Data/Locales/checks/de/ADLogonScriptChecks.json
|
{ "_family": "ADLogonScriptChecks.json", "ADSCRIPT-001": { "name": { "value": "NETLOGON-Freigabeberechtigungen", "status": "machine-draft" }, "description": { "value": "Die NETLOGON-Freigabe hostet Anmeldeskripte, die bei jeder Benutzeranmeldung auf jedem in die Domäne eingebundenen System ausgeführt werden. Zu freizügige NTFS- oder Freigabeberechtigungen auf NETLOGON erlauben es jedem authentifizierten Benutzer, Skripte zu ändern, und ermöglichen so eine flächendeckende Codeausführung. Nur Domain Admins und autorisierte Administratoren sollten Schreibzugriff haben", "status": "machine-draft" }, "recommendedValue": { "value": "NETLOGON-Freigabe: Authentifizierte Benutzer nur Lesen; Schreibzugriff beschränkt auf Domain Admins und autorisierte GPO-Administratoren", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die NTFS-Berechtigungen im NETLOGON-Ordner (typischerweise %SystemRoot%\\SYSVOL\\sysvol\\<domain>\\Scripts) auf jedem Domänencontroller. Entfernen Sie Schreib-, Änderungs- oder Vollzugriffsberechtigungen für nicht administrative Gruppen. Stellen Sie sicher, dass die Freigabeberechtigungen mit den NTFS-Berechtigungen übereinstimmen. Sorgen Sie dafür, dass die Berechtigungen über die DFSR-Replikation auf allen Domänencontrollern konsistent sind.", "status": "machine-draft" } }, "ADSCRIPT-002": { "name": { "value": "SYSVOL-Freigabeberechtigungen", "status": "machine-draft" }, "description": { "value": "Die SYSVOL-Freigabe enthält Gruppenrichtlinienvorlagen, Skripte und Konfigurationsdateien, die auf alle in die Domäne eingebundenen Systeme angewendet werden. Falsche SYSVOL-Berechtigungen können es unautorisierten Benutzern ermöglichen, Gruppenrichtlinieneinstellungen zu ändern, schädliche Skripte bereitzustellen oder Sicherheitskonfigurationen zu manipulieren, die die gesamte Domäne betreffen", "status": "machine-draft" }, "recommendedValue": { "value": "SYSVOL-Freigabe: Authentifizierte Benutzer nur Lesen; Schreibzugriff beschränkt auf Domain Admins und SYSTEM", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie die NTFS-Berechtigungen im SYSVOL-Ordnerbaum auf jedem Domänencontroller. Der SYSVOL-Stammordner sollte authentifizierten Benutzern Lese- und Ausführungsrechte gewähren. GPO-Unterordner sollten den Berechtigungen entsprechen, die am zugehörigen GPC-Objekt in AD definiert sind. Führen Sie dcdiag /test:sysvolcheck aus, um Berechtigungsprobleme zu identifizieren. Setzen Sie die Berechtigungen bei Bedarf mit icacls zurück.", "status": "machine-draft" } }, "ADSCRIPT-003": { "name": { "value": "Inventar der Anmeldeskripte", "status": "machine-draft" }, "description": { "value": "Ein Inventar aller von Benutzerkonten referenzierten Anmeldeskripte (Attribut scriptPath), der An-/Abmeldeskripte aus Gruppenrichtlinien sowie der Start-/Herunterfahrskripte verschafft Überblick über sämtlichen Code, der in der Umgebung automatisch ausgeführt wird. Skripte, die in NETLOGON existieren, aber nicht referenziert werden, können verwaist sein oder auf eine frühere Kompromittierung hindeuten", "status": "machine-draft" }, "recommendedValue": { "value": "Vollständiges Inventar aller Anmeldeskripte mit dokumentiertem Zweck, Eigentümer und Datum der letzten Änderung", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie alle scriptPath-Attribute der Benutzer mit Get-ADUser -Filter {scriptPath -like '*'} -Properties scriptPath auf. Listen Sie alle GPO-konfigurierten Skripte aus den GPO-Berichten auf. Inventarisieren Sie alle Dateien in der NETLOGON-Freigabe. Führen Sie einen Abgleich durch, um verwaiste Skripte, ungenutzte Skripte und Skripte zu identifizieren, die von Benutzerkonten referenziert werden, in NETLOGON aber fehlen. Dokumentieren Sie Zweck und Eigentümer jedes Skripts.", "status": "machine-draft" } }, "ADSCRIPT-004": { "name": { "value": "Fest codierte Anmeldeinformationen in Skripten", "status": "machine-draft" }, "description": { "value": "Anmeldeskripte enthalten häufig fest codierte Anmeldeinformationen, darunter Kennwörter für Netzlaufwerkzuordnungen, Dienstkonten, Datenbankverbindungen und API-Schlüssel. Diese Anmeldeinformationen sind über die NETLOGON-Freigabe für alle authentifizierten Benutzer lesbar und stellen für Angreifer eine triviale Gelegenheit zum Sammeln von Anmeldeinformationen dar", "status": "machine-draft" }, "recommendedValue": { "value": "Keine fest codierten Anmeldeinformationen, Kennwörter oder API-Schlüssel in irgendeinem NETLOGON- oder SYSVOL-Skript", "status": "machine-draft" }, "remediationSteps": { "value": "Durchsuchen Sie alle Skripte in NETLOGON und SYSVOL nach Mustern, die auf Anmeldeinformationen hindeuten: password, passwd, pwd, credential, secret, apikey, token, connectionstring und ähnliche Schlüsselwörter. Ersetzen Sie fest codierte Anmeldeinformationen durch sichere Alternativen wie den Windows-Anmeldeinformations-Manager, gMSA-Konten oder verschlüsselte Konfigurationsdateien mit eingeschränktem Zugriff. Wechseln Sie alle in Skripten gefundenen Anmeldeinformationen umgehend.", "status": "machine-draft" } }, "ADSCRIPT-005": { "name": { "value": "Verwendung von LOLBins in Skripten", "status": "machine-draft" }, "description": { "value": "Living Off The Land Binaries (LOLBins) sind legitime Windows-Programme, die für schädliche Zwecke missbraucht werden können. Ihr Vorkommen in Anmeldeskripten kann darauf hindeuten, dass ein Angreifer schädliche Befehle eingeschleust hat, die sich in den normalen Betrieb einfügen. Häufige LOLBins sind certutil, bitsadmin, mshta, regsvr32, rundll32 und wscript, die zum Herunterladen oder Ausführen von Payloads verwendet werden", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Verwendung von LOLBins in Anmeldeskripten, sofern nicht dokumentiert und betrieblich begründet", "status": "machine-draft" }, "remediationSteps": { "value": "Durchsuchen Sie alle Skripte nach Verweisen auf bekannte LOLBins wie certutil, bitsadmin, mshta, regsvr32, rundll32, wscript, cscript, msiexec, installutil, regasm, regsvcs, msconfig und control. Prüfen Sie jedes Vorkommen, um festzustellen, ob die Verwendung legitim ist. Ersetzen Sie LOLBins nach Möglichkeit durch sicherere Alternativen. Dokumentieren Sie jede betrieblich erforderliche Verwendung von LOLBins.", "status": "machine-draft" } }, "ADSCRIPT-006": { "name": { "value": "Klartextkennwörter in Skripten", "status": "machine-draft" }, "description": { "value": "Skripte, die Klartextkennwörter in net-use-Befehlen, Datenbankverbindungszeichenfolgen oder Variablenzuweisungen enthalten, legen Anmeldeinformationen gegenüber jedem authentifizierten Domänenbenutzer offen, der die NETLOGON-Freigabe lesen kann. Dies umfasst Kennwörter für Dienstkonten, Datenbankkonten und Netzwerkressourcen, die Pfade für Lateralbewegung bieten können", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Klartextkennwörter in irgendwelchen Skriptdateien; jede Authentifizierung verwendet integrierte Sicherheit oder sichere Speicherung von Anmeldeinformationen", "status": "machine-draft" }, "remediationSteps": { "value": "Durchsuchen Sie alle Skriptdateien nach Mustern wie „net use * /user:“, Kennwortzuweisungen in PowerShell oder Batch, Verbindungszeichenfolgen mit Password= oder Pwd= sowie WScript.Network.MapNetworkDrive-Aufrufen mit Anmeldeinformationen. Ersetzen Sie jede Verwendung von Klartext-Anmeldeinformationen durch integrierte Windows-Authentifizierung, den Anmeldeinformations-Manager oder gMSA-Konten. Wechseln Sie alle offengelegten Kennwörter umgehend.", "status": "machine-draft" } }, "ADSCRIPT-007": { "name": { "value": "Für alle beschreibbare Skriptberechtigungen", "status": "machine-draft" }, "description": { "value": "Einzelne Skriptdateien in NETLOGON oder SYSVOL, die nicht administrativen Benutzern Schreib- oder Änderungsberechtigungen gewähren, können von jedem Angreifer mit Domänen-Anmeldeinformationen geändert werden. Selbst wenn die Berechtigungen auf Freigabeebene korrekt sind, schaffen zu freizügige NTFS-Berechtigungen auf Dateiebene bei einzelnen Skripten eine Gelegenheit zur Codeausführung", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Skriptdateien in NETLOGON und SYSVOL nur durch Domain Admins und SYSTEM beschreibbar; kein Schreibzugriff für Domänenbenutzer oder authentifizierte Benutzer", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie die NTFS-Berechtigungen jeder Datei in der NETLOGON-Freigabe und den SYSVOL-Skriptordnern auf. Identifizieren Sie Dateien, bei denen Domänenbenutzer, authentifizierte Benutzer, Jeder oder andere breite Gruppen Schreib-, Änderungs- oder Vollzugriffsberechtigungen haben. Setzen Sie die Berechtigungen mit icacls zurück, um authentifizierten Benutzern Lesen und Ausführen und ausschließlich Domain Admins und SYSTEM Vollzugriff zu gewähren.", "status": "machine-draft" } }, "ADSCRIPT-008": { "name": { "value": "Verweise auf externe Ressourcen", "status": "machine-draft" }, "description": { "value": "Anmeldeskripte, die auf externe Ressourcen wie Internet-URLs, domänenfremde UNC-Pfade oder Cloud-Speicherorte verweisen, führen ein Lieferkettenrisiko ein. Wird die externe Ressource kompromittiert, laden alle das Skript ausführenden Systeme schädliche Inhalte herunter und führen sie aus. Externe Verweise schaffen zudem Gelegenheiten zur Datenexfiltration", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Verweise auf externe URLs, Internetressourcen oder domänenfremde UNC-Pfade in Anmeldeskripten", "status": "machine-draft" }, "remediationSteps": { "value": "Durchsuchen Sie alle Skripte nach HTTP-/HTTPS-URLs, FTP-Verweisen, domänenfremden UNC-Pfaden und Cloud-Speicher-URLs (OneDrive, SharePoint Online, Azure Blob, AWS S3). Ersetzen Sie externe Verweise durch lokal gehostete Kopien auf internen Dateifreigaben. Falls externe Ressourcen erforderlich sind, implementieren Sie vor der Ausführung eine Integritätsprüfung (Hash-Prüfungen). Dokumentieren Sie alle genehmigten Abhängigkeiten von externen Ressourcen.", "status": "machine-draft" } }, "ADSCRIPT-009": { "name": { "value": "Fehlerhafte Skripte", "status": "machine-draft" }, "description": { "value": "Skripte mit Syntaxfehlern, Codierungsproblemen oder beschädigtem Inhalt können bei der Ausführung stillschweigend fehlschlagen, was zu einer unvollständigen Sicherheitskonfiguration oder fehlenden Laufwerkzuordnungen führt. Fehlerhafte Skripte können auch auf Manipulation hindeuten, bei der ein Angreifer ein Skript verändert, dabei aber Fehler eingeführt hat, oder bei der Codierungsprobleme eingeschleusten Schadinhalt verschleiern", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Skripte bestehen die Syntaxvalidierung ohne Codierungsanomalien oder strukturelle Fehler", "status": "machine-draft" }, "remediationSteps": { "value": "Validieren Sie die Skriptsyntax mit geeigneten Werkzeugen: PowerShell-Skripte mit Test-ScriptFileInfo oder PSScriptAnalyzer, Batchdateien durch manuelle Prüfung auf nicht geschlossene Blöcke und ungültige Befehle, VBScript mit WSH-Syntaxprüfung. Prüfen Sie die Dateicodierung auf unerwartete Bytefolgen oder gemischte Codierung. Überprüfen Sie Skripte mit ungewöhnlicher Codierung (UTF-16 mit BOM in Batchdateien, Nullbytes) auf mögliche Einschleusung.", "status": "machine-draft" } }, "ADSCRIPT-010": { "name": { "value": "UNC-Pfade zu Nicht-DC-Speicherorten", "status": "machine-draft" }, "description": { "value": "Anmeldeskripte, die auf UNC-Pfade zu Dateifreigaben verweisen, die nicht auf Domänencontrollern liegen, schaffen eine Abhängigkeit von zusätzlichen Systemen und vergrößern die Angriffsfläche. Wird der referenzierte Dateiserver kompromittiert, kann ein Angreifer die freigegebenen Ressourcen ändern, um über den vertrauenswürdigen Anmeldeskriptmechanismus schädliche Payloads zu verteilen. UNC-Pfade können zudem für NTLM-Relay-Angriffe missbraucht werden", "status": "machine-draft" }, "recommendedValue": { "value": "Alle UNC-Pfade in Skripten verweisen auf SYSVOL oder NETLOGON auf Domänencontrollern; keine Verweise auf Nicht-DC-Dateifreigaben für Skriptinhalte", "status": "machine-draft" }, "remediationSteps": { "value": "Durchsuchen Sie alle Skripte nach UNC-Pfaden (Muster \\\\server\\share). Identifizieren Sie Pfade, die nicht auf die SYSVOL- oder NETLOGON-Freigaben der Domäne verweisen. Migrieren Sie referenzierte Ressourcen dort, wo es sinnvoll ist, in die NETLOGON-Freigabe. Stellen Sie bei legitimen Dateifreigabeverweisen sicher, dass die Zielserver Tier-0- oder Tier-1-Ressourcen mit angemessener Härtung sind. Dokumentieren Sie alle genehmigten Abhängigkeiten von Nicht-DC-UNC-Pfaden.", "status": "machine-draft" } }, "ADSCRIPT-011": { "name": { "value": "Analyse des Skriptinhalts", "status": "machine-draft" }, "description": { "value": "Eine umfassende Inhaltsanalyse aller Anmeldeskripte kann über spezifische Prüfungen hinaus verdächtige Muster aufdecken, etwa obfuskierten Code, Base64-codierte Befehle, PowerShell-Download-Cradles, codierte ausführbare Dateien und Anti-Analyse-Techniken. Diese Muster sind starke Indikatoren für die Einschleusung schädlicher Skripte oder von Angreifern platzierte Hintertüren", "status": "machine-draft" }, "recommendedValue": { "value": "Kein obfuskierter Code, keine codierten Payloads, keine Download-Cradles und keine Anti-Analyse-Techniken in irgendeinem Anmeldeskript vorhanden", "status": "machine-draft" }, "remediationSteps": { "value": "Analysieren Sie alle Skripte auf verdächtige Muster, darunter Base64-Codierung (Convert-FromBase64, certutil -decode), Download-Cradles (Invoke-WebRequest, Net.WebClient, BitsTransfer), Obfuskierungstechniken (Zeichenfolgenverkettung, Zeichencodes, Variablenersetzung zur Verschleierung von Befehlen) und Anti-Analyse-Techniken (Sleep-Timer, Umgebungsprüfungen). Untersuchen und ersetzen Sie alle Skripte, die verdächtige Muster enthalten.", "status": "machine-draft" } } } |