Active Directory Penetration Testing

Wir haben in den letzten Jahren sehr gute Erfahrungen mit Remote Penetration Tests im Bereich Active Directory gemacht. Ein solches Vorgehen bringt den entscheidenden Vorteil für Sie mit sich, dass etwaige Reisekosten und -zeiten entfallen. Es müssen lediglich virtuelle Maschinen (VM) – deren Images wir Ihnen gerne zur Verfügung stellen können – bei Ihnen gehostet werden, über die unsere Tester den Penetration Test durchführen können. Außerdem wird ein Fernzugriff auf diese benötigt (z.B. VPN). Die Praxis zeigt, dass dieser Mehraufwand minimal ist, da beide Anforderungen administrativer Alltag in den meisten Unternehmen ist. Wünschen Sie jedoch einen Vor-Ort-Test, so kommen unsere Tester natürlich gerne an den von Ihnen gewünschten Testort.

Unsere Tester müssen ausgehend von ihren Test-VMs (egal ob Limes-VMs oder von Ihnen zur Verfügung gestellten) auf alle zu testenden Systeme zugreifen können, sofern nicht vorab anders vereinbart. Dies benötigt möglicherweise zusätzliche Firewallfreischaltungen. Außerdem werden mindestens zwei Standardbenutzer in der Domäne benötigt, welche dieselben Rechte wie ein durchschnittlicher Benutzer in Ihrem Unternehmen besitzen. Wird ausgehend von von Ihnen zur Verfügung gestellten VMs getestet, bitten wir Sie außerdem, dass die Testbenutzer auf diesen lokale Administratoren sind.

Diese Frage kann kaum pauschal beantwortet werden. Üblicherweise lässt sich aus der Kombination von vorhandenen Systemen/Technologien in Ihrem Active Directory, deren Kritikalität, Ihrem Bedrohungsprofil und dem vorhandenen Zeitbudget ein sehr individueller Testschwerpunkt ableiten. Dabei begleiten wir Sie gerne vorab in einem gesonderten Scoping-Termin. Grundsätzlich legen wir aber einen besonderen Fokus auf die an Benutzer und Gruppen vergebenen Rechte, wichtige Härtungseinstellungen im AD und kritische Technologien wie zum Beispiel AD CS, der AD-integrierten PKI-Lösung.

Grundsätzlich ist zwischen Domänen und Forests zu unterscheiden. Ausgehend von einer übernommenen Domäne können üblicherweise alle weiteren Domänen in demselben Forest ohne großen Aufwand übernommen werden. Über Forestgrenzen hinweg gibt es ebenfalls zahlreiche Fehlkonfigurationen, die eine Kompromittierung ermöglichen. Eine Überprüfung aller Domänen/Forests ist deshalb aus einer Security-Perspektive definitiv empfehlenswert. Allerdings nimmt mit steigender Domänen/Forest-Anzahl auch das notwendige Zeitbudget zu, weshalb es unter Umständen für Sie geeigneter ist, den Penetration Test auf mehrere Teilbereiche aufzuteilen. Gerne helfen wir Ihnen dabei, das individuell am besten zu Ihnen passende Paket zu finden.

Unsere Tester gehen so vorsichtig wie möglich vor, um jede Störung des alltäglichen Betriebs so gut wie möglich zu vermeiden. Nichtsdestotrotz können selten kurze Verfügbarkeitsprobleme auftreten. Angriffe, die ein erhöhtes Risiko dafür aufweisen, werden aber immer mit Ihnen vorab besprochen und nur nach Ihrer Freigabe durchgeführt. Besonders sensible Systeme nehmen wir nach Rücksprache auch gerne von dem Test bzw. von Teilen davon aus. Durch diese Vorsichtsmaßnahmen sind bei unseren AD-Penetration-Tests deshalb noch nie gröbere Ausfälle vorgekommen.

Diese Frage lässt sich eindeutig mit „Ja!“ beantworten. In unserer Praxis zeigt sich immer wieder, dass der Hauptgrund für Fehlkonfigurationen und Schwachstellen die große Komplexität v.a. größerer AD-Umgebungen ist. Gerade wenn solch eine Umgebung länger besteht, schleichen sich mit der Zeit Fehler ein, beispielsweise werden temporäre Berechtigungen nicht gelöscht, womit gewisse Benutzer permanent mehr Rechte besitzen, als sie eigentlich sollten. Ein regelmäßiger Retest, insbesondere nach Umstellungen und größeren Konfigurationsänderungen ist also sehr empfehlenswert. Bereits vorhandene Testergebnisse ermöglichen außerdem einen darauf aufbauenden Testfokus, wobei bereits umgesetzte Maßnahmen zur Behebung der gefundenen Schwachstellen auf ihre Wirksamkeit überprüft werden und ein vertiefender Testumfang festgelegt werden kann. Beispielsweise können in so einem Test Aspekte wie Cross Domain Attacks (also Angriffe über die Domänengrenzen hinweg) tiefgehender betrachtet werden.

Das Patchlevel der Systeme in Ihrem AD ist eine sehr wichtige Komponente im Gesamtsicherheitskonzept für ein AD. Sie haben deshalb schon einmal einen sehr wichtigen Schritt unternommen! Allerdings gibt es zahlreiche legitime Funktionen in AD, deren Ausnutzung viele Angriffswege eröffnen und die nicht über Updates behebbar sind. Gerade komplexere Angriffspfade, die Berechtigungen von verschiedenen Benutzern miteinander kombinieren, bestehen oft trotz aktuellstem Patchlevel. Gerade aus diesem Grund sollte bisher unternommene Anstrengungen nicht untergraben werden, indem solche Angriffsmöglichkeiten übersehen werden. Unsere maßgeschneiderten Penetration Tests sind dazu die ideale Hilfsstellung.

Perimeterschutz ist unbestritten wichtig. Allerdings zeigt die Praxis, dass dieser immer wieder überwunden wird. Sei es durch eine Malwareinfektion auf einem Office-Client, sei es durch eine über Phishing gestohlene Azure-Identität – „Assume the Breach“ ist mittlerweile leider gelebte Realität. Um es Angreifern dennoch so schwer wie möglich zu machen, ihre Ziele zu erreichen, bietet sich ein „Defense in Depth“-Ansatz an. Ähnlich wie bei einer Burg mit mehreren Burgmauern, reicht das Überwinden einer einzelnen Verteidigungslinie noch nicht aus. Selbst wenn es ein Angreifer in Ihr Active Directory schafft, sollte er dort nicht freie Hand haben – ganz im Gegenteil, der schwere Teil sollte erst vor ihm liegen. Perimeterschutz und ein hohes internes Sicherheitslevel: Kein Widerspruch, sondern zwei Seiten derselben Münze.

Dies Wahl des richtigen Paketes hängt von der Größe und Komplexität Ihrer Umgebung, Ihrer Zielsetzung und Ihrem Budget ab. Zur Orientierung können Sie sich an folgender Faustregel orientieren: Für kleine bis mittlere AD-Umgebungen (bis ca. 500 Benutzer und 100 Server), bei denen noch nie ein Penetration Test durchgeführt wurde bietet sich ein Essential Test an. Für Umgebungen, die größer sind bzw. schon getestet wurden, empfehlen wir zumindest einen Advanced Test. Große Umgebungen, v.a. wenn mehrere Domänen und Forests betrachtet werden sollten, profitieren von einem Comprehensive Test. Eigens für KMUs bieten wir ein dediziertes KMU-Paket an, dass die wichtigsten Konfigurationen und schwerwiegendsten Schwachstellen abdeckt. Sie sind unsicher, welches Paket zu Ihrer Umgebung passt? Schreiben Sie uns einfach über unser Kontaktformular.