Einrichtung

Voraussetzungen:

• Windows-Version:

  • Windows 10 oder neuer auf einer Workstation

  • Windows Server 2016 oder neuer auf einem Server (es müssen aktuelle Sicherheitsupdates installiert sein)

• Internetzugang: ausgehendes HTTPS (Port 443) ohne SSL-Inspektion zu:

  • api.prod.ad-scan.cyber.stoik.io

  • ad-scan-prod-pingcastle-zip.s3.eu-west-1.amazonaws.com

  • ad-scan-prod-reports.s3.eu-west-1.amazonaws.com

• In Active Directory eingebunden und mit dem Domänencontroller verbunden

• Bei einem Domänen-Administratorkonto angemeldet

• Ausführung unsignierter Skripte erlaubt:

  • Option A: Set-ExecutionPolicy Unrestricted -Scope LocalMachine

  • Option B: Fügen Sie die Binärdatei der Ignorierliste in Defender oder einer ähnlichen Lösung hinzu, dann führen Sie Set-ExecutionPolicy Bypass -Scope Process und das Skript aus.

• Skript wurde in den letzten 24 Stunden heruntergeladen

• Neueste Version von PowerShell installiert, prüfen mit: $PSVersionTable.PSVersion

1

AD Scan öffnen

Klicken Sie auf AD Scan.

2

Skript herunterladen

Klicken Sie auf Skript herunterladen.

Wenn das AD-Scan-Skript nicht heruntergeladen wird, blockieren möglicherweise Ihre Sicherheitseinstellungen es. Prüfen Sie, ob die Datei im Downloads Registerkarte Ihres Datei-Explorers angezeigt wird. Wenn das Problem weiterhin besteht, ändern Sie Ihre Sicherheitseinstellungen, um Downloads zuzulassen.

3

Skript ausführen

Führen Sie das Skript in einer PowerShell-Konsole von einem Endpunkt aus, der die oben genannten Voraussetzungen erfüllt.

Scan erneut ausführen

Die Aktualisierung des AD-Scans erfolgt manuell: Jeder neue Durchlauf muss manuell gestartet werden. Das heruntergeladene Skript ist nur 24 Stunden gültig: Danach müssen Sie es erneut herunterladen.

Der Scan kann beliebig oft erneut ausgeführt werden:

• Im Normalbetrieb empfehlen wir, ihn monatlich auszuführen.

• In Phasen der Härtung der Infrastruktur kann er häufiger ausgeführt werden, um zu überprüfen, dass Fehlkonfigurationen behoben wurden.

Der AD-Scan wird für Stoïk-MDR-Kunden automatisch monatlich erneut ausgeführt.

Fehlerbehebung beim AD-Scan

Schließen des Skripts nach der Ausführung

Das bedeutet, dass die Skriptausführung im Terminal eingeschränkt ist. Hier ist eine Lösung in drei Schritten:

1. Laden Sie das Skript herunter und gehen Sie zu Downloads, dann geben Sie powershell -ep bypass in der Suchleiste.

2. Die PowerShell-Konsole sollte sich automatisch öffnen. Sobald dies der Fall ist, geben Sie & und drücken Sie Tab, bis die richtige Skriptdatei sichtbar ist.

3. Drücken Sie die Eingabetaste.

PingCastle-Unterbrechung

Stellen Sie in diesem Fall sicher, dass alle diese Bedingungen erfüllt sind:

• Sie haben eine Internetverbindung zu Ihrem Domänencontroller.

• Ihre Firewall oder Ihr Proxy blockiert den Zugriff auf api.prod.ad-scan.cyber.stoik.io, ad-scan-prod-pingcastle-zip.s3.eu-west-1.amazonaws.com, und ad-scan-prod-reports.s3.eu-west-1.amazonaws.com.

• SSL-Inspektion ist für diese Hosts deaktiviert. Ein Proxy, der den HTTPS-Datenverkehr zu den S3-Buckets überprüft oder umschreibt, beschädigt die vorab signierte Download-URL und führt dazu, dass der PingCastle-Download fehlschlägt oder abläuft, selbst wenn DNS- und TCP-Konnektivität in Ordnung erscheinen.

Daten nach der Skriptausführung löschen

Wenn Sie die Daten nach der Ausführung des Skripts löschen möchten, führen Sie den folgenden Befehl aus:

Schließlich {
    Remove-Item -Recurse -Force -ErrorAction SilentlyContinue "$Directory", "ad_hc_*"
    }
}