10 Best Practices für Active Directory-Dienstkonten

Was ist ein Dienstkonto?

Ein Dienstkonto ist ein dediziertes Benutzerkonto, das für die Ausführung bestimmter Dienste oder Anwendungen auf dem Windows-Betriebssystem vorgesehen ist. Im Gegensatz zu regulären Benutzerkonten sind Dienstkonten nicht an Einzelpersonen gebunden und können ohne menschliches Eingreifen funktionieren. Ihnen werden häufig bestimmte Berechtigungen zur Ausführung vordefinierter Funktionen erteilt, z. B. zum Zugriff auf Datenbanken, zum Ausführen von Skripts oder Befehlen, zum Herstellen einer Verbindung zu APIs oder zum Verwalten von Cloud-Diensten.

Mithilfe von Dienstkonten können Organisationen Zugriffsberechtigungen effektiver verwalten und steuern, da sie je nach den spezifischen Anforderungen der Aufgabe oder des Projekts problemlos gewährt oder widerrufen werden können. Durch die Verwendung von Dienstkonten können Organisationen den Zugriff auf kritische Systeme und Anwendungen einschränken und gleichzeitig die von diesen Konten durchgeführten Aktivitäten genau überwachen. Dienstkonten ermöglichen die nahtlose Ausführung automatisierter Prozesse ohne menschliches Eingreifen und steigern so die betriebliche Effizienz. Diese Konten können rund um die Uhr betrieben werden und gewährleisten so eine kontinuierliche Serviceverfügbarkeit. Sie tragen auch dazu bei, die Notwendigkeit zu minimieren, dass Einzelpersonen ihre persönlichen Anmeldeinformationen weitergeben.

Arten von Dienstkonten

Es gibt verschiedene Arten von Dienstkonten, die zum Ausführen von Diensten verwendet werden können, wobei jeder Typ einem anderen betrieblichen Zweck dient.

Integrierte lokale Benutzerkonten, wie das Systemkonto, das lokale Dienstkonto und das Netzwerkdienstkonto, verfügen über spezifische Rollen für die lokale Systemverwaltung und den Zugriff auf Netzwerkressourcen mit oder ohne Anmeldeinformationen.
Domänenbenutzerkonten, die zentral von Active Directory verwaltet werden, sind für die Dienstnutzung konzipiert und können für einen einzelnen oder mehrere Dienste erstellt werden. Allerdings sind die Berechtigungen auf das für den Dienst erforderliche Maß beschränkt und Passwörter müssen regelmäßig zurückgesetzt werden.
Verwaltete Active Directory-Dienstkonten ähneln Domänenbenutzerkonten, haben jedoch den zusätzlichen Vorteil, dass das Passwort regelmäßig und automatisch zurückgesetzt wird. Jedem Computer kann nur ein Konto zugewiesen werden, das mit mehreren Diensten verwendet werden kann, oder es können für jeden Dienst separate Konten erstellt werden.

Zu den Vorteilen eines Managed Service Accounts gehören verbesserte Sicherheitsmaßnahmen und eine vereinfachte Wartung. Darüber hinaus können diese Konten Dienste auf einem Computer ausführen und gleichzeitig mit bestimmten Benutzeranmeldeinformationen eine Verbindung zu Netzwerkdiensten herstellen. Dennoch ist es wichtig, diese Konten regelmäßig zu prüfen und bewährte Verfahren zu befolgen, um eine angemessene Sicherheit zu gewährleisten.

Best Practices für Dienstkonten

Nachfolgend finden Sie Tipps zur Sicherheit und Verwaltung von Dienstkonten:

1. Beseitigen Sie unnötige Zugriffsrechte

Bedenken Sie beim Erstellen eines Dienstkontos immer, dass dieses nur über die Mindestberechtigungen verfügen sollte, die zum Ausführen der jeweiligen Aufgabe erforderlich sind. Einige zusätzliche Privilegien, die Sie aufgeben können, sind beispielsweise Fernzugriffsfunktionen, Terminaldienstanmeldungen, Internet- und E-Mail-Zugriff sowie Fernsteuerungsrechte.

Alle diese Einstellungen können einfach konfiguriert werden. Das folgende Bild zeigt die Verweigerung des Zugriffs auf Netzwerkzugriffsberechtigungen, die auf der Registerkarte „Einwahl“ verfügbar sind.

Sie müssen „Active Directory-Benutzer und -Computer“ öffnen, auf den Container „Benutzer“ zugreifen, mit der rechten Maustaste auf ein Benutzerkonto klicken und auf dessen Eigenschaften zugreifen. Wechseln Sie zur Registerkarte „Einwahl“.

2. Erstellen Sie Dienstkonten von Grund auf

In einigen früheren Fällen des Missbrauchs von Dienstkonten wurde festgestellt, dass die Konten über zusätzliche Berechtigungen verfügten, da sie durch das Kopieren alter Konten mit hohen Berechtigungen erstellt wurden. Wenn Sie durch Kopieren ein neues Dienstkonto erstellen, besteht die Gefahr, dass Sie versehentlich übermäßige Berechtigungen zuweisen, da sich die Rolle des alten Kontos möglicherweise von der des neuen unterscheidet. Das Kopieren erleichtert den Verwaltungsaufwand, birgt jedoch ein Risiko!

3. Vermeiden Sie es, Dienstkonten in integrierte privilegierte Gruppen einzuteilen

Das Zuweisen von Dienstkonten in integrierte privilegierte Gruppen, wie etwa die lokale Gruppe „Administratoren“ oder „Domänenadministratoren“, kann riskant sein. Jeder in der Gruppe kennt die Anmeldeinformationen des Dienstkontos und diese Anmeldeinformationen können missbraucht werden. Darüber hinaus wird es schwierig sein, den Täter aufzuspüren, da mehrere Administratoren in dieser Gruppe die Anmeldeinformationen kennen.

Wenn Sie aus irgendeinem Grund einer privilegierten Gruppe ein Dienstkonto zuweisen müssen, erstellen Sie eine benutzerdefinierte Gruppe und fügen Sie stattdessen das Dienstkonto hinzu. Verweigern Sie dieser Gruppe dann explizit den Zugriff auf andere Konten. Durch solche Maßnahmen wird die Möglichkeit des Missbrauchs von Dienstkonten ausgeschlossen.

4. Zugriffsberechtigungen für Dienstkonten über ACL (DACL) verweigern

Um wichtige Objekte wie Dateien, Ordner, freigegebene Ordner und Registrierungsobjekte vor Missbrauch durch Dienstkonten zu schützen, können Sie die ACL (Access Control List)/DACL (Discretionary Access Control List) verwenden.

Sie können das Kontrollkästchen „Verweigern“ im Eigenschaftenblatt des Objekts verwenden, um Berechtigungen für das Dienstkonto zu verweigern. Führen Sie beispielsweise die folgenden Schritte aus, um den Zugriff auf einen Ordner mit dem Namen „Dokumente“ zu verweigern:

Klicken Sie mit der rechten Maustaste auf den Ordner „Dokumente“ und klicken Sie auf „Eigenschaften“.
Wechseln Sie in den Ordnereigenschaften zur Registerkarte „Sicherheit“.
Klicken Sie hier auf die Schaltfläche „Erweitert“, um auf die erweiterten Sicherheitseinstellungen zuzugreifen.
Klicken Sie auf der Registerkarte „Berechtigungen“ der „Erweiterten Sicherheitseinstellungen“ auf die Schaltfläche „Hinzufügen“. Das Fenster „Berechtigungseintrag“ erscheint auf dem Bildschirm.
Klicken Sie auf den Link „Prinzipal auswählen“, um auf „Benutzer auswählen…“ zuzugreifen. " Dialogbox.
Geben Sie den Namen des Dienstkontos ein und klicken Sie auf „Namen überprüfen“. Nach der Überprüfung des Namens wird dieser als URL formatiert.
Klicken Sie auf „OK“, um zum Fenster „Berechtigungseingabe“ zurückzukehren.
Wählen Sie hier im Dropdown-Menü „Typ“ die Option „Verweigern“.
Klicken Sie auf „Vollzugriff“, um alle Berechtigungen zu verweigern.
Klicken Sie auf „OK“, um Ihre Auswahl abzuschließen. Sie gelangen zurück zu „Erweiterte Sicherheitseinstellungen“.
Klicken Sie auf „Übernehmen“ und „OK“.

Nachdem Sie die oben genannten Schritte ausgeführt haben, werden die vom übergeordneten Element geerbten Berechtigungen überschrieben. Auf diese Weise sind wichtige Ressourcen für Hacker nicht zugänglich, selbst wenn das Dienstkonto kompromittiert wird.

Im folgenden Bild wird die ACL des Ordners „Dokumente“ angezeigt (verfügbar unter der Registerkarte „Sicherheit“ der Ordnereigenschaften):

5. Entfernen Sie überflüssige Benutzerrechte

Überprüfen und beseitigen Sie unnötige Benutzerrechte. Einige der häufigsten Benutzerrechte, die explizit verweigert werden können, sind „Zugriff auf diesen Computer über das Netzwerk verweigern“ und „Anmeldung als Batch-Job verweigern“.

Um dies zu implementieren, erstellen Sie ein benutzerdefiniertes Gruppenrichtlinienobjekt (GPO) auf Domänenebene, das einem Dienstkonto das Recht verweigert, sich über das Netzwerk oder als Batch-Job anzumelden. Gehen Sie zu „Systemsteuerung“ „Gruppenrichtlinien-Verwaltungskonsole“. Wählen Sie eine Richtlinie aus und bearbeiten Sie sie im „Gruppenrichtlinienverwaltungs-Editor“. Im GPO-Editor müssen Sie zu „Computerkonfiguration“, „Richtlinien“, „Windows-Einstellungen“, „Sicherheitseinstellungen“, „Lokale Richtlinien“ und „Zuweisung von Benutzerrechten“ gehen.

Wählen Sie hier die Richtlinie „Zugriff auf diesen Computer über das Netzwerk verweigern“ aus und ändern Sie sie. Die Schritte sind im folgenden Bild dargestellt:

6. Verwenden Sie die Option „Anmelden bei“.

Sie können die Anzahl der Computer begrenzen, an denen sich ein Dienstkonto anmelden kann, indem Sie die Option „Anmelden bei“ verwenden. Auf diese Weise können Dienstkonten nicht auf Dateiserver mit sensiblen Daten zugreifen.

Öffnen Sie dazu „Active Directory-Benutzer und -Computer“, gehen Sie zu dem Container (oder der Organisationseinheit), in dem sich das Dienstkonto befindet, klicken Sie mit der rechten Maustaste auf das Dienstkonto und klicken Sie auf „Eigenschaften“. Wechseln Sie zur Registerkarte „Konto“.

Klicken Sie auf die Schaltfläche „Anmelden bei“, um auf das folgende Fenster zuzugreifen.

Wählen Sie die Option „Die folgenden Computer“. Geben Sie dann den Computernamen ein und klicken Sie auf „Hinzufügen“. Hier können Sie die Namen der Computer hinzufügen, auf denen sich jeder Benutzer mit dem ausgewählten Dienstkonto anmelden kann. Dieses Dienstkonto funktioniert nicht auf anderen Computern, die hier nicht aufgeführt sind.

7. Dienstkonten sollten auf die Anmeldung zu vorgeschriebenen Zeiten beschränkt sein

Dienstkonten sollten so konfiguriert werden, dass sie sich nur zu einer bestimmten Tageszeit anmelden. Sie können diesen Plan implementieren, indem Sie die Option „Anmeldezeiten“ verwenden, die Zeit- und Tagesbeschränkungen auferlegt. Um diese Einstellung anzuwenden, klicken Sie wie zuvor gezeigt auf der Registerkarte „Konto“ der Benutzereigenschaften auf „Anmeldezeiten“.

8. Sichern Sie Dienstkonten durch Passwortkonfigurationen

Sie können zwei Passwortoptionen verwenden, um ein Dienstkonto zu sichern: „Benutzer kann Passwort nicht ändern“ und „Konto ist vertraulich und kann nicht delegiert werden“. Die erste Option stellt sicher, dass niemand außer Administratoren das Passwort kontrolliert, die zweite Option stellt sicher, dass niemand das Konto delegiert, um seine Berechtigungen für die Verbindung mit lokalen oder Remote-Rechnern zu missbrauchen. Beide Optionen werden wieder auf derselben Registerkarte „Konto“ der Nutzungseigenschaften aufgeführt, wie zuvor dargestellt.

9. Dienstkonten prüfen

Sie müssen die Überwachung für alle Dienstkonten und andere zugehörige Objekte aktivieren. Diese Überwachungseinstellungen können lokal auf Systemebene oder über GPO auf Netzwerkebene konfiguriert werden. Nachdem Sie die Überwachung aktiviert haben, müssen Sie die Protokolle kontinuierlich überprüfen, um die Dienstkonten zu schützen.

10. Bereinigen Sie Konten, die nicht mehr benötigt werden

Viele Organisationen verfügen über zahlreiche Dienstkonten, die in ihrer Active Directory-Umgebung aktiv sind. Einige dieser Konten wurden jedoch möglicherweise versehentlich erstellt oder werden aufgrund einer Systemstilllegung oder aus anderen Gründen nicht mehr verwendet. Das Problem besteht darin, dass diese ungenutzten Konten ein leichtes Ziel für Angreifer sein können, da sie normalerweise nicht überwacht werden, was bedeutet, dass böswillige Aktivitäten oder unbefugte Zugriffe unbemerkt bleiben könnten.

Um dieses Problem anzugehen, ist es wichtig, einen robusten Prozess zur Anforderung und Stilllegung von Dienstkonten einzurichten. Allerdings ist auch dann noch eine Bereinigung ungenutzter Dienstkonten erforderlich, um einen sauberen Zustand zu erreichen. Der Prozess des Sammelns von Informationen über Dienstkonten aus Active Directory umfasst die Suche nach allen Benutzerkonten in bestimmten Organisationseinheiten für Dienstkonten, nach Benutzernamen, die mit einem bestimmten Präfix (z. B. svc) beginnen, oder nach bestimmten Formatierungen in Beschreibungen oder anderen Feldern. Darüber hinaus kann eine hilfreiche Abfrage mit dem Titel „Dienstkonten seit 30 Tagen nicht angemeldet“ als Ausgangspunkt zur Identifizierung alter Konten verwendet werden, die nicht verwendet werden. Es wird empfohlen, eine Echtzeit-Überwachungslösung einzuführen, die inaktive Dienstkonten automatisch erkennen und verwalten kann.