So erkennen Sie Low-Level-Berechtigungsänderungen in Active Directory

Wir hören heute viel über die Verfolgung privilegierter Zugriffe, da privilegierte Benutzer wie Domänenadministratoren großen Schaden anrichten können. Aber was noch wichtiger ist: Wenn ihre Konten kompromittiert werden, erlangt der Angreifer die volle Kontrolle über Ihre Umgebung.

Im Einklang mit diesem Anliegen empfehlen viele Sicherheitsstandards und Compliance-Dokumente, Änderungen an privilegierten Gruppen wie Administratoren, Domänenadministratoren und Unternehmensadministratoren in Windows sowie zugehörigen Gruppen und Rollen in anderen Anwendungen und Plattformen zu verfolgen.

In manchen Systemen können Sie den privilegierten Zugriff jedoch auch granular delegieren und so jemandem letztendlich die gleiche Autorität wie einem Domänenadministrator verleihen, allerdings „unter dem Radar“. „Dies gilt insbesondere für AD.“ Diese Fähigkeit ist ein zweischneidiges Schwert. Dies ist notwendig, wenn Sie die geringste Berechtigung implementieren möchten, aber es schafft auch die Möglichkeit, dass privilegierter Zugriff unbeabsichtigt oder sogar böswillig auf eine Art und Weise gewährt wird, die unbemerkt bleibt, es sei denn, Sie suchen gezielt danach. Hier ist wie:

Zuerst müssen Sie „Audit Directory Service Changes“ auf Ihren Domänencontrollern aktivieren - wahrscheinlich mithilfe des Gruppenrichtlinienobjekts „Default Domain Controllers Policy“.

Öffnen Sie dann „Active Directory-Benutzer und -Computer“ und aktivieren Sie unter „Ansicht“ die Option „Erweiterte Funktionen“. Wählen Sie als Nächstes das Stammverzeichnis der Domäne aus und öffnen Sie „Eigenschaften“. Navigieren Sie zur Registerkarte „Audit“ des unten gezeigten Dialogfelds „Erweiterte Sicherheitseinstellungen“ der Domäne.

erweiterte_sicherheitseinstellungen

Fügen Sie einen Eintrag für „Jeder“ hinzu, der „Berechtigungen ändern“ für alle Objekte prüft, wie der oben hervorgehobene Eintrag. Zu diesem Zeitpunkt zeichnen Domänencontroller die Ereignis-ID 5136 auf, wenn jemand die Autorität eines Objekts in der Domäne delegiert - unabhängig davon, ob es sich um eine gesamte Organisationseinheit oder ein Einzelbenutzerkonto handelt. Hier ist ein Beispielereignis:

Ein Verzeichnisdienstobjekt wurde geändert.

Verzeichnisdienstobjekt

Dieses Ereignis teilt Ihnen mit, dass ein MTGpad-rsmith (das bin ich) die Berechtigungen für die Scratch-Organisationseinheit in der MTG.local-Domäne geändert hat. nTSecurityDescriptor und „Value Added“ sagen uns, dass es sich um eine Berechtigungsänderung handelte. Das Feld „Klasse“ gibt den Typ des Objekts an und „DN“ gibt uns den Distinguished Name des Objekts, dessen Berechtigungen geändert wurden. Der Betreff teilt uns mit, wer die Änderung vorgenommen hat. Ich habe den langen Text für den Attributwert entfernt, da er zu lang für die Anzeige ist und im SDDL-Format vorliegt, das ohne großen Aufwand für Menschen nicht wirklich lesbar ist. Technisch gesehen erhalten Sie zwar den vollständigen Inhalt der neuen Zugriffskontrollliste (auch bekannt als Security Descriptor) der Organisationseinheit, aber es ist einfach nicht praktikabel, zu versuchen, sie zu entschlüsseln. Es wird wahrscheinlich schneller sein, das Objekt tatsächlich in „Active Directory-Benutzer und -Computer“ zu finden und seinen Sicherheitseinstellungsdialog über die GUI anzuzeigen.

Das Sicherheitsprotokoll ist also nicht perfekt, aber diese Methode bietet Ihnen einen umfassenden Prüfpfad aller Berechtigungsänderungen und -delegierungen innerhalb von Active Directory. Wenn Sie dies mit der Überwachung der Gruppenmitgliedschaft kombinieren, erhalten Sie einen vollständigen Überblick über alle Änderungen, die sich auf den privilegierten Zugriff in AD auswirken könnten, der ein wichtiger Bestandteil von Sicherheit und Compliance ist.