Data/Locales/checks/de/ADPasswordPolicyChecks.json
|
{ "_family": "ADPasswordPolicyChecks.json", "ADPWD-001": { "name": { "value": "Standardmäßige Domänenkennwortrichtlinie", "status": "machine-draft" }, "description": { "value": "Die Default Domain Policy legt die grundlegenden Kennwort- und Sperreinstellungen für alle Domänenbenutzer fest. Diese Richtlinie sollte strenge Kennwortanforderungen durchsetzen, da sie für jedes Konto gilt, das nicht durch eine spezifischere, fein abgestufte Kennwortrichtlinie abgedeckt ist", "status": "machine-draft" }, "recommendedValue": { "value": "Mindestlänge 14 Zeichen, Komplexität aktiviert, maximales Alter 365 Tage, minimales Alter 1 Tag, Verlauf 24 Kennwörter", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Default Domain Policy mit Get-ADDefaultDomainPasswordPolicy. Konfigurieren Sie über die Gruppenrichtlinienverwaltung: Default Domain Policy > Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kennwortrichtlinie. Legen Sie die Werte gemäß den Sicherheitsanforderungen der Organisation fest", "status": "machine-draft" } }, "ADPWD-002": { "name": { "value": "Aufzählung fein abgestufter Kennwortrichtlinien", "status": "machine-draft" }, "description": { "value": "Fein abgestufte Kennwortrichtlinien (FGPPs) erlauben unterschiedliche Kennwortanforderungen für unterschiedliche Benutzergruppen. Alle FGPPs sollten dokumentiert werden, um die vollständige Kennwortrichtlinienlandschaft zu verstehen und sicherzustellen, dass keine Gruppen durch schwächere als beabsichtigte Richtlinien abgedeckt sind", "status": "machine-draft" }, "recommendedValue": { "value": "Alle FGPPs mit ihrer Rangfolge, Zielgruppen und Richtlinieneinstellungen dokumentiert. Mindestens eine strenge FGPP für privilegierte Konten und eine Standard-FGPP für reguläre Benutzer", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie alle FGPPs mit Get-ADFineGrainedPasswordPolicy -Filter * auf. Dokumentieren Sie den Rangfolgewert, die Zielgruppen und die Einstellungen jeder Richtlinie. Überprüfen Sie, dass privilegierte Konten durch eine strengere Richtlinie als Standardbenutzer abgedeckt sind. Erstellen Sie FGPPs, falls nur die Default Domain Policy existiert", "status": "machine-draft" } }, "ADPWD-003": { "name": { "value": "Analyse der FGPP-Anwendung", "status": "machine-draft" }, "description": { "value": "Fein abgestufte Kennwortrichtlinien müssen auf die richtigen Gruppen angewendet werden, um wirksam zu sein. Eine falsch konfigurierte FGPP-Anwendung kann hochwertige Konten unter schwächeren Richtlinien belassen oder Richtlinienlücken schaffen, in denen keine FGPP gilt und stattdessen die Default Domain Policy verwendet wird", "status": "machine-draft" }, "recommendedValue": { "value": "Alle privilegierten Konten durch eine strenge FGPP abgedeckt. Keine Richtlinienlücken, in denen hochwertige Konten auf eine schwächere Standardrichtlinie zurückfallen", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie für jede FGPP das Attribut msDS-PSOAppliesTo, um die Zielgruppen zu sehen. Gleichen Sie mit der Mitgliedschaft in privilegierten Gruppen ab, um die Abdeckung zu verifizieren. Verwenden Sie Get-ADUserResultantPasswordPolicy für bestimmte Konten, um die wirksame Richtlinie zu ermitteln. Beheben Sie alle Lücken in der FGPP-Anwendung", "status": "machine-draft" } }, "ADPWD-004": { "name": { "value": "Mindestkennwortlänge", "status": "machine-draft" }, "description": { "value": "Kennwörter unter 14 Zeichen sind anfällig für Offline-Brute-Force-Knacken mit moderner GPU-Hardware. NIST SP 800-63B empfiehlt, Kennwörter mit bis zu 64 Zeichen zu unterstützen und ein Minimum festzulegen, das Sicherheit und Benutzerfreundlichkeit ausbalanciert. Für AD-Umgebungen sind 14 Zeichen die empfohlene Mindestbasis", "status": "machine-draft" }, "recommendedValue": { "value": "Mindestens 14 Zeichen für Standardbenutzer, 25 Zeichen für privilegierte Konten", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie die Mindestkennwortlänge in der Default Domain Policy oder der passenden FGPP: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kennwortrichtlinie > Minimale Kennwortlänge = 14. Erstellen Sie eine strengere FGPP für privilegierte Konten mit mindestens 25 Zeichen", "status": "machine-draft" } }, "ADPWD-005": { "name": { "value": "Anforderung der Kennwortkomplexität", "status": "machine-draft" }, "description": { "value": "Die Windows-Kennwortkomplexität erfordert mindestens drei von vier Zeichenkategorien (Groß-, Kleinbuchstaben, Ziffern, Sonderzeichen) und dass das Kennwort nicht den Kontonamen des Benutzers enthält. Zwar schreibt NIST Komplexität nicht mehr vor, doch ihr Deaktivieren in AD ohne kompensierende Kontrollen (etwa Sperrlisten) schwächt Kennwörter erheblich", "status": "machine-draft" }, "recommendedValue": { "value": "Komplexität aktiviert. Idealerweise ergänzt durch Azure AD Password Protection oder benutzerdefinierte Sperrlisten zum Schutz gegen häufige Muster", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie, dass die Komplexität in der Default Domain Policy aktiviert ist: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kennwortrichtlinie > „Kennwort muss Komplexitätsvoraussetzungen entsprechen“ = Aktiviert. Erwägen Sie die Bereitstellung von Azure AD Password Protection für zusätzliche Durchsetzung gesperrter Kennwörter", "status": "machine-draft" } }, "ADPWD-006": { "name": { "value": "Kontosperrungsrichtlinie", "status": "machine-draft" }, "description": { "value": "Kontosperrungsrichtlinien schützen vor Online-Brute-Force- und Password-Spraying-Angriffen, indem Konten nach einem Schwellenwert fehlgeschlagener Versuche gesperrt werden. Ohne Sperrung können Angreifer unbegrenzt Kennwörter gegen jedes Konto raten. Eine zu aggressive Sperrung schafft jedoch ein Risiko für Denial-of-Service", "status": "machine-draft" }, "recommendedValue": { "value": "Kontosperrungsschwellenwert: 5–10 Versuche. Sperrdauer: 15–30 Minuten. Zähler zurücksetzen nach: 15–30 Minuten", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie die Kontosperrung in der Default Domain Policy: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kontosperrungsrichtlinie. Setzen Sie den Schwellenwert auf 5–10 Versuche, die Dauer auf 15–30 Minuten und das Beobachtungsfenster auf 15–30 Minuten. Überwachen Sie Sperrereignisse, die auf Angriffe hindeuten können", "status": "machine-draft" } }, "ADPWD-007": { "name": { "value": "Durchsetzung des Kennwortverlaufs", "status": "machine-draft" }, "description": { "value": "Der Kennwortverlauf verhindert, dass Benutzer dieselben Kennwörter wiederverwenden. Ohne ausreichende Verlaufstiefe können Benutzer zwischen einem kleinen Satz von Kennwörtern wechseln, was den Sicherheitsvorteil der Anforderung zur Kennwortrotation zunichtemacht", "status": "machine-draft" }, "recommendedValue": { "value": "Kennwortverlauf, der mindestens 24 frühere Kennwörter speichert", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie in der Default Domain Policy: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kennwortrichtlinie > „Kennwortchronik erzwingen“ = 24 gespeicherte Kennwörter. Stellen Sie außerdem sicher, dass „Minimales Kennwortalter“ auf mindestens 1 Tag gesetzt ist, um schnelles Durchlaufen des Verlaufs zu verhindern", "status": "machine-draft" } }, "ADPWD-008": { "name": { "value": "Maximales Kennwortalter", "status": "machine-draft" }, "description": { "value": "Das maximale Kennwortalter erzwingt eine periodische Kennwortrotation. Zwar rät NIST SP 800-63B von obligatorischen periodischen Änderungen ab, sofern kein Verdacht auf Kompromittierung besteht, doch viele Compliance-Frameworks verlangen sie weiterhin. Die Richtlinie sollte Compliance-Anforderungen mit Benutzerfreundlichkeit ausbalancieren und übermäßig kurze Rotationszeiträume vermeiden, die zu schwachen Kennwörtern führen", "status": "machine-draft" }, "recommendedValue": { "value": "Maximales Kennwortalter zwischen 90 und 365 Tagen je nach Compliance-Anforderungen. Für privilegierte Konten maximal 60 Tage", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie in der Default Domain Policy: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kennwortrichtlinie > „Maximales Kennwortalter“ = 365 Tage (oder gemäß Compliance-Anforderung). Implementieren Sie eine strengere FGPP für privilegierte Konten mit maximal 60 Tagen", "status": "machine-draft" } }, "ADPWD-009": { "name": { "value": "Benutzer mit „Kennwort läuft nie ab“", "status": "machine-draft" }, "description": { "value": "Konten mit dem Flag „Kennwort läuft nie ab“ umgehen die Richtlinie zum maximalen Kennwortalter. Zwar mag dies für verwaltete Dienstkonten akzeptabel sein (gMSAs handhaben die Rotation automatisch), doch Benutzerkonten mit diesem Flag behalten kompromittierte Kennwörter unbegrenzt bei", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Benutzerkonten mit „Kennwort läuft nie ab“. Nur gruppenverwaltete Dienstkonten dürfen von der automatischen Rotation ausgenommen sein", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie Konten mit Get-ADUser -Filter {PasswordNeverExpires -eq $true -and Enabled -eq $true} -Properties PasswordNeverExpires. Prüfen Sie jedes Konto auf geschäftliche Begründung. Entfernen Sie das Flag bei Benutzerkonten und migrieren Sie Dienstkonten nach Möglichkeit zu gMSA. Dokumentieren Sie alle genehmigten Ausnahmen mit kompensierenden Kontrollen", "status": "machine-draft" } }, "ADPWD-010": { "name": { "value": "Benutzer mit leeren Kennwörtern", "status": "machine-draft" }, "description": { "value": "Konten mit dem Flag PASSWD_NOTREQD können leere Kennwörter haben und umgehen damit alle Kennwortrichtlinien vollständig. Dieses Flag wird manchmal versehentlich in Skripten zur Kontoerstellung gesetzt. Auf jedes Konto mit leerem Kennwort kann jeder zugreifen, der den Benutzernamen kennt", "status": "machine-draft" }, "recommendedValue": { "value": "Keine aktivierten Konten mit leeren Kennwörtern oder dem Flag PASSWD_NOTREQD", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie Konten mit Get-ADUser -Filter {PasswordNotRequired -eq $true -and Enabled -eq $true}. Entfernen Sie das Flag PASSWD_NOTREQD und setzen Sie umgehend ein starkes Kennwort für alle identifizierten Konten. Überprüfen Sie Skripte und Prozesse zur Kontoerstellung, um zu verhindern, dass dieses Flag künftig gesetzt wird", "status": "machine-draft" } }, "ADPWD-011": { "name": { "value": "Doppelte Kennwort-Hashes", "status": "machine-draft" }, "description": { "value": "Mehrere Konten mit demselben Kennwort-Hash deuten auf Kennwortwiederverwendung, häufig verwendete Kennwörter oder Konten mit Standardkennwörtern hin. Kennwortwiederverwendung verstärkt die Auswirkung jeder einzelnen Kompromittierung von Anmeldeinformationen und ermöglicht Lateralbewegung über mehrere Konten hinweg", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Gruppen von Konten mit identischen Kennwort-Hashes. Jedes Konto sollte ein eindeutiges Kennwort haben", "status": "machine-draft" }, "remediationSteps": { "value": "Extrahieren und vergleichen Sie NT-Hashes mit DCSync-fähigen Werkzeugen (DSInternals) unter entsprechender Autorisierung. Identifizieren Sie Gruppen von Konten mit gemeinsamen Hashes. Erzwingen Sie Kennwortänderungen für alle Konten in doppelten Gruppen. Implementieren Sie Kennwortfilter, um häufige Kennwörter zu verhindern, und erwägen Sie die Bereitstellung von Azure AD Password Protection", "status": "machine-draft" } }, "ADPWD-012": { "name": { "value": "Kennwörter in der HaveIBeenPwned-Datenbank", "status": "machine-draft" }, "description": { "value": "Kennwörter, die in bekannten Datenleck-Datenbanken auftauchen, werden aktiv bei Credential-Stuffing-Angriffen verwendet. Der Vergleich von AD-Kennwort-Hashes mit der HaveIBeenPwned-Datenbank identifiziert Konten mit kompromittierten Kennwörtern, die wahrscheinlich ins Visier genommen werden", "status": "machine-draft" }, "recommendedValue": { "value": "Keine aktiven Konten, die Kennwörter aus der HaveIBeenPwned-Datenbank verwenden", "status": "machine-draft" }, "remediationSteps": { "value": "Vergleichen Sie NT-Hashes mit der HaveIBeenPwned-Kennwortdatenbank (herunterladbare Hash-Liste) mit Werkzeugen wie DSInternals Test-PasswordQuality. Erzwingen Sie sofortige Kennwortänderungen für alle Konten mit übereinstimmenden Hashes. Stellen Sie Azure AD Password Protection oder benutzerdefinierte Kennwortfilter bereit, um bekannte, geleakte Kennwörter künftig zu blockieren", "status": "machine-draft" } }, "ADPWD-013": { "name": { "value": "Prüfung auf Kennwörter aus benutzerdefiniertem Wörterbuch", "status": "machine-draft" }, "description": { "value": "Kennwörter, die auf organisationsspezifischen Begriffen basieren (Firmenname, Produktnamen, Jahreszeiten, Ortsnamen), werden häufig verwendet und lassen sich von gezielten Angreifern leicht erraten. Prüfungen anhand benutzerdefinierter Wörterbücher identifizieren Kennwörter, die die Komplexitätsanforderungen erfüllen, aber dennoch vorhersehbar sind", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Konten, die Kennwörter mit organisationsspezifischen Begriffen, häufigen Mustern (Jahreszeit+Jahr) oder Tastaturmustern verwenden", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen Sie ein benutzerdefiniertes Wörterbuch mit Firmennamen, Produktnamen, Ortsnamen, Jahreszeiten und häufigen Mustern. Testen Sie die Kennwort-Hashes gegen dieses Wörterbuch mit DSInternals oder ähnlichen Werkzeugen. Erzwingen Sie Kennwortänderungen für übereinstimmende Konten. Stellen Sie benutzerdefinierte Kennwortfilter oder die benutzerdefinierte Sperrliste von Azure AD Password Protection bereit", "status": "machine-draft" } }, "ADPWD-014": { "name": { "value": "Standard-/häufige Kennwörter", "status": "machine-draft" }, "description": { "value": "Konten, die Standard-, häufige oder trivial erratbare Kennwörter verwenden (etwa Password1, Welcome1 oder den Kontonamen), sind die ersten Ziele bei Password-Spraying-Angriffen. Diese Kennwörter sind in jeder Angreifer-Wortliste enthalten und werden oft zuerst getestet", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Konten, die Kennwörter aus den Top-1000-Listen der häufigsten Kennwörter verwenden oder Standardkennwortmustern entsprechen", "status": "machine-draft" }, "remediationSteps": { "value": "Testen Sie die Kennwort-Hashes gegen Listen häufiger Kennwörter (etwa SecLists) mit DSInternals Test-PasswordQuality. Erzwingen Sie sofortige Kennwortänderungen für alle Konten mit häufigen Kennwörtern. Implementieren Sie Azure AD Password Protection, das eine von Microsoft aktualisierte globale Sperrliste enthält", "status": "machine-draft" } }, "ADPWD-015": { "name": { "value": "Altersverteilung der letzten Kennwortsetzung", "status": "machine-draft" }, "description": { "value": "Die Analyse der Verteilung des Kennwortalters über alle Konten offenbart die Wirksamkeit der Richtliniendurchsetzung und identifiziert Konten mit extrem alten Kennwörtern. Konten mit seit Jahren unveränderten Kennwörtern wurden möglicherweise bei Richtlinienänderungen übersehen oder haben „Kennwort läuft nie ab“ gesetzt", "status": "machine-draft" }, "recommendedValue": { "value": "Keine aktivierten Benutzerkonten mit Kennwörtern, die älter sind als die Richtlinie zum maximalen Kennwortalter. Die Verteilung sollte regelmäßige Rotationsmuster zeigen", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen Sie einen Bericht zur Altersverteilung der Kennwörter mit Get-ADUser -Filter {Enabled -eq $true} -Properties PasswordLastSet | Group-Object {(New-TimeSpan $_.PasswordLastSet (Get-Date)).Days -replace '\\d$','0'}. Untersuchen Sie Konten mit Kennwörtern, die älter als von der Richtlinie erlaubt sind. Erzwingen Sie bei Bedarf Kennwortänderungen und überprüfen Sie die Flags „Kennwort läuft nie ab“", "status": "machine-draft" } }, "ADPWD-016": { "name": { "value": "Bereitstellungsstatus von LAPS", "status": "machine-draft" }, "description": { "value": "Die Local Administrator Password Solution (LAPS) stellt für jeden Computer eindeutige, zufällig generierte lokale Administratorkennwörter bereit, die sicher in AD gespeichert werden. Ohne LAPS sind lokale Administratorkennwörter typischerweise auf allen Maschinen identisch, was nach dem Erbeuten eines einzigen Hashes triviale Lateralbewegung ermöglicht", "status": "machine-draft" }, "recommendedValue": { "value": "LAPS auf 100 % der in die Domäne eingebundenen Windows-Computer bereitgestellt. Keine Computer mit fehlenden oder abgelaufenen LAPS-Kennwörtern", "status": "machine-draft" }, "remediationSteps": { "value": "Stellen Sie den LAPS-Client (CSE) über GPO, SCCM oder Intune auf allen in die Domäne eingebundenen Computern bereit. Konfigurieren Sie die LAPS-GPO-Einstellungen für Kennwortkomplexität, -länge (mindestens 20 Zeichen) und -alter (30 Tage). Überprüfen Sie die Bereitstellung, indem Sie das Attribut ms-Mcs-AdmPwd oder msLAPS-Password an Computerobjekten prüfen. Untersuchen Sie alle Computer ohne LAPS-Kennwörter", "status": "machine-draft" } }, "ADPWD-017": { "name": { "value": "Ablauf von LAPS-Kennwörtern", "status": "machine-draft" }, "description": { "value": "LAPS-Kennwörter sollten regelmäßig gewechselt werden, um das Zeitfenster der Offenlegung zu begrenzen, falls ein lokales Administratorkennwort kompromittiert wird. Abgelaufene oder veraltete LAPS-Kennwörter deuten darauf hin, dass der LAPS-Client auf diesen Maschinen nicht korrekt funktioniert", "status": "machine-draft" }, "recommendedValue": { "value": "LAPS-Kennwortablauf auf 30 Tage gesetzt. Keine Computer mit abgelaufenen LAPS-Kennwörtern", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Ablaufdaten der LAPS-Kennwörter an Computerobjekten mit Get-ADComputer -Filter * -Properties ms-Mcs-AdmPwdExpirationTime. Identifizieren Sie Computer mit abgelaufenen Kennwörtern und untersuchen Sie die LAPS-CSE-Funktionalität auf diesen Maschinen. Konfigurieren Sie die GPO so, dass das Kennwortalter auf maximal 30 Tage gesetzt wird", "status": "machine-draft" } }, "ADPWD-018": { "name": { "value": "Windows LAPS im Vergleich zu Legacy-LAPS", "status": "machine-draft" }, "description": { "value": "Windows LAPS (in Windows Server 2019+ und Windows 10/11 mit dem Update vom April 2023 integriert) bietet Verbesserungen gegenüber Legacy-LAPS, darunter Kennwortverschlüsselung, Kennwortverlauf und Verwaltung des DSRM-Kennworts. Organisationen sollten von Legacy-LAPS zu Windows LAPS migrieren, um erweiterte Sicherheitsfunktionen zu nutzen", "status": "machine-draft" }, "recommendedValue": { "value": "Windows LAPS mit aktivierter Kennwortverschlüsselung bereitgestellt. Migration von Legacy-LAPS abgeschlossen", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie, welche LAPS-Version bereitgestellt ist, indem Sie auf das Attribut msLAPS-Password (Windows LAPS) gegenüber ms-Mcs-AdmPwd (Legacy-LAPS) prüfen. Planen Sie die Migration zu Windows LAPS. Aktualisieren Sie das AD-Schema für die Windows-LAPS-Attribute. Stellen Sie die Windows-LAPS-GPO-Einstellungen mit aktivierter Verschlüsselung bereit. Nehmen Sie die Legacy-LAPS-Komponenten nach der Migration außer Betrieb", "status": "machine-draft" } }, "ADPWD-019": { "name": { "value": "Azure AD Password Protection", "status": "machine-draft" }, "description": { "value": "Azure AD Password Protection erweitert die Durchsetzung gesperrter Kennwörter auf das lokale AD, indem Proxy- und DC-Agent-Komponenten bereitgestellt werden. Es blockiert Kennwörter, die einer global von Microsoft kuratierten Sperrliste und einer optionalen benutzerdefinierten Sperrliste entsprechen, und verhindert so, dass Benutzer als schwach bekannte Kennwörter wählen", "status": "machine-draft" }, "recommendedValue": { "value": "Azure AD Password Protection im erzwungenen Modus mit konfigurierter benutzerdefinierter Sperrliste bereitgestellt", "status": "machine-draft" }, "remediationSteps": { "value": "Stellen Sie den Proxydienst und den DC-Agent von Azure AD Password Protection auf allen Domänencontrollern bereit. Konfigurieren Sie eine benutzerdefinierte Sperrliste in Azure AD einschließlich organisationsspezifischer Begriffe. Setzen Sie den Modus auf „Erzwungen“ (nicht „Überwachen“). Überwachen Sie abgelehnte Kennwortänderungen über die Ereignisprotokolle und die Azure-AD-Berichterstattung", "status": "machine-draft" } }, "ADPWD-020": { "name": { "value": "BitLocker-Wiederherstellungsschlüssel in AD", "status": "machine-draft" }, "description": { "value": "In Active Directory gespeicherte BitLocker-Wiederherstellungsschlüssel sollten inventarisiert werden, um sicherzustellen, dass die Datenträgerverschlüsselung ordnungsgemäß bereitgestellt ist und Wiederherstellungsschlüssel verfügbar sind. Das Vorhandensein von Wiederherstellungsschlüsseln zeigt zudem, auf welchen Maschinen BitLocker aktiviert ist, und verschafft Überblick über die Verschlüsselungsabdeckung", "status": "machine-draft" }, "recommendedValue": { "value": "BitLocker-Wiederherstellungsschlüssel in AD für alle Arbeitsstationen und Laptops vorhanden. Zugriff auf Wiederherstellungsschlüssel auf autorisierte Administratoren beschränkt", "status": "machine-draft" }, "remediationSteps": { "value": "Fragen Sie AD mit Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -SearchBase 'DC=domain,DC=com' nach BitLocker-Wiederherstellungsinformationsobjekten ab. Gleichen Sie mit dem Computerinventar ab, um Maschinen ohne BitLocker zu identifizieren. Überprüfen Sie die ACLs an Wiederherstellungsschlüsselobjekten, um sicherzustellen, dass nur autorisierte Administratoren sie lesen können", "status": "machine-draft" } }, "ADPWD-021": { "name": { "value": "Kontosperrungsschwellenwert", "status": "machine-draft" }, "description": { "value": "Der Kontosperrungsschwellenwert legt die Anzahl fehlgeschlagener Anmeldeversuche fest, bevor ein Konto gesperrt wird. Ein zu hoher Schwellenwert (oder null, also keine Sperrung) erlaubt umfangreiches Password Spraying, während ein zu niedriger Schwellenwert einen einfachen Denial-of-Service ermöglicht", "status": "machine-draft" }, "recommendedValue": { "value": "Sperrungsschwellenwert zwischen 5 und 10 fehlgeschlagenen Versuchen", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie in der Default Domain Policy: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kontosperrungsrichtlinie > „Kontosperrungsschwelle“ = 5–10 Versuche. Ein Wert von 0 deaktiviert die Sperrung vollständig und sollte vermieden werden. Wägen Sie Sicherheit und Benutzerfreundlichkeit anhand der organisatorischen Anforderungen ab", "status": "machine-draft" } }, "ADPWD-022": { "name": { "value": "Beobachtungsfenster der Sperrung", "status": "machine-draft" }, "description": { "value": "Das Beobachtungsfenster der Sperrung legt den Zeitraum fest, in dem fehlgeschlagene Anmeldeversuche auf den Sperrungsschwellenwert angerechnet werden. Ist das Beobachtungsfenster zu kurz, können Angreifer Password-Spray-Versuche zeitlich verteilen, um die Sperrung zu vermeiden", "status": "machine-draft" }, "recommendedValue": { "value": "Beobachtungsfenster von 15–30 Minuten, das der Sperrdauer entspricht oder sie übersteigt", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie in der Default Domain Policy: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kontosperrungsrichtlinie > „Zurücksetzungsdauer des Kontosperrungszählers“ = 15–30 Minuten. Stellen Sie sicher, dass dieser Wert gleich oder größer als die Sperrdauer ist, um zu verhindern, dass Angreifer den Zähler zwischen Spray-Versuchen aussitzen", "status": "machine-draft" } } } |