Wie beeinträchtigen inaktive Konten die Active Directory-Sicherheit?

Inaktive Konten im Active Directory sollten IT-Administratoren Angst einjagen. Sie mögen harmlos erscheinen, da sie ruhend, ungenutzt und inaktiv sind, aber sie sind eine offene Einladung für jeden, der die Sicherheit eines Unternehmens gefährden möchte.

Warum inaktive Konten eine Bedrohung für die AD-Sicherheit darstellen

Inaktive Konten mögen harmlos erscheinen, aber sie können einem Unternehmen fatalen Schaden zufügen, insbesondere wenn sie nicht deaktiviert werden oder wenn sie keine Ablauffristen für Passwörter haben. Eindringlinge von außen, die versuchen, in eine Organisation einzudringen, können diese Konten nutzen, da ihre Aktivitäten unbemerkt bleiben. Außerdem können Mitarbeiter, die die Organisation verlassen, ihre Anmeldedaten missbrauchen, um auf Netzwerkressourcen zuzugreifen. Der Schaden, der dem Netzwerk zugefügt werden kann, hängt davon ab, wie geschickt die Eindringlinge sind, wie lange sie dort bleiben können und über wie viele Privilegien diese kompromittierten Konten verfügen. Und die Angreifer haben freien Lauf, wenn die Organisation nicht über einen wirksamen Prüfmechanismus verfügt.

Die Erstellung inaktiver Konten

Inaktive Konten verraten viel über die Kommunikation oder das Fehlen dieser Kommunikation zwischen HR- und IT-Abteilungen. Wenn neue Mitarbeiter in die Organisation eintreten, stellt ihnen die IT-Abteilung neue Benutzerkonten zur Verfügung. Aber wenn sie die Organisation verlassen, werden diese Konten nicht mehr gepflegt. Dies kann passieren, wenn einem Mitarbeiter eine neue Rolle zugewiesen wird oder wenn ein Mitarbeiter für einen längeren Zeitraum beurlaubt wird. Das Gleiche kann auch bei Computerkonten passieren. Außerdem kann die IT-Abteilung zu Testzwecken und anderen vorübergehenden Zwecken ein Benutzer- und Computerkonto erstellen, das bleibt span lang="en-GB">öffnen nach Beendigung ihrer Nutzung. Auf diese Weise werden in der AD-Umgebung inaktive Konten erstellt.

Warum Sie eine Richtlinie zur Verwaltung inaktiver Konten benötigen

Organisationen mangelt es in der Regel nicht an Tools, mit denen sie inaktive Konten in ihrem Active Directory verwalten können. Was ihnen jedoch oft fehlt, ist eine gut dokumentierte Politik in diesem Bereich. Meistens fehlen der IT-Abteilung Informationen zu Kündigungen und Abgängen von Mitarbeitern. Außerdem werden ihnen keine klaren Anweisungen zur Sperrung oder Löschung von Konten gegeben. Daher gilt es zunächst, in Absprache mit der Personalabteilung und dem Top-Management eine Richtlinie zu dokumentieren. Die Richtlinie sollte die folgenden Situationen umfassen:

• wenn ein Mitarbeiter das Unternehmen verlässt
• wenn die Chance besteht, dass ein Mitarbeiter zurückkehrt
• wenn ein Mitarbeiter längere Zeit beurlaubt ist

Beschlüsse über folgende Angelegenheiten sind ebenfalls erforderlich:

• ob die Konten direkt oder nach einer vorübergehenden Deaktivierung gelöscht werden
• die Wartezeit bis zur endgültigen Löschung des Kontos
• Überwachung und Prüfung inaktiver Konten
• Verwendung professioneller Active Directory-Bereinigungslösungen wie Lepide Active Directory Cleaner

So verwalten Sie inaktive Active Directory-Konten

Das Entfernen inaktiver Konten ist für die Sicherheit des Active Directory unerlässlich. Es ist jedoch besser, solche Konten einige Zeit lang deaktiviert zu lassen, bevor Sie sie löschen. Wenn Mitarbeiter die Organisation verlassen oder wenn es lange dauert, bis sie das Unternehmen verlassen, wird empfohlen, ihre Benutzerkonten zu deaktivieren. Alle deaktivierten Konten können in eine einzige Organisationseinheit verschoben und mit einer GPO verknüpft werden, die alle Zugriffe und Berechtigungen einschränkt. Stellen Sie sicher, dass die Konten aus allen Gruppenmitgliedschaften entfernt werden. Nach einer bestimmten Frist können Benutzerkonten von Mitarbeitern, die die Organisation verlassen haben, dauerhaft gelöscht werden. Es empfiehlt sich, die Personalabteilung über Löschaktivitäten auf dem Laufenden zu halten und auf dem Laufenden zu halten. Ein weiterer wichtiger Vorschlag besteht darin, den Active Directory-Papierkorb zu aktivieren, damit die Konten (zusammen mit allen ihren Attributen) wiederhergestellt werden können (bis sie aus dem Papierkorb gelöscht werden). Sehen Sie sich einige Best Practices für die Verwaltung inaktiver AD-Konten an.