Seminar Holm Security VMP – Active Directory Security

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe
3. Voraussetzungen
4. Lernziele
5. Seminarinhalte
6. 1. Prüfmodell und Schutzbedarf des Verzeichnisdienstes
7. 2. Zugriff, Berechtigungen und Scanner-Pfad
8. 3. Assets, Tags und Scan-Profil
9. 4. Assessment durchführen und Qualität prüfen
10. 5. Befunde analysieren und priorisieren
11. 6. Remediation und kontrollierte Nachprüfung
12. 7. Regelbetrieb und Berichterstattung
13. Praxisanteil
14. Methodik

Seminarprofil

Im Mittelpunkt steht die methodische Absicherung von Active-Directory-Umgebungen. Das Seminar verbindet technische Vorbereitung, kontrollierte Bewertung, fachliche Einordnung und einen wiederholbaren Remediation-Prozess. Die Übungen bilden typische Fehler bei Berechtigungen, Erreichbarkeit, Scan-Profilen und der Zuordnung geschäftskritischer Systeme ab.

Zielgruppe

Administratoren für Active Directory und Windows Server, Security Engineers, SOC- und Vulnerability-Management-Teams sowie technische Verantwortliche für Identitäts- und Verzeichnisdienste.

Voraussetzungen

Grundkenntnisse zu Active Directory, Windows-Administration, TCP/IP und dem Prinzip authentifizierter Sicherheitsprüfungen. Administrativer Zugriff auf eine Schulungsumgebung ist hilfreich.

Lernziele

• Prüfbereiche und Verantwortlichkeiten für ein Active-Directory-Assessment belastbar festlegen.
• Berechtigungen, Scanner-Zugriff und Scan-Profile nach dem Minimalprinzip vorbereiten.
• Befunde nach technischer Kritikalität, Ausnutzbarkeit und geschäftlicher Bedeutung priorisieren.
• Maßnahmen dokumentieren, zuweisen, nachverfolgen und durch erneute Prüfungen verifizieren.
• Wiederkehrende Prüfungen als kontrollierten Betriebsprozess etablieren.

Seminarinhalte

1. Prüfmodell und Schutzbedarf des Verzeichnisdienstes

Die technische Prüfung wird in einen risikobasierten Betriebs- und Governance-Kontext eingeordnet.

1. Schritt 1: Domänen, Standorte, Domänencontroller, administrative Systeme und abhängige Dienste als Prüfobjekte erfassen.
2. Schritt 2: Geschäftliche Auswirkungen eines Ausfalls oder einer Kompromittierung bewerten und den Assets zuordnen.
3. Schritt 3: Prüfgrenzen, Wartungsfenster, Verantwortlichkeiten und Eskalationswege schriftlich festlegen.
4. Schritt 4: Erfolgskriterien für Erstprüfung, Maßnahmenbearbeitung und Nachprüfung definieren.

2. Zugriff, Berechtigungen und Scanner-Pfad

Ein technisch sauberer und nachvollziehbarer Zugriff verhindert unvollständige oder irreführende Ergebnisse.

1. Schritt 1: Erreichbarkeit zwischen Scanner-Infrastruktur und den vorgesehenen Verzeichnisdienst-Systemen prüfen.
2. Schritt 2: Ein dediziertes Prüfkonto nach dem Minimalprinzip vorbereiten und dessen Gültigkeit kontrollieren.
3. Schritt 3: Namensauflösung, Zeitsynchronisierung, Firewall-Regeln und relevante Authentifizierungswege verifizieren.
4. Schritt 4: Zugangsdaten geschützt hinterlegen und Verantwortlichkeiten für Rotation und Sperrung festlegen.

3. Assets, Tags und Scan-Profil

Die Zielmenge wird im Asset Manager strukturiert und mit einem reproduzierbaren Profil verbunden.

1. Schritt 1: Domänencontroller und zugehörige Systeme im Asset Manager identifizieren oder anlegen.
2. Schritt 2: Tags, Ansichten und Eigentümer für Domäne, Umgebung, Kritikalität und Betriebszustand vergeben.
3. Schritt 3: Ein geeignetes Profil mit den erforderlichen Authentifizierungs- und Prüfeinstellungen erstellen.
4. Schritt 4: Ausschlüsse und Leistungsgrenzen dokumentieren, damit produktive Dienste nicht unnötig belastet werden.

4. Assessment durchführen und Qualität prüfen

Die Ausführung wird überwacht und auf technische Vollständigkeit kontrolliert.

1. Schritt 1: Eine kontrollierte Erstprüfung für eine begrenzte Zielgruppe starten.
2. Schritt 2: Authentifizierungserfolg, erreichbare Systeme, Laufzeit und Fehlermeldungen überwachen.
3. Schritt 3: Fehlende Ziele oder abgebrochene Prüfungen systematisch nach Ursache klassifizieren.
4. Schritt 4: Nach der Pilotprüfung den Umfang erweitern und einen wiederkehrenden Zeitplan einrichten.

5. Befunde analysieren und priorisieren

Technische Schweregrade werden mit Exploit-Wahrscheinlichkeit und Geschäftsrelevanz verbunden.

1. Schritt 1: Befunde nach Bedrohungswert, Schweregrad, Ausnutzbarkeit, Status und betroffenen Assets filtern.
2. Schritt 2: Wiederkehrende Muster in Konfiguration, Protokollen, Softwareständen und Berechtigungen erkennen.
3. Schritt 3: Geschäftskritische Domänencontroller und administrative Systeme in der Priorisierung höher gewichten.
4. Schritt 4: Falsch positive oder unvollständige Befunde nachvollziehbar prüfen und dokumentieren.

6. Remediation und kontrollierte Nachprüfung

Die Behandlung der Befunde wird als überprüfbarer Prozess umgesetzt.

1. Schritt 1: Maßnahmenpakete nach Ursache, Verantwortungsbereich und Wartungsfenster bilden.
2. Schritt 2: Tickets oder Aufgaben mit eindeutiger Beschreibung, Priorität, Eigentümer und Zieltermin anlegen.
3. Schritt 3: Änderungen zunächst in einer geeigneten Test- oder Pilotgruppe umsetzen.
4. Schritt 4: Eine erneute Prüfung durchführen und die technische Wirksamkeit der Maßnahme bestätigen.

7. Regelbetrieb und Berichterstattung

Die Prüfung wird in einen nachhaltigen Betriebszyklus überführt.

1. Schritt 1: Zeitpläne für regelmäßige Assessments und ereignisbezogene Sonderprüfungen festlegen.
2. Schritt 2: Technische und managementgerechte Berichte mit klarer Zielgruppe konfigurieren.
3. Schritt 3: Kennzahlen zu Risikoverlauf, offenen kritischen Befunden und Bearbeitungszeiten festlegen.
4. Schritt 4: Betriebsdokumentation, Prüfkonten, Scanner-Zustand und Ausnahmen regelmäßig kontrollieren.

Praxisanteil

Aufbau eines vollständigen AD-Prüfauftrags in einer Laborumgebung, Fehleranalyse bei fehlgeschlagener Authentifizierung, Priorisierung eines gemischten Befundbestands sowie Planung und Verifikation einer Remediation.

Methodik

Fachvortrag, strukturierte Demonstrationen im Security Center, geführte Konfigurationsaufgaben, technische Analyseübungen und ein durchgängiges Fallbeispiel.