{"id":53879,"date":"2019-12-12T00:00:00","date_gmt":"2019-12-11T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/problema-konfidentsialnosti-dannyh-v-active-directory"},"modified":"2020-02-18T14:01:49","modified_gmt":"2020-02-18T11:01:49","slug":"problema-konfidentsialnosti-dannyh-v-active-directory","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","title":{"rendered":"Das Problem der Datensicherheit in Active Directory.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Das
\n
\nIch habe Penetrationstests mit Hilfe von PowerView<\/a><\/noindex> durchgef\u00fchrt und es verwendet, um Informationen \u00fcber Benutzer aus dem Active Directory (im Folgenden \u2013 AD) zu extrahieren. In dieser Zeit habe ich den Fokus auf das Sammeln von Informationen \u00fcber die Mitgliedschaft in Sicherheitsgruppen gelegt und diese Informationen dann genutzt, um mich im Netzwerk zu bewegen. Jedenfalls enth\u00e4lt das AD vertrauliche Daten \u00fcber Mitarbeiter, einige davon sollten tats\u00e4chlich nicht f\u00fcr jeden in der Organisation zug\u00e4nglich sein. Tats\u00e4chlich gibt es in Windows-Dateisystemen ein entsprechendes Problem \"Everyone\"<\/a><\/noindex>, das sowohl von internen als auch von externen Angreifern genutzt werden kann.<\/p>\n

Aber bevor wir \u00fcber die Datenschutzprobleme und deren L\u00f6sungen sprechen, schauen wir uns die Daten an, die im AD gespeichert sind.
\n<\/a><\/noindex><\/p>\n

Active Directory ist wie ein Unternehmens-Facebook <\/h2>\n

\nAber in diesem Fall sind Sie bereits mit allen befreundet! Vielleicht erfahren Sie nicht von den Lieblingsfilmen, B\u00fcchern und Restaurants Ihrer Kollegen, aber das AD enth\u00e4lt sensitive Kontaktdaten
\nund andere Felder, die von Hackern und sogar von Insidern ohne besondere technische F\u00e4higkeiten missbraucht werden k\u00f6nnen.<\/p>\n

Systemadministratoren sind mit dem untenstehenden Screenshot nat\u00fcrlich vertraut. Es handelt sich um die Benutzeroberfl\u00e4che von Active Directory Users and Computers (ADUC), wo sie Informationen \u00fcber Benutzer festlegen und bearbeiten sowie Benutzer entsprechenden Gruppen zuweisen.<\/p>\n

\"Das
\n
\nAD enth\u00e4lt Felder mit dem Namen des Mitarbeiters, der Adresse und der Telefonnummer, weshalb es wie ein Telefonbuch aussieht. Aber es gibt noch viel mehr! Auf anderen Registerkarten sind auch die E-Mail-Adresse und Webadresse, der direkte Vorgesetzte und Notizen enthalten.<\/p>\n

Sollte jeder in der Organisation diese Informationen sehen, besonders in der \u00c4ra OSINT<\/a><\/noindex>, in der jedes neue Detail die Suche nach zus\u00e4tzlichen Informationen noch einfacher macht?<\/p>\n

Nat\u00fcrlich nicht! Das Problem wird noch verst\u00e4rkt, wenn die Daten der Unternehmensleitung f\u00fcr alle Mitarbeiter zug\u00e4nglich sind.<\/p>\n

PowerView f\u00fcr alle<\/h2>\n

\nHier kommt PowerView ins Spiel. Es bietet eine sehr benutzerfreundliche PowerShell-Oberfl\u00e4che f\u00fcr die zugrunde liegenden (und komplexen) Win32-Funktionen, die auf AD zugreifen. Kurz gesagt:
\nmacht es das Abrufen von AD-Feldern so einfach wie das Eingeben eines sehr kurzen Cmdlets.<\/p>\n

Lassen Sie uns ein Beispiel zur Informationsbeschaffung \u00fcber die Mitarbeiterin Cruella Deville nehmen, die eine der F\u00fchrungskr\u00e4fte des Unternehmens ist. Dazu verwenden wir das PowerView-Cmdlet get-NetUser:<\/p>\n

\"Das
\n
\nDie Installation von PowerView ist kein gro\u00dfes Problem \u2013 \u00fcberzeugen Sie sich selbst auf der Seite github<\/a><\/noindex>. Und was noch wichtiger ist, Sie ben\u00f6tigen keine erh\u00f6hten Berechtigungen, um viele PowerView-Befehle wie get-NetUser auszuf\u00fchren. So kann ein motivierter, aber nicht sehr technikaffiner Mitarbeiter ohne gro\u00dfen Aufwand in AD herumst\u00f6bern.<\/p>\n

Aus dem obigen Screenshot ist zu erkennen, dass ein Insider schnell viel \u00fcber Cruella erfahren kann. Haben Sie auch bemerkt, dass im Feld \"info\" Informationen \u00fcber pers\u00f6nliche Gewohnheiten und das Passwort des Benutzers offengelegt werden?<\/p>\n

Das ist keine hypothetische Wahrscheinlichkeit. Aus Gespr\u00e4chen mit anderen Pen-Testern<\/a><\/noindex> habe ich erfahren, dass sie AD scannen, um nach Passw\u00f6rtern im Klartext zu suchen, und dass diese Versuche leider oft erfolgreich sind. Sie wissen, dass Unternehmen nachl\u00e4ssig mit Informationen in AD umgehen und im Allgemeinen nicht \u00fcber das n\u00e4chste Thema \u2013 Berechtigungen in AD \u2013 informiert sind.<\/p>\n

In Active Directory gibt es eigene ACLs.<\/h2>\n

\nDie AD-Benutzer- und Computeroberfl\u00e4che erm\u00f6glicht das Festlegen von Berechtigungen f\u00fcr AD-Objekte. In AD gibt es ACLs, und Administratoren k\u00f6nnen den Zugriff \u00fcber diese bestimmen oder verweigern. Sie m\u00fcssen im ADUC-Ansichtsmen\u00fc auf \u201eErweitert\u201c klicken, und wenn Sie dann den Benutzer \u00f6ffnen, sehen Sie die Registerkarte \u201eSicherheit\u201c, in der Sie die ACL festlegen. <\/p>\n

In meinem Szenario mit Cruella wollte ich nicht, dass alle authentifizierten Benutzer auf ihre pers\u00f6nlichen Informationen zugreifen k\u00f6nnen, daher habe ich ihnen den Lesezugriff verweigert:<\/p>\n

\"Das
\n
\nUnd jetzt wird ein normaler Benutzer dies sehen, wenn er versucht, Get-NetUser in PowerView auszuf\u00fchren:<\/p>\n

\"Das
\n
\nEs ist mir gelungen, potenziell n\u00fctzliche Informationen vor unbefugten Augen zu verbergen. Um relevanten Benutzern weiterhin Zugriff zu gew\u00e4hren, habe ich eine andere ACL erstellt, die es Mitgliedern der VIP-Gruppe (Cruella und anderen hochrangigen Kollegen) erm\u00f6glicht, auf diese vertraulichen Daten zuzugreifen. Mit anderen Worten, ich habe AD-Berechtigungen auf Basis eines Rollenmodells implementiert, was sensible Daten f\u00fcr die meisten Mitarbeiter, einschlie\u00dflich Insider, unzug\u00e4nglich machte.<\/p>\n

Dennoch k\u00f6nnen Sie die Gruppenmitgliedschaft f\u00fcr Benutzer unsichtbar machen, indem Sie die entsprechenden ACLs f\u00fcr das Gruppenobjekt in AD festlegen. Dies hilft in Bezug auf Privatsph\u00e4re und Sicherheit.<\/p>\n

In meinem Epischen Pentest-Serie<\/a><\/noindex> habe ich demonstriert, wie man durch das System navigiert, indem man die Gruppenmitgliedschaft mit PowerViews Get-NetGroupMember untersucht. In meinem Szenario habe ich den Lesezugriff auf die Mitgliedschaft einer bestimmten Gruppe eingeschr\u00e4nkt. Sie sehen das Ergebnis der Ausf\u00fchrung des Befehls vor und nach den \u00c4nderungen:<\/p>\n

\"Das
\n
\nEs ist mir gelungen, die Mitgliedschaft von Cruella und Monty Burns in der VIP-Gruppe zu verbergen, was es Hackern und Insidern erschwert hat, die Infrastruktur auszuspionieren.<\/p>\n

Dieser Beitrag sollte Sie dazu motivieren, die Felder
\nin AD und die damit verbundenen Berechtigungen genauer zu betrachten. AD ist eine gro\u00dfartige Ressource, aber denken Sie dar\u00fcber nach, wie Sie
\nvertrauliche Informationen und pers\u00f6nliche Daten teilen m\u00f6chten, insbesondere,
\nwenn es um F\u00fchrungskr\u00e4fte in Ihrer Organisation geht. \u00a0
\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u042f \u0437\u0430\u043d\u0438\u043c\u0430\u043b\u0441\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u043d\u0430 \u043f\u0440\u043e\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u0435 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c PowerView \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0435\u0433\u043e \u0434\u043b\u044f \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u0445 \u0438\u0437 Active Directory (\u0434\u0430\u043b\u0435\u0435 \u2013 AD). \u0412 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u044f \u0434\u0435\u043b\u0430\u043b \u0430\u043a\u0446\u0435\u043d\u0442 \u043d\u0430 \u0441\u0431\u043e\u0440\u0435 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u0447\u043b\u0435\u043d\u0441\u0442\u0432\u0435 \u0432 \u0433\u0440\u0443\u043f\u043f\u0430\u0445 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438, \u0430 \u0437\u0430\u0442\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u044d\u0442\u0443 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u0447\u0442\u043e\u0431\u044b \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0430\u0442\u044c\u0441\u044f \u043f\u043e \u0441\u0435\u0442\u0438. \u0412 \u043b\u044e\u0431\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435, AD \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u043e \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u0430\u0445, \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-53879","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Datenschutzproblematik im Active Directory | ProHoster","description":"Ich habe Penetrationstests mit PowerView durchgef\u00fchrt und es verwendet, um Informationen \u00fcber Benutzer aus dem Active Directory (AD) zu extrahieren. Dabei lag mein Fokus auf der Sammlung von Informationen \u00fcber die Mitgliedschaft in Sicherheitsgruppen, die ich dann genutzt habe, um mich im Netzwerk zu bewegen. Auf jeden Fall enth\u00e4lt AD sensible Daten \u00fcber Mitarbeiter, einige","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 Active Directory | ProHoster","og:description":"\u042f \u0437\u0430\u043d\u0438\u043c\u0430\u043b\u0441\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u043d\u0430 \u043f\u0440\u043e\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u0435 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c PowerView \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0435\u0433\u043e \u0434\u043b\u044f \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u0445 \u0438\u0437 Active Directory (\u0434\u0430\u043b\u0435\u0435 \u2013 AD). \u0412 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u044f \u0434\u0435\u043b\u0430\u043b \u0430\u043a\u0446\u0435\u043d\u0442 \u043d\u0430 \u0441\u0431\u043e\u0440\u0435 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u0447\u043b\u0435\u043d\u0441\u0442\u0432\u0435 \u0432 \u0433\u0440\u0443\u043f\u043f\u0430\u0445 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438, \u0430 \u0437\u0430\u0442\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u044d\u0442\u0443 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u0447\u0442\u043e\u0431\u044b \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0430\u0442\u044c\u0441\u044f \u043f\u043e \u0441\u0435\u0442\u0438. \u0412 \u043b\u044e\u0431\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435, AD \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u043e \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u0430\u0445, \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-11T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53879","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 09:08:21","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:16:27","updated":"2026-01-24 09:08:21"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/53879","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=53879"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/53879\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=53879"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=53879"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=53879"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}