Data/Locales/checks/de/ADKerberosChecks.json
|
{ "_family": "ADKerberosChecks.json", "ADKERB-001": { "name": { "value": "Kerberoasting-anfällige Konten", "status": "machine-draft" }, "description": { "value": "Benutzerkonten mit Dienstprinzipalnamen (SPNs) sind anfällig für Kerberoasting: Jeder authentifizierte Domänenbenutzer kann ein Diensticket anfordern, das mit dem Kennwort-Hash des Kontos verschlüsselt ist, und versuchen, es offline zu knacken. Dieser Angriff erfordert keine besonderen Berechtigungen und ist schwer zu erkennen. Jedes Benutzerkonto mit einem SPN stellt einen potenziellen Vektor zur Offenlegung von Anmeldeinformationen dar", "status": "machine-draft" }, "recommendedValue": { "value": "Möglichst wenige Benutzerkonten mit SPNs. Alle Kerberoasting-anfälligen Konten identifiziert, mit geschäftlicher Begründung dokumentiert und durch Kennwörter mit 25 oder mehr Zeichen geschützt oder zu gMSA migriert", "status": "machine-draft" }, "remediationSteps": { "value": "Ermitteln Sie Kerberoasting-anfällige Konten mit Get-ADUser -Filter {ServicePrincipalName -ne '$null'} -Properties ServicePrincipalName. Für jedes Konto: (1) prüfen Sie, ob der SPN noch benötigt wird, (2) entfernen Sie unnötige SPNs, (3) migrieren Sie nach Möglichkeit zu gruppenverwalteten Dienstkonten, (4) stellen Sie bei den verbleibenden Konten sicher, dass die Kennwörter mindestens 25 Zeichen umfassen und regelmäßig gewechselt werden. Überwachen Sie Kerberos-TGS-Anforderungen, die auf sensible Konten abzielen, über Event ID 4769", "status": "machine-draft" } }, "ADKERB-002": { "name": { "value": "Kerberoasting-anfällig mit schwacher Verschlüsselung", "status": "machine-draft" }, "description": { "value": "Benutzerkonten mit SPN, die für die Verwendung von RC4- oder DES-Verschlüsselung konfiguriert sind, lassen sich per Kerberoasting deutlich leichter knacken als solche, die AES verwenden. RC4-Tickets (ARCFOUR-HMAC-MD5) können auf moderner GPU-Hardware um Größenordnungen schneller geknackt werden als AES-Tickets. Konten, die explizit mit schwachen Verschlüsselungstypen konfiguriert sind oder keine AES-Schlüssel besitzen, stellen die Kerberoasting-Ziele mit der höchsten Priorität dar", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Konten mit SPN unterstützen AES256-Verschlüsselung. Keine Konten, die auf RC4- oder DES-Verschlüsselungstypen beschränkt sind. msDS-SupportedEncryptionTypes enthält die AES-Flags bei allen Dienstkonten", "status": "machine-draft" }, "remediationSteps": { "value": "Fragen Sie Benutzerkonten mit SPN ab und prüfen Sie deren Attribut msDS-SupportedEncryptionTypes. Konten mit dem Wert 0 (nicht gesetzt) verwenden standardmäßig RC4. Konten, die nur die RC4- (0x4) oder DES-Flags (0x1, 0x2, 0x3) besitzen, sind anfällig. Wechseln Sie die Kennwörter aller betroffenen Konten, nachdem die AES-Unterstützung in der Domäne aktiviert wurde, um AES-Schlüssel zu erzeugen. Setzen Sie msDS-SupportedEncryptionTypes so, dass die Flags AES128 (0x8) und AES256 (0x10) enthalten sind", "status": "machine-draft" } }, "ADKERB-003": { "name": { "value": "AS-REP-Roasting-anfällige Konten", "status": "machine-draft" }, "description": { "value": "Konten, bei denen das Flag DONT_REQUIRE_PREAUTH gesetzt ist, ermöglichen es jedem Benutzer, eine AS-REP anzufordern, die verschlüsseltes Material enthält, das ohne jede vorherige Authentifizierung offline geknackt werden kann. Anders als beim Kerberoasting erfordert AS-REP-Roasting in manchen Konfigurationen nicht einmal ein gültiges Domänenkonto, was es zu einer attraktiven Technik für den Erstzugriff für Angreifer macht, die nur über Netzwerkzugriff auf einen Domänencontroller verfügen", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Konten mit gesetztem Flag „Keine Kerberos-Präauthentifizierung erforderlich“. Null AS-REP-Roasting-anfällige Konten", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie Konten mit Get-ADUser -Filter {DoesNotRequirePreAuth -eq $true -and Enabled -eq $true}. Aktivieren Sie die Kerberos-Präauthentifizierung für alle Konten. In modernen Umgebungen gibt es selten einen legitimen Grund, die Präauthentifizierung zu deaktivieren. Wechseln Sie die Kennwörter aller zuvor anfälligen Konten, da diese möglicherweise bereits ins Visier genommen wurden. Überwachen Sie Event ID 4768 mit dem Präauthentifizierungstyp 0", "status": "machine-draft" } }, "ADKERB-004": { "name": { "value": "Uneingeschränkte Delegierung - Computer", "status": "machine-draft" }, "description": { "value": "Computerkonten mit uneingeschränkter Delegierung (TrustedForDelegation) speichern das TGT jedes Benutzers zwischen, der sich bei ihnen authentifiziert. Kompromittiert ein Angreifer eine solche Maschine, kann er die zwischengespeicherten TGTs extrahieren und die Identität jedes Benutzers annehmen, einschließlich der Domain Admins. In Kombination mit dem SpoolSample- oder PrinterBug-Coercion-Angriff kann ein Angreifer einen Domänencontroller zur Authentifizierung zwingen und dessen TGT abfangen, was zur vollständigen Kompromittierung der Domäne führt", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Computerkonten mit uneingeschränkter Delegierung, mit Ausnahme von Domänencontrollern (die sie systembedingt benötigen). Jede andere Delegierung zu eingeschränkter Delegierung oder ressourcenbasierter eingeschränkter Delegierung migriert", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie Computer mit uneingeschränkter Delegierung mit Get-ADComputer -Filter {TrustedForDelegation -eq $true} -Properties TrustedForDelegation. Schließen Sie Domänencontroller aus den Ergebnissen aus. Migrieren Sie die verbleibenden Computer zur eingeschränkten Delegierung, indem Sie die konkreten Dienste ermitteln, an die sie delegieren müssen, und anschließend msDS-AllowedToDelegateTo konfigurieren. Fügen Sie sensible Konten der Gruppe Protected Users hinzu, um das Zwischenspeichern ihrer TGTs zu verhindern. Markieren Sie hochwertige Konten als „Konto ist vertraulich und kann nicht delegiert werden“", "status": "machine-draft" } }, "ADKERB-005": { "name": { "value": "Uneingeschränkte Delegierung - Benutzer", "status": "machine-draft" }, "description": { "value": "Benutzerkonten mit uneingeschränkter Delegierung sind noch gefährlicher als Computerkonten mit derselben Einstellung, da Benutzerkonten durch Diebstahl von Anmeldeinformationen, Phishing oder Kennwortangriffe leichter kompromittiert werden. Jeder Dienst, der unter einem Benutzerkonto mit uneingeschränkter Delegierung läuft, kann die Identität jedes Benutzers annehmen, der sich bei ihm authentifiziert, und bietet damit einen direkten Weg zur Kompromittierung der Domäne", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Benutzerkonten mit uneingeschränkter Delegierung. Jede Delegierung von Benutzerkonten zu eingeschränkter Delegierung oder ressourcenbasierter eingeschränkter Delegierung migriert", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie Benutzer mit uneingeschränkter Delegierung mit Get-ADUser -Filter {TrustedForDelegation -eq $true} -Properties TrustedForDelegation. Dies ist bei Benutzerkonten fast nie eine legitime Konfiguration. Entfernen Sie das Flag für uneingeschränkte Delegierung und konfigurieren Sie eine eingeschränkte Delegierung zu bestimmten Diensten, falls eine Delegierung erforderlich ist. Wechseln Sie das Kontokennwort umgehend, da das Konto möglicherweise ins Visier genommen wurde", "status": "machine-draft" } }, "ADKERB-006": { "name": { "value": "Analyse der eingeschränkten Delegierung", "status": "machine-draft" }, "description": { "value": "Die eingeschränkte Delegierung begrenzt über das Attribut msDS-AllowedToDelegateTo, an welche Dienste ein Konto delegieren darf, doch eine Fehlkonfiguration kann dennoch eine Rechteausweitung ermöglichen. Die Delegierung an LDAP-, CIFS- oder HOST-Dienste auf Domänencontrollern kann missbraucht werden, um DCSync-Angriffe durchzuführen, auf Dateifreigaben des DC zuzugreifen oder Befehle als delegierter Benutzer auszuführen. Jeder Eintrag der eingeschränkten Delegierung sollte hinsichtlich seiner Sicherheitsauswirkungen überprüft werden", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Einträge der eingeschränkten Delegierung mit geschäftlicher Begründung dokumentiert. Keine Delegierung an sensible Dienste (LDAP, CIFS, HOST, WSMAN) auf Domänencontrollern", "status": "machine-draft" }, "remediationSteps": { "value": "Ermitteln Sie die eingeschränkte Delegierung mit Get-ADObject -Filter {msDS-AllowedToDelegateTo -ne '$null'} -Properties msDS-AllowedToDelegateTo. Überprüfen Sie jedes Delegierungsziel. Kennzeichnen Sie jede Delegierung an DC-Dienste (insbesondere LDAP, CIFS, HOST, HTTP, WSMAN) als hohes Risiko. Entfernen Sie unnötige Delegierungseinträge und dokumentieren Sie legitime Einträge mit einer geschäftlichen Begründung. Erwägen Sie eine Migration zur ressourcenbasierten eingeschränkten Delegierung für eine verbesserte Sicherheit", "status": "machine-draft" } }, "ADKERB-007": { "name": { "value": "Ressourcenbasierte eingeschränkte Delegierung", "status": "machine-draft" }, "description": { "value": "Die ressourcenbasierte eingeschränkte Delegierung (RBCD) ermöglicht es der Zielressource, über das Attribut msDS-AllowedToActOnBehalfOfOtherIdentity zu steuern, welche Konten an sie delegieren dürfen. Obwohl sie konzeptionell sicherer ist als die herkömmliche eingeschränkte Delegierung, kann RBCD missbraucht werden, wenn ein Angreifer Schreibzugriff auf ein Computerobjekt erlangt, um unautorisierte Delegierungspfade einzurichten. Dies ist eine gängige Post-Exploitation-Technik", "status": "machine-draft" }, "recommendedValue": { "value": "Alle RBCD-Konfigurationen dokumentiert und geprüft. Keine unautorisierten Einträge in msDS-AllowedToActOnBehalfOfOtherIdentity. Schreibzugriff auf Computerobjekte auf autorisierte Administratoren beschränkt", "status": "machine-draft" }, "remediationSteps": { "value": "Ermitteln Sie die RBCD-Konfigurationen mit Get-ADComputer -Filter {msDS-AllowedToActOnBehalfOfOtherIdentity -ne '$null'} -Properties msDS-AllowedToActOnBehalfOfOtherIdentity. Überprüfen Sie jeden Eintrag auf seine geschäftliche Begründung. Prüfen Sie, wer Schreibzugriff auf Computerobjekte in AD hat, um potenzielle RBCD-Missbrauchspfade zu identifizieren. Entfernen Sie unautorisierte RBCD-Einträge. Richten Sie eine Überwachung von Änderungen am Attribut msDS-AllowedToActOnBehalfOfOtherIdentity ein", "status": "machine-draft" } }, "ADKERB-008": { "name": { "value": "Missbrauchspfade der Protokollumstellung", "status": "machine-draft" }, "description": { "value": "Konten, die für die eingeschränkte Delegierung mit Protokollumstellung konfiguriert sind (Flag TrustedToAuthForDelegation / T2A4D), können Diensttickets im Namen eines beliebigen Benutzers erhalten, ohne dass sich dieser tatsächlich über Kerberos authentifiziert. Diese S4U2Self-Fähigkeit erlaubt es dem Konto, die Identität jedes Benutzers gegenüber den Diensten anzunehmen, an die es delegieren darf, was es in Kombination mit einer Delegierung an sensible Dienste zu einem wirkungsvollen Vektor für die Rechteausweitung macht", "status": "machine-draft" }, "recommendedValue": { "value": "Protokollumstellung (TrustedToAuthForDelegation) bei allen Konten deaktiviert, sofern nicht ausdrücklich erforderlich und dokumentiert. Keine Konten mit Protokollumstellung, die an Domänencontroller-Dienste delegieren können", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie Konten mit Protokollumstellung mit Get-ADObject -Filter {TrustedToAuthForDelegation -eq $true} -Properties TrustedToAuthForDelegation,msDS-AllowedToDelegateTo. Prüfen Sie für jedes Konto, ob die Protokollumstellung wirklich erforderlich ist (nur nötig, wenn die anfängliche Authentifizierung nicht Kerberos verwendet). Deaktivieren Sie die Protokollumstellung, wo sie nicht benötigt wird. Beschränken Sie bei den verbleibenden Konten die Delegierungsziele strikt und stellen Sie sicher, dass keine DC-Dienste im Geltungsbereich liegen", "status": "machine-draft" } }, "ADKERB-009": { "name": { "value": "Kerberos-Verschlüsselungstypen", "status": "machine-draft" }, "description": { "value": "Kerberos-Verschlüsselungstypen bestimmen die Stärke der Ticketverschlüsselung. DES und RC4 (ARCFOUR-HMAC-MD5) sind kryptografisch schwach und sollten zugunsten von AES128 und AES256 deaktiviert werden. Insbesondere RC4 ist ein Ziel von Kerberoasting-Angriffen, da es deutlich schneller zu knacken ist als AES-verschlüsselte Tickets. Das Erzwingen ausschließlich von AES-Verschlüsselung erhöht den Aufwand für Offline-Angriffe auf Anmeldeinformationen erheblich", "status": "machine-draft" }, "recommendedValue": { "value": "AES256_HMAC_SHA1 und AES128_HMAC_SHA1 als einzige unterstützte Verschlüsselungstypen. DES und RC4 über Gruppenrichtlinie und Domänenfunktionsebene deaktiviert", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie über die Gruppenrichtlinie: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen > „Netzwerksicherheit: Für Kerberos zulässige Verschlüsselungstypen konfigurieren“ = AES128_HMAC_SHA1, AES256_HMAC_SHA1, Zukünftige Verschlüsselungstypen. Prüfen Sie die Konten über msDS-SupportedEncryptionTypes, um jene zu identifizieren, die auf RC4 beschränkt sind. Stellen Sie sicher, dass für alle Dienstkonten AES-Schlüssel erzeugt werden, indem Sie die Kennwörter wechseln, nachdem die AES-Unterstützung auf Domänenebene aktiviert wurde", "status": "machine-draft" } }, "ADKERB-010": { "name": { "value": "Gültigkeitsdauer von Kerberos-Tickets", "status": "machine-draft" }, "description": { "value": "Die Gültigkeitsdauer von Kerberos-Tickets bestimmt, wie lange Authentifizierungstickets gültig bleiben. Übermäßig lange Gültigkeitsdauern für TGTs oder Diensttickets verlängern das Zeitfenster, in dem gestohlene Tickets für Pass-the-Ticket-Angriffe verwendet werden können. Die standardmäßige TGT-Gültigkeitsdauer von 10 Stunden und die maximale Erneuerung von 7 Tagen sollten überprüft werden, um Sicherheit und betriebliche Anforderungen in Einklang zu bringen", "status": "machine-draft" }, "recommendedValue": { "value": "Maximale TGT-Gültigkeitsdauer: 4 bis 10 Stunden. Maximale Gültigkeitsdauer des Diensttickets: 600 Minuten. Maximale Ticketerneuerung: 7 Tage. Maximale Taktabweichung: 5 Minuten", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie die Kerberos-Richtlinie in der Default Domain Policy: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kerberos-Richtlinie. Legen Sie die maximale Gültigkeitsdauer des Diensttickets (600 Minuten), die maximale Gültigkeitsdauer des Benutzertickets (10 Stunden oder weniger) und die maximale Gültigkeitsdauer für die Erneuerung des Benutzertickets (7 Tage) fest. Fügen Sie Tier-0-Konten der Gruppe Protected Users hinzu, die automatisch eine TGT-Gültigkeitsdauer von 4 Stunden erzwingt", "status": "machine-draft" } }, "ADKERB-011": { "name": { "value": "Audit der Computer-SPNs", "status": "machine-draft" }, "description": { "value": "Dienstprinzipalnamen auf Computerkonten definieren die Dienste, die für die Ausführung auf jeder Maschine registriert sind. Doppelte SPNs führen zu Fehlern bei der Kerberos-Authentifizierung, während unautorisierte SPNs auf schädliche Dienste oder kompromittierte Maschinen hindeuten können. Eine saubere SPN-Konfiguration ist entscheidend dafür, dass Kerberos korrekt funktioniert und ein genaues Dienstinventar erhalten bleibt", "status": "machine-draft" }, "recommendedValue": { "value": "Keine doppelten SPNs in der Domäne. Alle SPNs auf Computerkonten entsprechen legitimen, dokumentierten Diensten", "status": "machine-draft" }, "remediationSteps": { "value": "Suchen Sie mit setspn -X in der Gesamtstruktur oder mit Get-ADObject-Abfragen nach doppelten SPNs. Entfernen Sie doppelte SPNs oder weisen Sie sie den richtigen Konten neu zu. Überprüfen Sie die SPNs von Computerobjekten, um unautorisierte oder unerwartete Dienste zu identifizieren. Verwenden Sie setspn -L <Computername>, um die SPNs je Computer aufzulisten. Dokumentieren Sie alle nicht standardmäßigen SPNs mit ihrem geschäftlichen Zweck", "status": "machine-draft" } } } |