Data/Locales/checks/de/ADNetworkChecks.json
|
{ "_family": "ADNetworkChecks.json", "ADNET-001": { "name": { "value": "LDAP-Signierung auf Domänencontrollern erforderlich", "status": "machine-draft" }, "description": { "value": "Wenn Domänencontroller keine LDAP-Signierung verlangen, kann ein Angreifer, der LDAP-Verkehr abfangen oder erzwingen kann (zum Beispiel über PetitPotam oder einen beliebigen Auslöser für NTLM-Authentifizierung), die NTLM-Authentifizierung an den LDAP-Dienst eines DC weiterleiten und Verzeichnisdaten als der erzwungene Prinzipal lesen oder schreiben. Das Erzwingen der LDAP-Signierung schließt die häufigste Relay-Senke auf einem Domänencontroller.", "status": "machine-draft" }, "recommendedValue": { "value": "Die Default Domain Controllers Policy setzt „Domänencontroller: Anforderungen für LDAP-Serversignatur“ auf „Signatur erforderlich“ (LDAPServerIntegrity = 2)", "status": "machine-draft" }, "remediationSteps": { "value": "Bearbeiten Sie die Default Domain Controllers Policy: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen > „Domänencontroller: Anforderungen für LDAP-Serversignatur“ = „Signatur erforderlich“. Überprüfen Sie mit: reg query HKLM\\System\\CurrentControlSet\\Services\\NTDS\\Parameters /v LDAPServerIntegrity (sollte 2 sein). Microsoft härtet diesen Standard seit 2020 (ADV190023) und wird ihn in künftigen Windows-Server-Versionen standardmäßig erzwingen.", "status": "machine-draft" } }, "ADNET-002": { "name": { "value": "LDAP-Kanalbindung auf Domänencontrollern erzwungen", "status": "machine-draft" }, "description": { "value": "Die LDAP-Kanalbindung koppelt eine LDAPS-Authentifizierung an den zugrunde liegenden TLS-Kanal. Ohne sie kann ein Angreifer, der eine TLS-geschützte LDAP-Sitzung abgefangen hat, dennoch NTLM-Authentifizierung an LDAPS weiterleiten. Zusammen mit der LDAP-Signierung eliminiert die Kanalbindung LDAP als Relay-Ziel.", "status": "machine-draft" }, "recommendedValue": { "value": "Die Default Domain Controllers Policy setzt „Domänencontroller: Anforderungen für Kanalbindungstoken des LDAP-Servers“ auf „Immer“ (LdapEnforceChannelBinding = 2)", "status": "machine-draft" }, "remediationSteps": { "value": "Bearbeiten Sie die Default Domain Controllers Policy: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen > „Domänencontroller: Anforderungen für Kanalbindungstoken des LDAP-Servers“ = „Immer“. Registrierung: HKLM\\System\\CurrentControlSet\\Services\\NTDS\\Parameters\\LdapEnforceChannelBinding = 2. Ursprünglich für CVE-2017-8563 eingeführt.", "status": "machine-draft" } }, "ADNET-003": { "name": { "value": "SMB-Serversignierung erforderlich (Domänenrichtlinie)", "status": "machine-draft" }, "description": { "value": "Ohne serverseitig erforderliche SMB-Signierung kann ein Angreifer, der sich im Netzwerkpfad positionieren oder SMB-Authentifizierung erzwingen kann, NTLM an SMB weiterleiten und Dateiaktionen als der erzwungene Prinzipal ausführen. Dies ist die klassische Relay-Senke für Werkzeuge wie ntlmrelayx; das Erzwingen der serverseitigen Signierung schließt sie.", "status": "machine-draft" }, "recommendedValue": { "value": "Die Default Domain Policy aktiviert „Microsoft-Netzwerkserver: Kommunikation digital signieren (immer)“ (RequireSecuritySignature auf LanManServer = 1)", "status": "machine-draft" }, "remediationSteps": { "value": "Bearbeiten Sie die Default Domain Policy: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen > „Microsoft-Netzwerkserver: Kommunikation digital signieren (immer)“ = Aktiviert. Registrierung: HKLM\\System\\CurrentControlSet\\Services\\LanmanServer\\Parameters\\RequireSecuritySignature = 1. Windows 11 24H2 / Server 2025 aktivieren dies standardmäßig; ältere Betriebssystemversionen benötigen eine explizite Richtlinie.", "status": "machine-draft" } }, "ADNET-004": { "name": { "value": "SMB-Clientsignierung erforderlich (Domänenrichtlinie)", "status": "machine-draft" }, "description": { "value": "Die clientseitige SMB-Signierung ist die Hälfte des Vertrags, die verhindert, dass eine Arbeitsstation dazu verleitet wird, sich bei einem schädlichen SMB-Server zu authentifizieren (im Responder-Stil). Ohne sie gibt jeder Benutzer im Netzwerk, der zur Auflösung eines feindlichen Namens verleitet wird (LLMNR-Poisoning, WPAD usw.), einen NTLM-Hash preis, den ein Angreifer knacken oder weiterleiten kann.", "status": "machine-draft" }, "recommendedValue": { "value": "Die Default Domain Policy aktiviert „Microsoft-Netzwerkclient: Kommunikation digital signieren (immer)“ (RequireSecuritySignature auf LanmanWorkstation = 1)", "status": "machine-draft" }, "remediationSteps": { "value": "Bearbeiten Sie die Default Domain Policy: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen > „Microsoft-Netzwerkclient: Kommunikation digital signieren (immer)“ = Aktiviert. Registrierung: HKLM\\System\\CurrentControlSet\\Services\\LanmanWorkstation\\Parameters\\RequireSecuritySignature = 1.", "status": "machine-draft" } }, "ADNET-005": { "name": { "value": "LLMNR durch Domänenrichtlinie deaktiviert", "status": "machine-draft" }, "description": { "value": "Link-Local Multicast Name Resolution ist ein broadcastbasierter Fallback, den jeder Host im lokalen Segment beantworten kann. Responder.py und ähnliche Werkzeuge imitieren die Antwort, sammeln NTLMv2-Challenge-Responses und knacken sie entweder offline oder leiten sie weiter. Das domänenweite Deaktivieren von LLMNR ist die wirkungsvollste einzelne Härtung von Arbeitsstationen, die Sie für die interne Pentest-Sicherheitslage vornehmen können.", "status": "machine-draft" }, "recommendedValue": { "value": "Die Default Domain Policy aktiviert „Multicast-Namensauflösung deaktivieren“ (DnsClient-Richtlinie EnableMulticast = 0)", "status": "machine-draft" }, "remediationSteps": { "value": "Bearbeiten Sie die Default Domain Policy: Computerkonfiguration > Richtlinien > Administrative Vorlagen > Netzwerk > DNS-Client > „Multicast-Namensauflösung deaktivieren“ = Aktiviert. Registrierung: HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows NT\\DNSClient\\EnableMulticast = 0.", "status": "machine-draft" } }, "ADNET-006": { "name": { "value": "Konfiguration von NetBIOS über TCP/IP überprüft", "status": "machine-draft" }, "description": { "value": "NetBIOS-NS ist nach LLMNR das zweite Standbein von Namensauflösungs-Poisoning-Angriffen. Das Deaktivieren auf DHCP-/Schnittstellenebene erfordert ein Zurücksetzen der Netzwerkkonfiguration, das die GPO nicht vollständig ausdrücken kann; der Wert Tcpip\\Parameters\\Interfaces NetbiosOptions lässt sich jedoch über DHCP-Bereichsoption 1 oder direkt über die Registrierung setzen. Diese Prüfung meldet, ob IRGENDEIN domänenweites Richtlinienartefakt dies adressiert, sodass der Prüfer weiß, ob er auf der DHCP- oder der Imaging-Ebene ansetzen muss.", "status": "machine-draft" }, "recommendedValue": { "value": "Es existiert eine domänenweite Methode zum Deaktivieren von NetBIOS über TCP/IP auf Arbeitsstationen (DHCP-Option 1 = 0x2, Gruppenrichtlinieneinstellung oder Imaging-Baseline)", "status": "machine-draft" }, "remediationSteps": { "value": "Deaktivieren Sie NetBIOS über TCP/IP flottenweit. Optionen: (1) Setzen Sie die DHCP-Bereichsoption Microsoft Disable Netbios Option (Option 1) auf 0x2; (2) Gruppenrichtlinieneinstellungen > Windows-Einstellungen > Registrierung, um NetbiosOptions = 2 an jeden Tcpip_<Interface>-Schlüssel zu übertragen; (3) verankern Sie es in der Imaging-Baseline der Arbeitsstationen. Diese Einstellung ist schnittstellenspezifisch und über die Standard-GPO-Sicherheitseinstellungen nicht direkt adressierbar.", "status": "machine-draft" } }, "ADNET-007": { "name": { "value": "Sicherheitslage zur Minderung von IPv6/mitm6", "status": "machine-draft" }, "description": { "value": "mitm6 ist das IPv6-Äquivalent von Responder: Ein schädlicher DHCPv6-Server verteilt einen Link-Local-DNS-Server und vergiftet anschließend WPAD-Abfragen, um Anmeldeinformationen zu sammeln. Unternehmen, die IPv6 nicht bereitgestellt haben, haben es typischerweise auch nicht deaktiviert, sodass Link-Local-IPv6 ohne Verteidigungsmaßnahmen aktiviert bleibt. Die Minderung besteht entweder darin, IPv6 ordnungsgemäß mit RA Guard / DHCPv6 Guard am Switch bereitzustellen, oder darin, IPv6-Komponenten über DisabledComponents = 0xFF zu deaktivieren.", "status": "machine-draft" }, "recommendedValue": { "value": "Entweder ist IPv6 domänenweit über DisabledComponents = 0xFF deaktiviert, ODER das Netzwerk verfügt über RA Guard + DHCPv6 Guard auf der Zugriffsebene (extern, aus AD nicht erkennbar)", "status": "machine-draft" }, "remediationSteps": { "value": "Falls Sie IPv6 nicht verwenden: Übertragen Sie HKLM\\SYSTEM\\CurrentControlSet\\Services\\Tcpip6\\Parameters\\DisabledComponents = 0xFF (hex) über die GPO-Registrierung an alle Arbeitsstationen und Server. Falls Sie IPv6 verwenden: Stellen Sie sicher, dass Ihre Zugriffs-Switches DHCPv6 Guard / RA Guard durchsetzen, sodass unautorisierte DHCPv6-Ankündigungen am Port verworfen werden. Microsoft hat ausdrücklich erklärt, dass das vollständige Deaktivieren von IPv6 für Windows nicht empfohlen wird, aber für Umgebungen akzeptabel ist, in denen IPv6 ungenutzt bleibt.", "status": "machine-draft" } }, "ADNET-008": { "name": { "value": "WPAD-Autoerkennung deaktiviert", "status": "machine-draft" }, "description": { "value": "Web Proxy Auto-Discovery löst den Namen „wpad“ über DNS, NetBIOS oder LLMNR auf und vertraut jeder zurückgelieferten Proxykonfiguration. Ein Angreifer kann jede dieser Auflösungen vergiften und den Webverkehr des Opfers über einen Proxy leiten. Selbst bei deaktiviertem LLMNR und NetBIOS kann der WinHttpAutoProxySvc weiterhin WPAD versuchen, weshalb eine tiefengestaffelte GPO empfohlen wird, die WPAD vollständig deaktiviert.", "status": "machine-draft" }, "recommendedValue": { "value": "Eine GPO deaktiviert WPAD über „Zwischenspeichern von Autoproxyergebnissen deaktivieren“ oder durch Setzen des Starttyps von WinHttpAutoProxySvc auf 4 (deaktiviert), oder der DNS-Server hat einen wpad-Eintrag in der GlobalQueryBlockList", "status": "machine-draft" }, "remediationSteps": { "value": "Drei ergänzende Kontrollen: (1) Fügen Sie „wpad“ zur GlobalQueryBlockList des DNS-Servers hinzu: dnscmd /Config /GlobalQueryBlockList wpad isatap; (2) Deaktivieren Sie den WinHttpAutoProxySvc über die GPO-Dienstrichtlinie; (3) GPO Internet Explorer / Edge: „Ändern der Einstellungen für die automatische Konfiguration deaktivieren“ und sicherstellen, dass keine PAC-URL automatisch konfiguriert wird. (1) ist die wirkungsvollste einzelne Maßnahme.", "status": "machine-draft" } }, "ADNET-009": { "name": { "value": "Druckwarteschlangendienst auf Domänencontrollern", "status": "machine-draft" }, "description": { "value": "Der Druckwarteschlangendienst (Print Spooler) auf einem Domänencontroller ist der RPC-Endpunkt, der von der PrinterBug-Coercion-Technik (und einer langen Reihe von Folgeangriffen einschließlich des ursprünglichen CVE-2021-1675 PrintNightmare) ausgenutzt wird. In Kombination mit einer beliebigen NTLM-Relay-Senke (ADCS Web, LDAP ohne Signierung, SMB ohne Signierung) verschafft er einem nicht authentifizierten Angreifer ein Primitiv, um das Computerkonto des DC zur Authentifizierung bei einem Ziel seiner Wahl zu zwingen. Der Spooler wird auf einem DC selten benötigt.", "status": "machine-draft" }, "recommendedValue": { "value": "Der Druckwarteschlangendienst ist in der Default Domain Controllers Policy deaktiviert (Starttyp 4)", "status": "machine-draft" }, "remediationSteps": { "value": "Bearbeiten Sie die Default Domain Controllers Policy: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Systemdienste > Druckwarteschlange > „Diese Richtlinieneinstellung definieren“ = Deaktiviert. Dies wird beim nächsten gpupdate auf jeden DC übertragen. Überprüfen Sie auf jedem DC: Get-Service Spooler sollte Status=Stopped, StartType=Disabled anzeigen. Falls ein DC auch Druckdienste bereitstellt (was er nicht sollte), suchen Sie zuerst einen anderen Host für diese Rolle.", "status": "machine-draft" } }, "ADNET-010": { "name": { "value": "Standardzustand des WebClient-Dienstes auf Arbeitsstationen", "status": "machine-draft" }, "description": { "value": "Der WebClient-Dienst (WebDAV-Redirector) erlaubt es einem Angreifer, HTTP-Authentifizierung von einer Arbeitsstation zu erzwingen, indem er auf einen UNC-Pfad verweist, der mit einem Hostnamen beginnt, der ein „@“ enthält (z. B. \\\\attacker@80\\share). Dies ist das Arbeitsstationsanalogon zu PetitPotam und die am häufigsten für Angriffe auf ADCS Web Enrollment (ESC8) verwendete Relay-Quelle. WebClient wird bei Bedarf gestartet, sollte aber für nicht mobile Arbeitsstationen domänenweit auf „Deaktiviert“ gesetzt werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Die Default Domain Policy deaktiviert den WebClient-Dienst (Starttyp 4) für alle Mitgliedsarbeitsstationen und -server, die kein WebDAV benötigen", "status": "machine-draft" }, "remediationSteps": { "value": "Bearbeiten Sie die Default Domain Policy: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Systemdienste > WebClient > „Diese Richtlinieneinstellung definieren“ = Deaktiviert. Falls eine Teilmenge von Hosts (z. B. SharePoint-Clients) tatsächlich WebDAV benötigt, richten Sie eine gegenläufige GPO nur für diese OUs ein. Überwachen Sie plötzliche Reaktivierungen.", "status": "machine-draft" } } } |