Welche Kette aus Gruppen, Delegationen und Sitzungen führt in Ihrem AD zum Domänen-Admin?
Im Angriffspfad-Workshop analysieren wir gemeinsam mit Ihrem IT-Team, über welche Berechtigungsketten ein normales Benutzerkonto zu Domänen-Admin-Rechten kommt. Grundlage ist eine vorab erhobene BloodHound-Analyse von ACLs, Gruppenverschachtelung, Delegationen und Sitzungen in Ihrer eigenen Domäne. Im Termin priorisieren wir die Pfade. Ziel ist, die kritischsten gemeinsam zu schließen und die Wirkung im Graphen zu prüfen, soweit Ihr Change-Prozess Änderungen im Termin erlaubt. Grundlage der Bewertung ist das Tier-Modell für Active Directory, das Microsoft im Enterprise Access Model zu Control, Management und Data Plane weiterentwickelt hat.
In gewachsenen AD-Umgebungen entstehen Rechteketten über Gruppenverschachtelung, Delegationen und Sitzungen, die niemand bewusst angelegt hat. Bei Ransomware-Angriffen ist der Weg zum Domänen-Admin oft der entscheidende Schritt vor der Verschlüsselung.
Im Workshop machen wir diese Beziehungen mit BloodHound sichtbar. Ihr Team sieht die Pfade im Graphen, versteht die Mechanismen dahinter und schließt die kritischsten gemeinsam mit uns. So entsteht Wissen, das bei jeder künftigen Änderung am AD wirkt. Und BloodHound wird zum Werkzeug Ihres IT-Teams.
Wir werten die Beziehungen zwischen Konten, Gruppen, Computern und Berechtigungen gemeinsam aus, statt nur einen Bericht zu übergeben.
Wir prüfen gemeinsam, ob Tier-0-Assets von weniger geschützten Ebenen erreichbar sind.
Wo Ihr Change-Prozess es zulässt, schließt Ihr Team die kritischsten Pfade mit uns und prüft die Wirkung direkt im Graphen. Dabei vermitteln wir den Umgang mit BloodHound.
Wir zeigen, welche Einzelmaßnahme die meisten Pfade auf einmal schließt.
Ihr Team lernt, BloodHound in der eigenen Umgebung zu lesen und neue Rechteketten nach Änderungen selbst zu erkennen.
Der Angriffspfad-Workshop macht mit BloodHound sichtbar, welche Berechtigungsketten in Ihrem Active Directory zu Tier-0-Assets und Domänen-Admin-Rechten führen, und hat zum Ziel, die kritischsten gemeinsam mit Ihrem IT-Team zu schließen. Gedacht ist er für gewachsene AD-Umgebungen, vor oder nach einem Tiering-Projekt. Einen aktiven Test der gesamten internen Umgebung liefert Interne Infrastruktur, hybride Identitäten der Workshop zu Entra ID, Microsoft 365 und Azure. Typisch folgt ein Retest der wichtigsten Pfade.
Wir stimmen Zugang, Zielobjekte und Teilnehmende ab und erheben die AD-Beziehungen vorab mit lesendem Zugriff.
Gemeinsame Analyse im Graphen mit Ihrem IT-Team, vor Ort oder remote.
Wo Ihr Change-Prozess es erlaubt, schließen wir die kritischsten Pfade gemeinsam und prüfen die Wirkung mit einer erneuten Erhebung. Was im Termin nicht geändert werden kann, geht in den Behebungsplan.
Für alle verbleibenden Pfade erhalten Sie einen Plan mit Reihenfolge nach Wirkung und Verantwortlichkeiten.
Zuerst die gemeinsam analysierten und zum Teil bereits geschlossenen Angriffspfade für Ihr IT-Team, dann der Behebungsplan für die eigenständige Umsetzung.
Die Rechteketten zu Tier-0-Assets und Domänen-Admin-Rechten, gemeinsam im Graphen ausgewertet und priorisiert. Pfade, die im Termin geschlossen werden konnten, sind im Graphen nachgeprüft.
Maßnahmen sortiert danach, wie viele Pfade sie schließen, mit Verantwortlichkeiten und Folgeschritten für die eigenständige Umsetzung.
„Hier wird man nicht nur getestet und beraten, sondern aktiv gelehrt, welche Lücken existieren und wie diese auch zu schließen sind.“
David Werling, Head of IT, SELECT Aktiengesellschaft
Der Workshop betrachtet Berechtigungspfade im lokalen Active Directory. Hybride Identitäten, die übrige interne Infrastruktur und der formale Nachweis der Behebung lassen sich ergänzen.
Wenn Ihr AD mit Entra ID synchronisiert wird, gehören Pfade über Entra Connect und Cloud-Rollen in dieselbe Betrachtung.
Zur LeistungKombinierbar, sobald neben den Rechteketten auch Segmentierung, Dienste und Systemhärtung Ihrer internen Umgebung Thema sind.
Zur LeistungWenn Sie die Schließung der Pfade formal belegen müssen, prüft der Retest die wichtigsten Pfade nach.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Für Gruppen, ACLs und Delegationen reicht ein Standardbenutzerkonto in der Domäne. Damit sammeln wir die Beziehungen so, wie es auch ein Angreifer nach dem Erstzugriff könnte. Sitzungsdaten und lokale Gruppenmitgliedschaften lassen sich auf aktuellen Windows-Versionen mit einem Standardkonto meist nicht mehr erheben. Welche zusätzlichen Rechte dafür nötig sind, klären wir im Scoping.
Die Personen, die Berechtigungen später ändern: Administratoren, Identitäts- oder Cloud-Verantwortliche und IT-Leitung, bei ausgelagertem Betrieb auch Ihr Dienstleister. So findet der Wissenstransfer dort statt, wo die Umsetzung erfolgt.
Sie kann Alarme auslösen. Weil der Workshop ein offenes, gemeinsames Format ist, stimmen wir Zeitpunkt und Information Ihres SOC vorab ab, damit die Erhebung keine echte Incident Response auslöst. Ob Ihre Erkennung einen unangekündigten Angreifer bemerkt, prüft eine Angriffssimulation.
Ja, auf Wunsch zusammen mit dem Workshop zu Entra ID, Microsoft 365 und Azure. Bei hybriden Identitäten ist das sinnvoll, weil Pfade über Entra Connect zwischen lokalem AD und Cloud weiterführen können.
Der Workshop konzentriert sich auf Berechtigungsbeziehungen im Active Directory und arbeitet sie gemeinsam mit Ihrem Team auf. Ein interner Pentest prüft die gesamte interne Umgebung mit Netz, Diensten und Systemen aktiv durch unsere Tester. Der Pentest liefert den unabhängigen Befund, der Workshop den Wissenstransfer und die ersten geschlossenen Pfade.
Der Workshop arbeitet im ProSec Lab mit Übungsdaten und vermittelt die Methode. Im Angriffspfad-Workshop arbeiten wir mit den Daten Ihrer eigenen Domäne und schließen die kritischsten Pfade gemeinsam mit Ihrem Team.
Die Datenerhebung ist mit frei verfügbaren Werkzeugen möglich, der aufwendige Teil ist die Bewertung. Im Workshop trennen wir mit Ihrem Team verwertbare Pfade von theoretischen Kanten und bewerten sie gegen Ihr Tiering. Genau dieses Vorgehen nimmt Ihr Team mit, um BloodHound künftig selbst wirksam zu nutzen.
Tier 0 umfasst alle Konten, Gruppen und Systeme, die direkt oder indirekt die Identitäten der gesamten Umgebung kontrollieren, etwa Domänencontroller, Domänen-Admins und Zertifizierungsstellen. Im Microsoft Enterprise Access Model heißt diese Ebene Control Plane. Jeder Pfad von einer niedrigeren Ebene nach Tier 0 ist ein Weg zur Übernahme der Domäne.
Wenn Sie AD CS betreiben, gehört es in die Betrachtung. Fehlkonfigurierte Zertifikatsvorlagen und Berechtigungen auf der Zertifizierungsstelle sind ein häufiger Weg zu Domänen-Admin-Rechten und lassen sich im Graphen abbilden. Den genauen Zuschnitt legen wir im Scoping fest.
Nach größeren Änderungen an Gruppen, Delegationen oder der Administrationsstruktur und darüber hinaus regelmäßig, weil Rechteketten im laufenden Betrieb neu entstehen. Den passenden Rhythmus legen wir gemeinsam fest.
Vor allem von der Zahl der Domänen und Forests, dem Einsatz von AD CS und davon, wie viele Pfade im Termin geschlossen werden sollen. Die Datenerhebung ist vergleichsweise schnell, Auswertung und gemeinsame Bearbeitung bestimmen den Umfang. Nach dem Scoping erhalten Sie ein Angebot mit festem Umfang.
In der Regel nicht. Die Datenerhebung liest Verzeichnisinformationen und verändert nichts. Änderungen zum Schließen von Pfaden setzt Ihr Team nur nach Ihrer Freigabe und im regulären Change-Prozess um.
