Schützen Sie Ihr Active Directory vor Sicherheitskonfigurationsabweichungen
Konfigurationsabweichungen treten auf, wenn sich im Laufe der Zeit allmählich Änderungen ergeben. Das Konzept der Konfigurationsdrift wird oft im Zusammenhang mit der Softwareentwicklung oder der Konfiguration von Desktop-Betriebssystemen diskutiert, aber das Konzept ist auch für Active Directory relevant. In einer Active Directory-Umgebung kann Konfigurationsdrift zu Inkonsistenzen bei der Konfiguration von Objekten oder sogar zu undokumentierten Einstellungen führen. Es ist normal, dass sich Active Directory-Einstellungen im Laufe der Zeit weiterentwickeln. Solche Entwicklungen müssen jedoch streng kontrolliert erfolgen, um Konfigurationsabweichungen zu verhindern.
Trotz aller Bemühungen eines Unternehmens kann es zu Konfigurationsabweichungen innerhalb des Active Directory kommen, und das kommt auch häufig vor. Ein Administrator könnte beispielsweise vergessen, eine neue Einstellung zu dokumentieren. Ebenso kann es passieren, dass ein Administrator eine neue Sicherheitseinstellung auf eine Domäne anwendet und vergisst, die Einstellung auch auf die anderen Domänen der Organisation anzuwenden, was zu Inkonsistenzen von einer Domäne zur nächsten führt.
Obwohl die in Windows Server integrierten Tools zur Erkennung von Konfigurationsabweichungen innerhalb des Active Directory verwendet werden können, ist der Bewertungsprozess arbeitsintensiv und die Erkennung erfolgt nicht in Echtzeit. IT-Profis, die ihre Active Directory-Umgebungen vor Konfigurationsabweichungen schützen möchten, sind besser dran, eine Lösung eines Drittanbieters wie Lepide Active Directory Auditor zu verwenden.
Es gibt drei Schlüssel zum Schutz des Active Directory eines Unternehmens vor Konfigurationsabweichungen. Die Active Directory-Prüfungssoftware von Lepide ist in der Lage, jede dieser Anforderungen zu erfüllen.
Die erste Voraussetzung zum Schutz des Active Directory vor Konfigurationsabweichungen ist eine aussagekräftige Überwachung. Das Windows-Betriebssystem ist von Haus aus in der Lage, umfangreiche Audits durchzuführen. Allerdings kann es außerordentlich schwierig sein, ein bestimmtes Ereignis in den Windows-Überwachungsprotokollen zu finden. Wenn eine Organisation ihr Active Directory überwachen möchte, sollte sie idealerweise einen Überwachungsmechanismus verwenden, der eine einfache, aber aussagekräftige Liste von Änderungen an den Active Directory-Einstellungen erstellt. Ein Administrator sollte in der Lage sein, den Protokolleintrag für jede Änderung leicht zu finden und zu sehen, wer die Änderung wann vorgenommen hat.
Die zweite Anforderung ist die Alarmierung in Echtzeit. Angesichts der Rolle, die Active Directory für die Gesamtsicherheit einer Organisation spielt, ist es für das Verwaltungspersonal von entscheidender Bedeutung, zu wissen, wann Änderungen vorgenommen werden. Ein Administrator sollte eine Active Directory-Änderung niemals Wochen nach ihrer Durchführung finden. Änderungen an den Active Directory-Einstellungen sollten dem Administrator in Echtzeit mitgeteilt werden, damit der Administrator feststellen kann, ob diese Änderungen autorisiert sind oder nicht.
Die dritte Voraussetzung zum Schutz des Active Directory vor Konfigurationsabweichungen ist ein Rollback-Mechanismus. Stellen Sie sich für einen Moment vor, dass jemand aus dem IT-Personal eine unsachgemäße Änderung am Active Directory vornimmt. Für den Administrator wäre es besser, die Änderung rückgängig machen zu können, als sie manuell rückgängig zu machen. Rollbacks sind weniger arbeitsintensiv als manuelle Änderungen und weniger anfällig für menschliche Fehler.
Da die gesamte Sicherheitsinfrastruktur eines Unternehmens oft auf dem Active Directory basiert, ist es wichtig, genau zu wissen, wie das Active Directory konfiguriert ist. Ein Prüfsystem eines Drittanbieters wie der Active Directory-Prüfer von Lepide kann Administratoren dabei helfen, Änderungen an Active Directory-Einstellungen zu erkennen, sodass diese Änderungen entweder dokumentiert oder rückgängig gemacht werden können.
Über den Autor - Brien Posey ist ein freiberuflicher Autor, technischer Redner und Microsoft MVP.