wieder entfernen lassen.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

Domänencontroller-Überwachung mit Richtlinien steuern

In den Gruppenrichtlinien sind die Einstellungen für Domänencontroller bei "Computerkonfiguration -> Richtlinien -> Windows-Einstellungen -> Sicherheitseinstellungen -> Erweiterte Überwachungsrichtlinienkonfiguration" zu finden. An dieser Stelle stehen bei "Überwachungsrichtlinien" zahlreiche Ordner und Einstellungen bereit, mit denen sich Domänencontroller, aber auch andere Server überwachen lassen.

Bildergalerie
Bildergalerie mit 5 Bildern

Die Einstellungen an dieser Stelle umfassen zum Beispiel das Verwalten von Gruppen, Computern und Benutzern. Durch die Aktivierung dieser Bereiche lassen sich Informationen in die Ereignisanzeigen integrieren, wenn Admins Benutzer, Gruppen oder Computer im AD hinzufügen, anpassen oder löschen. Die Einträge sind über die Ereignisanzeigen verfügbar. Die Einstellungen dazu sind bei "Kontenverwaltung" zu finden. Über "DS-Zugriffe" lassen sich wiederum die Replikation und deren Verwaltung ebenfalls in der Ereignisanzeige überwachen.

An- und Abmeldungen überwachen, auch auf Domänencontrollern

Über den Bereich "Anmeldungen/Abmeldungen" können Admins Anmeldungen von Benutzern überwachen sowie das Sperren von Konten konfigurieren, wenn Benutzer zu oft falsche Kennwörter eingeben. Das generelle Abmelden und Anmelden von Benutzern an Active Directory und auf Domänencontrollern lässt sich mit "Anmelden überwachen" bei "Anmelden/Abmelden" steuern.

Ebenfalls interessant ist in diesem Zusammenhang der Bereich "Richtlinienänderung". Hier lässt sich auch das Anpassen der Überwachungsrichtlinie überwachen. Viele der Richtlinien ermöglichen das Unterscheiden zwischen erfolgreichen und erfolglosen Änderungsversuchen. Viele erfolglose Änderungsversuche lassen darauf schließen, dass Angreifer ohne Berechtigungen versuchen, Änderungen durchzuführen.

Umsetzung der Überwachung überprüfen

In der Befehlszeile ist es möglich, zu überprüfen, welche Bereiche der Überwachungsrichtlinien auf Servern umgesetzt werden. Dazu kann zum Beispiel der folgende Befehl genutzt werden:

auditpol.exe /get /category:*

Dieser Befehl listet alle Audit-Kategorien und deren Status (Erfolg, Fehlschlag, keine Überwachung) auf. Typische Kategorien sind "Logon/Logoff", "Account Logon Events" und "Directory Service Access". Falls erforderlich, lassen sich die Audit-Richtlinien auf die Standardwerte zurücksetzen:

auditpol.exe /clear /y

Der Parameter /y bestätigt die Aktion automatisch, ohne eine weitere Eingabeaufforderung. Zur Dokumentation oder zum Vergleich von Einstellungen zwischen verschiedenen Domänencontrollern können die aktuellen Richtlinien exportiert werden:

auditpol.exe /get /category:* > C:\AuditRichtlinien.txt

Diese Datei kann später mit Tools wie fc.exe verglichen werden:

fc.exe C:\AuditRichtlinien_Alt.txt C:\AuditRichtlinien_Neu.txt

Das Tool auditpol.exe ist Bestandteil aller Windows-Versionen, auch Windows Server 2022/2025. Während über Gruppenrichtlinien (GPOs) allgemeine Einstellungen vorgenommen werden, erlaubt auditpol.exe eine präzisere Steuerung direkt auf den Domänencontrollern. Mit dem Befehl:

AuditPol <Befehl> /?

werden Details zu jedem verfügbaren Befehl angezeigt. Die wichtigsten Befehle umfassen:

  • /get: Zeigt die aktuelle Überwachungsrichtlinie an.
  • /set: Legt die Überwachungsrichtlinie fest.
  • /list: Zeigt die auswählbaren Elemente der Richtlinie an.
  • /backup: Speichert Überwachungsrichtlinien in einer Datei.
  • /restore: Stellt eine Überwachungsrichtlinie aus einer Datei wieder her.
  • /clear: Löscht die Überwachungsrichtlinie.
  • /remove: Entfernt die Einzelbenutzer-Überwachungsrichtlinie für einen angegebenen Benutzer.
  • /resourceSACL: Konfiguriert SACLs für globale Ressourcen.

Erweiterte Anwendungsfälle von auditpol.exe

Mit auditpol.exe lassen sich erweiterte Anwendungsfälle umsetzen, die eine präzise und benutzerspezifische Überwachung ermöglichen. So kann beispielsweise die Überwachung für einzelne Benutzer konfiguriert werden, indem der Befehl

auditpol /set /user:domain\user /category:"System" /success:enable /include

verwendet wird. Dieser Befehl sorgt dafür, dass erfolgreiche Systemereignisse für den angegebenen Benutzer protokolliert werden, selbst wenn die allgemeinen Systemrichtlinien dies nicht vorsehen.

Darüber hinaus besteht die Möglichkeit, spezifische Unterkategorien der Überwachung gezielt zu deaktivieren. Dies wird mit dem Befehl

auditpol /set /subcategory:{0cce9212-69ae-11d9-bed3-505054503030} /failure:disable

erreicht. Hierbei wird die Fehlerüberwachung für die angegebene Unterkategorie ausgeschaltet, was nützlich sein kann, um das Protokollaufkommen zu reduzieren oder unnötige Einträge zu vermeiden.

Für sicherheitskritische Umgebungen kann es erforderlich sein, dass das System bei einem Ausfall der Audit-Protokollierung automatisch abstürzt. Dies wird durch den Befehl

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung
auditpol /set /option:CrashOnAuditFail /value:enable

konfiguriert. Diese Option stellt sicher, dass keine sicherheitsrelevanten Ereignisse verloren gehen, da das System bei Problemen mit der Protokollierung sofort heruntergefahren wird.

Schließlich ermöglicht auditpol.exe auch das Festlegen von Sicherheitsbeschreibungen für die Delegierung des Zugriffs auf Überwachungsrichtlinien. Der Befehl

auditpol /set /sd:D:(A;;DCSWRPDTRC;;;BA)(A;;DCSWRPDTRC;;;SY)

definiert dabei die entsprechenden Zugriffsrechte mithilfe von SDDL (Security Descriptor Definition Language). Diese granularen Steuerungsmöglichkeiten machen auditpol.exe zu einem äußerst flexiblen Werkzeug für die Sicherung von Active Directory-Umgebungen.

Erweiterte Überwachungsrichtlinien mit PowerShell für Defender for Identity konfigurieren

Zur Konfiguration der erweiterten Überwachungsrichtlinien dient der Befehl Set-MDIConfiguration wenn Defender for Identity im Einsatz ist. Der Parameter -Mode definiert, ob die Konfiguration im Domain-Modus (über Gruppenrichtlinienobjekte) oder im LocalMachine-Modus (lokal auf dem Rechner) erfolgt. Mit -Configuration wird festgelegt, welche Richtlinien aktiviert werden sollen. Die Option All aktiviert sämtliche verfügbaren Überwachungsrichtlinien. Weitere Parameter wie -CreateGpoDisabled oder -SkipGpoLink erlauben zusätzliche Anpassungen, etwa das Erstellen von Gruppenrichtlinienobjekten im deaktivierten Zustand oder das Überspringen von GPO-Links. Mit -Force wird die Konfiguration unabhängig vom aktuellen Zustand durchgesetzt.

Ein Beispiel für die Anwendung lautet:

Set-MDIConfiguration -Mode Domain -Configuration All -Force

Zur Überprüfung der aktuellen Einstellungen kann der Befehl Get-MDIConfiguration verwendet werden. Auch hier wird über den Parameter -Mode festgelegt, ob die Abfrage auf Domänenebene oder lokal durchgeführt wird. Die Option -Configuration All zeigt alle vorhandenen Konfigurationen an:

Get-MDIConfiguration -Mode Domain -Configuration All

Um zu testen, ob die Überwachungsrichtlinien korrekt konfiguriert sind, steht der Befehl Test-MDIConfiguration zur Verfügung. Dieser liefert als Ergebnis true oder false, je nachdem, ob die Einstellungen den Anforderungen entsprechen:

Test-MDIConfiguration -Mode Domain -Configuration All

Die Kombination dieser PowerShell-Befehle bietet Administratoren eine flexible Möglichkeit, die Überwachungsrichtlinien für Defender for Identity effizient zu verwalten und sicherzustellen, dass alle sicherheitsrelevanten Ereignisse im Active Directory erfasst werden.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:50397999)

Weiterführende Inhalte