Data/Locales/checks/de/ADGroupPolicyChecks.json
|
{ "_family": "ADGroupPolicyChecks.json", "ADGPO-001": { "name": { "value": "GPO-Inventar mit Verknüpfungsstatus", "status": "machine-draft" }, "description": { "value": "Ein umfassendes Inventar aller Gruppenrichtlinienobjekte mit ihrem Verknüpfungsstatus, ihrem Geltungsbereich und ihrem Erzwingungszustand bildet die Grundlage für die Sicherheitsanalyse von GPOs. Zu verstehen, welche GPOs verknüpft, erzwungen oder deaktiviert sind, ist unerlässlich, um die effektive Sicherheitslage zu bewerten, die über Gruppenrichtlinien bereitgestellt wird", "status": "machine-draft" }, "recommendedValue": { "value": "Vollständiges GPO-Inventar dokumentiert mit Verknüpfungsstatus, Geltungsbereich und Besitzer für jedes GPO", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen Sie ein vollständiges GPO-Inventar mit Get-GPO -All und Get-GPOReport. Dokumentieren Sie für jedes GPO Zweck, Besitzer, Verknüpfungsorte und Erzwingungsstatus. Legen Sie eine GPO-Namenskonvention fest und stellen Sie sicher, dass alle GPOs ihr entsprechen. Führen Sie einen Änderungsverwaltungsprozess für GPOs ein.", "status": "machine-draft" } }, "ADGPO-002": { "name": { "value": "Leere GPOs", "status": "machine-draft" }, "description": { "value": "GPOs, die keine konfigurierten Einstellungen enthalten (sowohl der Abschnitt Computerkonfiguration als auch der Abschnitt Benutzerkonfiguration sind leer), erhöhen unnötig die Komplexität der Gruppenrichtlinienverarbeitung und können auf aufgegebene Konfigurationsvorhaben oder Testartefakte hindeuten, die nie bereinigt wurden", "status": "machine-draft" }, "recommendedValue": { "value": "Keine leeren GPOs in der Domäne; alle GPOs enthalten mindestens eine konfigurierte Einstellung", "status": "machine-draft" }, "remediationSteps": { "value": "Ermitteln Sie GPOs ohne konfigurierte Einstellungen mit Get-GPOReport im XML-Format und prüfen Sie auf leere ExtensionData-Elemente. Überprüfen Sie, ob leere GPOs nicht als Platzhalter für die künftige Nutzung dienen. Löschen Sie wirklich leere GPOs, nachdem Sie bestätigt haben, dass sie von keiner Automatisierung oder Dokumentation referenziert werden.", "status": "machine-draft" } }, "ADGPO-003": { "name": { "value": "Nicht verknüpfte GPOs", "status": "machine-draft" }, "description": { "value": "GPOs, die mit keiner Site, Domäne oder OU verknüpft sind, werden nicht angewendet und stellen ungenutzte Konfiguration dar. Nicht verknüpfte GPOs können sensible Einstellungen, Anmeldeinformationen in GPP oder Skripte enthalten, die ausgenutzt werden könnten, wenn ein Angreifer sie später mit einer Ziel-OU verknüpft", "status": "machine-draft" }, "recommendedValue": { "value": "Keine nicht verknüpften GPOs, sofern nicht als Vorlagen oder Sicherungen mit angemessenen Zugriffskontrollen dokumentiert", "status": "machine-draft" }, "remediationSteps": { "value": "Ermitteln Sie nicht verknüpfte GPOs, indem Sie alle GPO-GUIDs mit den gPLink-Attributen aller OUs, Sites und der Domänenwurzel vergleichen. Prüfen Sie jedes nicht verknüpfte GPO, um festzustellen, ob es verknüpft, archiviert oder gelöscht werden sollte. Entfernen Sie sensible Inhalte aus nicht verknüpften GPOs, die als Vorlagen aufbewahrt werden.", "status": "machine-draft" } }, "ADGPO-004": { "name": { "value": "Deaktivierte GPOs mit Inhalt", "status": "machine-draft" }, "description": { "value": "GPOs, bei denen entweder der Abschnitt Benutzerkonfiguration oder Computerkonfiguration deaktiviert ist, aber weiterhin konfigurierte Einstellungen enthält, können auf eine unvollständige Außerbetriebnahme oder eine unbeabsichtigte Deaktivierung hindeuten. Werden sie von einem Angreifer mit GPO-Bearbeitungsberechtigungen wieder aktiviert, würden die ruhenden Einstellungen wirksam", "status": "machine-draft" }, "recommendedValue": { "value": "Keine GPOs mit deaktivierten Abschnitten, die konfigurierte Einstellungen enthalten; deaktivierte Abschnitte sollten leer sein", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie alle GPOs, bei denen GpoStatus den Wert UserSettingsDisabled oder ComputerSettingsDisabled hat. Überprüfen Sie, dass der deaktivierte Abschnitt keine aktiven Einstellungen enthält. Aktivieren Sie den Abschnitt entweder erneut, wenn die Einstellungen benötigt werden, oder entfernen Sie die Einstellungen aus dem deaktivierten Abschnitt. Dokumentieren Sie den Grund für jeden absichtlich deaktivierten Abschnitt.", "status": "machine-draft" } }, "ADGPO-005": { "name": { "value": "Duplizierte GPOs", "status": "machine-draft" }, "description": { "value": "Mehrere GPOs mit weitgehend ähnlichen oder identischen Einstellungen verursachen Verwaltungsaufwand, erhöhen das Risiko einer Konfigurationsabweichung und erschweren die Fehlersuche. Doppelte GPOs können außerdem zu widersprüchlichen Einstellungen führen, die ein unvorhersehbares Verhalten erzeugen", "status": "machine-draft" }, "recommendedValue": { "value": "Keine doppelten GPOs; jedes GPO hat einen eindeutigen Zweck und nicht überlappende Einstellungen", "status": "machine-draft" }, "remediationSteps": { "value": "Exportieren Sie alle GPO-Berichte im XML-Format und vergleichen Sie die Einstellungen über die GPOs hinweg, um Duplikate zu ermitteln. Konsolidieren Sie doppelte GPOs nach Möglichkeit in einem einzigen GPO. Aktualisieren Sie die OU-Verknüpfungen so, dass sie auf das konsolidierte GPO verweisen. Testen Sie das konsolidierte GPO in einer Staging-OU, bevor Sie die Duplikate entfernen.", "status": "machine-draft" } }, "ADGPO-006": { "name": { "value": "GPOs mit fehlerhaften Verknüpfungen", "status": "machine-draft" }, "description": { "value": "GPO-Verknüpfungen, die auf nicht existierende GPOs verweisen oder auf GPOs, deren SYSVOL-Daten fehlen, deuten auf Replikationsprobleme, fehlerhaftes Löschen oder Beschädigung hin. Fehlerhafte Verknüpfungen können Fehler bei der Gruppenrichtlinienverarbeitung verursachen und das Fehlen beabsichtigter Sicherheitskonfigurationen verschleiern", "status": "machine-draft" }, "recommendedValue": { "value": "Keine fehlerhaften GPO-Verknüpfungen; alle gPLink-Verweise werden zu gültigen GPOs mit intakten SYSVOL-Daten aufgelöst", "status": "machine-draft" }, "remediationSteps": { "value": "Analysieren Sie die gPLink-Attribute aller OUs, Sites und der Domänenwurzel, um die referenzierten GPO-GUIDs zu extrahieren. Überprüfen Sie, dass jede GUID im GPC (AD) und im GPT (SYSVOL) vorhanden ist. Entfernen Sie fehlerhafte Verknüpfungen mit Set-GPLink oder durch direktes Bearbeiten des gPLink-Attributs. Untersuchen Sie die Grundursache fehlender GPO-Daten.", "status": "machine-draft" } }, "ADGPO-007": { "name": { "value": "Inkonsistenzen bei GPO-Berechtigungen", "status": "machine-draft" }, "description": { "value": "Jedes GPO besitzt sowohl AD-Berechtigungen (am GPC-Objekt) als auch NTFS-Berechtigungen (am SYSVOL-GPT-Ordner). Inkonsistenzen zwischen diesen Berechtigungssätzen können die GPO-Anwendung verhindern, eine unbefugte Änderung ermöglichen oder Sicherheitslücken schaffen, in denen der SYSVOL-Inhalt großzügiger berechtigt ist als das AD-Objekt", "status": "machine-draft" }, "recommendedValue": { "value": "Konsistente Berechtigungen zwischen AD-GPC-Objekten und SYSVOL-GPT-Ordnern für alle GPOs; Authenticated Users verfügen über Lesezugriff", "status": "machine-draft" }, "remediationSteps": { "value": "Vergleichen Sie den Sicherheitsdeskriptor jedes GPC-Objekts in AD mit der NTFS-ACL des entsprechenden GPT-Ordners in SYSVOL. Stellen Sie sicher, dass beide Authenticated Users Lesezugriff gewähren (erforderlich für die GPO-Anwendung). Beheben Sie Inkonsistenzen, indem Sie die SYSVOL-Berechtigungen mit dem AD-Objekt in Einklang bringen. Führen Sie dcdiag /test:sysvolcheck aus, um Probleme zu identifizieren.", "status": "machine-draft" } }, "ADGPO-008": { "name": { "value": "GPOs, die aufgrund von WMI-Filtern nicht angewendet werden", "status": "machine-draft" }, "description": { "value": "WMI-Filter können anhand von WQL-Abfragen verhindern, dass GPOs auf Zielsystemen angewendet werden. Zu weit gefasste oder falsch konfigurierte WMI-Filter können versehentlich verhindern, dass sicherheitskritische GPOs auf Systeme angewendet werden, die sie benötigen, und so Lücken in der beabsichtigten Sicherheitskonfiguration schaffen", "status": "machine-draft" }, "recommendedValue": { "value": "Alle sicherheitskritischen GPOs werden auf die vorgesehenen Ziele angewendet; WMI-Filter anhand der tatsächlichen Umgebungsbedingungen validiert", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie die mit sicherheitskritischen GPOs verknüpften WMI-Filter mit Get-GPO und untersuchen Sie die WMI-Filterzuweisungen. Testen Sie WMI-Filterabfragen anhand repräsentativer Zielsysteme, um zu überprüfen, dass sie korrekt ausgewertet werden. Verwenden Sie Gruppenrichtlinienergebnisse (gpresult) auf Beispielsystemen, um zu bestätigen, dass GPOs angewendet werden. Ersetzen oder korrigieren Sie WMI-Filter, die die beabsichtigte Anwendung blockieren.", "status": "machine-draft" } }, "ADGPO-009": { "name": { "value": "GPOs ohne Anwendungsberechtigung", "status": "machine-draft" }, "description": { "value": "Wenn die Berechtigung Gruppenrichtlinie übernehmen (Lesen + Übernehmen) den entsprechenden Sicherheitsprinzipalen nicht erteilt wird, wird das GPO von diesen Systemen nicht verarbeitet, selbst wenn es mit der richtigen OU verknüpft ist. Dies tritt häufig auf, wenn Authenticated Users aus der Sicherheitsfilterung des GPO entfernt werden, ohne bestimmte Gruppen hinzuzufügen", "status": "machine-draft" }, "recommendedValue": { "value": "Allen GPOs ist die Berechtigung Gruppenrichtlinie übernehmen für geeignete Sicherheitsgruppen erteilt; keine GPOs ohne Anwendungsziele", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie jedes GPO mit Get-GPPermission auf die Berechtigungen Gruppenrichtlinie übernehmen. Stellen Sie sicher, dass mindestens eine Sicherheitsgruppe mit Mitgliedern über die Berechtigung Übernehmen verfügt. Überprüfen Sie bei GPOs, die nur für bestimmte Gruppen gelten sollen, dass die Zielgruppen die vorgesehenen Mitglieder enthalten. Fügen Sie Authenticated Users mit reiner Leseberechtigung (ohne Übernehmen) hinzu, wenn eine Sicherheitsfilterung verwendet wird.", "status": "machine-draft" } }, "ADGPO-010": { "name": { "value": "SYSVOL/AD-GPO-Versionskonflikt", "status": "machine-draft" }, "description": { "value": "Jedes GPO führt Versionsnummern sowohl im AD-GPC-Objekt (Attribut versionNumber) als auch im SYSVOL-GPT-Ordner (gpt.ini). Ein Konflikt zwischen diesen Versionen weist auf einen Replikationsfehler, eine SYSVOL-Beschädigung oder unvollständige GPO-Aktualisierungen hin. Versionskonflikte können dazu führen, dass Clients veraltete oder unvollständige Richtlinien anwenden", "status": "machine-draft" }, "recommendedValue": { "value": "Alle GPO-Versionen stimmen zwischen den AD-GPC-Objekten und den SYSVOL-GPT-gpt.ini-Dateien auf allen Domänencontrollern überein", "status": "machine-draft" }, "remediationSteps": { "value": "Vergleichen Sie das Attribut versionNumber in AD mit dem Wert Version in der SYSVOL-Datei gpt.ini für jedes GPO auf allen Domänencontrollern. Untersuchen und beheben Sie DFSR- oder FRS-Replikationsprobleme, die Konflikte verursachen. Erzwingen Sie die Replikation mit repadmin /syncall und DFSRDIAG. Verwenden Sie bei anhaltenden Konflikten den autoritativen Wiederherstellungsprozess für SYSVOL.", "status": "machine-draft" } }, "ADGPO-011": { "name": { "value": "Sicherheitsanalyse der GPO-Einstellungen", "status": "machine-draft" }, "description": { "value": "GPO-Einstellungen können die Sicherheitslage schwächen, wenn sie Schutzmechanismen deaktivieren, Authentifizierungsanforderungen lockern oder unsichere Standardwerte konfigurieren. Diese Prüfung analysiert wichtige sicherheitsrelevante Einstellungen über alle GPOs hinweg, darunter Kennwortrichtlinien, Kontosperrung, Zuweisung von Benutzerrechten, Sicherheitsoptionen und Überwachungsrichtlinien", "status": "machine-draft" }, "recommendedValue": { "value": "Alle GPO-Einstellungen stimmen mit der Sicherheitsbaseline der Organisation überein; keine GPOs, die die Standard-Sicherheitskonfigurationen schwächen", "status": "machine-draft" }, "remediationSteps": { "value": "Exportieren Sie alle GPO-Berichte und analysieren Sie sicherheitsrelevante Einstellungen wie Kennwortrichtlinien, Kontosperrung, Zuweisung von Benutzerrechten, eingeschränkte Gruppen, Sicherheitsoptionen und Windows-Firewallregeln. Vergleichen Sie die Einstellungen mit CIS-Benchmarks oder organisatorischen Baselines. Beheben Sie GPOs, die schwächere Einstellungen als die Baseline konfigurieren.", "status": "machine-draft" } }, "ADGPO-012": { "name": { "value": "Erkennung von cPassword/GPP-Kennwörtern", "status": "machine-draft" }, "description": { "value": "In Gruppenrichtlinieneinstellungen (Group Policy Preferences) gespeicherte Kennwörter (cPassword) werden mit einem öffentlich bekannten AES-Schlüssel verschlüsselt, den Microsoft veröffentlicht hat (MS14-025). Jeder Domänenbenutzer kann die XML-Dateien in SYSVOL lesen, die diese Kennwörter enthalten, und sie trivial entschlüsseln. Dies ist eine der häufigsten und am leichtesten ausnutzbaren Schwachstellen in Active Directory", "status": "machine-draft" }, "recommendedValue": { "value": "Keine cPassword-Werte in irgendeiner GPP-XML-Datei in SYSVOL vorhanden", "status": "machine-draft" }, "remediationSteps": { "value": "Durchsuchen Sie alle SYSVOL-GPO-Ordner nach XML-Dateien, die cpassword-Attribute enthalten, in Groups.xml, Services.xml, Scheduledtasks.xml, DataSources.xml, Printers.xml und Drives.xml. Entfernen Sie alle GPP-Elemente, die gespeicherte Kennwörter enthalten. Verwenden Sie stattdessen LAPS, gMSA oder andere moderne Lösungen zur Verwaltung von Anmeldeinformationen. Wenden Sie den Patch MS14-025 an, um die Erstellung neuer cPassword-Werte zu verhindern.", "status": "machine-draft" } }, "ADGPO-013": { "name": { "value": "Analyse von Skripten in GPOs", "status": "machine-draft" }, "description": { "value": "Start-, Herunterfahr-, Anmelde- und Abmeldeskripte in GPOs werden mit den Berechtigungen des Systems oder Benutzers ausgeführt und in der zugänglichen SYSVOL-Freigabe gespeichert. Bösartige Skripte, die in GPOs platziert werden, können eine weitreichende Codeausführung in der gesamten Domäne erreichen. Skripte sollten auf Sicherheitsprobleme geprüft werden, darunter fest codierte Anmeldeinformationen, unsichere Befehle und Verweise auf nicht sichere Speicherorte", "status": "machine-draft" }, "recommendedValue": { "value": "Alle GPO-Skripte geprüft, nach Möglichkeit signiert und frei von fest codierten Anmeldeinformationen oder unsicheren Vorgängen", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie alle in GPOs konfigurierten Skripte (Startup, Shutdown, Logon, Logoff) aus dem Abschnitt Scripts der GPO-Berichte auf. Prüfen Sie den Skriptinhalt auf fest codierte Anmeldeinformationen, LOLBins-Nutzung, Verweise auf externe Ressourcen und unsichere Vorgänge. Implementieren Sie eine Skriptsignierung, wo dies unterstützt wird. Stellen Sie sicher, dass die Dateiberechtigungen der Skripte Änderungen auf autorisierte Administratoren beschränken.", "status": "machine-draft" } }, "ADGPO-014": { "name": { "value": "MSI-Pakete in GPOs", "status": "machine-draft" }, "description": { "value": "Softwareinstallations-Einstellungen in GPOs stellen MSI-Pakete auf Zielcomputern bereit. Kompromittierte oder nicht autorisierte MSI-Pakete in GPOs können Schadsoftware in der gesamten Domäne verteilen. Der Quellspeicherort der MSI-Pakete und die Zugriffskontrollen auf diese Speicherorte müssen überprüft werden", "status": "machine-draft" }, "recommendedValue": { "value": "Alle über GPO bereitgestellten MSI-Pakete stammen aus sicheren, zugriffskontrollierten Speicherorten mit überprüfter Integrität", "status": "machine-draft" }, "remediationSteps": { "value": "Ermitteln Sie alle Softwareinstallations-Einstellungen in GPOs. Überprüfen Sie, dass die MSI-Quellpfade auf gesicherte Freigaben mit angemessenen NTFS- und Freigabeberechtigungen verweisen. Bestätigen Sie, dass die MSI-Pakete von vertrauenswürdigen Anbietern stammen und nicht manipuliert wurden. Erwägen Sie den Einsatz von WDAC oder AppLocker, um die MSI-Installation auf genehmigte Pakete zu beschränken.", "status": "machine-draft" } }, "ADGPO-015": { "name": { "value": "Geplante Aufgaben in GPOs", "status": "machine-draft" }, "description": { "value": "Gruppenrichtlinieneinstellungen (Group Policy Preferences) können geplante Aufgaben erstellen, die mit angegebenen Anmeldeinformationen oder als SYSTEM auf Zielcomputern ausgeführt werden. Über GPO bereitgestellte bösartige geplante Aufgaben ermöglichen eine persistente Codeausführung in der gesamten Umgebung. Dies ist eine gängige Post-Exploitation-Technik, um eine domänenweite Persistenz aufrechtzuerhalten", "status": "machine-draft" }, "recommendedValue": { "value": "Alle über GPO bereitgestellten geplanten Aufgaben dokumentiert, mit Konten nach dem Prinzip der geringsten Rechte und ausschließlich autorisierte Vorgänge ausführend", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie alle Elemente für geplante Aufgaben in den GPO-Einstellungen (Preferences) über alle GPOs hinweg. Überprüfen Sie, dass jede Aufgabe einen legitimen und autorisierten Befehl mit den minimal erforderlichen Berechtigungen ausführt. Entfernen Sie alle Aufgaben, die Anmeldeinformationen speichern (verwenden Sie stattdessen gMSA oder den SYSTEM-Kontext). Stellen Sie sicher, dass die ausführbaren Dateien der Aufgaben an geschützten Orten gespeichert sind. Dokumentieren Sie den geschäftlichen Zweck jeder über GPO bereitgestellten geplanten Aufgabe.", "status": "machine-draft" } }, "ADGPO-016": { "name": { "value": "Sicherheitsprüfung von Registrierungseinstellungen", "status": "machine-draft" }, "description": { "value": "GPOs können Registrierungseinstellungen bereitstellen, die Sicherheitskonfigurationen beeinflussen, darunter das Deaktivieren von Sicherheitsfunktionen, das Schwächen von Authentifizierungsprotokollen oder das Aktivieren unsicherer Dienste. Registrierungsbasierte Einstellungen in GPOs sollten überprüft werden, um sicherzustellen, dass sie die Sicherheitslage der Zielsysteme nicht schwächen", "status": "machine-draft" }, "recommendedValue": { "value": "Keine GPO-Registrierungseinstellungen, die Sicherheitsstandards schwächen; alle Registrierungsänderungen dokumentiert und begründet", "status": "machine-draft" }, "remediationSteps": { "value": "Exportieren Sie die GPO-Registrierungseinstellungen aus den administrativen Vorlagen und den Registrierungseinstellungen (Preferences). Prüfen Sie Einstellungen, die sicherheitsrelevante Registrierungsschlüssel betreffen, darunter HKLM\\SYSTEM\\CurrentControlSet\\Control\\Lsa, HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies sowie authentifizierungsbezogene Schlüssel. Entfernen oder korrigieren Sie Einstellungen, die die Sicherheitslage schwächen.", "status": "machine-draft" } }, "ADGPO-017": { "name": { "value": "Analyse eingeschränkter Gruppen", "status": "machine-draft" }, "description": { "value": "GPO-Einstellungen für eingeschränkte Gruppen (Restricted Groups) erzwingen die Gruppenmitgliedschaft auf Zielsystemen und werden häufig zur Verwaltung der Mitgliedschaft in der lokalen Gruppe Administratoren verwendet. Falsch konfigurierte eingeschränkte Gruppen können unbefugten Benutzern versehentlich lokalen Administratorzugriff gewähren oder es versäumen, unbefugte Mitglieder aus privilegierten lokalen Gruppen zu entfernen", "status": "machine-draft" }, "recommendedValue": { "value": "Eingeschränkte Gruppen so konfiguriert, dass sie eine lokale Administratormitgliedschaft nach dem Prinzip der geringsten Rechte erzwingen; nur autorisierte Gruppen in der lokalen Gruppe Administratoren", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie die Einstellungen für eingeschränkte Gruppen in allen GPOs. Überprüfen Sie, dass die lokale Gruppe Administratoren so verwaltet wird, dass sie nur autorisierte Administratorgruppen enthält. Stellen Sie sicher, dass eingeschränkte Gruppen keine Domain Users oder andere breite Gruppen zu privilegierten lokalen Gruppen hinzufügen. Erwägen Sie den Einsatz von Gruppenrichtlinieneinstellungen (Group Policy Preferences) für eine granularere Steuerung (Mitglieder hinzufügen/entfernen, ohne die gesamte Mitgliedschaft zu ersetzen).", "status": "machine-draft" } }, "ADGPO-018": { "name": { "value": "Konfiguration der Überwachungsrichtlinie über GPO", "status": "machine-draft" }, "description": { "value": "Über Gruppenrichtlinien konfigurierte Windows-Überwachungsrichtlinien bestimmen, welche Sicherheitsereignisse auf in die Domäne eingebundenen Systemen protokolliert werden. Eine unzureichende Überwachungskonfiguration schafft blinde Flecken, die es Angreifern ermöglichen, unentdeckt zu agieren. Zu den wichtigen Überwachungskategorien gehören Anmeldeereignisse, Kontoverwaltung, Verzeichnisdienstzugriff und Objektzugriff", "status": "machine-draft" }, "recommendedValue": { "value": "Erweiterte Überwachungsrichtlinie über GPO konfiguriert mit Erfolgs- und Fehlerüberwachung für alle kritischen Kategorien, abgestimmt auf die Erkennungsanforderungen der Organisation", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie die erweiterte Überwachungsrichtlinienkonfiguration (nicht die veraltete Überwachungsrichtlinie) über GPO. Aktivieren Sie mindestens: Kontoanmeldung (Erfolg/Fehler), Kontoverwaltung (Erfolg/Fehler), Verzeichnisdienstzugriff (Erfolg/Fehler), Anmelden/Abmelden (Erfolg/Fehler), Objektzugriff (Erfolg/Fehler für sensible Ressourcen), Richtlinienänderung (Erfolg), Verwendung von Berechtigungen (Erfolg/Fehler) und System (Erfolg/Fehler). Stellen Sie diese auf allen in die Domäne eingebundenen Systemen bereit.", "status": "machine-draft" } }, "ADGPO-019": { "name": { "value": "Windows-Firewall-Konfiguration über GPO", "status": "machine-draft" }, "description": { "value": "Über GPO bereitgestellte Einstellungen für Windows Defender Firewall mit erweiterter Sicherheit steuern den Netzwerkzugriff auf in die Domäne eingebundenen Systemen. GPOs, die die Firewall deaktivieren, zu freizügige eingehende Regeln zulassen oder die Firewall nicht konfigurieren, machen Systeme anfällig für laterale Bewegungen und netzwerkbasierte Angriffe", "status": "machine-draft" }, "recommendedValue": { "value": "Windows-Firewall für alle Profile (Domäne, Privat, Öffentlich) aktiviert mit über GPO konfigurierten eingehenden Regeln nach dem Prinzip der Standardverweigerung", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie die Windows-Firewall-GPO-Einstellungen über alle zutreffenden GPOs hinweg. Stellen Sie sicher, dass die Firewall für die Profile Domäne, Privat und Öffentlich aktiviert ist. Überprüfen Sie, dass die eingehenden Regeln einem Ansatz der Standardverweigerung folgen, mit spezifischen Zulassungsregeln nur für erforderliche Dienste. Entfernen Sie alle GPO-Einstellungen, die die Windows-Firewall deaktivieren. Testen Sie die Firewallregeln in einer Staging-OU vor der domänenweiten Bereitstellung.", "status": "machine-draft" } }, "ADGPO-020": { "name": { "value": "PowerShell-Ausführungsrichtlinie über GPO", "status": "machine-draft" }, "description": { "value": "Die PowerShell-Ausführungsrichtlinie steuert, welche Skripte auf einem System ausgeführt werden dürfen. Obwohl die Ausführungsrichtlinie keine Sicherheitsgrenze darstellt, entfernt ihre Einstellung auf Unrestricted oder Bypass über GPO eine Verteidigungsebene und erleichtert es Angreifern, bösartige Skripte ohne Benutzerabfragen auszuführen", "status": "machine-draft" }, "recommendedValue": { "value": "PowerShell-Ausführungsrichtlinie über GPO auf AllSigned oder RemoteSigned gesetzt; nicht auf Unrestricted oder Bypass gesetzt", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie die GPO-Einstellungen unter Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows PowerShell > Skriptausführung aktivieren. Setzen Sie die Ausführungsrichtlinie in Hochsicherheitsumgebungen auf AllSigned oder in Standardumgebungen auf RemoteSigned. Implementieren Sie eine Codesignierung für autorisierte PowerShell-Skripte. Vermeiden Sie es, Bypass oder Unrestricted über GPO zu setzen.", "status": "machine-draft" } }, "ADGPO-021": { "name": { "value": "Konfiguration der PowerShell-Protokollierung", "status": "machine-draft" }, "description": { "value": "PowerShell-Modulprotokollierung, Skriptblockprotokollierung und Transkription bieten kritische Einblicke in PowerShell-basierte Angriffe, die bei der Mehrheit moderner Active-Directory-Kompromittierungen zum Einsatz kommen. Ohne diese Protokollierungsfunktionen können Verteidiger PowerShell-basierte Erkundung, Diebstahl von Anmeldeinformationen oder laterale Bewegungen weder erkennen noch untersuchen", "status": "machine-draft" }, "recommendedValue": { "value": "Modulprotokollierung, Skriptblockprotokollierung und Transkription über GPO auf allen Systemen aktiviert", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie die GPO-Einstellungen unter Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows PowerShell. Aktivieren Sie die Modulprotokollierung mit '*', um alle Module zu protokollieren. Aktivieren Sie die Skriptblockprotokollierung mit 'Start-/Stopp-Ereignisse für den Aufruf von Skriptblöcken protokollieren'. Aktivieren Sie die PowerShell-Transkription mit einem sicheren Ausgabeverzeichnis. Stellen Sie diese auf allen in die Domäne eingebundenen Systemen bereit und überprüfen Sie die Protokollerfassung.", "status": "machine-draft" } }, "ADGPO-022": { "name": { "value": "Bewertung der AppLocker/WDAC-Richtlinie", "status": "machine-draft" }, "description": { "value": "Anwendungssteuerungsrichtlinien wie AppLocker und Windows Defender Application Control schränken ein, welche ausführbaren Dateien, Skripte und DLLs auf verwalteten Systemen ausgeführt werden dürfen. Ohne Anwendungssteuerung können Angreifer beliebige Werkzeuge und Schadsoftware auf kompromittierten Systemen ausführen, um laterale Bewegungen und Persistenz zu erleichtern", "status": "machine-draft" }, "recommendedValue": { "value": "AppLocker- oder WDAC-Richtlinie über GPO im Erzwingungsmodus auf allen Arbeitsstationen und Servern mit einer dokumentierten Baseline bereitgestellt", "status": "machine-draft" }, "remediationSteps": { "value": "Stellen Sie AppLocker- oder WDAC-Richtlinien über GPO zunächst im Überwachungsmodus bereit. Analysieren Sie die Überwachungsprotokolle, um eine Baseline genehmigter Anwendungen aufzubauen. Erstellen Sie Zulassungsregeln auf Basis von Herausgeber, Pfad oder Hash. Wechseln Sie vom Überwachungs- in den Erzwingungsmodus, nachdem Sie die Baseline validiert haben. Überwachen Sie blockierte Ausführungsereignisse und aktualisieren Sie die Regeln nach Bedarf.", "status": "machine-draft" } }, "ADGPO-023": { "name": { "value": "LAPS-GPO-Konfiguration", "status": "machine-draft" }, "description": { "value": "Die Local Administrator Password Solution (LAPS) bietet eine automatisierte Rotation der lokalen Administratorkennwörter auf in die Domäne eingebundenen Systemen und verhindert laterale Bewegungen über gemeinsam genutzte lokale Administratoranmeldeinformationen. LAPS muss über GPO bereitgestellt werden, um wirksam zu sein, und seine Konfigurationseinstellungen bestimmen die Kennwortkomplexität, die Rotationshäufigkeit und welches Konto verwaltet wird", "status": "machine-draft" }, "recommendedValue": { "value": "LAPS über GPO auf allen in die Domäne eingebundenen Systemen aktiviert, mit 24-stelligen Kennwörtern und einem Höchstalter von 30 Tagen", "status": "machine-draft" }, "remediationSteps": { "value": "Installieren Sie die LAPS-CSE auf allen verwalteten Systemen über die GPO-Softwareinstallation oder SCCM. Konfigurieren Sie die LAPS-GPO-Einstellungen: Aktivieren Sie die Verwaltung des lokalen Administratorkennworts, setzen Sie die Kennwortkomplexität auf Großbuchstaben + Kleinbuchstaben + Zahlen + Sonderzeichen, setzen Sie die Kennwortlänge auf 24 oder mehr Zeichen und setzen Sie das Kennwortalter auf 30 Tage oder weniger. Überprüfen Sie die Funktionsfähigkeit von LAPS, indem Sie die Attribute ms-Mcs-AdmPwdExpirationTime prüfen.", "status": "machine-draft" } }, "ADGPO-024": { "name": { "value": "Überprüfung der GPO-WMI-Filter", "status": "machine-draft" }, "description": { "value": "WMI-Filter steuern die GPO-Anwendung anhand von WQL-Abfragen, die auf Zielsystemen ausgewertet werden. Bösartige oder falsch konfigurierte WMI-Filter können gezielt verhindern, dass Sicherheits-GPOs auf bestimmte Systeme angewendet werden, und so gezielte Sicherheitslücken schaffen. WMI-Filter sollten auf Korrektheit, Leistungsauswirkungen und mögliches Missbrauchspotenzial überprüft werden", "status": "machine-draft" }, "recommendedValue": { "value": "Alle WMI-Filter dokumentiert, getestet und mit erwarteten Ergebnissen; keine WMI-Filter, die sicherheitskritische GPOs blockieren", "status": "machine-draft" }, "remediationSteps": { "value": "Inventarisieren Sie alle WMI-Filter mit Get-ADObject -Filter 'objectClass -eq \"msWMI-Som\"'. Prüfen Sie die WQL-Abfrage in jedem Filter auf Korrektheit und testen Sie sie anhand repräsentativer Zielsysteme. Überprüfen Sie, dass WMI-Filter nicht verhindern, dass sicherheitskritische GPOs angewendet werden. Entfernen Sie ungenutzte WMI-Filter. Dokumentieren Sie den Zweck und das erwartete Verhalten jedes aktiven WMI-Filters.", "status": "machine-draft" } } } |