Data/Locales/checks/de/ADStaleObjectChecks.json
|
{ "_family": "ADStaleObjectChecks.json", "ADSTALE-001": { "name": { "value": "Inaktive Benutzerkonten", "status": "machine-draft" }, "description": { "value": "Benutzerkonten, die über einen längeren Zeitraum nicht genutzt wurden, stellen eine unnötige Angriffsfläche dar. Inaktive Konten können weiterhin gültige Anmeldeinformationen und Gruppenmitgliedschaften besitzen, was sie zu attraktiven Zielen für Angreifer macht, die vergessene oder gemeinsam genutzte Anmeldeinformationen kompromittieren können, ohne die an aktive Benutzer gebundenen Warnmeldungen auszulösen. Konten, die länger als 90 Tage inaktiv sind, sollten überprüft und deaktiviert werden", "status": "machine-draft" }, "recommendedValue": { "value": "Keine aktivierten Benutzerkonten, die länger als 90 Tage inaktiv sind; inaktive Konten deaktiviert oder entfernt", "status": "machine-draft" }, "remediationSteps": { "value": "Fragen Sie mit Search-ADAccount -AccountInactive -TimeSpan 90 -UsersOnly Benutzerkonten ab, bei denen lastLogonTimestamp älter als 90 Tage ist und das Konto aktiviert ist. Klären Sie vor Maßnahmen mit den Kontoinhabern oder Vorgesetzten. Deaktivieren Sie inaktive Konten zunächst und löschen Sie sie nach einer Karenzzeit von 30 Tagen, falls sie nicht beansprucht werden. Entfernen Sie deaktivierte Konten aus allen Sicherheitsgruppen. Implementieren Sie ein automatisiertes Lebenszyklusmanagement.", "status": "machine-draft" } }, "ADSTALE-002": { "name": { "value": "Inaktive Computerkonten", "status": "machine-draft" }, "description": { "value": "Computerkonten, die sich über einen längeren Zeitraum nicht bei der Domäne authentifiziert haben, deuten auf außer Betrieb genommene, neu abgebildete oder offline befindliche Systeme hin. Diese veralteten Computerkonten behalten ihre Maschinen-Anmeldeinformationen und Gruppenmitgliedschaften, und ein Angreifer, der das Kennwort des Maschinenkontos wiederherstellt oder zurücksetzt, kann sich als Computer authentifizieren und potenziell auf Ressourcen zugreifen oder Kerberos-Delegierungsangriffe durchführen", "status": "machine-draft" }, "recommendedValue": { "value": "Keine aktivierten Computerkonten, die länger als 90 Tage inaktiv sind; inaktive Konten deaktiviert oder entfernt", "status": "machine-draft" }, "remediationSteps": { "value": "Fragen Sie mit Search-ADAccount -AccountInactive -TimeSpan 90 -ComputersOnly Computerkonten ab, bei denen lastLogonTimestamp älter als 90 Tage ist. Gleichen Sie mit Anlagenverwaltungssystemen ab, um den Außerbetriebnahmestatus zu verifizieren. Deaktivieren Sie veraltete Computerkonten und verschieben Sie sie in eine OU für deaktivierte Computer. Löschen Sie sie nach einer Karenzzeit von 60 Tagen, falls sich das System nicht erneut verbindet. Entfernen Sie sie beim Deaktivieren aus den Sicherheitsgruppen.", "status": "machine-draft" } }, "ADSTALE-003": { "name": { "value": "Deaktivierte Konten mit Gruppenmitgliedschaften", "status": "machine-draft" }, "description": { "value": "Deaktivierte Benutzer- und Computerkonten, die ihre Mitgliedschaft in Sicherheitsgruppen behalten, erscheinen weiterhin bei gruppenbasierten Zugriffssteuerungsauswertungen und können bei Zugriffsüberprüfungen Verwirrung stiften. Zwar können deaktivierte Konten sich nicht authentifizieren, doch ihre Gruppenmitgliedschaften können bei Reaktivierung des Kontos wiederhergestellt werden, und die behaltenen Mitgliedschaften blähen Gruppengrößen auf und erschweren die Analyse der geringsten Rechte", "status": "machine-draft" }, "recommendedValue": { "value": "Alle deaktivierten Konten aus allen Sicherheitsgruppen außer Domänen-Benutzer entfernt", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie mit Get-ADUser -Filter {Enabled -eq $false} -Properties MemberOf deaktivierte Konten mit nicht standardmäßigen Gruppenmitgliedschaften. Entfernen Sie alle Sicherheitsgruppenmitgliedschaften (außer der primären Gruppe) von deaktivierten Konten. Implementieren Sie einen automatisierten Workflow, der Gruppenmitgliedschaften beim Deaktivieren von Konten entfernt. Nehmen Sie die Bereinigung der Gruppenmitgliedschaften in den Deprovisionierungsprozess auf.", "status": "machine-draft" } }, "ADSTALE-004": { "name": { "value": "Abgelaufene Kennwörter nicht deaktiviert", "status": "machine-draft" }, "description": { "value": "Konten mit Kennwörtern, die das maximale Kennwortalter überschritten haben, aber aktiviert bleiben, können auf Konten hindeuten, die nicht aktiv verwaltet werden. Diese Konten könnten mit Anmeldeinformationen aus früheren Datenlecks oder Credential Dumps kompromittiert worden sein, und die lange unveränderten Kennwörter vergrößern das Zeitfenster für Offline-Brute-Force-Angriffe", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Konten mit Kennwörtern, die älter sind als die Richtlinie zum maximalen Kennwortalter, sofern nicht ausdrücklich als dokumentierte Dienstkonten ausgenommen", "status": "machine-draft" }, "remediationSteps": { "value": "Fragen Sie mit Get-ADUser -Filter * -Properties PasswordLastSet,PasswordNeverExpires Konten ab, bei denen PasswordLastSet älter als das maximale Kennwortalter ist. Schließen Sie Konten mit PasswordNeverExpires aus, die dokumentierte Dienstkonten sind. Erzwingen Sie bei der nächsten Anmeldung einen Kennwortwechsel für Konten mit abgelaufenen Kennwörtern. Deaktivieren Sie Konten, die nach Benachrichtigung nicht beansprucht werden. Überprüfen Sie die PasswordNeverExpires-Ausnahmen jährlich.", "status": "machine-draft" } }, "ADSTALE-005": { "name": { "value": "Computer mit veraltetem Betriebssystem", "status": "machine-draft" }, "description": { "value": "In die Domäne eingebundene Computer mit veralteten Betriebssystemen (Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008), die keine Sicherheitsupdates mehr erhalten, stellen Ressourcen mit hohem Risiko dar. Diese Systeme enthalten bekannte, nicht behobene Schwachstellen, die von Angreifern aktiv ausgenutzt werden, und können moderne Sicherheitskontrollen wie Credential Guard oder LAPS nicht unterstützen", "status": "machine-draft" }, "recommendedValue": { "value": "Keine in die Domäne eingebundenen Computer mit Windows XP, Server 2003, Vista oder Server 2008", "status": "machine-draft" }, "remediationSteps": { "value": "Fragen Sie Computerkonten anhand des Attributs operatingSystem ab, um veraltete Betriebssystemversionen zu identifizieren. Überprüfen Sie mit lastLogonTimestamp und Ping-Tests, ob die identifizierten Systeme noch aktiv sind. Erstellen Sie einen Migrationsplan zum Aktualisieren oder Ersetzen veralteter Systeme. Implementieren Sie für Systeme, die nicht sofort aktualisiert werden können, eine Netzwerkisolierung mit VLANs und Firewallregeln. Deaktivieren Sie die Computerkonten bestätigter außer Betrieb genommener Systeme.", "status": "machine-draft" } }, "ADSTALE-006": { "name": { "value": "Nicht unterstützte Betriebssystemversionen", "status": "machine-draft" }, "description": { "value": "In die Domäne eingebundene Computer mit Betriebssystemen, die ihr Supportende überschritten haben (Windows 7, Windows 8.1, Windows Server 2008 R2, Windows Server 2012/R2), erhalten keine regulären Sicherheitspatches mehr. Auch wenn für einige erweiterte Sicherheitsupdates verfügbar sein können, stellen diese Systeme ein erhöhtes Risiko dar und sollten identifiziert, verfolgt und für die Migration auf unterstützte Plattformen priorisiert werden", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Computer mit Betriebssystemen ohne Support, sofern nicht durch erweiterte Sicherheitsupdates mit einem dokumentierten Migrationsplan abgedeckt", "status": "machine-draft" }, "remediationSteps": { "value": "Fragen Sie Computerkonten anhand des Attributs operatingSystem ab, um Betriebssystemversionen ohne Support zu identifizieren. Ermitteln Sie, welche Systeme durch erweiterte Sicherheitsupdates (ESU) abgedeckt sind. Erstellen Sie Migrationszeitpläne für alle nicht unterstützten Systeme. Implementieren Sie kompensierende Kontrollen für Systeme, die nicht sofort aktualisiert werden können: Netzwerksegmentierung, erweiterte Überwachung, eingeschränkter Dienstzugriff. Verfolgen Sie den Fortschritt anhand der Migrationszeitpläne.", "status": "machine-draft" } }, "ADSTALE-007": { "name": { "value": "Verwaiste Foreign Security Principals", "status": "machine-draft" }, "description": { "value": "Foreign Security Principals (FSPs) sind Platzhalterobjekte, die im Container ForeignSecurityPrincipals erstellt werden, wenn Benutzer oder Gruppen externer Domänen über Vertrauensstellungen zu lokalen Domänengruppen hinzugefügt werden. Verwaiste FSPs verweisen auf SIDs aus vertrauten Domänen, die nicht mehr existieren, oder auf gelöschte Konten, was zu nicht auflösbaren SIDs in Gruppenmitgliedschaften führt, die die Zugriffssteuerung überladen und die Prüfung erschweren", "status": "machine-draft" }, "recommendedValue": { "value": "Keine verwaisten Foreign Security Principals mit nicht auflösbaren SIDs in der Domäne", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie alle Objekte in CN=ForeignSecurityPrincipals auf und versuchen Sie, jede SID über die entsprechende Vertrauensstellung in einen Namen aufzulösen. Identifizieren Sie FSPs, bei denen die SID nicht aufgelöst werden kann (Vertrauensstellung entfernt oder Konto gelöscht). Entfernen Sie verwaiste FSPs aus allen Gruppenmitgliedschaften. Löschen Sie die verwaisten FSP-Objekte. Überprüfen Sie die verbleibenden FSPs, um zu verifizieren, dass die Vertrauensstellung und die referenzierten Konten noch gültig sind.", "status": "machine-draft" } }, "ADSTALE-008": { "name": { "value": "Verwaiste SID-History", "status": "machine-draft" }, "description": { "value": "SID-History wird während Domänenmigrationen verwendet, um den Zugriff auf Ressourcen in der Quelldomäne zu erhalten. Nach Abschluss der Migration sollten SID-History-Einträge entfernt werden, da sie zur Rechteausweitung missbraucht werden können. Verwaiste SID-History-Einträge, die auf nicht existierende Domänen oder gelöschte Konten verweisen, bieten keinen legitimen Nutzen und erhöhen das Risiko von SID-Injektionsangriffen über Vertrauensgrenzen hinweg", "status": "machine-draft" }, "recommendedValue": { "value": "Keine SID-History-Einträge, die auf nicht existierende Domänen verweisen. SID-History nach Abschluss der Migration bereinigt", "status": "machine-draft" }, "remediationSteps": { "value": "Fragen Sie mit Get-ADUser -Filter {SIDHistory -like '*'} -Properties SIDHistory alle Benutzer- und Gruppenkonten mit SID-History ab. Gleichen Sie jede Domänenkomponente der SID-History mit bestehenden Vertrauensstellungen ab, um verwaiste Einträge zu identifizieren. Entfernen Sie SID-History-Einträge abgeschlossener Migrationen mit Remove-ADUser und dem Parameter -Remove oder mit Netdom trust /CleanupSIDHistory. Überwachen Sie neue SID-History-Ergänzungen über Event ID 4765.", "status": "machine-draft" } }, "ADSTALE-009": { "name": { "value": "Verlassene OUs", "status": "machine-draft" }, "description": { "value": "Leere oder nahezu leere Organisationseinheiten, die keinen Zweck mehr erfüllen, erhöhen die Komplexität der AD-Struktur, erschweren die Gruppenrichtlinienanalyse und können delegierte Berechtigungen aufweisen, die nicht mehr überwacht werden. Verlassene OUs aus früheren organisatorischen Umstrukturierungen oder außer Betrieb genommenen Projekten können Administratoren verwirren und potenzielle Ziele für GPO-Verknüpfungsangriffe schaffen", "status": "machine-draft" }, "recommendedValue": { "value": "Keine leeren OUs ohne dokumentierten Zweck; die OU-Struktur spiegelt die aktuellen organisatorischen Anforderungen wider", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie alle OUs auf und zählen Sie ihre untergeordneten Objekte. Identifizieren Sie OUs mit null oder sehr wenigen Objekten. Überprüfen Sie die OU-Beschreibungen und zugehörige Dokumentationen, um festzustellen, ob die OU für eine künftige Nutzung vorgesehen ist. Entfernen Sie delegierte Berechtigungen aus verlassenen OUs. Löschen Sie leere OUs ohne dokumentierten Zweck, nachdem Sie überprüft haben, dass sie nicht von GPO-Verknüpfungen, Skripten oder Automatisierungen referenziert werden. Aktualisieren Sie die Dokumentation der OU-Struktur.", "status": "machine-draft" } }, "ADSTALE-010": { "name": { "value": "Druckerobjekte", "status": "machine-draft" }, "description": { "value": "In Active Directory veröffentlichte Druckerobjekte legen Druckerfreigabepfade und Servernamen offen, die für die Aufklärung genutzt werden können. Die Schwachstellenfamilie PrintNightmare (CVE-2021-34527 und verwandte) hat gezeigt, dass druckerbezogene Objekte und Konfigurationen für die Remotecodeausführung ausgenutzt werden können. Veraltete Druckerobjekte, die auf außer Betrieb genommene Druckserver verweisen, liefern irreführende Informationen und unnötige Angriffsfläche", "status": "machine-draft" }, "recommendedValue": { "value": "Nur aktive, verwaltete Druckerobjekte in AD veröffentlicht; veraltete Druckerobjekte entfernt", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie mit Get-ADObject -Filter {objectClass -eq 'printQueue'} alle printQueue-Objekte in AD auf. Überprüfen Sie, dass jedes Druckerobjekt auf einen aktiven, erreichbaren Druckserver und Drucker verweist. Entfernen Sie Druckerobjekte für außer Betrieb genommene Drucker oder Druckserver. Prüfen Sie, ob die Druckerveröffentlichung in AD für die Umgebung erforderlich ist. Stellen Sie sicher, dass die Druckserver gegen PrintNightmare-Schwachstellen gepatcht sind.", "status": "machine-draft" } }, "ADSTALE-011": { "name": { "value": "Veraltung von DNS-Einträgen", "status": "machine-draft" }, "description": { "value": "Veraltete DNS-Einträge in Active-Directory-integrierten DNS-Zonen verweisen auf IP-Adressen, die den ursprünglichen Hosts nicht mehr zugewiesen sind. Angreifer können diese verlassenen IP-Adressen beanspruchen und den für die ursprünglichen Hosts bestimmten Verkehr abfangen und so Man-in-the-Middle-Angriffe, das Sammeln von Anmeldeinformationen und Dienstimitation ermöglichen. Die DNS-Alterung (Scavenging) sollte aktiviert werden, um veraltete Einträge automatisch zu bereinigen", "status": "machine-draft" }, "recommendedValue": { "value": "DNS-Alterung mit geeigneten Nichtaktualisierungs- und Aktualisierungsintervallen aktiviert; keine veralteten DNS-Einträge, die älter als 30 Tage sind", "status": "machine-draft" }, "remediationSteps": { "value": "Aktivieren Sie die DNS-Alterung in den Eigenschaften des DNS-Servers und für jede AD-integrierte DNS-Zone. Konfigurieren Sie das Nichtaktualisierungsintervall auf 7 Tage und das Aktualisierungsintervall auf 7 Tage. Legen Sie den Alterungszeitraum auf mindestens einem DNS-Server fest. Überprüfen Sie gealterte DNS-Einträge vor dem ersten Alterungslauf manuell, um kritische statische Einträge zu identifizieren, die ausgeschlossen werden müssen. Markieren Sie Einträge, die nicht gealtert werden sollen, als statisch.", "status": "machine-draft" } } } |