Mobile-Menu

Mehr Sicherheit im Netzwerk durch den Schutz privilegierter Konten Privileged Access Strategy: So sichern Sie Active Directory ab

Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

ALE Deutschland GmbH

Die Privileged Access Strategy mit Zero-Trust ist die neue, empfohlene Vorgehensweise für den Schutz von Netzwerken gegen Cyberangriffe. Hier stehen vor allem die privilegierten Benutzerkonten im Fokus, also Administratoren und Benutzer mit erhöhten Rechten.

Zur Absicherung von Netzwerken sollte man erst dann über die Einführung von speziellen Security-Tools nachdenken, wenn alle Bordmittel ausgeschöpft und die Grundlagen priviligierter Benutzerkonten umgesetzt sind.(Bild: © deagreez - stock.adobe.com)
Zur Absicherung von Netzwerken sollte man erst dann über die Einführung von speziellen Security-Tools nachdenken, wenn alle Bordmittel ausgeschöpft und die Grundlagen priviligierter Benutzerkonten umgesetzt sind.
(Bild: © deagreez - stock.adobe.com)

In sehr vielen Fällen, wenn nicht sogar in den allermeisten Fällen, gelangt Ransomware über Phishing-Angriffe in Netzwerk. Dabei versuchen Cyberkriminelle, auf verschiedenen Wegen über Phishing und Spear-Phishing an Anmeldedaten von Benutzern zu kommen.

Die Übernahme von Benutzerkonten hebelt Sicherheitslösungen aus

Nachdem die Übernahme von Benutzerkonten geklappt hat, können sich die Angreifer mit den Benutzerrechten des Anwenders im Netzwerk bewegen – die meisten Sicherheits-Lösungen im lokalen Netzwerk sind dadurch ausgehebelt.

Bildergalerie

Ab diesem Zeitpunkt bewegen sich Cyberkriminelle seitwärts im Netzwerk, versuchen Daten zu stehlen, Systeme zu kompromittieren und Ransomware oder andere Malware einzuschleusen. Gelingt es, über diesen Weg auch noch an die Anmeldedaten von privilegierten Benutzerkonten zu kommen, erhöht sich der Schaden weiter. Wenn Angreifer mit solchen erbeuteten Benutzerdaten im lokalen Netzwerk unterwegs sind, können sie einiges an Schaden anrichten, indem sie die verschiedenen Sicherheitslücken ausnutzen.

Microsoft schließt zwar jeden Monat am Patchday zahlreiche Lücken, allerdings gelingt das nicht immer zuverlässig und vollständig. Besonders gefährlich ist es, wenn Angreifer die Chance erhalten, mit internen Benutzerkonten Systeme anzugreifen. Jüngst Tagen wurde in diesem Bereich eine Zero-Day-Lücke in VMware vSphere/ESXi entdeckt, über die Angreifer mittels lokaler Benutzerkonten komplette Netzwerke stark beeinträchtigen können.

Das sind nur einige Beispiele dafür, welchen großen Schaden schon die Übernahme herkömmlicher Benutzerkonten verursacht. Gelingt es einem Angreifer auch noch, ein privilegiertes Konto oder sogar ein Administrator-Konto zu übernehmen, wird die Situation sehr viel kritischer.

Der Schutz von privilegierten Benutzerkonten ist essenziell für die Netzwerk-Sicherheit

Aus diesen Gründen sollten Admins dafür sorgen, dass die privilegierten Konten maximal geschützt sind, um auch die Sicherheit von Active-Directory-Umgebungen zu unterstützen. Eine umfassende Sicherheit im Netzwerk lässt sich nur erreichen, wenn IT-Sicherheit und interne Administratoren zusammenarbeiten. Dazu gehören verschiedene Faktoren. Für Microsoft spielen in dieser Hinsicht Zero Trust und die Privileged Access Strategy eine wesentliche Rolle. Es geht an dieser Stelle noch nicht mal um Produkte, mit denen diese Absicherung erfolgt, sondern zunächst „nur“ um die richtige Planung.

So werden privilegierte Benutzerkonten besonders geschützt

Um privilegierte Benutzerkonten besonders zu schützen, müssen Admins in Active-Directory-Umgebungen strukturiert vorgehen. Zunächst sollten die Benutzer immer nur so viel Rechte erhalten, wie unbedingt notwendig. Es ist kein Vertrauensbeweis, wenn ein Benutzer mehr Rechte erhält, als er tatsächlich braucht.

Der zweite wichtige Schritt besteht darin, die Benutzerkonten zu identifizieren, die besonders gefährdet sind. Das können Benutzerkonten sein, die auf öffentlich zugänglichen Geräten zum Einsatz kommen (Kiosk-Computer), oder Benutzerkonten, die besonders hohe Rechte haben. Dabei muss es sich nicht um zentrale Administratoren handeln, es reichen auch weitreichende Rechte im ERP-System, Support-Benutzer oder Benutzer, die, aus welchem Grund auch imme,r in verschiedenen Systemen erhöhte Rechte haben.

Sobald bekannt ist, welche Benutzerkonten gefährdet sind, lässt sich eine Strategie erarbeiten, wie sich diese schützen lassen. Erst danach geht es darum, diese Benutzerkonten zu schützen. Hierbei spielen Administrator-Konten eine besonders wichtige Rolle.

Administrator-Konten in Active Directory schützen

Um Administrator-Konten in Active Directory zu schützen, sollte zunächst auf drei Dinge geachtet werden. Administratoren sollten ihre tägliche Arbeit mit herkömmlichen Benutzerkonten durchführen. Es ist keinesfalls sinnvoll und sehr riskant, wenn Admins in ihrem herkömmlichen Konto auch administrative Rechte in Active Directory oder anderen Systemdiensten haben.

Zweitens sollte jeder Administrator ein eigenes Administratorkonto haben, damit Änderungen nachvollziehbar sind und nicht mehrere Benutzer faktisch unkontrolliert mit dem gleichen Benutzerkonto arbeiten. Jeder Admin sollte nur genau die Rechte erhalten, die er zur Verwaltung der jeweiligen Systeme braucht und nicht mehr.

Der dritte Punkt ist der PC, an dem Admins die Umgebung verwalten. Es sollte sich dabei um einen PC handeln, der für keine anderen Aufgaben genutzt wird, sondern nur für Verwaltung der Umgebung zum Einsatz kommt. Dadurch ist es möglich, dass der PC besonders abgesichert wird und keine Gefahr besteht, dass er durch unsichere E-Mails oder andere Einfallstore kompromittiert wird. Wenn sich Admins an diese drei Grundsätze halten, ist die Umgebung schon sehr viel sicherer, ohne auch nur ein einziges Sicherheitssystem ändern oder implementieren zu müssen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Es ist darüber hinaus auch nicht sinnvoll, neue Sicherheitslösungen zu implementieren, wenn die Grundlagen nicht gegeben sind. Zunächst sollte die Bordmittel von Windows und Linux ausgeschöpft sein, bevor zusätzliche Sicherheitsdienste eingebunden werden. Zusätzliche Dienste erhöhen nicht nur Kosten und Verwaltungsaufwand, sondern stellen generell durchaus ein weiteres Ziel für Angreifer dar. Wenn die Grundlagen geschaffen sind, ist es aber durchaus sinnvoll, mit zusätzlichen Lösungen für mehr Sicherheit zu sorgen.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:49611592)

Weiterführende Inhalte