Sicherheit für externe Entra-ID und Active-Directory-Konten verbessern So umgehen Sie Sicherheits­risiken bei Gast­benutzer­konten

Gastkonten in Active Directory kommen vor allem dann zum Einsatz, wenn temporären oder externen Benutzern ein kontrollierter Zugriff auf Unternehmensressourcen ermöglicht werden soll. Solche Konten werden oft für Partner, Berater oder befristet Beschäftigte erstellt. Dabei spielt jedoch die Sicherheit eine wesentliche Rolle.

Gastkonten in Active Directory und Entra ID bieten eine Lösung, um externen Benutzern, wie Partnern, Beratern oder temporären Mitarbeitern, gezielten Zugriff auf spezifische Unternehmensressourcen zu gewähren, ohne die Sicherheitsrichtlinien zu kompromittieren. Solche Konten sind darauf ausgelegt, den Zugriff auf bestimmte Anwendungen und Daten zu beschränken und gleichzeitig die Integrität des gesamten Netzwerks zu schützen. Dennoch gibt es Risiken, die berücksichtigt werden müssen – und entsprechende Maßnahmen, um diese Risiken zu mildern. Auf diese gehen wir nachfolgend genauer ein.

Risiken von Gastbenutzerkonten in Active Directory

Gastbenutzerkonten in Active Directory bergen mehrere Risiken. Ein zentrales Risiko besteht in der potenziellen Umgehung von Zugriffskontrollen durch unzureichend konfigurierte Gastkonten, die möglicherweise weiterreichende Rechte erhalten als beabsichtigt. Diese Fehlkonfiguration kann durch mangelnde Überwachung und ungenügende Anwendung von Prinzipien wie dem Prinzip der minimalen Rechte (least privilege principle) entstehen. Darüber hinaus stellen Gastkonten ein attraktives Ziel für Phishing-Angriffe dar, weil Angreifer häufig davon ausgehen, dass die Sicherheitsvorkehrungen für externe Benutzer weniger robust sind.

Bildergalerie

Bildergalerie mit 7 Bildern

Eine unzureichende Implementierung von Multi-Faktor-Authentifizierung (MFA) und fehlende kontinuierliche Überwachung verschärfen dieses Risiko. Ferner kann die fehlende Isolation von Gastbenutzern dazu führen, dass sie auf interne Ressourcen zugreifen können, die für ihre Aufgaben irrelevant sind, was die Angriffsfläche des Netzwerks vergrößert. Ein weiteres Risiko besteht in der Möglichkeit der Persistenz, bei der kompromittierte Gastkonten über längere Zeiträume unentdeckt bleiben und für nachfolgende Angriffe genutzt werden können. Schließlich können unzureichend definierte Lebenszyklusmanagement-Prozesse dazu führen, dass Gastkonten nach Beendigung ihrer Nutzung nicht ordnungsgemäß deaktiviert oder entfernt werden.

Gastkonten in Entra ID schützen: Microsoft Entra ID Protection

In vielen Fällen kommen Gastkonten durch Synchronisierung auch in Entra ID/Azure AD zum Einsatz. Dadurch können externe Partner, Gäste oder auch zeitlich befristete Anwender auch auf Ressourcen in der Cloud zugreifen, zum Beispiel auf Teams und SharePoint in Microsoft 365. Um die Konten vor Angriffen aus der Cloud zu schützen, stellt Microsoft verschiedene Dienste zur Verfügung. Beispiele dafür sind Microsoft Entra ID Protection und Microsoft Defender for Identity.

Microsoft Entra ID Protection bietet Schutz für Benutzerkonten in Azure AD/Entra ID vor Phishing-Angriffen, unberechtigten Zugriffen und anderen Bedrohungen. Administratoren können über das Azure-Portal entsprechende Einstellungen vornehmen und Bedrohungen in Echtzeit überwachen. Die Lösung erfordert eine Microsoft Entra ID P2-Lizenz und ermöglicht es, identitätsbasierte Risiken zu erkennen, zu untersuchen und zu beseitigen. Die Erkennung von Risiken basiert auf der Analyse von Signalen aus Active Directory, Microsoft-Konten und anderen Quellen, wobei Bedrohungen wie anonyme IP-Adressen, Kennwortspray-Angriffe und kompromittierte Anmeldeinformationen identifiziert werden.

Entra ID Protection verwendet maschinelles Lernen zur Echtzeitbewertung von Anmelderisiken und integriert automatisierte Reaktionen wie Multi-Faktor-Authentifizierung (MFA) oder Zugriffssperren. Die Lösung bietet darüber hinaus detaillierte Berichte zu Risikoerkennungen, riskanten Anmeldungen und Risikobenutzern. Sie nutzt automatisch generierte Signale, die Anmeldeanomalien wie unbekannte Geräte, IP-Adressen oder Token-Diebstahl erkennen. Von Experten generierte Signale und manuelles Feedback der Administratoren tragen zur kontinuierlichen Verbesserung der Bedrohungserkennung bei. Durch die Implementierung risikobasierter, bedingter Zugriffsrichtlinien können Organisationen automatisierte Maßnahmen ergreifen, um auf erkannte Risiken zu reagieren und die Sicherheit zu erhöhen.

Zusätzlich zur Erkennung und Reaktion auf Bedrohungen bietet Entra ID Protection Verwaltungs- und Berichtsoptionen im Azure-Portal. Administratoren können detaillierte Einblicke in Anmeldeaktivitäten und erkannte Risiken erhalten sowie Maßnahmen zur Behebung empfehlen. Troubleshooting-Tools und Anmeldediagnosen helfen bei der Identifizierung und Behebung von Problemen. Durch diese umfassenden Schutzmechanismen stellt Entra ID Protection sicher, dass Benutzerkonten vor externen Angriffen geschützt sind und die Sicherheit des gesamten Netzwerks gewahrt bleibt.

Microsoft Defender for Identity zum Schutz von Gastkonten

Microsoft Defender for Identity ist eine Lösung zum Schutz von Anmeldeinformationen sowohl in der Cloud als auch in lokalen Active-Directory-Umgebungen. Durch den Einsatz von Künstlicher Intelligenz (KI) und maschinellem Lernen analysiert es Benutzerverhalten, um Bedrohungen frühzeitig zu erkennen und abzuwehren. Die Implementierung beginnt mit der Installation eines Sensors auf dem Domain Controller, der sicherheitsrelevante Daten sammelt und analysiert. Nach der Installation und Konfiguration des Sensors durch Anpassung der Gruppenrichtlinien, um dem Dienstkonto die notwendigen Berechtigungen zuzuweisen, liefert der Sensor kontinuierlich Daten an die zentrale Verwaltungsoberfläche der Cloudlösung.

Durch die Analyse von Anmeldeaktivitäten und Netzwerkverkehr erkennt Microsoft Defender for Identity potenzielle Bedrohungen wie "Adversary-in-the-Middle"-Angriffe und generiert entsprechende Warnungen. Die Integration mit Microsoft Sentinel erweitert die Überwachung und Analyse von Sicherheitsvorfällen. Sentinel sammelt Signale von verschiedenen Quellen, einschließlich Defender for Identity, und visualisiert Angriffe in detaillierten Zeitachsen, zeigt betroffene Benutzer und Geräte an und bietet Handlungsempfehlungen zur Abwehr und Prävention. Die Lösung kann drei Monate kostenlos für bis zu 25 Benutzern getestet werden, erfordert danach aber eine Lizenzierung.

Der Identitätsschutz in Entra ID ist komplex und teuer

Microsoft bietet mit Microsoft Defender for Identity und Entra ID Protection zwar Schutzlösungen an, aber beide Lösungen erfordern eine Lizenzierung und müssen gesondert eingerichtet und verwaltet werden. Es gibt keine gemeinsame Oberfläche und auch keine gemeinsame Struktur – beide Lösungen erfordern separate Aufmerksamkeit. Die Verwaltung der Konten erfolgt an verschiedenen Stellen. Die Benutzer werden in Active Directory angelegt und verwaltet, zu Entra ID synchronisiert und schließlich über Microsoft Defender for Identity und Entra ID Protection verwaltet. Admins müssen daher mindestens vier verschiedene Stellen und unterschiedliche Verwaltungsoberflächen im Blick behalten.

Besser kann es hier sein, auf Lösungen zu setzen, die eine zentrale Verwaltung von Konten, Rechten und weiteren Einstellungen ermöglichen. Eine damit mögliche Automatisierung kann die Sicherheit in diesem Bereich deutlich erhöhen, zum Beispiel durch zeitlich begrenzte Zugriffe, Genehmigungsworkflows und skriptbasierten Aktionen. Das vermeidet Fehlkonfigurationen, erleichtert die Verwaltung und ermöglicht die Delegation einzelner Aufgaben, um die IT-Abteilung zu entlasten.

IAM-Lösungen (Identity and Access Management) bieten in diesem Zusammenhang eine wertvolle Unterstützung. Systeme wie das IDM-Portal von FirstWare spielen deshalb eine zentrale Rolle bei der Verwaltung von Gastkonten in Active Directory, insbesondere in Kombination mit Entra ID (Azure AD). Solche Lösungen stellen eine zentrale Plattform zur Verfügung, über die Benutzeridentitäten und Zugriffsrechte verwaltet werden können. Dies umfasst die Erstellung, Aktualisierung und Deaktivierung von Gastkonten unter Berücksichtigung von Unternehmensrichtlinien und Sicherheitsstandards.

Das IDM-Portal von FirstWare ermöglicht es Administratoren beispielsweise, Gastkonten zentral zu verwalten und die Einhaltung von Sicherheitsstandards zu gewährleisten. So können über die IDM-Portal-Oberfläche Gastbenutzerkonten/externe Identitäten, direkt im AD angelegt und bearbeitet werden. Das geht auch temporär, wenn externe Mitarbeiter zum Beispiel das Unternehmen wieder verlassen. Durch die Cloud-Integration und RealGroup-Technologie können Gruppenmitgliedschaften von Gastkonten ebenfalls direkt in Entra ID bearbeitet werden. IAM-Systeme automatisieren Workflows und Genehmigungsprozesse, was die Verwaltung von Gastkonten effizienter gestaltet. Durch die Integration mit Entra ID stellen die Systeme sicher, dass nur autorisierte Gäste Zugang zu den erforderlichen Ressourcen erhalten und gleichzeitig Compliance- und Sicherheitsrichtlinien eingehalten werden.

Definition

Was ist Active Directory?

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

Sicherheit für externe Entra-ID und Active-Directory-Konten verbessern

So umgehen Sie Sicherheits­risiken bei Gast­benutzer­konten

So stellen Sie Active-Directory-DCs vollständig wieder her

Schritt für Schritt: Domänencontroller sichern und wiederherstellen

Schutz von Active Directory gegen Cyberkriminelle

Sichere Admin-Arbeitsstationen für ein sicheres AD

Mehr Sicherheit im Netzwerk durch den Schutz privilegierter Konten

Privileged Access Strategy: So sichern Sie Active Directory ab

Azure AD und Enhanced Security Admin Environment

Active-Directory-Schutz: Zero-Trust & Rapid Modernization Plan

Angriffsfläche des eigenen AD reduzieren

Active Directory härten und vor Angriffen schützen

Im Kampf gegen Tools wie Bloodhound, Mimikatz & Co.

Ist Ihr Active Directory auf Angriffe vorbereitet?

Mehr Sicherheit im Netzwerk

Best Practices für die Absicherung von Active Directory

So gefährden LaZagne, BloodHound und Mimikatz das Active Directory

Diese Tools nutzen Hacker für AD-Angriffe

(ID:50124831)