Eindrucksvolle Illustration zum Thema Pass the hash und Credential Phishing
https://www.ws-its.de/wp-content/uploads/2017/09/WSHowTo-Credential-Secu ...
Das Thema ist nicht neu, bleibt aber auch mit aktuellsten Windowsversionen brandaktuell.
Zusammenfassung in 2 Sätzen:
Wer als Administrator einer Windowsdomäne meint, es wäre ok, mit hochprivilegierten Konten oder gar dem Domänenadminkonto auch die Clientadministration zu machen, der riskiert, dass im Handumdrehen seine Domäne feindlich übernommen wird.
Diese hervorragende Zusammenstellung zeigt einfach und anschaulich, wie das genau abläuft und was Microsoft an Gegenmaßnahmen vorschlägt.
Es lohnt sich ebenso, sich auf der Site https://www.ws-its.de/ umzusehen - der Autor geht in seinen Artikeln und Videotutorials erstaunlich sorgfältig vor und erklärt gründlich.
Das Thema ist nicht neu, bleibt aber auch mit aktuellsten Windowsversionen brandaktuell.
Zusammenfassung in 2 Sätzen:
Wer als Administrator einer Windowsdomäne meint, es wäre ok, mit hochprivilegierten Konten oder gar dem Domänenadminkonto auch die Clientadministration zu machen, der riskiert, dass im Handumdrehen seine Domäne feindlich übernommen wird.
Diese hervorragende Zusammenstellung zeigt einfach und anschaulich, wie das genau abläuft und was Microsoft an Gegenmaßnahmen vorschlägt.
Es lohnt sich ebenso, sich auf der Site https://www.ws-its.de/ umzusehen - der Autor geht in seinen Artikeln und Videotutorials erstaunlich sorgfältig vor und erklärt gründlich.
Please also mark the comments that contributed to the solution of the article
Content-ID: 600892
Url: https://administrator.de/contentid/600892
Printed on: August 31, 2024 at 23:08 o'clock
11 Comments
Latest comment
Domänen-Admins haben an Clients nichts verloren, schon alleine weil man damit Schadsoftware mit der Anmeldung Tür und Tor öffnet. Dafür gibt’s LAPS, das ist auch in kleinen Unternehmen immer zu empfehlen. Microsoft hat (vielleicht auch hatte nach der Umstellung) übrigens eine Prüfung welche sich speziell mit diesen und vielen weiteren Security Design Themen beschäftigt. (70-744 Securing Windows Server). Dabei muss man halt überlegen was für die jeweilige Umgebung in Hinblick auf Aufwand und Verwaltbarkeit Sinn macht oder Overkill ist.
Hier noch Infos von MS
https://docs.microsoft.com/de-de/archive/blogs/austria/pass-the-hash-ang ...
Die richtige Antwort in der Prüfung ist übrigens meist eine zusätzliche dedizierte administrative Verwaltungs-Gesamtstruktur aufbauen. ;)
https://docs.microsoft.com/de-de/microsoft-identity-manager/pam/planning ...
Vielleicht auch interessant
„ATA analysiert und "erlernt" den Active Directory Netzwerkverkehr um dieses Wissen anschließend für Überwachung und Alarmierung bei Gefahr zu nutzen.“
Hier noch Infos von MS
https://docs.microsoft.com/de-de/archive/blogs/austria/pass-the-hash-ang ...
Die richtige Antwort in der Prüfung ist übrigens meist eine zusätzliche dedizierte administrative Verwaltungs-Gesamtstruktur aufbauen. ;)
https://docs.microsoft.com/de-de/microsoft-identity-manager/pam/planning ...
Vielleicht auch interessant
„ATA analysiert und "erlernt" den Active Directory Netzwerkverkehr um dieses Wissen anschließend für Überwachung und Alarmierung bei Gefahr zu nutzen.“
Mal eine Frage zu seinem Tipp Nr6 "Deaktivierung der Debug-Berechtigung"
Ich kann jetzt zwar mit der GPO dem Admin das privileg entziehen, aber wenn jemand lokaler Admin ist, dann kann er ja auch einfach den Prozess als SYSTEM starten. Und DEM kann ich das privileg nicht entziehen. Bringt also herzlich wenig. Gibt es die Möglichkeit den Lokalen Admins das Recht zu entziehen einen Prozess als System zu starten?
Ich kann jetzt zwar mit der GPO dem Admin das privileg entziehen, aber wenn jemand lokaler Admin ist, dann kann er ja auch einfach den Prozess als SYSTEM starten. Und DEM kann ich das privileg nicht entziehen. Bringt also herzlich wenig. Gibt es die Möglichkeit den Lokalen Admins das Recht zu entziehen einen Prozess als System zu starten?
Sehr schön, leider muss man das aber alles selbst machen, wäre eigentlich schön wenn es MS in den Dialog integriert wo man sich einen Domäne zusammenklickt.
So nach dem Motto: Bitte noch zwangsweise einen Tier1 und Tier2 Admin anlegen, und wollen Sie mit einem knopfdruck das Anmelden über Tier grenzen verbieten? Zack ja, alles gut.
... zurück aus der Traumwelt![face-smile face-smile](/images/icons/fa/light/face-smile.svg)
So nach dem Motto: Bitte noch zwangsweise einen Tier1 und Tier2 Admin anlegen, und wollen Sie mit einem knopfdruck das Anmelden über Tier grenzen verbieten? Zack ja, alles gut.
... zurück aus der Traumwelt