Pass the Hash-Angriffe verstehen und vermeiden

So verhindern Sie Angriffe auf das Active Directory

| Autor / Redakteur: Thomas Joos / Andreas Donner

Der Schutz vor PtH-Angriffen lässt sich bereits mit Bordmitteln und neuen Vorgehensweisen deutlich erhöhen.
Der Schutz vor PtH-Angriffen lässt sich bereits mit Bordmitteln und neuen Vorgehensweisen deutlich erhöhen. (Bild: Joos)

Viele Admins denken, Active Directory, die Kerberos-Technik und der dortige Umgang mit Kenn­wör­tern seien recht sicher. Angreifer können aber relativ einfach Netzwerkdaten mit­schnei­den und auf diesem Weg ganze Active-Directory-Umgebungen übernehmen. Auch Unix und Linux sind von Pass-the-Hash bedroht. Doch die Gefahren lassen sich leicht deutlich reduzieren.

Pass the Hash-Attacken (PtH) sind im Grunde genommen verbesserte Kennwort-Angriffe im Netzwerk. Davon betroffen sind vor allem ältere Windows-Versionen, darunter auch der abgekündigte Windows Server 2003. Es lassen sich mit dieser Angriffsmethode aber auch Anmeldedaten von aktuellen Serverversionen auslesen. Die Gefahr ist so groß, dass sich auch die NSA mit dem Thema befasst.

So funktioniert Kerberos

PtH-Angriffe zielen nicht auf die Kennwörter ab, sondern auf die Hashes, die in Active Directory erzeugt werden, nachdem sich ein Benutzer authentifiziert hat. Ein wesentlicher Bestandteil der Kerberos-Authentifizierung ist das Schlüsselverteilungscenter (Key Distribution Center, KDC). Dieser Dienst wird auf allen Windows Server 2003/2008/2008 R2/2012/2012 R2-Domänencontrollern ausgeführt und ist für die Ausstellung der Authentifizierungstickets zuständig.

Ticketing-Ablauf am Beispiel eines schreibgeschützten Domänencontrollers.
Ticketing-Ablauf am Beispiel eines schreibgeschützten Domänencontrollers. (Bild: Joos)

Der zuständige Kerberos-Client läuft auf allen Windows-Arbeitsstationen. Wenn sich ein Benutzer an einer Arbeitsstation in Active Directory anmeldet, muss er sich zunächst an einem Domänencontroller und dem dazugehörigen KDC authentifizieren. Im nächsten Schritt erhält der Client ein Ticket-genehmigendes Ticket (TGT) vom KDC ausgestellt. Nachdem der Client dieses TGT erhalten hat, fordert er beim KDC mithilfe dieses TGT ein Ticket für den Zugriff auf das Netzwerk an. Diese Authentifizierung führt der Ticket-genehmigende Dienst (Ticket Granting Service, TGS) auf dem KDC aus. In der Abbildung ist der Ablauf am Beispiel eines schreibgeschützten Domänencontrollers mit Windows Server 2012 R2 zu sehen (ein Klick auf das Bild vergrößert dieses).

Nach der erfolgreichen Authentifizierung des TGT durch den TGS stellt dieser ein Dienstticket aus und übergibt dieses Ticket an den Client. Dieses Dienstticket gibt der Client an den Server weiter, auf den er zugreifen will, in diesem Beispiel der Dateiserver. Durch dieses Ticket kann der Dateiserver sicher sein, dass sich kein gefälschter Benutzer mit einem gefälschten Benutzernamen anmeldet.

Durch das Dienstticket wird sowohl der authentifizierende Domänencontroller, als auch der Benutzer authentifiziert. Der Dienst ist aber nicht so sicher, wie häufig gedacht wird. PtH-Angriffe können sich die Hashes der Anmeldedaten zunutze machen und sich unberechtigt Zugriff verschaffen. Die Angriffe lassen sich auf Windows- aber auch auf Linux-Servern vollziehen.

Single-Sign-On-Umgebungen sind besonders gefährdet

Vor allem in Umgebungen, in denen mit Single-Sign-On (SSO) gearbeitet wird, lassen sich Hashes besonders leicht auslesen, da die Daten auch zu anderen Diensten verschickt werden, um Anwender zu authentifizieren. Der Hash des Kennwortes, einfach ausgedrückt, die verschlüsselte Information, wo das korrekte Kennwort gespeichert ist, lässt sich also für Angriffe nutzen. Dieser Hash wird auf Rechnern zwischengespeichert, damit sich ein angemeldeter Benutzer nicht häufiger anmelden muss um auf Dienste im Netzwerk zuzugreifen.

Windows sendet bei Kennwortabfragen von Serverdiensten einfach den Hash. Um den Hash eines Anwenders zu stehlen werden häufig lokale Angreifer/Malware genutzt, da lokal der Schutz weniger hoch ist, als im Netzwerk. Im Internet sind dazu haufenweise Tools zu finden. Anwender müssen die entsprechenden Angreifer nur noch auf den Rechnern installieren.

Der Hash wird dazu nicht entschlüsselt oder gehackt, sondern er wird von den Angreifern selbst verwendet um mit den Rechten des Anwenders auf das Netzwerk und die internen Serverdienste zuzugreifen.

Wie ein Schnellball-System wird das ganze Netzwerk übernommen

Wird der Hash eines Administrators gekapert, ist schnell klar, welche Gefahren solche Angriffe darstellen. Die Angriffe funktionieren wie Schnellball-Systeme. Sobald ein Angreifer einen normalen Hash gekapert hat, kann er sich auf weiteren Rechnern und auf Servern im Netzwerk anmelden. Auf diesen Servern sind weitere Hashes gespeichert, die Angreifer dann ebenfalls verwenden können. Über kurz oder lang kann ein solcher Angreifer also relativ mühelos alle Anmeldedaten von allen Benutzern im Netzwerk kapern.

So verhindern Sie Pass-the-Hash-Angriffe

Um den Schutz vor PtH-Angriffen im Netzwerk zu erhöhen, müssen Unternehmen mehrere Maßnahmen ergreifen. Zunächst ist es sinnvoll, möglichst immer die aktuellsten Serverversionen einzusetzen und diese dauerhaft möglichst aktuell zu halten. Nichts lässt sich leichter angreifen, als in die Jahre gekommene, nicht gepatchte Server.

Als Authentifizierungsprotokoll sollte im Netzwerk nicht mehr Microsoft LAN Manager (NTLM), sondern mindestens NTLMv2 eingesetzt werden. Die lokale Speicherung von Hashes in Active-Directory-Umgebungen lässt sich ebenfalls verhindern. Microsoft erklärt in einem Knowledge-Base-Eintrag, wie dabei vorgegangen wird.

Benutzerkonten mit denen herkömmlich gearbeitet wird, auch von Administratoren, sollten niemals über Administrator-Rechte verfügen. Auch Administratoren sollten bei der normalen Arbeit mit normalen Benutzerkonten arbeiten. Nur bei Administrator-Aufgaben sollte mit speziellen Benutzerkonten gearbeitet werden.

In Netzwerken sollten darüber hinaus nicht zu viele Administrator-Konten vorhanden sein. Auch die Administrator-Konten sollten eingegrenzt sein und nur notwendige Rechte besitzen. Ein Administrator für Exchange muss nicht gezwungenermaßen auch über Administratorrechte in Active Directory oder auf SQL-Servern verfügen.

Natürlich sollten die Benutzerkonten über besonders sichere und komplexe Kennwörter verfügen. Experten empfehlen Kennwörter mit mindestens 15 Zeichen Länge. Aber auch hier sollte das Kennwort so oft wie möglich geändert werden. Administratoren müssen sich dann zwar häufiger neu anmelden, dafür steigt die Sicherheit.

Rechner auf denen sich Administratoren mit Administrator-Rechten anmelden, sollten so aktuell wie möglich sein und dem neusten Stand entsprechen. Die Rechner sollten möglichst nicht mit dem WLAN verbunden sein, da hier ebenfalls Sicherheitsgefahren lauern. Selbstredend sollte auch die Anzahl derartiger Rechner sehr begrenzt sein. Außerdem sollten die PCs in sicheren Räumen stehen und nur durch Administratoren nutzbar sein.

Administratoren sollten nur bei normalen Benutzerkonten mit E-Mails arbeiten. Administrator-Konten sollten über kein E-Mail-Konto verfügen. In Netzwerken mit E-Mail-Zugang sollte daher überprüft werden, dass keinerlei Administrator-Konten E-Mail-Zugang erhalten, auch dann nicht, wenn moderne Systeme wie Exchange zum Einsatz kommen.

Fazit

Um Pass the Hash-Angriffe zu verhindern, müssen viele Unternehmen umdenken – auch im Mittelstand. Die Arbeit der Administratoren wird unbequemer, da ständige Kennwortänderungen und Ummeldungen notwendig sind. Ohne Sicherheit sollten aber keine Netzwerke betrieben werden.

PtH-Angriffe gehören zu den gefährlichsten Angriffen auf Netzwerke. Das liegt daran, dass diese Angriffe Woche, Monate oder vielleicht sogar Jahre unbemerkt bleiben und Daten des Unternehmens während dieser Zeit problemlos abgegriffen werden können. Die Sicherheit lässt sich mit Bordmitteln und neuen Vorgehensweisen schon deutlich erhöhen. Daher sollten IT-Verantwortliche das Thema ernst nehmen.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 43481679 / Bedrohungen und Attacken)