Active Directory: Wie Angreifer mit Deception in die Falle gelockt werden

Inhaltsverzeichnis

Dieser Artikel widmet sich einem noch jungen Ansatz zur Absicherung des Active Directory (AD): der aktiven Verteidigung. Ging es bei den bisherigen Artikeln der Active-Directory-Reihe darum, welche Einfallstore das Active Directory bietet, wie Systemverwalter Fehlkonfigurationen vermeiden, ihre Umgebung härten und mögliche Angriffe durch Logs und Monitoring entdecken können, so zielt die neue Methode darauf, Angriffsversuche schnell zu erkennen und Eindringlinge in die Irre zu führen.

Sicherheit im Active Directory

• Enterprise Access Model: Privilegierte Zugriffe besonders schützen
• Active Directory mit dem Schichtenmodell schützen
• Schwachstelle "Certifried": Zertifikate als Hintertür ins AD
• Angriffe auf das Azure Active Directory und auf Azure-Dienste abwehren
• Grundlagen von Azure Active Directory und Azure-Diensten
• Cloud-Sicherheit: Azure Active Directory und Azure-Dienste absichern
• Tools für mehr Sicherheit
• Netzwerksicherheit: Wie Sie Active Directory grundschutzkonform absichern
• Zugriffsmanagement: Azure AD und Zero Trust
• Ausfallsicherheit: Wie das Active Directory redundant läuft
• Grundwissen zur Passwortsicherheit
• AD-Sicherheit: Angriffsspuren analysieren mit dem Windows-Ereignisprotokoll
• Wie Angreifer mit Deception in die Falle gelockt werden
• Windows-Netzwerke beherrschbar machen mit AD
• Netzwerksicherheit: So enttarnen Sie Angreifer durch Logs

Vermeintlich fehlkonfigurierte Konten, die aussehen, als seien sie echt, bei Missbrauch aber Alarm auslösen, sollen unerwünschte Gäste im Unternehmensnetzwerk in die Falle locken. Unter Sicherheitsexperten ist unumstritten: Nach dem "Assume Breach"-Ansatz bereitet es Angreifern keine Schwierigkeiten, ein beliebiges System in einem Unternehmen zu kompromittieren, beispielsweise durch Phishing oder das Ausnutzen einer Schwachstelle, und von dort Befehle auszuführen. Dass eine Organisation angegriffen wird, ist also keine Frage des Ob, sondern nur eine Frage des Wann. Spätestens mit den immer verheerenderen Ransomware-Attacken sollte dies deutlich geworden sein.

Spät erkannte Angriffe

Noch immer investieren Unternehmen meist nur in das Verhindern und kaum in das Erkennen möglicher Sicherheitsvorfälle. Zwar drängen mit Endpoint Detection and Response (EDR) und Extended Detection and Response (XDR) neuere Techniken auf den Massenmarkt, die kompromittierte Systeme erkennen sollen, wie in den Artikeln "Neue Verteidigungsansätze in der IT-Security: EDR und XDR" und "Endgerätesicherheit und EDR-Tools: Gefahren schnell erkennen und reagieren" beschrieben. Allerdings haben sich fortgeschrittene Angreifer daran angepasst und können diese und etablierte Sicherheitsmaßnahmen wie Malwarescanner mit etwas Aufwand umgehen. Selbst wenn ein Monitoring eingerichtet ist, auf das ein internes oder externes Security Operations Center (SOC) ein wachsames Auge hat, sind die Meldungen größtenteils falsche Warnungen, was zu einer gewissen Alarmmüdigkeit der Verteidiger führt.

Das war die Leseprobe unseres heise-Plus-Artikels "Active Directory: Wie Angreifer mit Deception in die Falle gelockt werden". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.