Seminar Active Directory und Identitäten nach Ransomware wiederherstellen

Ein funktionierender Domänencontroller allein stellt nach einem Ransomware-Vorfall noch kein belastbares Vertrauen her. Die Schulung verbindet die technische Wiederherstellung von Active Directory mit der Untersuchung kompromittierter Konten, administrativer Zugänge und abhängiger Dienste. Behandelt wird, welche Informationen vor dem Wiederanlauf benötigt werden und wie ein Wiederaufbau gegen eine erneute Übernahme abgesichert werden kann.

An einer vorbereiteten, überschaubaren Labor-Gesamtstruktur werden Wiederherstellungsschritte durchgeführt, Kontrollpunkte dokumentiert und Fehler gezielt ausgewertet. Die Entscheidung zwischen Wiederherstellung einer bestehenden Gesamtstruktur und Aufbau einer neuen Vertrauensbasis wird anhand unterschiedlicher Befunde erarbeitet. Die Migration einer komplexen Unternehmensgesamtstruktur ist ein eigenständiges Projekt und wird als Planungsaufgabe eingeordnet.

Schulungsziele

• Einen kompromittierten Identitätsverbund und seine Abhängigkeiten systematisch bewerten.
• Einen isolierten Forest-Recovery-Ablauf vorbereiten und an einem Laborfall durchführen.
• Kennwort-, Schlüssel- und Sitzungsmaßnahmen in einer betrieblich tragfähigen Reihenfolge koordinieren.
• Technische Funktion, Vertrauenswürdigkeit und Wiederanlauffreigabe anhand getrennter Kriterien bewerten.

Zielgruppe

Windows- und Active-Directory-Administratoren, Verantwortliche für Identitätsdienste, Incident Responder sowie technische Wiederanlaufteams.

Voraussetzungen

Sichere Administration von Active Directory, DNS und Gruppenrichtlinien; Erfahrung mit Windows-Server-Sicherungen und PowerShell. Kenntnisse der Incident-Response-Grundlagen sind erforderlich.

Seminarinhalte

Die folgenden Themen bilden den fachlichen Aufbau der Schulung.

• Vertrauensverlust und Wiederherstellungsentscheidung
• Sicherungen, DSRM und isolierte Vorbereitung
• Erste Domäne kontrolliert wiederherstellen
• Weitere Domänencontroller und Dienstabhängigkeiten
• Identitäten und administrative Zugänge absichern
• Abnahme und Störungssuche
• Zusammenhängende Recovery-Übung

1. Vertrauensverlust und Wiederherstellungsentscheidung

• Gesamtstruktur, Domänen, privilegierte Gruppen und Verwaltungswege als zusammenhängende Vertrauensbereiche erfassen.
• Hinweise auf kompromittierte Dienstkonten, Zertifikate und Administrationssysteme in die Wiederherstellungsentscheidung einbeziehen.
• Sicherungsalter, Untersuchungszeitraum und verbleibende Unsicherheit bewerten; technische Wiederherstellung von Sicherheitsbereinigung unterscheiden.

2. Sicherungen, DSRM und isolierte Vorbereitung

• Verfügbarkeit geeigneter System-State- beziehungsweise Serversicherungen, Wiederherstellungskennwörter und Installationsmedien prüfen.
• Getrennte Netze, saubere Administrationsarbeitsplätze und einen kontrollierten Namens- und Zeitdienst vorbereiten.
• Ein Wiederherstellungsprotokoll mit Reihenfolge, Verantwortlichen, Abbruchkriterien und Rückfalloption anlegen.

3. Erste Domäne kontrolliert wiederherstellen

• Die Wiederherstellung mit einer beschreibbaren Instanz der Gesamtstruktur-Stammdomäne beginnen und die Laborausgangslage kontrollieren.
• AD DS, DNS und SYSVOL nach dem gewählten Wiederherstellungsverfahren prüfen; maßgebliche und nicht maßgebliche Wiederherstellung unterscheiden.
• Betriebsmasterrollen, Metadatenbereinigung und die Behandlung nicht vertrauenswürdiger Domänencontroller nachvollziehen.

4. Weitere Domänencontroller und Dienstabhängigkeiten

• Weitere Domänencontroller aus einer sauberen Ausgangsbasis bereitstellen und Replikation sowie Namensauflösung beobachten.
• Gruppenrichtlinien, Dienstkonten und Anwendungsabhängigkeiten in einer abgestuften Testfolge kontrollieren.
• AD-integrierte Dienste, Zertifizierungsstellen und hybride Verbindungen als gesonderte Prüfbereiche behandeln.

5. Identitäten und administrative Zugänge absichern

• Privilegierte Konten, Dienstkonten und lokale Administratorzugänge nach Befund priorisieren und erneuern.
• KRBTGT-Rotation mit Replikationszustand, Ticketlaufzeiten und ausreichenden Wartezeiten planen; keine pauschale Sofort-Doppelrotation.
• Vertrauensstellungen, Zertifikate, Fernwartungszugänge und Synchronisationskonten in einen abgestimmten Bereinigungsplan aufnehmen.

6. Abnahme und Störungssuche

• DNS, SYSVOL, Replikation, Anmeldung und repräsentative Fachanwendungen mit dokumentierten Sollzuständen prüfen.
• Typische Fehler bei Namensauflösung, Zeitabweichung, Berechtigungen und Dienstanmeldung anhand vorbereiteter Störungen untersuchen.
• Beobachtungsphase, Verantwortungsübergabe und Rückfallentscheidung vor dem erneuten Produktivanschluss festlegen.

7. Zusammenhängende Recovery-Übung

• Eine vorbereitete Schadenslage vom Sicherungsentscheid bis zur Anwendungskontrolle bearbeiten.
• Befunde, durchgeführte Änderungen und offene Vertrauensfragen in einem gemeinsamen Arbeitsprotokoll zusammenführen.
• Den Wiederanlauf anhand technischer und organisatorischer Freigabekriterien gegenüber einer zweiten Prüfrolle vertreten.

Praktische Fallbearbeitung

1. Eine Abhängigkeitsliste aus dem Laborinventar erstellen und nicht vertrauenswürdige Verwaltungswege markieren.
2. Eine geeignete Sicherung anhand Zeitlinie und dokumentierter Prüfungen auswählen und die isolierte Wiederherstellung starten.
3. Den ersten Domänencontroller prüfen, weitere Laborinstanzen bereitstellen und Replikationsfehler untersuchen.
4. Einen abgestimmten Plan für privilegierte Konten, KRBTGT, Dienstkonten und Zertifikate ausarbeiten; ausgewählte Maßnahmen im Labor umsetzen.
5. Anmeldungen und Fachanwendungen testen, Restbefunde dokumentieren und die Freigabe oder Rückstellung begründen.

Schulungsumgebung

Isolierte Windows-Server-Laborumgebung mit vorbereiteten Domänen, passenden Sicherungen und lizenzierten Systemen. GUI und PowerShell werden für geeignete Aufgaben parallel eingesetzt. Zeitaufwendige Replikations- und Wartephasen werden mit vorbereiteten Kontrollständen ergänzt; ihre realen Abhängigkeiten bleiben Bestandteil der Planung.

Passende Vertiefungen

Die weitere Auswahl richtet sich nach Aufgabenfeld und vorhandenen Kenntnissen.

• Ransomware Recovery – Sicherer Wiederanlauf im Clean Room – 3 Tage
• Ransomware Recovery Intensiv – Backup, Identitäten und Wiederanlauf – 5 Tage