Mobile-Menu

Lepide Active Directory Auditor: AD überwachen und Angriffe blockieren So prüfen Sie Konfi­gu­ra­tions- und Berechtigungs­änderungen

Von Thomas Joos 5 min Lesedauer

Mit dem Lepide Active Directory Auditor können Admins ihre Active Directory-Umgebung überwachen, den Gesundheitszustand überprüfen, und parallel dazu Angriffe rechtzeitig erkennen und bekämpfen. Das geht sogar in Echtzeit.

Der Lepide Active Directory Auditor hilft auch aktiv dabei, Ransomware-Angriffe schnell zu erkennen und damit schnell reagieren zu können.(Bild: Lepide)
Der Lepide Active Directory Auditor hilft auch aktiv dabei, Ransomware-Angriffe schnell zu erkennen und damit schnell reagieren zu können.
(Bild: Lepide)

Active Directory ist bei vielen Unternehmen einer der wichtigsten Bestandteile der Infrastruktur. Das ist auch einer der Gründe, warum Cyberkriminelle immer öfters versuchen, an Anmeldedaten von Benutzern zu kommen, um dann die Infrastruktur angreifen zu können. Daher sollten sich Unternehmen vorbereiten und mit Tools wie Lepide Active Directory Auditor die Umgebung überwachen und eventuell auftretende Angriffe so schnell wie möglich zu identifizieren und zu beheben. Wir gehen in diesem Beitrag vor allem auf die AD-Funktionen ein; der Hersteller bietet aber auch die Möglichkeit zur Überwachung von Microsoft 365, also vor allem von Exchange Online und SharePoint Online. Seine Daten speichert Active Directory Auditor in einer SQL-Datenbank.

Konfiguration von Active Directory prüfen und Änderungen nachverfolgen

Das Tool wurde speziell für die Prüfung von Änderungen an Konfigurationen und Berechtigungen in Microsoft-Ökosystemen entwickelt. Dazu gehört zunächst Active Directory, aber auch lokal betriebene Exchange Server, Gruppenrichtlinien, SQL und SharePoint. Admins erhalten durch das Tool einen guten Überblick zur AD-Umgebung. Außerdem ist Lepide Active Directory Auditor hilfreich, um Sicherheits- und Compliance-Anforderungen zu erfüllen. Admins können in Echtzeit verfolgen, wer welche Änderungen an Konfigurationen und Berechtigungen vornimmt oder vorgenommen hat.

Bildergalerie
Bildergalerie mit 7 Bildern

Das Tool lässt sich 7 Tage lang kostenlos testen. Dabei kann die Installation natürlich im eigenen Rechenzentrum erfolgen. Die Umgebung lässt sich darüber hinaus als Appliance für VMware-Produkte oder als Hyper-V-VM herunterladen. Das macht die Bereitstellung einfacher, vor allem im Testzeitraum. Allerdings muss dabei beachtet werden, dass in diesem Fall der Download schnell größer als 12 GB ist.

Active Directory vor Ransomware schützen

Das schützt Unternehmen auch vor Ransomware-Angriffen. In vielen Fällen laufen diese so ab, dass Angreifer versuchen, an Anmeldedaten zu gelangen, um sich dann unbemerkt an Active Directory anzumelden. Nach der Anmeldung erfolgt die Übertragung der Malware/Ransomware. Solche Angriffe lassen sich nur dann halbwegs zuverlässig verhindern, wenn Lösungen wie Lepide Active Directory Monitor im Einsatz sind, die in Echtzeit Konfigurationsänderungen erkennen, zum Beispiel das Entsperren von gesperrten Benutzerkonten oder Anmeldungen von Konten, die lange Zeit inaktiv waren.

Der BSI-Lagebericht 2022 legt dazu dar: "Die Gefährdungslage im Cyber-Raum ist so hoch wie nie". Nach einem Forschungspaper der Cyber Rescue Alliance aus dem Jahr 2022 sind nahezu alle Unternehmen auf der Welt Ziel von Phishing-Angriffen geworden. Bei 12 Prozent der erfolgreich durchgeführten Attacken konnten Angreifer über ein Jahr vollständigen Zugriff auf die Daten des Unternehmens nehmen, bevor Ransomware die Daten verschlüsselt hat.

Schneller Überblick zum Active Directory und zu Gruppenrichtlinien

In der Verwaltungskonsole von Lepide Active Directory Auditor lassen sich alle wichtigen Bereiche in Active Directory überwachen. Dazu gehören auch die Gruppenrichtlinien. Oben links steht in der Konsole darüber hinaus der Menüpunkt "All Environment Changes" zur Verfügung. Darüber lassen sich die Änderungen der Umgebung schnell überwachen und gegebenenfalls Gegenmaßnahmen ergreifen.

Berichte aus Active Directory erstellen

Zu den Funktionen des Active Directory Auditors gehören auch Berichte, die sich über verschiedene Zeithorizonte aus Active Directory erstellen lassen. Dazu gehören zum Beispiel Berichte zum Status von Active Directory, den Änderungen im ausgewählten Berichtszeitraum und über den Status der Sicherheit. Das lässt sich in größeren Umgebungen auch auf einzelne OUs herunterbrechen.

Als Datenquelle für die Berichte nutzt das Tool auf Anforderung nicht das produktive Active Directory, sondern eine Datensicherung. Das entlastet die produktive Umgebung und sorgt dafür, dass zu jeder Zeit Berichte erstellt werden können, ohne Rücksicht auf die AD-Umgebung nehmen zu müssen.

Hinzu kommt die Möglichkeit, Berichte über Benutzerkonten zu erstellen. Dazu gehören zum Beispiel Listen aller Benutzer oder auch spezifische Berichte, zum Beispiel zu Benutzern, die ihr Kennwort längere Zeit oder noch nie geändert haben. Alle Berichte stehen auf der linken Seite des Menüs zur Verfügung. In der Mitte des Fensters erfolgt die Spezifikation des Berichtes, zum Beispiel die Auswahl des Zeitraums. Nach der Erstellung kann der Bericht auch direkt im Fenster angezeigt werden. Das Gleiche lässt sich für Computerkonten erstellen.

Sicherheitsrelevante Berichte decken Änderungen in Active Directory auf

Bei sicherheitsrelevanten Berichten lassen sich natürlich auch produktive Daten einlesen. Interessant ist das zum Beispiel für den Bericht, der alle Änderungen des aktuellen Tages in Active Directory zusammenfasst und in der Weboberfläche anzeigt (Active Directory Reports -> Active Directory Modifications Report -> All Modifications Report -> Object Modifications).

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

In großen Umgebungen lassen sich diese Berichte beliebig filtern, zum Beispiel nach Datum der Änderung, wer die Änderung durchgeführt hat, welche Objekte geändert wurden, wo die Änderung durchgeführt wurde und der genaue Zeitraum. Dadurch lassen sich auch sehr schnell Änderung von Gruppenmitgliedschaften herausfinden und wer diese wann und wo durchgeführt hat. Das gilt auch für Änderungen in den Berechtigungen.

Interessant ist an dieser Stelle aber auch das Anmeldeverhalten von Benutzerkonten, Auch das lässt sich nachverfolgen, um zum Beispiel Remotebenutzer und deren Anmeldungen zu überprüfen. Darüber hinaus kann Lepide Active Directory Auditor auch fehlgeschlagene Anmeldeversuche überprüfen und Berichte erstellen. Besonders häufige fehlgeschlagene Anmeldeversuche deuten auf Angriffsversuche hin und sollten besonders sorgfältig überprüft werden.

So lassen sich zum Beispiel Brute-Force-Angriffe erkennen. Außerdem bietet der Active Directory Auditor auch die Möglichkeit, Anmeldungen an Domänencontrollern oder Anmeldungen eines Benutzers an mehreren Computern gleichzeitig zu erkennen. Dabei kann es sich zum Beispiel um ein kompromittiertes Konto handeln, das Cyberkriminelle dazu nutzen Malware im Netzwerk zu verteilen.

Darüber hinaus kann der Auditor umfassende Berichte zum Erstellen, Benutzerkonten und Computerkonten löschen und bearbeiten und Organisationseinheiten erstellen. Genauso lassen sich Berichte erstellen, welche Benutzer in andere OUs verschoben wurden, oder welche Benutzerkonten umbenannt wurden. Auch das kann auf Angriffe hindeuten.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle bisher auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:49657962)

Weiterführende Inhalte