Active Directory Hardening: Vom Audit zur sicheren Umgebung

Der Workshop umfasst:

• Prüfung und Absicherung der AD-Umgebung mithilfe offensiver Werkzeuge wie PowerView und Bloodhound sowie Audit-Tools wie PingCastle.

• Hands-on-Übungen zur Auditierung verschiedener Fehlkonfigurationen.

• Auffinden und Beheben von Fehlkonfigurationen und Schwachstellen.

• Härtungsmaßnahmen wie eine differenzierte Rechtevergabe sowie die Einrichtung verschiedener Verwaltungsebenen.

Inhalte

Das Active Directory (AD), das Herzstück vieler Unternehmensnetzwerke, ist ein beliebtes Ziel für Ransomware und andere Angriffe. Mit zunehmender Cyberkriminalität wird es immer wichtiger, das Active Directory vorn Angriffen und Fehlkonfigurationen zu schützen.

In diesem Workshop lernen Sie, wie Sie Ihre Windows-Active-Directory-Infrastruktur sichern, indem Sie Sicherheitsgrundsätze und -praktiken zur Selbst-Auditierung und Härtung anwenden.
Sie erfahren, wie Sie potenzielle Sicherheitsrisiken und Fehlkonfigurationen identifizieren und beheben, um Angriffe zu verhindern und zu erkennen. Dazu gehören der Umgang mit Authentifizierungsprotokollen, das Erkennen und Schließen von Sicherheitslücken, der Einsatz von Tools zur Überprüfung von Einstellungen sowie die Implementierung von Schutzmaßnahmen wie AppLocker, LAPS und dem Least-Privilege-Prinzip. Sie beschäftigen sich mit den Einstellungen von Gruppenrichtlinien und der Prüfung weiterer Active-Directory-Funktionserweiterungsdienste wie Active Directory Certificate Services (AD CS).

Darüber hinaus sammeln Sie praktische Erfahrungen im Umgang mit integrierten Windows-Funktionen und kostenlosen/Open-Source-Tools, um verschiedene sicherheitsrelevante Active-Directory-Einstellungen und -Konfigurationen unabhängig zu überprüfen. Der Workshop beinhaltet technische Hands-on-Übungen, in denen Sie praxisnah in einer bereitgestellten Übungsumgebung verschiedene Fehlkonfigurationen und Schwachstellen in einem Active Directory selbst auditieren und anschließend entsprechende Schutzmaßnahmen implementieren.

Themen in der Übersicht

• 1. Grundlagen

  • Objekte in einem AD einschließlich Benutzer, Computer, Gruppen

  • Authentifizierungsprotokolle: Kerberos und Net-NTLM

  • Weitere wichtige Protokolle im AD wie DHCP, DNS, NetBIOS, LDAP und SMB

  • Grundlage für Zugriffsentscheidungen: Access Token, Security Descriptor und Zugriffskontrolllisten (Access Control Lists – ACLs)

  • Zugangsdaten: Passwörter, NT-Hashes, AES-Schlüssel, Tickets

  • Ziele und Denkweise der Angreifer bei gezielten Angriffen oder Ransomware

• 2. Ursachen typischer Angriffe auditieren

  • Informationssammlung im AD

  • Typische Fehlkonfigurationen

  • Weitere privilegierte Gruppen neben Domänenadmins

  • Passwortrichtlinien: Password Spraying und Net-NTLM-Relaying

  • AD-Service-Benutzer: Kerberoasting und AS-REP Roasting

  • Zugangsdaten auslesen mit Mimikatz und anderen Angriffswerkzeugen

  • Zugangsdaten ausnutzen: (Over-)Pass the Hash, Pass the Key, Pass the Ticket

  • Benutzerjagd und Seitwärtsbewegung (User Hunting und Lateral Movement)

  • Unsichere Einträge in Zugriffskontrolllisten (ACLs) und Gruppenrichtlinien (GPOs)

  • Uneingeschränkte, eingeschränkte und ressourcenbasiert-eingeschränkte Delegierung (RBCD)

  • Angriffsoberfläche von SQL-Servern, Microsoft Exchange, Synchronisierung zu Microsoft Entra ID und Active-Directory-Zertifikatsdiensten (Active Directory Certificate Services, AD CS)

  • Trusts zwischen Domänen (und Forests) ausnutzen – eine Domäne ist keine Sicherheitsgrenze

• 3. Schutz vor Angriffen

  • Erstzugriff erschweren

  • Anwendungen mit AppLocker einschränken

  • Empfohlene Einstellungen in Gruppenrichtlinien

  • Local Administrator Password Solution (LAPS)

  • Tiering Modelle und Least-Privilege-Prinzip

• 4. Angriffserkennung

  • Log- und Auditeinstellungen scharfschalten

  • Entstehende Protokolle zentral auswerten

  • Angriffe mithilfe der anfallenden Logs erkennen

  • Tricksen und Täuschen – Angreifer durch Honigsysteme (Honeypots), Honigdienste und Honigtoken in die Falle locken

• 5. Weiterführende Informationen

  • Hinweise zu empfehlenswerten Quellen sowohl für Angriffe auf als auch für die Verteidigung von On-Premise-AD-Umgebungen

Zielgruppe

Dieser Online-Workshop richtet sich an Administratoren, die sich intensiver mit Angriffen beschäftigen und Ihr On-Premise-Active-Directory härten wollen.

Voraussetzungen

Teilnehmende des Workshops sollten über Grundkenntnisse in der Administration von Windows-Active-Directory-Umgebungen, Nutzung von Windows und Verwendung von CLI-Programmen verfügen und Begriffe wie Gruppenrichtlinien, Organisationseinheit und PowerShell einordnen können.

Zur Workshop-Durchführung wird Zoom verwendet mittels eines DSGVO-konformen On-Premise-Connectors. Wir bitten Sie, ein Mikrofon oder Headset sowie einen aktuellen Browser zu nutzen.

Leistungen Ihres Workshoptickets

• Workshopunterlagen

• Teilnahmebescheinigung

Durchführung

• Y. Kraft: 01. - 03.04. | 23. - 25.09.

• T. Kudlacek: 11. - 13.06. | 26. - 28.11.

Ist die Durchführung der Veranstaltung aufgrund höherer Gewalt, wegen Verhinderung eines Referenten, wegen Störungen am Veranstaltungsort oder aufgrund zu geringer Teilnehmerzahl nicht möglich, werden die Teilnehmenden frühestmöglich informiert.

Die Teilnehmerzahl ist auf max. 10 Personen begrenzt.