Active Directory Passwörter richtig auditieren

IT-Administratoren haben die verantwortungsvolle Aufgabe, für die IT-Sicherheit zu sorgen und zu überwachen, dass gesetzliche Vorgaben und Richtlinien erfüllt werden (Compliance). Besonders zu beachten ist dabei die 2018 eingeführte Datenschutzgrundverordnung (EU-DSGVO). Im Artikel 32 https://www.datenschutz-grundverordnung.eu/grundverordnung/art-32-ds-gvo/ ist dabei folgendes festgelegt : „Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“.

Ein weiteres relevantes Gesetz ist das  IT-Sicherheitsgesetz (ITSiG), das seit 2015 gilt und zu dem Teletrust eine Handreichung verfasst hat https://www.stand-der-technik-security.de/fileadmin/user_upload/2021-02_TeleTrusT-Handreichung_Stand_der_Technik_in_der_IT-Sicherheit_DE.pdf. Es  soll zu einer Verbesserung der Sicherheit informationstechnischer Systeme in Deutschland beitragen. Die dem Gesetz zugrunde liegenden Regelungen dienen dem Schutz dieser Systeme hinsichtlich der aktuellen und zukünftigen Gefährdungen der Schutzgüter Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität.

Passwörter im Fokus

Zu den notwendigen technischen Maßnahmen, die die EU-DSGVO und das IT-Sicherheitsgesetz einfordern, zählen die Bewertung der Passwortstärke und die Durchsetzung starker Passwörter. In der oben zitierten Teletrust Handreichung heißt es dazu: „Die Maßnahme unternimmt eine umfassende Inventur und Bewertung aller, auch unbekannter, Passwörter. Die Maßnahme ermittelt den Erfüllungsgrad der Compliance zu unternehmensinternen Richtlinien und unterstützt bzw. ermöglicht die Durchführung weiterer sicherheitsrelevanter Maßnahmen. Die Stärke des Passwortes wird durch ein Regelungswerk an das Sicherheitslevel des jeweiligen Benutzerkontos angepasst. Das definierte Sicherheitslevel basiert auf den möglichen Auswirkungen einer Sicherheits-Kompromittierung dieses Accounts.“

Schwache Passwörter sind unsicher

Neben diesen gesetzlichen Vorgaben gibt es auch sehr konkrete Gefahren durch schwache Passwörter. So soll der schwerwiegende Angriff auf SolarWinds vor einigen Monaten damit begonnen haben, dass ein Praktikant ein wichtiges Passwort auf „solarwinds123″ gesetzt hat. Anschließend teilte der Praktikant das Passwort auf GitHub, um die Sache noch schlimmer zu machen https://www.zdnet.de/88393654/solarwinds-attacke-durch-schwaches-passwort/.

Dieser Praktikant ist aber beileibe nicht der Einzige, der mit schwachen Passwörtern sich selbst und andere gefährdet. Wie der IT-Branchenverband Bitkom berichtet, setzen viele Internetnutzer eher auf Bequemlichkeit als auf Sicherheit.  Mehr als jeder dritte Onliner (36 Prozent) in Deutschland nutzt für mehrere Online-Dienste das gleiche Passwort. „Ein einziges Passwort für mehrere Online-Dienste ist ein großes Sicherheitsrisiko“, sagt Teresa Ritter, Bitkom-Expertin für IT-Sicherheit. „Wenn ein solches Universalpasswort einmal geknackt ist, können Cyberkriminelle gleich mehrere digitale Identitäten von Nutzern übernehmen.“ https://www.bitkom.org/Presse/Presseinformation/Jeder-dritte-Onliner-nutzt-dasselbe-Passwort-fuer-mehrere-Dienste

Maßnahmen erforderlich

Unternehmensnetzwerke verwenden in der Regel einen zentralen Speicher für Benutzer-Anmeldedaten, die eingesetzt werden um Benutzer zu authentifizieren, die auf Dienste und/oder Workstations zugreifen (z.B. Microsoft Active Directory).

Alle modernen Benutzerverzeichnisdienste verwenden Hashing-Funktionen für Passwörter, die verhindern sollen, dass ein Angreifer, mit Zugriff auf die zentrale Datenbank, in der Lage ist, Klartext-Passwörter wiederherzustellen.

Während diese Hashing-Funktionalität einen entscheidenden Schutz der Passwörter gegen unbefugten Zugriff darstellt, verhindert sie gleichermaßen, dass ein Unternehmen die Passwörter bewerten kann. Dies ist aber notwendig, um Maßnahmen gegen mögliche Angriffe – wie das Ausprobieren von Wörtern aus dem Wörterbuch als Passwort, die Verwendung von bekannten kompromittierten Passwörtern oder das Erraten der Passwörter aufgrund persönlicher Informationen über den anvisierten Benutzer – umzusetzen.

Das Passwort-Sicherheit-Assessment definiert die Widerstandsfähigkeit von Passwörtern, indem es einen realen Angriff simuliert, der verschiedene mögliche Schwachstellen, wie beispielsweise vorhersehbare/schwache, von mehreren Benutzern verwendete Passwörter, fehlerhafte kryptografische Implementierungen etc. ausnutzt und aufdeckt.

Die Ergebnisse der Passwortsicherheitsbeurteilung – der Auditbericht – ermöglichen dem Unternehmen, die exakten Sicherheitsrisiken der in den verschiedenen, multiplen und heterogenen Systemen verwendeten Passwörter zu messen.

Auditbericht schafft Übersicht

Ein Auditbericht hilft Administratoren also, die Sicherheitsrisiken durch schwache Passwörter aufzuspüren. Ein in der Praxis bewährtes Tool dafür ist Specops Password Auditor.

Die Software durchsucht Ihr Active Directory und identifiziert kennwortbezogene Schwachstellen. Die gesammelten Informationen generieren mehrere interaktive Berichte mit Benutzer- und Kennwortrichtlinieninformationen.

Die gesammelten Informationen werden in einem interaktiven Bericht zusammengefasst und geben eine Übersicht über die gefundenen passwortrelevanten Schwachstellen.

Specops Password Auditor erlaubt es Administratoren, Domain Default Policies und fine-grained Password Policies zu analysieren, um festzustellen, ob sie den Benutzern die Erstellung sicherer Passwörter ermöglichen. So können Berichte erstellt werden, um Konten mit Passwort-Schwachstellen zu identifizieren, einschließlich abgelaufener, identischer oder leerer Passwörter und mehr. Zusätzlich zu diesen Einblicken ermöglicht es Specops Password Auditor, die Effektivität der Richtlinien gegen einen Brute-Force-Angriff zu messen.

Da viele Sicherheitsverletzungen aus kompromittierten Passwörtern resultieren, sind Konten mit kompromittierten Passwörtern ein Einfallstor für Angreifer. Das kostenlose Tool Specops Password Auditor überprüft das Active Directory mit einem Read-Only-Scan  auf schwache und kompromittierte Passwörter. Die Software bietet darüber hinaus einen vollständigen Überblick über die Administratorkonten in der Domäne einer Organisation, einschließlich veralteter/inaktiver Administratorkonten.

Specops Password Auditor enthält die „Breached Password Protection List“ mit mehr als 750 Millionen kompromittierten Passwörter.

Specops Password Auditor steht als kostenloser Download zur Verfügung und unterstützt Sie mit einem aussagekräftigen pdf-Bericht dabei, dass Thema Passwortsicherheit auf Managementebene zu adressieren. Hier geht es zum Download.

Wenn Sie aus dem Audit des Specops Password Auditor Handlungsbedarf ableiten, sollten Sie das Tool Specops Password Policy in Betracht ziehen, mit dem wir uns im nächsten Artikel beschäftigen werden.