Ebenenmodell für Active Directory Domain Services

Das Active Directory Domain Services (AD DS)-Ebenenmodell ist eine Sicherheitsarchitektur, die administrative Identitäten, Arbeitsstationen und verwaltete Ressourcen in Vertrauensstufen trennt. Dadurch wird verhindert, dass Cyberangriffe, die ein Endbenutzergerät kompromittieren, Anmeldeinformationen mit höheren Rechten stehlen und bis zur Identitätskontrollebene eskalieren. Dieser logische Ebenenansatz ist in Identitätsberechtigungen und nicht in der physischen Netzwerksegmentierung verwurzelt, obwohl die beiden Ansätze komplementär sind.

In diesem Artikel wird erläutert, wie die Ebenenmodellressourcen in Stufe 0, Stufe 1 und Stufe 2 gruppiert, wie PaWs (Privileged Access Workstations) Ebenengrenzen erzwingen und wie Sie das Modell in Ihrer Umgebung übernehmen.

Wie das Ebenenmodell mit dem Enterprise Access-Modell passt

Das Modell wendet integritätsorientierte Sicherheitsprinzipien an, die dem Biba-Modell ähneln: Systeme mit niedrigerer Vertrauensebene dürfen keine höher vertrauenswürdigen Systeme beeinflussen. Der gleiche Migrationsansatz, der von den White Papers " Mitigating Pass-the-Hash (PtH)-Attacks " (v1 und v2) empfohlen wird, verstärkt diesen Ansatz. Diese Dokumente formalisieren die Risiken des Diebstahls von Anmeldeinformationen und lateraler Bewegungen in Active Directory und dienen als Grundlage für die Konzeption einer abgestuften Administration, von PAWs und von Steuerelementen zur Isolierung von Anmeldeinformationen.

Das Enterprise Access Model (EAM) bietet ein breiteres Framework zum Sichern des Zugriffs auf lokale Systeme, mehrere Clouds, Benutzerzugriffs- und Anwendungszugriffspfade. Das AD DS-Tiermodell ist eine Komponente des EAM als Schlüsselmethode zur Verhinderung einer Eskalation nicht autorisierter Berechtigungen und zum Erzwingen der Administrativen Hierarchie für AD DS und eng verwandte Abhängigkeiten.

Informationen zum Herunterladen des Modells und zur Überprüfung der Bereitstellungsanleitungen finden Sie im Repository Active Directory Tier Model und auf der Bereitstellungsdokumentationswebsite.

Das Diagramm zeigt zwei horizontale Ebenen. Die obere Ebene des privilegierten Zugriffs umfasst Geräte und Workstations, ein Konto, Vermittler und eine Schnittstelle, die Zugriff auf einen abgeschatteten Bereich mit Identitätssystemen und geschäftskritischen Ressourcen in lokalen Umgebungen, der Cloud sowie in OT- und IoT-Bereichen ermöglichen. Die untere Benutzerzugriffsebene enthält dieselben vier Elemente für die tägliche Arbeit. Gestrichelte Pfeile markieren autorisierte Höhenpfade von der Benutzerzugriffsebene bis zur Ebene mit privilegiertem Zugriff. Rote Warnsymbole und Verbotssymbole blockieren nicht autorisierte Pfade von Benutzergeräten zu Identitätssystemen, von Benutzerkonten bis hin zu privilegierten Vermittlern und von Benutzeroberflächen zu geschäftskritischen Systemen. Ein mit „Ressourcenschutz“ beschriftetes Popup umfasst das gesamte Modell und führt Sicherheitsupdates, DevSecOps sowie den Schutz ruhender Daten und Daten während der Übertragung auf. Unter einer Beschriftung finden Sie "Vollständiger End-to-End-Ansatz, der für sinnvolle Sicherheit erforderlich ist".

Vertrauensgrenzen für mehrstufige Verwaltung

Das AD DS-Tiermodell geht davon aus, dass Cyberangriffe häufig auf Endbenutzerendpunkte ausgerichtet sind, die über Internetzugang, E-Mail und andere Kommunikationskanäle verfügen. Cyberangriffe kompromittieren häufig oder nutzen Social Engineering, um Zugriff auf diese Endpunkte zu erhalten. Nachdem ein Cyberattacker Anmeldeinformationen gestohlen hat, folgen sie einer Cyberangriffs-Killchain: Infiltration, Aufklärung, Lateralbewegung, Persistenz, Datenzugriff und Exfiltration.

Das AD DS-Tiermodell verhindert diese Angriffskette, indem sichergestellt wird, dass Administratoren niemals Anmeldeinformationen einer höheren Ebene auf Systemen einer niedrigeren Ebene verwenden, unabhängig davon, ob diese sich innerhalb oder außerhalb der Organisationseinheitenstruktur (OU) des Tiermodells befinden.

Ebene 0-, Ebene 1- und Ebene 2-Ressourcen im AD DS-Ebenenmodell

Das AD DS-Tiermodell gruppiert Identitäten, Systeme und Anwendungen basierend auf ihrem Umfang der Kontrolle über die Umgebung in drei Ebenen. Die folgende Tabelle fasst für jede Ebene den Umfang, beispielhafte Ressourcen und die erforderliche Arbeitsstation für privilegierten Zugriff (PAW) zusammen.

Tarif	Geltungsbereich	Beispielressourcen	Erforderliches PAW
Ebene 0	Identitätssteuerungsebene	Domänencontroller, AD FS, AD CS, Microsoft Entra Connect, Tier-0-Administratorkonten und -gruppen	Tier 0 PAW
Ebene 1	Enterprise-Server und -Anwendungen	Mitgliedsserver, Exchange Server, SharePoint Server, SQL Server, Branchenanwendungen, Serveradministratorkonten	PAW der Ebene 1
Ebene 2	Endbenutzergeräte und Konten	Endbenutzerarbeitsstationen, Helpdesk-Administratorkonten, Administratorrollen für Endbenutzerkonten	Tier 2 PAW

Das Diagramm zeigt drei gestapelte Ebenen. Stufe 0, Domänen- und Unternehmensadministratoren, verfügen über das höchste Maß an Privilegien und administrativer Kontrolle über die gesamte Umgebung durch die Möglichkeit, Identitäten und Berechtigungen unternehmensweit zu verwalten. Es umfasst Domänencontroller, Systeme, die Domänencontroller betreiben oder verwalten, und Konten, die auf diese Systeme zugreifen oder diese verwalten. Stufe 1, Serveradministratoren, verfügt über administrative Kontrolle über Unternehmensressourcen, die vielen Benutzern dienen oder geschäftskritische Daten und Anwendungen enthalten, aber keine Ressourcen der Ebene 0 steuern können. Sie umfasst Mitgliedsserver und deren Administratoren, Unternehmensanwendungsadministratoren und Clouddienstadministratoren. Stufe 2, Arbeitsstations- und Geräteadministratoren, verfügt über Administratorrechte nur über Standardbenutzerkonten und Einzelbenutzergeräte und können keine Ressourcen der Ebene 1 oder Stufe 0 steuern. Es umfasst Helpdesk-Support, Gerätesupport und Benutzersupportrollen.

Entwurfsprinzipien für Ebenenmodelle

Wenden Sie diese Prinzipien an, wenn Sie entscheiden, ob ein Objekt, ein Konto oder eine Lösung zu einer bestimmten Ebene gehört:

• Geringste Rechte innerhalb der einzelnen Ebenen. Auch innerhalb der Stufe 0 benötigt nicht jedes Konto Domänenadministratorrechte. Beschränken Sie die Berechtigungen für jede Rolle auf das erforderliche Mindestmaß.
• Keine gemeinsamen Anmeldeinformationen zwischen den Ebenen. Ein Konto, ein Dienstkonto oder eine Gruppe darf nur in einer Ebene verwendet werden. Durch die erneute Wiederverwendung von Anmeldeinformationen über Ebenen wird die Vertrauensgrenze reduziert.
• Keine geschäftskritischen Workloads in Tier 0. Anwendungsserver, Geschäfts-Apps und allgemeine Workloads gehören in Stufe 1, auch wenn ein AD-Administrator sie besitzt.
• Trennung von Aufgaben. Behalten Sie Operatoren, Genehmiger und Auditoren als getrennte Rollen bei, insbesondere in Tier 0. Vermeiden Sie die Konzentration aller privilegierten Funktionen in einem einzigen Team.
• Eindämmung, nicht Umrandung, ist die Grenze. Die Netzwerksegmentierung unterstützt das Modell, ersetzt es jedoch nicht. Die Anmeldeinformationen und die Tastatur definieren die Ebene, nicht die IP-Adresse.

Häufige Antimuster, die vermieden werden sollen

Diese Muster werden häufig angezeigt, wenn Teams das AD DS-Tiermodell einführen. Jedes Muster reduziert den Schutz, den das Modell bereitstellt:

• Alles in Tier 0 zusammenfassen. Die Behandlung aller Infrastruktur oder jedes Servers als Stufe 0 verdünnt Stufe 0 und erhöht die Angriffsfläche der Identitätssteuerungsebene.
• Tägliche Arbeit mit Domänenadministratoren. Administratoren, die Domänenadministratoren-äquivalente Konten für Routineaufgaben verwenden, machen die Anmeldeinformationen mit den höchsten Berechtigungen für Arbeitsstationen mit niedrigerer Ebene verfügbar.
• Monitoring-, Backup- oder EDR-Agenten mit Domänenadministratorrechten. Agenten, die mit Ebene-0-Rechten auf Ebene 1- oder Ebene 2-Hosts laufen, schaffen Pfade zur Offenlegung von Anmeldeinformationen auf der Ebene der Identitätssteuerung.
• Gemeinsame Dienstkonten über Ebenen hinweg. Ein Dienstkonto, das auf Servern der Ebene 0 und der Ebene 1 verwendet wird, wandelt jeden Server der Ebene 1 in einen Gefährdungspunkt für Anmeldeinformationen der Ebene 0 um.
• Sprungserver als eine separate Ebene behandeln. Ein Jumpserver erbt die Vertrauensstufe aller Anmeldeinformationen, mit denen er in Berührung kommt. Ein Sprungserver, der zum Erreichen von Domänencontrollern verwendet wird, ist eine Ressource der Ebene 0.

Ebene 0 – Identitätssteuerungsebene

Stufe 0 enthält Ressourcen und Identitäten, die den Verzeichnisdienst und unternehmensweite Berechtigungen direkt oder indirekt steuern:

• Administrative Konten und Gruppen der Ebene 0, einschließlich integrierter Active Directory Gruppen wie Sicherungsoperatoren und Serveroperatoren.
• AD DS-Domänencontroller und Kernkomponenten des Verzeichnisdiensts.
• Identitätsdienste wie Microsoft Entra Connect, Microsoft Entra-Anwendungsproxy, Active Directory-Verbunddienste (AD FS) (AD FS) und Active Directory-Zertifikatdienste (AD CS).
• Systeme, die Identitätssysteme der Ebene 0 betreiben oder verwalten, einschließlich Sicherung, Überwachung, Patching, Hypervisor, Antivirus- und Endpunkterkennungs- und -reaktionslösungen (EDR) oder eines Agents mit direkter Steuerung auf Betriebssystemebene oder AD-Objektebene.

Das Diagramm erläutert, dass Stufe 0 die direkte Kontrolle über Unternehmensidentitäten darstellt und dass die Sicherheitsempfindlichkeit aller Ressourcen der Ebene 0 gleichwertig ist, da sie alle effektiv untereinander kontrollieren. In der ersten Gruppe sind Software- und Identitätsressourcen der Stufe 0 aufgeführt: Anwendungen, die als Dienst auf einem Domänencontroller ausgeführt werden, Anwendungen, die einen Agent auf Domänencontrollern steuern, Dienstkonten, die auf Domänencontrollern ausgeführt werden, und Benutzer, die über ein privilegiertes Konto für eine andere Anwendung der Stufe 0 verfügen. In der zweiten Gruppe sind Hardware- und Zugriffsressourcen der Ebene 0 aufgeführt: Geräte, auf denen ein privilegierter Benutzer eine direkte Verbindung mit einem Domänencontroller oder einem anderen Server der Ebene 0 herstellt, die Hardware, auf der Tier 0-Systeme ausgeführt werden, jeder benutzer mit Zugriff auf diese physische Hardware und jeder Benutzer mit Administratorzugriff auf virtuelle Computerhosts, auf denen Computer der Stufe 0 ausgeführt werden.

Ebene 1 – Unternehmensserver und Anwendungsverwaltung

Stufe 1 enthält Mitgliedsserver und die Identitäten, die sie verwalten:

• Mitgliedsserver und Rollen von Serveradministratoren.
• IT-Infrastrukturverwaltungslösungen (ITIM), die Server der Ebene 1 steuern.
• Microsoft Serveranwendungen wie Exchange Server, SharePoint Server und SQL Server.
• Serverlösungen von Drittanbietern.
• Branchenanwendungen.

Das Diagramm erläutert, dass Stufe 1 die Kontrolle von Unternehmensservern und -anwendungen darstellt. In der ersten Gruppe werden Arbeitsauslastungsressourcen der Ebene 1 aufgelistet: Anwendungsserver und Anwendungsdienste in der Cloud. In der zweiten Gruppe werden Hardware- und Zugriffsressourcen der Ebene 1 aufgelistet: die Hardware, auf der Die Ebene 1 Systeme ausgeführt werden, jeder, der Zugriff auf diese physische Hardware hat, jeder mit Administratorzugriff auf virtuelle Computerhosts, auf denen Computer der Ebene 1 ausgeführt werden, und Geräte, auf denen Anmeldeinformationen der Stufe 1 eingegeben oder gespeichert werden, z. B. mobile Geräte, die für den Remotezugriff verwendet werden.

Stufe 2 – Endbenutzerkonto und Geräteunterstützung

Stufe 2 enthält die Identitäten, die Endbenutzergeräte und Konten verwalten, einschließlich Helpdesk- und Geräteunterstützungsrollen, Administratorrollen für Endbenutzergeräte und Administratorrollen für Endbenutzerkonten.

Das Diagramm erläutert, dass Stufe 2 die Steuerung von Benutzerarbeitsstationen und -geräten darstellt. Sie listet Hardware- und Zugriffsressourcen der Ebene 2 auf: die Hardware, auf der Tier 2-Systeme ausgeführt werden, jeder, der Zugriff auf diese physische Hardware hat, und jede Person mit Administratorzugriff auf Tier 2-Systeme. Außerdem werden die Geräte aufgelistet, auf denen Anmeldeinformationen der Stufe 2 eingegeben oder gespeichert werden, einschließlich Arbeitsstationen, Laptops, Tablets und Smartphones.

Für jede Ebene erforderliche Arbeitsstationen für privilegierten Zugriff (PAWs)

Das AD DS-Tiermodell funktioniert nur, wenn Sie von einer vertrauenswürdigen administrativen Arbeitsstation aus starten, die dem Tier entspricht, das Sie verwalten: ein Tier 0-PAW für Tier 0-Ressourcen, ein Tier 1-PAW für Tier 1 und ein Tier 2-PAW für Tier 2. Verwenden Sie für die cloudbasierte Verwaltung privilegierter Landezonen eine Privileged Access Workstation für Cloud Services Management (PAWCSM), die dem privilegierten Zielbereich entspricht.

Wenn sich ein Ebenenadministrator bei einer nicht vertrauenswürdigen Endbenutzerarbeitsstation oder einer Arbeitsstation von der falschen Ebene anmeldet, werden Anmeldeinformationen höherer Ebene einer niedrigeren nicht vertrauenswürdigen Umgebung ausgesetzt. Diese Offenlegung mindert die Sicherheitsgrenze, auf der das AD-DS-Ebenenmodell basiert. Die Vertrauensstellung beginnt mit der ersten physischen Tastatur, die zum Anmelden verwendet wird.

Weitere Informationen finden Sie unter Privileged Access Workstations (Übersicht).

Verwenden einer PAW für den Zugriff auf Ressourcen der Stufe 0

Ausgehend von einem Tier-0-PAW müssen Sie möglicherweise mehrere Zwischensprünge machen oder verschiedene Lösungen verwenden, bevor Sie den Tier-0-Endpunkt erreichen. Die Netzwerkkomplexität erfordert manchmal Sprungserver der Ebene 0, um Firewallregeln zu vereinfachen. Vaulting-Lösungen bieten Genehmigungsworkflows und Just-in-Time-Zugriff (JIT) auf privilegierte Konten.

Das Kernprinzip besagt, dass die vertrauenswürdige physische Tastatur der Ausgangspunkt ist und alle Zwischenstationen oder Lösungen auf derselben Ebene wie der Zielendpunkt verbleiben.

Bereinigen der vertrauenswürdigen physischen Tastatur

Die sauber vertrauenswürdige physische Tastatur ist die Arbeitsstation, an der Sie sich physisch anmelden, um eine privilegierte Sitzung zu beginnen. Damit das AD DS-Ebenenmodell wirksam ist, muss diese Arbeitsstation folgende Voraussetzungen erfüllen:

• Sie muss gehärtet und der administrativen Verwendung für eine bestimmte Ebene gewidmet sein.
• Bleiben Sie frei von Produktivitätsworkloads wie E-Mail, Webbrowsen und nicht verwalteter Software.
• Passen Sie die Stufe der Zielressource an. Eine Tier 0-Sitzung darf nur von einer Tier 0-PAW ausgehen, niemals von einem Tier 2-Gerät, das Sie auch für Ihre tägliche Arbeit verwenden.
• Sie haben die Provenienz der Lieferkette und physische Sicherheitskontrollen überprüft. Eine kompromittierte PAW kann Anmeldeinformationen verfügbar machen und das Modell unterbrechen.
• Ausschließlich für Verwaltungsaufgaben verwendet werden. Die Verwendung einer PAW für nicht administrative Arbeit erhöht das Risiko von Kompromittierung.

Wenn Sie Anmeldeinformationen mit höherer Ebene auf einer Arbeitsstation mit niedrigerer Ebene eingeben, machen Sie diese Anmeldeinformationen sofort für diese Umgebung mit niedrigerer Vertrauensebene verfügbar. Die Tastatur, nicht das Ziel, legt die effektive Vertrauensstufe der Sitzung fest.

Rückgriffsmodell

Das Rückgriffmodell beschreibt, wie eine Sitzung, die von einer sauberen PAW ausgeht, einen Endpunkt einer höheren Ebene erreicht, ohne das Vertrauensniveau der Sitzung herabzusetzen. Die Sitzung wird von einer PAW initiiert, die der Zielebene entspricht, und zwar über zugelassene JIT-Rechteerweiterungslösungen oder Tresorlösungen für Anmeldeinformationen. Arbeitsstationen einer niedrigen Ebene initiieren nie Sitzungen mit Endpunkten höherer Ebenen mithilfe von Anmeldeinformationen einer höheren Ebene.

Jeder zwischengeschaltete Jumpserver, Bastionhost oder jedes zwischengeschaltete Gateway für die Remoteverwaltung erbt die Vertrauensebene aller Anmeldeinformationen, die über ihn bzw. es ausgeführt werden. Ein Sprungserver, der zum Erreichen eines Domänencontrollers verwendet wird, ist daher eine Ressource der Ebene 0, auch wenn das Netzwerk ihn in einem Umkreissegment platziert. Diese Eindämmung verhindert, dass Pass-the-Hash- und Pass-the-Ticket-Angriffe über Ebenen eskaliert werden, auch wenn Angreifer einzelne Geräte auf niedrigerer Ebene kompromittieren.

Das Diagramm zeigt sechs Zugriffspfade von einer Arbeitsstation mit privilegiertem Zugriff (PAW) zu einem Server der Ebene 0, der als Zeilen angeordnet ist. Die ersten drei Zeilen starten von einer in die Domäne eingebundenen physischen Ebene-0-PAW aus: Zeile 1 verbindet die PAW direkt mit dem Ebene-0-Server, Zeile 2 wird über einen Ebene-0-Jumpserver verbunden, ehe der Ebene-0-Server erreicht wird, und Zeile 3 wird über eine Ebene-0-Tresorlösung verbunden, ehe der Ebene-0-Server erreicht wird. Die letzten drei Zeilen starten von einer Cloud-PAW aus: Zeile vier stellt die Verbindung über eine in die Domäne eingebundenen virtuelle PAW der Ebene 0 her, bevor der Ebene 0-Server erreicht wird, Zeile fünf stellt die Verbindung über ein Rückgriffmodell der Ebene 0 her, bevor der Ebene-0-Server erreicht wird; und Zeile sechs stellt die Verbindung über eine Tresorlösung der Ebene 0 her, bevor der Ebene-0-Server erreicht wird.

Halten Sie Tier 0 eng begrenzt

Stufe 0 ist die empfindlichste Ebene im AD DS-Tiermodell. Halten Sie es so klein wie möglich. Jedes zusätzliche Konto, jeder Server oder jede Anwendung in Stufe 0 erweitert die Angriffsfläche der Identitätssteuerungsebene.

Bewährte Methoden zur Beschränkung von Tier 0 auf ein Minimum

• Minimieren Sie die Anzahl der menschlichen Administratoren der Stufe 0. Ein gängiges Ziel sind weniger als fünf Personen mit Zugriff auf dem Niveau von Domänenadministratoren und keine Dienstkonten mit Domänenadministratorrechten.
• Minimieren Sie Server der Ebene 0 so, dass sie für die Identitätskontrolle und Wiederherstellung erforderlich sind.
• Nicht alle Konten der Stufe 0 müssen Mitglieder von Domänenadministratoren sein. Wenden Sie innerhalb von Tier 0 das Prinzip der geringsten Rechte an.
• Vermeiden Sie, Lösungen, die nicht zu Tier 0 gehören, wie z. B. Line-of-Business-Anwendungen, in Tier 0 aufzunehmen.
• Erkennen Sie, dass das Kleinhalten der Stufe 0 häufig die Verantwortlichkeiten zwischen Teams verschiebt:
  • Zentrale Active Directory Teams besitzen möglicherweise eigene Sicherungsüberprüfungs- und Wiederherstellungsbereitschaft.
  • Spezialisten der Stufe 1 bieten Unterstützung, ohne die Stufe 0 zu erweitern.
  • Sicherheitsteams wechseln von der Mitgliedschaft von Domänenadministratoren zu Überwachungsrollen, die mit den geringsten Berechtigungen übereinstimmen.

Migrieren von Servern und Verwaltungslösungen in Stufe 1

Konzentrieren Sie sich auf die Migration von Lösungen und Identitäten, die Memberserver verwalten:

• Beginnen Sie mit Lösungen, die alle Ebenen 1 verwalten, z. B. Sicherung, Überwachung, Patching und Hypervisor.
• Identifizieren Sie übermäßig genutzte Dienstkonten und Dienstkonten mit zu weitreichenden Berechtigungen, und teilen Sie sie auf, um die Auswirkungen zu begrenzen.
• Behandeln Sie die Migration der Stufe 1 als Analyse-, Planungs- und Sicherheitsverbesserungsübung. Betrachten Sie es nicht als bloßes Verschieben von Objekten zwischen OUs.

Migrieren Sie Endbenutzergeräte und den Identitätslebenszyklus in Tier 2

Die Migration von Ressourcen der Stufe 2 konzentriert sich auf die Geräteverwaltung und den Identitätslebenszyklus des Endbenutzers:

• Verschaffen Sie sich einen Überblick über den aktuellen Lebenszyklus von Identitäten im Unternehmen, einschließlich Eintritts-, Änderungs- und Austritts-Workflows.
• Erfahren Sie, wie Sie Endbenutzergeräte in eine Domäne einbinden, verwalten und außer Betrieb nehmen.
• Migrieren Sie nach Möglichkeit zu cloudverwalteten Geräten.
• Identifizieren von Anwendungsabhängigkeiten zu bestimmten OUs. Hartcodierte OU-Pfade können z. B. nach der Migration zu Fehlern führen.

Übernehmen Sie das AD DS-Ebenenmodell

Die technische Bereitstellung des AD DS-Ebenenmodells geht oft schnell und kann nach Ausführung der Bereitstellungsskripte innerhalb weniger Minuten erfolgen. Organisationsausrichtung, Rollen und Verantwortlichkeiten sowie Prozessaktualisierungen dauern länger und sind wichtige Faktoren für den langfristigen Erfolg.

Führen Sie die folgenden allgemeinen Schritte aus, um das AD DS-Ebenenmodell zu übernehmen:

1. Stimmen Sie Umfang und Unterstützung ab. Definieren Sie die Grenzen, Besitzer und erwarteten Auswirkungen mit Führung.
2. Inventarisieren und Klassifizieren von Ressourcen Identifizieren Sie Äquivalente der Ebene 0 und Ressourcen der Ebene 1 mit hohem Wert.
3. Entwerfen Sie das Betriebssystem. Definieren von administrativen Personas, PAWs und operativen Workflows.
4. Implementieren Sie Struktur und Steuerelemente. Erstellen Sie die erforderlichen OUs, Gruppen, Gruppenrichtlinien und Zugriffsbeschränkungen.
5. Führen Sie Pilotierung und Migration in Phasen durch, beginnend mit Tier 0, dann Tier 1 und anschließend Tier 2.
6. Fortlaufend überprüfen. Achten Sie auf Abweichungen, prüfen Sie privilegierte Aktivitäten und erkennen Sie Ebenenverstöße.

Maßnahmen zur Härtung nach der Bereitstellung des AD DS-Ebenenmodells

Führen Sie nach der Bereitstellung des AD DS-Ebenenmodell die folgenden Aktivitäten aus, um die Umgebung zu härten und zu operationalisieren:

• Bestätigen Sie zusätzliche Sicherheitshärtungsanforderungen, beispielsweise Security Hardening Framework (SHF)-Baselines und die Standardbetriebsumgebung (SOE, Standard Operating Environment).
• Planung der Bereinigung veralteter Legacy-Gruppenrichtlinien.
• Stellen Sie „Clean-Keyboard“-Lösungen bereit: lokale PAWs für Stufe 0 und Stufe 1 sowie Cloud-PAWs (PAWCSM) für die cloudbasierte Verwaltung mit privilegierten Zugriffsrechten.
• Härtung von AD DS- und Domänencontrollerbetriebssystemen.
• Identifizieren Sie gleichwertige Server der Ebene 0, und migrieren Sie sie.
• Integrieren Sie hochwertige Ressourcen der Ebene 1 in das Modell.

Verwandte Inhalte

• Unternehmenszugriffsmodell
• Übersicht über Privileged Access Workstations
• Bewährte Methoden zum Sichern von Active Directory
• Bereitstellungsleitfaden für das Active Directory-Tiermodell
• Whitepapers zur Abwehr von Pass-the-Hash