Sicherheitslücken in Active Directory finden Diese Tools sorgen für mehr AD-Sicherheit

Anbieter zum Thema

ALE Deutschland GmbH

Verwenden Unternehmen Active Directory, sollte regelmäßig überprüft werden, ob die verschiedenen Bereiche korrekt konfiguriert sind und keine Sicherheitslücken aufweisen. Wir stellen einige Tools vor, mit denen sich die Sicherheit in Active-Directory-Umgebungen überprüfen und verbessern lässt.

Auch mit kostenlosen Tools lassen sich Sicherheitslücken und Probleme in Active Directory recht schnell finden und beheben. Werden mehrere Werkzeuge miteinander kombiniert, lassen sich Sicherheitslücken meist sogar noch schneller identifizieren und meist auch beheben.

Bildergalerie

Bildergalerie mit 6 Bildern

Berechtigungen auslesen mit SolarWinds Permission Analyzer for Active Directory

Mit dem SolarWinds Permission Analyzer for Active Directory können Berechtigungen für Benutzer effektiv ausgelesen werden. Es müssen dazu nur ein Benutzername oder der Name einer Gruppe und ein Verzeichnis oder eine Freigabe ausgewählt werden. Danach werden die effektiven Berechtigungen für diesen Benutzer und den gewählten Ort angezeigt (siehe Abbildung 1).

Wird nur ein Teil des Namens eingegeben, zeigt SolarWinds Permission Analyzer for Active Directory alle vorhandenen Gruppen oder Benutzer an, und es kann der passende Benutzer ausgewählt werden. Danach scannt das Tool das Verzeichnis und zeigt Berechtigungen an. Zusammen mit Tools wie PingCastle kann so schnell festgestellt werden, ob einzelne Benutzer oder ganze Benutzergruppen für bestimmte Verzeichnisse und Freigaben zu viele Berechtigungen haben. Permissions Analyzer for Active Directory bietet vor allem folgende Funktionen:

• Schnelle Analyse der Übernahme von Benutzerberechtigungen

• Durchsuchen von Berechtigungen nach Gruppe oder individuellem Benutzer

• Analysieren von Benutzerberechtigungen basierend auf Gruppenzugehörigkeit und Berechtigungen

Sicherheitslücken mit PingCastle finden

Mit dem Tool PingCastle lassen sich Sicherheitslücken in Active Directory finden. Dazu wird das Archiv entpackt und eine Befehlszeile geöffnet. Um einen ersten Check der Umgebung durchzuführen, wird der folgende Befehl eingegeben:

PingCastle --healthcheck --server joos.int

In diesem Beispiel wird die Domäne „joos.int“ getestet (siehe Abbildung 2). Anschließend erstellt das Tool eine HTML-Datei, die mit einem Browser geöffnet werden kann. Daraus wird ersichtlich, wo Sicherheitsgefahren lauern (siehe Abbildung 3), die behoben werden können. Bestandteil des Tools ist eine PDF-Datei, die weitere Informationen zu den Optionen bietet.

Es lohnt sich, die Sicherheitslücken zu beheben und anschließend einen neuen erneuten Scan durchzuführen. Zwar bietet das Tool viele weitere Optionen, in den meisten Fällen reicht der Healthcheck der Domäne aber vollkommen aus, um festzustellen, ob es Sicherheitslücken im Netzwerk gibt.

AD Permissions Reporter

Mit dem AD Permissions Reporter lassen sich Berechtigungen in Active Directory auslesen und dadurch Sicherheitslücken erkennen, die auf fehlerhafte Berechtigungen zurückzuführen sind. Nachdem das Tool auf einem Rechner im Netzwerk installiert wurde, kann die komplette Domäne gescannt werden. Dazu wird der Name der Domäne eingegeben und auf „Start“ geklickt“. Nach einiger Zeit werden die Objekte der Domäne in einer Baumstruktur angezeigt. Durch das Navigieren durch diese Struktur lassen sich anschließend Berechtigungen für die einzelnen Objekte anzeigen.

Wird ein Objekt angeklickt, ist sofort zu sehen wer Berechtigungen hat und wie diese im Netzwerk verteilt sind. Zusammen mit PingCastle und SolarWinds Permission Analyzer for Active Directory können Sicherheitslücken auf Basis von Berechtigungen sehr schnell identifiziert werden (siehe Abbildung 4).

Das Tool kann nicht nur die Computer und Organisiationseinheiten einer Active Directory-Umgebung überprüfen, sondern auch Berechtigungen für Gruppenrichtlinien scannen. So lassen sich auch Sicherheitslücken in diesem Bereich schnell entdecken.

Bildergalerie

Bildergalerie mit 6 Bildern

Netwrix Account Lockout Examiner

Mit dem Netwrix Account Lockout Examiner können in Echtzeit Warnungen per E-Mail über Kontosperrungen versendet werden. Das Tool stellt sicher, dass keine unbefugten Anwender versuchen, sich unerlaubt mit erratenen Kennwörtern anzumelden (siehe Abbildung 5). Über das Tool lassen sich auch Kennwörter zurücksetzen und Konten entsperren. Der Zugriff funktioniert mit der webbasierten Oberfläche sogar über Smartphones und Tablets.

AD-Analyse mit Active Directory Recon

Über das PowerShell-Skript „Active Directory Recon“ lässt sich ohne Installation mithilfe der PowerShell ein Bericht über den aktuellen Zustand des Active Directory erstellen. Der Vorteil des Tools besteht darin, dass es auf Standard-Bordmittel und die PowerShell setzt. Es sind weder Installationen, noch Konfigurationsänderungen notwendig.

Das Skript erstellt CSV-Dateien, die sich anschließend mit Excel analysieren lassen. Mit der Option „-genExcel“ erstellt das Skript sogar eine XLSX-Datei, die direkt mit Excel analysiert werden kann. Zusammen mit den anderen genannten Tools bietet Active Directory Recon eine effektive möglichkeit zur Analyse einer AD-Umgebung (siehe Abbildung 6).

Definition

Was ist Active Directory?