Active-Directory-Scan

Jeder Schwachstellenabschnitt enthält:

• Was das bedeutet: eine allgemein verständliche Erklärung des Risikos

• Was der Scan prüft: die spezifischen Bedingungen, die den Alarm auslösen

• Warum der Alarm möglicherweise bestehen bleibt: häufige Teilkorrekturen, die nicht ausreichen

• Wie man diagnostiziert: PowerShell-Befehle zur Identifizierung betroffener Objekte

• Wie man behebt: schrittweise Behebung

Voraussetzungen: Alle PowerShell-Befehle erfordern das ActiveDirectory Modul und sollten als Domänen-Administrator auf einem Domänencontroller ausgeführt werden.

Import-Module ActiveDirectory

Die Behebungsschritte sind nach der PingCastle-Risikokategorie gruppiert:

• Anomalien

• Privilegierte Konten

• Veraltete Objekte

Häufig gestellte Fragen

Der Alarm wird immer noch angezeigt, nachdem ich die Behebung angewendet habe. Warum?

Der AD-Scan wird nicht regelmäßig ausgeführt. Nachdem Sie eine Behebung angewendet haben, müssen Sie das Skript erneut ausführen damit der Alarm verschwindet. Wenn der Alarm nach einem neuen Scan weiterhin besteht, war die Behebung wahrscheinlich nur teilweise. Siehe den Abschnitt „Warum der Alarm möglicherweise bestehen bleibt“ der betreffenden Schwachstelle. Stellen Sie sicher, dass Sie die Details der Schwachstelle in Ihrem Bericht lesen; dort finden sich oft Angaben zu den betroffenen Assets.

Benötige ich Domänen-Administratorrechte, um den Scan auszuführen?

Einige Schwachstellen (z. B. A-NoServicePolicy) erfordern erhöhte Berechtigungen, um bestimmte AD-Objekte lesen zu können. Das Ausführen des Scans mit einem Domänen-Administratorkonto stellt sicher, dass alle Objekte sichtbar sind, und vermeidet falsche Alarme aufgrund unzureichender Berechtigungen. Falls das nicht möglich ist, können Sie das Skript auch weiterhin als einfacher Domänenbenutzer ausführen, obwohl einige Schwachstellen möglicherweise aufgrund fehlender Sichtbarkeit von AD-Objekten angezeigt werden.

Ich habe eine Schwachstelle behoben, aber eine neue ist aufgetaucht. Ist das normal?

Ja. Einige Behebungen können andere Probleme sichtbar machen. Wenn Sie beispielsweise LAPS installieren (A-LAPS-Not-Installed beheben), kann dadurch A-LAPS-Joined-Computers ausgelöst werden, wenn Computerobjekte falsche Berechtigungen haben. Das ist zu erwarten: Arbeiten Sie jede Warnung in der Reihenfolge ihrer Schwere ab.