← Active Directory

Auditing & Detection

Der gefährlichste Zustand einer Erkennungsregel ist nicht der laute Fehlalarm, sondern die stille Regel: Ein Ereignis wird nach einer Richtlinienänderung nicht mehr erzeugt, eine Weiterleitung bricht ab, ein Feld heißt nach einem Update anders — und das sieht exakt so aus wie „es ist nichts passiert“. Dieses Modul ist das Gegenstück zu den Angriffspfaden: Advanced Audit Policy gezielt statt „alles an“, Überwachungslisten auf den wenigen Objekten, die zählen, eine Log-Kette, die außerhalb der Reichweite eines kompromittierten Domain Controllers liegt, Köderobjekte mit extrem niedriger Fehlalarmrate, die fünf Bestandteile einer tragfähigen Regel — und die ehrliche Einordnung, welche Angriffe konstruktionsbedingt schlecht erkennbar sind und deshalb über die Voraussetzung bekämpft werden müssen.

Fortgeschritten · ~30 Min · 12 Abschnitte Einführung · 14 Übungen (davon 2 Missionen)

Modul starten →

Fortschritt wird gespeichert — du kannst das Modul später jederzeit fortsetzen.

Nur den Lehrtext lesen →

Das kannst du danach

  • ✓Erfassung so konfigurieren, dass ein Signal entsteht, das von der Baseline unterscheidbar ist.
  • ✓Eine Erkennungsregel mit Signal, Baseline, Reaktion, Verantwortlichem und Prüfdatum entwerfen.
  • ✓Benennen, welche Angriffe sich zuverlässig erkennen lassen — und wo stattdessen Prävention tragen muss.

Übungen

  • 1. EntscheidungWie setzt du die Audit-Policy besser auf?
  • 2. EntscheidungWie priorisierst du SACLs?
  • 3. EntscheidungWas ist die robuste Korrektur?
  • 4. EntscheidungWelche Ergänzung fehlt für DCSync-nahe Sichtbarkeit?
  • 5. EntscheidungWelche Architektur verändert den Angreifervorteil?
  • 6. EntscheidungWelche Gestaltung passt?
  • 7. EntscheidungWie verbesserst du die Regel, ohne den Angriffspfad blind zu machen?
  • 8. MissionWo gehört die Kontrolle hin?
  • 9. MissionDC-Logging-Pipeline prüfen
  • 10. EntscheidungWas ist die beste Triage?
  • 11. EntscheidungWelche Reaktion ist angemessen?
  • 12. EntscheidungWelche Aussage ist die richtige operative Haltung?
  • 13. EntscheidungWie priorisierst du die Beobachtung?
  • 14. EntscheidungWie behandelst du das Signal?
Quellen & Aktualität29 Primärquellen · zuletzt geprüft:
  1. 01Microsoft Learn — Audit Policy Recommendations (Best Practices for Securing Active Directory / Monitoring Active Directory for Signs of Compromise)
  2. 02Microsoft Learn — Advanced security audit policy settings und „Audit: Force audit policy subcategory settings to override audit policy category settings“
  3. 03Microsoft Learn — Appendix L: Events to Monitor
  4. 04Microsoft Learn — Use Windows Event Forwarding to help with intrusion detection
  5. 05MITRE ATT&CK — T1003.006 DCSync, T1558.003 Kerberoasting, T1558.004 AS-REP Roasting, T1558.001 Golden Ticket, T1207 Rogue Domain Controller, T1070.001 Clear Windows Event Logs
  6. 06learn.microsoft.com/en-us/windows-server/ident…ing-active-directory
  7. 07learn.microsoft.com/en-us/windows-server/ident…-in-active-directory
  8. 08Microsoft Learn — Advanced security audit policy settings
  9. 09Microsoft Learn — Audit policy recommendations
  10. 10Microsoft Learn — Monitoring Active Directory for signs of compromise
  11. 11Microsoft Learn — Audit: Force audit policy subcategory settings to override audit policy category settings
  12. 12Microsoft Learn — Audit directory service access
  13. 13MITRE ATT&CK — DCSync
  14. 14Microsoft Learn — Windows Event Forwarding intrusion detection
  15. 15Microsoft Learn — event log security
  16. 16Microsoft security guidance — honeytoken accounts
  17. 17MITRE ATT&CK — Kerberoasting
  18. 18Microsoft security guidance — alert tuning
  19. 19Microsoft Learn — monitoring privileged group changes
  20. 20Microsoft Learn — Windows Event Forwarding
  21. 21Microsoft security guidance — privileged access
  22. 22MITRE ATT&CK — Clear Windows Event Logs
  23. 23Microsoft Learn — Directory Service Access auditing
  24. 24Microsoft Learn — Kerberos service ticket auditing
  25. 25Microsoft Learn — Monitoring AD compromise
  26. 26MITRE ATT&CK — Golden Ticket
  27. 27MITRE ATT&CK — Rogue Domain Controller
  28. 28Microsoft Learn — Active Directory replication monitoring
  29. 29Microsoft incident response guidance

Verfasst von Julian Zentgraf