Richtlinien zur Überwachung von Active Directory

Active Directory bietet Account-Management, Authentifizierung und Autorisierungsdienste, die für eine starke Zugriffssteuerung unerlässlich sind. Daher ist eine ordnungsgemäße Active Directory-Überwachung sowohl für die Cybersicherheit als auch für die Einhaltung von Vorschriften, die ein starkes Zugriffsmanagement erfordern, wesentlich.

Zum Beispiel müssen Organisationen, um Insider Threats schnell zu erkennen, ständig die Erstellung neuer Konten und Sicherheitsgruppen sowie Änderungen an bestehenden Benutzern und Gruppen überwachen, da diese Änderungen unberechtigte Zugriffsrechte gewähren könnten, die von Kontoinhabern oder Angreifern, die ihre Konten kompromittieren, missbraucht werden könnten. Sie müssen auch die Benutzeraktivitäten wie Anmeldeversuche und Verzeichnisänderungen genau beobachten und Sicherheitslücken wie inaktive Benutzer- und Computerkonten identifizieren.

Allerdings protokolliert Active Directory nicht standardmäßig alle Sicherheitsereignisse — Sie müssen das Auditing wichtiger Ereignisse explizit aktivieren, damit sie im Sicherheitsereignisprotokoll erfasst und in Auditberichte und Warnungen aufgenommen werden können.

Dieser Artikel bietet Empfehlungen für die Einrichtung von Auditing in Ihrer Active Directory-Umgebung unter Verwendung der Netwrix Audit Policy Best Practices als Referenz.

Erste Schritte bei der AD-Auditing

Active Directory (AD)-Überwachung ist der Prozess der Sammlung und Analyse von Daten über Ihre AD-Objekte und Group Policy. Organisationen führen AD-Überwachungen durch, um die Sicherheit proaktiv zu verbessern, Bedrohungen schnell zu erkennen und darauf zu reagieren und den IT-Betrieb reibungslos zu halten.

Verwendung von Audit Policy

Um festzulegen, welche Systemereignisse und Benutzeraktivitäten verfolgt werden sollen, verwenden Sie die Einstellungen der Audit Policy in der Active Directory Group Policy. Sie legen fest, welche Arten von Ereignissen Sie überwachen möchten und wählen die Einstellungen für jedes einzelne aus. Beispielsweise können Sie alle Ereignisse protokollieren, wenn ein Benutzerkonto deaktiviert wird oder ein falsches Passwort eingegeben wird.

Wie andere Group Policy settings wird das Auditing mit dem Group Policy Management Editor (GPME) in der Group Policy Management Konsole (GPMC) konfiguriert. Beachten Sie, dass die Audit-Einstellungen für Geräte, die einer Domäne beigetreten sind, standardmäßig auf einem relativ niedrigen Niveau festgelegt sind und daher verfeinert werden sollten. Auf Domänencontrollern (DCs) ist das Auditing oft robuster, aber es könnte immer noch nicht auf dem Niveau sein, das Sie benötigen.

Um Active Directory zu überwachen, können Sie entweder die grundlegenden (lokalen) Sicherheitsüberwachungsrichtlinien oder die erweiterten Sicherheitsüberwachungsrichtlinien verwenden, die mehr Detailliertheit ermöglichen. Microsoft empfiehlt nicht, beide zu verwenden, da dies zu „unerwarteten Ergebnissen in der Überwachungsberichterstattung“ führen kann. In den meisten Fällen wird die grundlegende Überwachung ignoriert, wenn Sie die erweiterte Überwachung aktivieren, selbst wenn Sie später die erweiterte Überwachung deaktivieren. Es wird empfohlen, die erweiterte Überwachung zu verwenden, wenn Sie derzeit keine Überwachung durchführen.

• Grundlegende Richtlinien können festgelegt werden, indem man zu Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Audit Policy.
• Erweiterte Richtlinieneinstellungen finden Sie unter Computerkonfiguration > Richtlinien > Windows-Einstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Überwachungsrichtlinien.

Prüfungsrichtlinienumfang

Sie können Überwachungsrichtlinien sowohl für die gesamte Domäne als auch für einzelne Organisationseinheiten (OUs) definieren. Beachten Sie, dass eine auf OU-Ebene konfigurierte Einstellung eine höhere Priorität als eine Domäneneinstellung hat und diese im Falle von Konflikten überschreibt. Sie können die resultierenden Richtlinien mit dem Befehlszeilen-Tool auditpol überprüfen.

Konfigurieren des Sicherheitsprotokolls

Sie müssen auch die maximale Größe und andere Eigenschaften des Sicherheitsprotokolls über die Einstellungen der Ereignisprotokollierungsrichtlinie festlegen. Um die Einstellungen über GPME zu ändern, navigieren Sie zu Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Ereignisprotokoll und doppelklicken Sie auf den Richtliniennamen. Laut Microsoft beträgt die empfohlene maximale Protokollgröße für moderne Betriebssystemversionen 4 GB und die empfohlene maximale Gesamtgröße für alle Protokolle 16 GB. Sie können die Protokolle mit dem Ereignisanzeige ansehen.

Welche AD-Sicherheitsprotokollereignisse zu verfolgen sind

Der Schlüssel zu effektivem Auditing besteht darin, zu wissen, welche Ereignisse protokolliert werden sollen. Wenn Sie zu viele Ereignisse verfolgen, werden Ihre Protokolle so voller Störgeräusche sein, dass sie schwer zu analysieren sind und sich schnell überschreiben. Wenn Sie jedoch kritische Ereignisse nicht verfolgen, können Sie bösartige Aktivitäten nicht erkennen und Sicherheitsvorfälle nicht untersuchen. Hier sind die empfohlenen Ereignisse, die Sie verfolgen sollten, um das richtige Gleichgewicht zu finden.

Audit-Kontoanmeldeereignisse

Um unbefugte Versuche des Anmeldens an einem Domain zu erkennen, ist es notwendig, Anmeldeereignisse zu überwachen – sowohl erfolgreiche als auch fehlgeschlagene. Audit account logon events bietet eine Möglichkeit, Authentifizierungsereignisse wie NTLM- und Kerberos-Authentifizierung zu verfolgen. Dies sollte nicht mit Audit logon events verwechselt werden, was das Überwachen jedes Benutzerversuchs definiert, sich an einem Computer anzumelden oder abzumelden, wie unten erklärt.

Hier sind die empfohlenen Einstellungen für die erweiterte Audit account logon events Richtlinie:

• Audit Credential Validation: Fehler
• Audit des Kerberos-Authentifizierungsdienstes: Erfolg, Fehler
• Auditieren von Kerberos-Service-Ticket-Vorgängen: Fehler
• Audit Other Account Logon Events: Erfolg, Fehler

Beachten Sie, dass Abmeldeereignisse auf Domänencontrollern nicht verfolgt werden, es sei denn, Sie melden sich tatsächlich an diesem spezifischen DC an.

Audit-Anmeldeereignisse

Diese Richtlinie kann alle erfolgreichen und fehlgeschlagenen Versuche aufzeichnen, sich an einem lokalen Computer an- oder abzumelden, egal ob durch ein Domänenkonto oder ein lokales Konto. Diese Informationen sind nützlich für die Eindringlingserkennung und die forensische Analyse nach Vorfällen. Microsoft stellt Beschreibungen der various event IDs bereit, die protokolliert werden können.

Die minimal empfohlenen erweiterten Einstellungen sind:

• Audit Account Lockout: Erfolg, Fehler
• Audit-Gruppenmitgliedschaft: Erfolg
• Audit Logoff: Erfolg, Fehler
• Audit-Anmeldung: Erfolg, Fehler
• Audit Special Logon: Erfolg, Fehler

Kontenverwaltung

Eine sorgfältige Überwachung aller Änderungen an Benutzerkonten hilft, das Risiko von Geschäftsunterbrechungen und Systemausfällen zu minimieren.

Mindestens wird empfohlen, die grundlegende Audit account Management Richtlinie auf „Erfolg“ zu setzen. Wenn Sie erweiterte Überwachungsrichtlinien verwenden, nutzen Sie die folgenden Einstellungen:

• Audit Application Group Management: Erfolg, Fehler
• Audit Computer Account Management: Erfolg
• Audit Distribution Group Management: Erfolg
• Audit Other Account Management Events: Erfolg
• Audit Security Group Management: Erfolg
• Audit User Account Management: Erfolg, Fehler

Zugriff auf den Verzeichnisdienst

Überwachen Sie dies nur, wenn Sie sehen müssen, wenn jemand auf ein AD-Objekt zugreift, das über seine eigene Systemzugriffskontrollliste verfügt, wie zum Beispiel eine OU. In diesem Fall wird empfohlen, die folgenden Einstellungen zu konfigurieren:

• Überwachung des Directory Service-Zugriffs: Erfolg, Fehler
• Audit von Directory Service-Änderungen: Erfolg, Fehler

Objektzugriff

Überwachen Sie dies nur, wenn Sie nachvollziehen müssen, wann jemand Berechtigungen verwendet hat, um auf Dateiservern Dateien zu öffnen, zu kopieren, zu verteilen, zu ändern oder zu löschen. Das Aktivieren dieser Einstellung kann eine große Menge an Sicherheitsprotokolleinträgen erzeugen, verwenden Sie es daher nur, wenn Sie eine spezifische Verwendung für diese Daten haben. Die empfohlenen erweiterten Einstellungen sind:

• Audit Detailed File Share: Fehler
• Audit File Share: Erfolg, Fehler
• Audit Other Object Access Events: Erfolg, Fehler
• Audit Removable Storage: Erfolg, Fehler

Richtlinienänderung

Unsachgemäße Änderungen an einem Gruppenrichtlinienobjekt (GPO) können zu Sicherheitsvorfällen und Verstößen gegen data privacy Vorschriften führen. Um Ihr Risiko zu minimieren, richten Sie folgende erweiterte Einstellungen ein:

• Überwachungsrichtlinienänderung: Erfolg, Fehler
• Audit Authentication Policy Change: Erfolg, Fehler
• Audit MPSSVC-Regelrichtlinienänderung: Erfolg, Fehler
• Auditieren Sie andere Policy-Änderungsereignisse: Fehler

Privilegiennutzung

Aktivieren Sie dies nur, wenn Sie jede Instanz der Verwendung von Benutzerprivilegien verfolgen möchten. Das Aktivieren dieser Richtlinie kann eine große Anzahl von Einträgen in Ihren Sicherheitsprotokollen generieren, daher tun Sie dies nur, wenn Sie eine spezifische Verwendung für diese Daten haben. Um diese Richtlinie zu aktivieren, konfigurieren Sie Folgendes:

• Auditieren der Verwendung sensibler Privilegien: Erfolg, Fehler

Prozessverfolgung (manchmal auch als Detaillierte Verfolgung bezeichnet)

Diese Einstellung ist nur in der erweiterten Überwachungsrichtlinie verfügbar und konzentriert sich auf prozessbezogene Überwachungsereignisse, wie Prozesserstellung, Prozessbeendigung, Handle-Duplikation und indirekten Objektzugriff. Sie kann für die Untersuchung von Vorfällen nützlich sein, kann jedoch ein großes Volumen an Einträgen in Ihren Sicherheitsprotokollen erzeugen, daher aktivieren Sie sie nur, wenn Sie eine spezifische Verwendung für die Daten haben. Die empfohlenen Einstellungen sind:

• Audit PNP-Aktivität: Erfolg
• Auditierung der Prozesserstellung: Erfolg

System

Es ist ratsam, alle Versuche zu protokollieren, einen Computer zu starten, herunterzufahren oder neu zu starten, sowie alle Versuche eines Prozesses oder Programms, etwas zu tun, für das es keine Berechtigungen hat, wie zum Beispiel Schadsoftware, die versucht, Einstellungen auf Ihrem Computer zu ändern. Empfohlene erweiterte Einstellungen sind:

• Überwachung des Sicherheitsstatuswechsels: Erfolg, Fehler
• Auditieren Sie andere Systemereignisse: Erfolg, Fehler
• Überprüfung der Systemintegrität: Erfolg, Fehler
• Audit Security System Extension: Erfolg

AD Auditing Best PracticesTop of Form

Durch das Auditing von Active Directory können Sie Sicherheitsrisiken reduzieren, indem Sie toxische Bedingungen wie tief verschachtelte Gruppen und direkt zugewiesene Berechtigungen identifizieren und beheben, die Angreifer ausnutzen können, um Zugang zu Ihren Netzwerkressourcen zu erlangen. Die folgenden Best Practices können Ihr AD-Auditing effektiver machen:

Erhalten Sie ein gründliches Verständnis Ihrer AD-Umgebung.

Beginnen Sie damit, Antworten auf die folgenden Fragen zu finden:

• Wie viele Konten und Gruppen haben Sie?
• Welche GPOS und andere kritische Active Directory-Objekte haben Sie?
• Wer hat Berechtigungen für Ihre DCs und OUs?

Priorisieren Sie Ihre Bemühungen.

Drei Bereiche, in denen Organisationen häufig beginnen, sind:

• Privileged AD-Zugriff — Untersuchen Sie kritische Objekte wie GPOs.
• Große Gruppen — Bewerten Sie den Zugriff von großen Gruppen wie Domain Users und Everyone.
• Zugriff für privilegierte Benutzer — Bestimmen Sie, welche Benutzer erweiterten Zugriff haben, sei es durch die Mitgliedschaft in mächtigen Gruppen wie Domain-Admins oder durch indirektere Methoden wie verschachtelte Gruppenmitgliedschaft.

Binden Sie die richtigen Interessengruppen ein.

Ermitteln Sie, welche Geschäftsnutzer verstehen, wer Zugang zu was haben sollte. Zum Beispiel ist es wahrscheinlich, dass der Leiter einer bestimmten Abteilung weiß, auf welche IT-Ressourcen seine Teammitglieder Zugriff benötigen, um ihre Arbeit zu erledigen, und warum Berechtigungen auf eine bestimmte Weise eingerichtet wurden.

Überprüfen Sie regelmäßig die Gruppenmitgliedschaft.

Zuerst stellen Sie sicher, dass nur die richtigen Benutzer Mitglieder der Domain Admins und Enterprise Admins sind. Eine strenge Begrenzung der Mitgliedschaft in diesen Gruppen wird das Risiko verringern, dass ein abtrünniger Administrator seinen privilegierten Zugang missbraucht. Ebenso wichtig ist es, die Anzahl der Konten zu minimieren, die ein Angreifer kompromittieren könnte, um sofortige Kontrolle über die Domäne zu erlangen.

Zweitens, lassen Sie Geschäftsinhaber bestätigen, dass die richtigen Mitglieder in ihren Gruppen sind — und dass die Gruppe nur Zugang zu den Ressourcen hat, die sie benötigt.

Führen Sie diese Überprüfungen regelmäßig durch.

Verbessern Sie kontinuierlich Ihren AD-Auditing-Prozess

Sobald Sie Ihre wichtigsten Prioritäten für das AD-Auditing umgesetzt haben, gehen Sie zu den nächsten Bereichen über. Zum Beispiel, nachdem Sie regelmäßige Überprüfungen der Gruppenmitgliedschaften etabliert haben, beginnen Sie mit dem Auditing von Änderungen an AD-Passwörtern.

Nächste Schritte

Die Einrichtung der richtigen Überwachungsrichtlinien ist ein guter Anfang – aber es ist nur die halbe Miete. Sie müssen auch in der Lage sein, die gesammelten Daten zu analysieren. Leider sind moderne IT-Umgebungen so komplex und beschäftigt, dass Protokolle oft zu groß werden, um sie effektiv zu durchforsten, und das Überwachungsprotokoll kann sich sogar selbst überschreiben. Software-Tools für einzelne Zwecke können bei bestimmten Aufgaben helfen, aber ein Flickenteppich von Lösungen kann nicht die umfassende Sichtbarkeit liefern, die Sie für Data Security benötigen.

Mit der Netwrix Active Directory Security Solution können Sie Ihr Active Directory von Anfang bis Ende absichern. Dadurch wird es Ihnen ermöglicht:

• Decken Sie Sicherheitsrisiken in Active Directory auf und priorisieren Sie Ihre Minderungsmaßnahmen.
• Verstärken Sie die Sicherheitskonfigurationen in Ihrer IT-Infrastruktur.
• Erkennen und enthalten Sie umgehend auch fortgeschrittene Bedrohungen, wie DCSync , NTDS.dit extraction und Golden Ticket attacks.
• Reagieren Sie sofort auf bekannte Bedrohungen mit automatisierten Alarmoptionen.
• Minimieren Sie Geschäftsunterbrechungen mit schneller Active Directory-Wiederherstellung.

FAQ

Wie kann ich das Auditing von AD-Objekten aktivieren?

Um die Überwachung von Active Directory-Objekten zu aktivieren, können Sie entweder:

• Konfigurieren Sie eine Überwachungsrichtlinie auf den Domänencontrollern, um die spezifizierten Ereignisse für alle Benutzer zu protokollieren.
• Konfigurieren Sie eine Überwachungs-ACL (SACL) für bestimmte Objekte, um spezifische Änderungen an ihnen zu überwachen.

Wie konfiguriere ich eine Überwachungsrichtlinieneinstellung für einen Domänencontroller?

1. Öffnen Sie die Gruppenrichtlinienverwaltungskonsole.
2. Klicken Sie mit der rechten Maustaste auf die Standardrichtlinie für Domänencontroller und wählen Sie Bearbeiten.
3. Navigieren Sie zu Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Überwachungsrichtlinien.
4. Geben Sie die Überwachungseinstellungen für jede Ereigniskategorie an, die Sie überwachen möchten, und speichern Sie Ihre Änderungen.
5. Warten Sie entweder darauf, dass sich die Richtlinie automatisch aktualisiert oder führen Sie gpupdate auf dem DC selbst aus, um die Richtlinie sofort zu aktualisieren.

Verwenden Sie den Windows-Ereignisanzeiger, um erfasste Ereignisse anzuzeigen.

Wie konfiguriere ich die Überwachung für bestimmte AD-Objekte?

1. Öffnen Sie Active Directory Users and Computers.
2. Navigieren Sie zu dem Objekt, das Sie überwachen möchten, und öffnen Sie es.
3. Gehen Sie zum Sicherheits-Tab.
4. Klicken Sie auf die Schaltfläche Advanced.
5. Gehen Sie zum Register 'Auditing'.
6. Klicken Sie auf Hinzufügen.
7. Wählen Sie die Eigenschaften aus, die Sie überwachen möchten.
8. Klicken Sie auf OK um jedes Fenster zu schließen, bis Sie wieder beim Hauptbildschirm von ADUC sind.