3 Möglichkeiten zum Sichern von Dienstkonten in Active Directory

Wenn Sie nach Sicherheitslücken in Ihrem Unternehmen suchen, ist die Prüfung von Dienstkonten kein schlechter Ausgangspunkt. Die Active Directory-Prüfung sollte die Feststellung der jedem Konto zugewiesenen Rechte, der Passwortstärke, des letzten Zurücksetzens und der Feststellung umfassen, ob es sich um ein Domänenkonto, ein lokales Konto, ein verwaltetes Dienstkonto (MSA) oder ein gruppenverwaltetes Dienstkonto (gMSA) handelt. .

Dienste können so konfiguriert werden, dass sie über die Konten „Lokaler Dienst“, „Netzwerkdienst“ oder „Lokales System“ ausgeführt werden. Diese werden jedoch mit anderen Prozessen und Anwendungen geteilt und können nicht zentral verwaltet werden. Obwohl das lokale System weitreichenden Zugriff auf Windows hat, sind der lokale Dienst und der Netzwerkdienst Standardbenutzer mit dem NT-Recht Anmelden als Dienst. Der Netzwerkdienst kann außerdem über das Computerkonto des Geräts eine Verbindung zu anderen Geräten im Netzwerk herstellen.

Wenn Domänenbenutzerkonten als Dienstkonten verwendet werden, bieten sie ein höheres Maß an Isolation und Verwaltung, Kennwörter müssen jedoch manuell oder mithilfe einer benutzerdefinierten Lösung verwaltet werden - oder, was häufig der Fall ist, Kennwörter werden selten, wenn überhaupt, zurückgesetzt.

Schritt 1. Gruppenverwaltete Dienstkonten

Es gibt zwei spezielle Arten von Konten, die für Dienste verwendet werden können: MSAs und gMSAs. Wenn Sie sich an Windows Server 2008 R2 erinnern, führte Microsoft MSAs ein, die jedoch mit so vielen Einschränkungen verbunden waren, dass die potenziellen Anwendungsfälle begrenzt waren. Die Grundvoraussetzung von MSAs bestand darin, die Verwaltung und Isolierung eines Domänenbenutzerkontos, jedoch mit automatisierter Passwortverwaltung, bereitzustellen. MSAs bieten außerdem eine vereinfachte Verwaltung des Service Principal Name (SPN).

Microsoft hat MSAs in Windows 2012 mit gMSAs verbessert. Im Gegensatz zu MSAs können gMSAs auf mehr als einem Gerät verwendet werden, geplante Aufgaben ausführen und mit Anwendungen wie IIS und Exchange arbeiten. Der Key Distribution Service (KDS) auf Windows Server 2012-Domänencontrollern verwaltet das jedem gMSA zugewiesene 120-stellige Kennwort. Bevor Sie gMSAs verwenden können, müssen Sie mindestens einen Windows Server 2012-Controller (oder eine höhere Domäne) in Ihrer Domäne sowie in die Domäne eingebundene Geräte haben, auf denen Windows Server 2012 oder Windows 8 (und höher) ausgeführt wird. PowerShell wird zum Konfigurieren von gMSAs verwendet.

Schritt 2. Lange Passwörter

Nicht alle Anwendungen sind mit gMSAs kompatibel, daher ist manchmal ein Domänenbenutzerkonto die beste Option. Microsoft empfiehlt Kennwörter mit mindestens 25 Zeichen für Dienstkonten, außerdem sollte ein Prozess zum Ändern von Dienstkontokennwörtern implementiert werden. Platzieren Sie Dienstkonten außerdem in einer dedizierten Organisationseinheit (OU) in AD, damit sie getrennt von anderen Konten verwaltet werden können, und stellen Sie sicher, dass auf sie eine Richtlinie für sichere Passwörter angewendet wird.

Schritt 3. Prinzip der geringsten Privilegien

Für den Fall, dass ein Dienstkonto kompromittiert wird, gilt: Je weniger Rechte dem Konto zugewiesen sind, desto besser. Obwohl es für maximale Kompatibilität einfach ist, Administratorrechte zu vergeben, ist ein derart weitreichender Zugriff selten erforderlich. Finden Sie heraus, welche Rechte das Dienstkonto benötigt, und weisen Sie nur diese Rechte zu, um den möglichen Schaden zu begrenzen.