Active Directory kann jahrelang zuverlässig funktionieren und trotzdem sicherheitstechnisch problematisch konfiguriert sein. Anmeldungen funktionieren, Gruppenrichtlinien werden verteilt und Anwendungen erreichen ihre Server. Im Tagesgeschäft gibt es deshalb oft keinen offensichtlichen Hinweis darauf, dass sich über die Jahre riskante Berechtigungen oder veraltete Einstellungen angesammelt haben.
Ein ehemaliges Projektkonto besitzt noch administrative Rechte. Ein Service Account läuft seit Jahren mit demselben Passwort. Eine alte Group Policy enthält eine Ausnahme, die längst nicht mehr benötigt wird. Auf zahlreichen Windows-Systemen wird dasselbe lokale Administratorkennwort verwendet. Solche Konfigurationen sind in gewachsenen IT-Umgebungen keine Seltenheit.
Für die Sicherheit ist entscheidend, diese Altlasten systematisch zu identifizieren. Eine Fehlkonfiguration ist dabei nicht automatisch eine Software-Schwachstelle und schon gar nicht zwingend eine CVE. Sie kann aber die Angriffsfläche vergrößern und die Folgen einer kompromittierten Identität oder eines infizierten Systems erheblich verstärken.
Dieser Artikel zeigt fünf Bereiche, die Administratoren bei einem Active-Directory-Sicherheitscheck besonders genau … … weiterlesen →