Kloep / Weigel Sichere Windows-Infrastrukturen

Das Handbuch für Administratoren
2. Auflage 2023
ISBN: 978-3-8362-9251-1
Verlag: Rheinwerk
Format: EPUB
Kopierschutz: 0 - No protection

E-Book, Deutsch, 811 Seiten

Reihe: Rheinwerk Computing

Schützen Sie Windows-Systeme und Windows-Infrastrukturen vor Angreifern

Assume the breach! In einer Zeit der Hacker und Cyberkriminellen ist nicht mehr die Frage, ob Ihre Infrastruktur Ziel eines Angriffs wird, sondern wie gut Sie dafür gewappnet sind. Microsoft gibt Ihnen für die Sicherheit Ihrer IT eine Reihe an Security-Werkzeugen an die Hand. Es kommt aber darauf an, dass Sie diese Tools richtig einsetzen, um die größtmögliche Wirkung gegen Angreifer zu erzielen. Und dafür müssen Sie wissen, wie Angreifer beim Hacking vorgehen.

Dieser Leitfaden ist geschrieben von zwei ausgewiesenen Security-Profis . Sie erklären Ihnen, welche Security-Maßnahmen gegen welche Angriffsvektoren sinnvoll und nachweisbar effektiv sind. Denn mit den richtigen Administrationsmethoden machen Sie es Angreifern schwer und sorgen dafür, dass wichtige Daten sicher bleiben und kein Schaden an der IT entsteht. Zahlreiche Best Practices und Beispiele aus dem Alltag der Security-Experten zeigen Ihnen, wie Sie Ihre Windows-Systeme härten und sich auf den Ernstfall vorbereiten.

Neu in der 2. Auflage: Hinweise für die Migration bestehender Umgebungen und Handschlungsvorschläge für die Disaster Recovery

• Absicherung der administrativen Konten mit Tier-Modell und Admin-Forest
• Praktische Beispiele für die Härtung Ihrer IT-Systeme
• Kerberos, PKI und CA, Credential Guard und Bitlocker richtig einsetzen
• Patching, Auditing, Monitoring und Reporting

Aus dem Inhalt:

• Angriffsmethoden und Werkzeuge
• Systeme härten und sichere Administration
• Authentifizierungsprotokolle
• Least-Privilege-Prinzip und Tier-Modell
• Credential Guard und Remote Credential Guard
• Admin Forest und PAM-Trust
• Administration: Just in time und Just enough
• Update-Management mit WSUS
• PKI und CA
• Auditing, Monitoring und Reporting
• Disaster Recovery: Gut vorbereitet für den Ernstfall
• Migrationsguide: Von der Legacy-Umgebung zur modernen Infrastruktur

Autoren/Hrsg.

Kloep, Peter

Weigel, Karsten

Inhaltsverzeichnis

  Materialien zum Buch ... 17

  Geleitwort des Fachgutachters ... 19

  1.  Sichere Windows-Infrastrukturen ... 21

       1.1 ... Warum Sicherheitsmaßnahmen? ... 21

       1.2 ... Wer hinterlässt wo Spuren? ... 22

       1.3 ... Was sollten Sie von den Vorschlägen in diesem Buch umsetzen? ... 23

  2.  Angriffsmethoden ... 25

       2.1 ... Geänderte Angriffsziele oder »Identity is the new perimeter« und »Assume the breach« ... 25

       2.2 ... Das AIC-Modell ... 26

       2.3 ... Angriff und Verteidigung ... 28

       2.4 ... Offline-Angriffe auf das Active Directory ... 39

       2.5 ... Das Ausnutzen sonstiger Schwachstellen ... 40

  3.  Angriffswerkzeuge ... 41

       3.1 ... Testumgebung ... 41

       3.2 ... Mimikatz ... 43

       3.3 ... DSInternals ... 58

       3.4 ... PowerSploit ... 62

       3.5 ... BloodHound ... 64

       3.6 ... Deathstar ... 64

       3.7 ... Hashcat und Cain & Abel ... 64

       3.8 ... Erhöhen der Rechte ohne den Einsatz von Zusatzsoftware ... 66

       3.9 ... Kali Linux ... 69

  4.  Authentifizierungsprotokolle ... 71

       4.1 ... Domänenauthentifizierungsprotokolle ... 71

       4.2 ... Remotezugriffsprotokolle ... 94

       4.3 ... Webzugriffsprotokolle ... 95

  5.  Ein Namenskonzept planen und umsetzen ... 97

       5.1 ... Planung ... 97

       5.2 ... Umsetzung ... 99

  6.  Das Tier-Modell ... 125

       6.1 ... Grundlagen eines Tier-Modells ... 125

       6.2 ... Das Tier-Modell gemäß den Empfehlungen Microsofts ... 128

       6.3 ... Erweitertes Tier-Modell ... 131

  7.  Das Least-Privilege-Prinzip ... 165

       7.1 ... Allgemeine Punkte zur Vorbereitung des Least-Privilege-Prinzips ... 166

       7.2 ... Werkzeuge für das Ermitteln der Zugriffsrechte ... 170

       7.3 ... Die Umsetzung des Least-Privilege-Prinzips ... 178

       7.4 ... Sicherheitsgruppen im Active Directory für die lokalen und Rollenadministratoren ... 213

       7.5 ... Weitere Aspekte nach der Umsetzung ... 217

  8.  Härten von Benutzer- und Dienstkonten ... 225

       8.1 ... Tipps für die Kennworterstellung bei Benutzerkonten ... 225

       8.2 ... Kennworteinstellungen in einer GPO für die normalen Benutzerkennungen ... 226

       8.3 ... Kennworteinstellungsobjekte (PSOs) für administrative Benutzerkonten ... 228

       8.4 ... Kennworteinstellungsobjekte für Dienstkonten ... 229

       8.5 ... Multi-Faktor-Authentifizierung (MFA) ... 231

       8.6 ... GPO für Benutzerkonten ... 236

       8.7 ... Berechtigungen der Dienstkonten ... 238

       8.8 ... Anmeldeberechtigungen der Dienstkonten ... 239

  9.  Just-in-Time- und Just-Enough-Administration ... 243

       9.1 ... Just in Time Administration ... 243

       9.2 ... Just Enough Administration (JEA) ... 259

10.  Planung und Konfiguration der Verwaltungssysteme (PAWs) ... 285

       10.1 ... Wo sollten die Verwaltungssysteme (PAWs) eingesetzt werden? ... 286

       10.2 ... Dokumentation der ausgebrachten Verwaltungssysteme ... 289

       10.3 ... Wie werden die Verwaltungssysteme bereitgestellt? ... 289

       10.4 ... Zugriff auf die Verwaltungssysteme ... 290

       10.5 ... Design der Verwaltungssysteme ... 294

       10.6 ... Anbindung der Verwaltungssysteme ... 298

       10.7 ... Bereitstellung von RemoteApps über eine Terminalserver-Farm im Tier-Level 0 ... 301

       10.8 ... Zentralisierte Logs der Verwaltungssysteme ... 310

       10.9 ... Empfehlung zur Verwendung von Verwaltungssystemen ... 311

11.  Härten der Arbeitsplatzcomputer ... 313

       11.1 ... Local Administrator Password Solution (LAPS) ... 313

       11.2 ... BitLocker ... 329

       11.3 ... Mitglieder in den lokalen administrativen Sicherheitsgruppen verwalten ... 343

       11.4 ... Weitere Einstellungen: Startmenü und vorinstallierte Apps anpassen, OneDrive deinstallieren und Cortana deaktivieren ... 344

       11.5 ... Härtung durch Gruppenrichtlinien ... 352

12.  Härten der administrativen Systeme ... 383

       12.1 ... Gruppenrichtlinieneinstellungen für alle PAWs ... 383

       12.2 ... Administrative Berechtigungen auf den administrativen Systemen ... 389

       12.3 ... Verwaltung der administrativen Systeme ... 392

       12.4 ... Firewall-Einstellungen ... 395

       12.5 ... IPSec-Kommunikation ... 397

       12.6 ... AppLocker-Einstellungen auf den administrativen Systemen ... 410

       12.7 ... Windows Defender Credential Guard ... 412

13.  Update-Management ... 417

       13.1 ... Installation der Updates auf Standalone-Clients oder in kleinen Unternehmen ohne Active Directory ... 417

       13.2 ... Updates mit dem WSUS-Server verwalten ... 421

       13.3 ... Application Lifecycle Management ... 451

14.  Der administrative Forest ... 459

       14.1 ... Was ist ein Admin-Forest? ... 459

       14.2 ... Einrichten eines Admin-Forests ... 462

       14.3 ... Privilege Access Management-Trust (PAM-Trust) ... 489

       14.4 ... Verwaltung und Troubleshooting ... 501

15.  Härtung des Active Directory ... 507

       15.1 ... Schützenswerte Objekte ... 507

       15.2 ... Das Active Directory-Schema und die Rechte im Schema ... 522

       15.3 ... Kerberos-Reset (krbtgt) und Kerberoasting ... 524

       15.4 ... Sinnvolles OU-Design für die AD-Umgebung ... 528

16.  Netzwerkzugänge absichern ... 531

       16.1 ... VPN-Zugang ... 532

       16.2 ... DirectAccess einrichten ... 563

       16.3 ... NAT einrichten ... 568

       16.4 ... Der Netzwerkrichtlinienserver ... 572

       16.5 ... Den Netzwerkzugriff absichern ... 591

       16.6 ... Absichern des Zugriffs auf Netzwerkgeräte über das RADIUS-Protokoll ... 610

17.  PKI und Zertifizierungsstellen ... 625

       17.1 ... Was ist eine PKI? ... 625

       17.2 ... Aufbau einer CA-Infrastruktur ... 633

       17.3 ... Zertifikate verteilen und verwenden ... 670

       17.4 ... Überwachung und Troubleshooting der Zertifikatdienste ... 684

       17.5 ... Bevorstehende Änderungen und aktuelle Herausforderungen mit einer Microsoft-Zertifizierungsstelle ... 689

18.  Sicherer Betrieb ... 693

       18.1 ... AD-Papierkorb ... 693

       18.2 ... Umleiten der Standard-OUs für Computer und Benutzer ... 699

       18.3 ... Mögliche Probleme beim Prestaging ... 700

       18.4 ... Sichere Datensicherung ... 701

       18.5 ... Die Sicherheitsbezeichner (SIDs) dokumentieren ... 715

19.  Auditing ... 717

       19.1 ... Die Ereignisanzeige ... 717

       19.2 ... Logs zentral sammeln und archivieren ... 725

       19.3 ... Konfiguration der Überwachungsrichtlinien ... 735

       19.4 ... DNS-Logging ... 744

20.  Reporting und Erkennen von Angriffen ... 749

       20.1 ... Azure ATP und ATA ... 749

       20.2 ... PowerShell-Reporting ... 754

       20.3 ... Desired State Configuration ... 767

21.  Disaster Recovery ... 773

       21.1 ... Disaster Recovery planen ... 773

       21.2 ... Forest Recovery ... 777

       21.3 ... Die Gruppenrichtlinien-Infrastruktur wiederherstellen ... 778

       21.4 ... Snapshots verwenden ... 780

       21.5 ... Das DC-Computerpasswort ist »out-of-sync« ... 782

22.  Praktische Implementierung der Sicherheitsmaßnahmen ... 785

       22.1 ... Bestandsanalyse ... 785

       22.2 ... Welche Maßnahmen sind für mich geeignet bzw. wie aufwendig ist die Umsetzung? ... 790

       22.3 ... Wie fange ich an? ... 800

  Index ... 803

Leseproben

2.3    Angriff und Verteidigung

In diesem Abschnitt möchten wir einige mögliche Angriffsmethoden beschreiben, mit denen Sie vielleicht konfrontiert werden. Wir erwähnen aber auch Methoden, wie Sie sich gegen diese Attacken wehren können. Teilweise wird es jedoch ein Kampf gegen Windmühlen sein.

2.3.1    Phishing-Attacken

Eine Phishing-Attacke ist nach wie vor die am meisten verwendete Angriffsmethode. Der Grund dafür liegt auf der Hand: Der Aufwand (Kosten und Zeit), den ein Angreifer in einen solchen Angriff investieren muss, ist sehr gering. Es gibt zahlreiche Quellen, bei denen riesige Mengen an E-Mail-Adressen gekauft werden können. Diese werden dann mit Phishing-Mails attackiert.

Eine Phishing-Mail ist eine E-Mail-Nachricht, die den Empfänger (das Opfer) dazu verleiten soll, auf einen falschen Internet-Link zu klicken, oder die den Benutzer dazu auffordert, Anmeldedaten zu übermitteln oder einzugeben. In den Anfangsjahren waren diese Nachrichten durch schlechte sprachliche Qualität – besonders bei deutschen Phishing-Mails – sehr leicht zu erkennen und als Fälschung zu identifizieren. Mittlerweile sind die meisten Phishing-Mails deutlich besser geschrieben und erhalten kaum noch bzw. keine orthografischen Fehler und verwenden oft die richtigen Farben und Firmenlogos.

Banken und andere Institutionen werden Sie vermutlich niemals dazu auffordern, Ihre Anmeldedaten zu überprüfen oder zu übermitteln. Zusätzlich sollten Sie bei sensiblen Seiten niemals die Links aus E-Mails verwenden, bevor Sie diese geprüft haben. Nutzen Sie stattdessen die gespeicherte Adresse in der Favoritenliste oder geben Sie die gewünschte URL (Uniform Resource Locator) direkt in die Adressleiste des Browsers ein und nicht in das Suchfenster der Suchmaschine.

Abbildung 2.2     Beispiel für eine generische Phishing-Mail, die Geld verspricht

Häufig sind Phishing-Mails brandaktuell. So spielt die Mail aus Abbildung 2.2 auf die Corona-Pandemie an und verspricht dem Adressaten, schnell und einfach Geld zu verdienen. Verdächtig bei dieser Mail ist der Absendername (volker), hinter dem aber eine völlig falsche E-Mail-Adresse steht. Zusätzlich stehen mehrere (dem Adressaten unbekannte) Empfänger in der An-Zeile. Weitere verdächtige Merkmale sind das Fehlen einer Anrede und der Link am Ende, der auf bit.ly verweist (es könnte auch ein anderer Dienst sein, der verkürzte URLs anbietet). Hinter dem Link könnte sich entweder eine gefälschte Webseite verbergen, die Anmeldeinformationen (z. B. für Online-Dienste) abfangen will, oder eine präparierte Webseite, auf der Schadsoftware aktiv ist, die dann den Computer des Aufrufers infizieren und möglicherweise übernehmen will.

Es gibt diverse Indizien, die darauf hinweisen, dass es sich bei einer E-Mail um eine Phishing-Mail oder eine gefälschte Mail handelt. Auch in Abbildung 2.3 können Sie einige der Merkmale erkennen:

• Es wird versucht, Zeitdruck zu erzeugen, sodass der Empfänger dazu verleitet wird, sofort tätig zu werden, und nicht intensiv prüft, ob es sich um eine valide Nachricht handelt. So steht in dieser Mail: »Zahlungsverzug (Bitte pruefen Sie dies heute)«.

• Der Anzeigename des Absenders (Vanessa) stimmt nicht mit der Absende-Mailadresse überein ([e-mail]).

• In der Nachricht geht es nicht um einen möglichen Zahlungsverzug. Der reißerische Betreff soll Sie nur dazu bringen, die Mail zu lesen.

• Der Absender der Mail hat eine web.de-Adresse, aber wenn Sie mit der Maus über den hinterlegten Link gehen, wird die Adresse, die verlinkt ist, angezeigt. Dieser Link zeigt auf eine russische Webseite.

Ein großer Teil der Phishing-Mails beziehen sich auf Banken oder andere Zahlungsdienstanbieter. Dabei versuchen die Angreifer das Opfer dazu zu bringen, relevante Bankdaten wie Zugangsdaten, Kontodaten oder Kreditkarten preiszugeben. Die Angreifer wollen entweder die erbeuteten Daten weiterverkaufen oder selbst die Daten nutzen, um an Geld zu gelangen oder Waren im Internet zu bestellen. »Interessant« sind diese Mails besonders dann, wenn Sie gar nicht Kunde der Bank sind, aber aufgefordert werden, Ihre Daten zu verifizieren.

Abbildung 2.3     Weiteres Beispiel für eine Phishing-Mail

Auch in der Mail aus Abbildung 2.4 sind wieder einige Merkmale vorhanden, die erkennen lassen, dass es sich nicht um eine legitime Mail einer Sparkasse handelt:

• Die Absende-Mailadresse ist @online.de. Sparkassen oder andere Bankinstitute verwenden eigene E-Mail-Domänen als Absender.

• Der Link zum Aktualisieren verweist auf eine Adresse auf einem Webserver in Indien.

Abbildung 2.4     Beispiel für eine Bank-Phishing-Mail

Die Webseiten, die hinter diesen Links stecken, können z. B. wie in Abbildung 2.5 aussehen. Häufig sind es auch Webseiten, die den Originalwebseiten täuschend echt nachgeahmt sind.

Abbildung 2.5     Webseite, die Sie auffordert, Anmeldedaten einzugeben

Neben den E-Mails, die über Links das Opfer in die Falle tappen lassen, werden auch öfter Mails versendet, die den Schadcode bereits mitbringen. Dieser wird häufig in ausführbarem Code (z. B. in Skripten) versteckt, und die Icons der Dateien werden entsprechend gefälscht. In solchen Nachrichten werden oft sehr hohe Geldbeträge angegeben, um den Druck zu erhöhen, den Anhang zu öffnen.

Abbildung 2.6     E-Mail mit gefährlichem Anhang

Wenn Sie diesen Mail-Anhang öffnen und ausführen, kann es sein, dass entweder der Schadcode direkt enthalten ist oder dass eine kleine Routine auf präparierte Webseiten geht und von dort zusätzliche Schädlinge nachlädt und installiert.

Zum Schutz vor Phishing-Mails sollten Sie zuallererst Ihre Anwender schulen und sensibilisieren, sodass die Anwender nicht alle Mails mit dubiosen Absendern oder Anhängen öffnen. Zusätzlich sollten Sie sicherstellen, dass Ihre Antivirenlösung aktiv ist und eventuell enthaltene Schadsoftware erkennt. Ein Filter auf Ihrem Mail-Server kann dabei helfen, Phishing-Mails und Spam-Mails herauszufiltern und von den Anwendern fernzuhalten.

Spam-Mails sind im Gegensatz zu Phishing-Mails harmloser. Spam-Mails dienen dazu, entweder das Postfach oder den Mailserver zu fluten oder Sie dazu zu verleiten, auf Webseiten zu gehen, auf denen dann durch Werbeeinnahmen Geld für den Angreifer generiert wird. Ein wirksamer Schutz, um Schaden durch solche Angriffe zu reduzieren, ist die Verwendung einer Mulitfaktor-Authentifizierung, bei der der Benutzer durch ein weiteres Gerät (Smartphone-App, Schlüsselgenerator oder Telefonanruf des Anbieters verbunden mit der Eingabe eines zusätzlichen PINs) die Anmeldung bestätigen muss. Selbst wenn der Benutzer auf die Spam-Mail hereinfällt und die Anmeldeinformationen gegenüber dem Angreifer preisgibt, kann der Angreifer mit den erbeuteten Informationen keinen Zugriff auf die Ressourcen erlangen, da für eine erfolgreiche Authentifizierung – und damit eine Ausnutzung der Anmeldeinformationen – weitere Faktoren in Form einer zusätzlichen Authentifizierung benötigt werden. Diese können in Form einer Smartphone-App oder eines Einmal-Codes vorliegen.

2.3.2    Ransomware

In den letzten Jahren gab es immer wieder Wellen von Angriffen mit sogenannter Ransomware. Das Ziel dieser Angriffe war es, die Daten auf den Systemen der Opfer zu verschlüsseln und damit Geld zu erpressen. Ob die Daten nach der Zahlung entschlüsselt werden können, bleibt jedoch fraglich. Die Zahlung des Geldes erfolgt meist in Bitcoin.

Der Angreifer versucht zusätzlichen Druck aufzubauen, indem sich der zu zahlende Preis im Laufe der Zeit erhöht. Das große Dilemma bei Ransomware (siehe Abbildung 2.7) wie z. B. WannaCry besteht darin, dass der Angriff im Kontext des Benutzers erfolgt und potenziell alle Dateien gefährdet sind, auf die der Benutzer Zugriff besitzt. Das Ausführen im Kontext des Benutzers bedeutet, dass die Schadsoftware durch den Benutzer ausgeführt wird und die Rechte verwendet, die er besitzt. Der Angreifer muss also nicht erst auf dem Computer eine Schwachstelle finden und ausnutzen, um die Schadsoftware zu starten und den Schaden zu verursachen. Neben dem Zugriff auf lokale gespeicherte Dateien haben Benutzer in aller Regel auch Zugriff auf Daten, die auf Dateiservern im Netzwerk gespeichert sind. Diese Dateien sind ebenso gefährdet wie die lokalen Dateien auf dem Computer des Benutzers.

Wenn sich ein Benutzer eine Ransomware auf den Rechner herunterlädt und ausführt, werden alle Dateien (lokal...

Über Autor(innen)

Kloep, Peter
Peter Kloep ist ein herausragender Experte für sichere Windows-Infrastrukturen im deutschsprachigen Raum. Seit 2002 ist er Microsoft Certified Trainer und hat seitdem zahlreiche technische Trainings zur Windows-Administration durchgeführt. Außerdem ist er Microsoft Certified Systems Engineer und Microsoft Certified Solutions Expert – Windows Server 2012.Er war bei Microsoft als Premier Field Engineer tätig und unterstützte dort Premier-Kunden in den Bereichen Identity Management und Security. Er kennt daher die in diesem Buch beschriebenen Fragestellungen aus der Praxis, ist mit den Ansprüchen der Unternehmen vertraut und geht gezielt auf potentielle Fallstricke und Probleme ein.

Weigel, Karsten
Karsten Weigel arbeitet seit über 20 Jahren administrativ und beratend im IT-Umfeld. Er ist Microsoft Certified Solutions Associate und als Microsoft Certified Technology Specialist ausgewiesener Experte für Netzwerkinfrastruktur, Windows Server und Active Directory. Als technischer Projektverantwortlicher verfügt er über langjährige Erfahrungen in der Systemmigration von heterogenen Windows-Umgebungen. Derzeit ist er als Enterpriseadministrator für ein weltweit betriebenes Active Directory verantwortlich und ist technischer Ansprechpartner gegenüber dem Herstellersupport.