← Active Directory

Privilegierter Zugriff: Tiering und Credential-Hygiene

Der Sicherungsserver hat keine Mitgliedschaft in Domain Admins — also Tier 1, sagt das Server-Team. Er liest allerdings den Systemstatus jedes Domain Controllers und kann ihn zurückspielen, kommt damit an dieselben Geheimnisse und braucht dafür keine einzige Gruppenmitgliedschaft. Dieses Modul behandelt privilegierten Zugriff als Frage der Platzierung, nicht der Kennwortstärke: das Tier-Modell und die unbequeme Liste dessen, was tatsächlich Tier 0 ist, die Regel gegen Credential-Downgrade, Clean Source und administrative Arbeitsplätze, Protected Users und LAPS samt ihren Nebenwirkungen, Gruppenverschachtelung als stiller Eskalationspfad — und AdminSDHolder, das Berechtigungen an privilegierten Konten stündlich zurücksetzt und dessen Änderung die weitreichendste ist, die eine Domäne kennt.

Fortgeschritten · ~30 Min · 12 Abschnitte Einführung · 9 Übungen (davon 1 Mission)

Modul starten →

Fortschritt wird gespeichert — du kannst das Modul später jederzeit fortsetzen.

Nur den Lehrtext lesen →

Das kannst du danach

  • ✓Ein System danach einstufen, was jemand mit voller Kontrolle darüber erreichen könnte — nicht nach Zuständigkeit.
  • ✓Anmeldewege so planen, dass ein höherwertiges Credential nie auf einem niedrigeren Host landet.
  • ✓Effektive Tier-0-Wirkung ermitteln statt Mitgliederlisten zu lesen.

Übungen

  • 1. EntscheidungIn welches Tier gehört der Host?
  • 2. MissionTier-Zuordnung: Wer kontrolliert die Identität?
  • 3. EntscheidungIst die interaktive Anmeldung mit dem Domain-Admin-Konto an dieser Workstation vertretbar?
  • 4. EntscheidungWie sollte der Zugriff auf die Domain-Controller künftig erfolgen?
  • 5. EntscheidungWie vergibst du Zugriff nach Least Privilege?
  • 6. EntscheidungWie kam es dazu, und was hätte das Audit fragen müssen?
  • 7. EntscheidungWie setzt du die Härtung verantwortbar um?
  • 8. EntscheidungWie sollte dieses System behandelt werden?
  • 9. EntscheidungWelche Analyse und Abwehr ist richtig?
Quellen & Aktualität18 Primärquellen · zuletzt geprüft:
  1. 01Microsoft Learn — Enterprise Access Model / Securing privileged access (Tier 0/1/2)
  2. 02Microsoft Learn — Privileged Access Workstations (PAW) und das Clean-Source-Prinzip
  3. 03Microsoft Learn — Protected Users Security Group
  4. 04Microsoft Learn — Windows LAPS overview
  5. 05Microsoft MSRC — MS14-025: An Update for Group Policy Preferences
  6. 06learn.microsoft.com/en-us/windows-server/ident…-in-active-directory
  7. 07learn.microsoft.com/en-us/windows-server/ident…e-protected-accounts
  8. 08learn.microsoft.com/en-us/windows-server/ident…ing-active-directory
  9. 09Microsoft Learn — Protect Tier 0 the modern way / identifying Tier 0 assets
  10. 10Microsoft Learn — Pass-the-Hash und Credential-Theft-Angriffspfade (Mitigating Pass-the-Hash)
  11. 11Microsoft Learn — Securing privileged access: privileged access devices
  12. 12Microsoft Learn — Windows LAPS security and access control
  13. 13learn.microsoft.com/en-us/windows-server/ident…tand-security-groups
  14. 14Microsoft Learn — Protected Users security group
  15. 15Microsoft Learn — Securing privileged access
  16. 16Microsoft Learn — Securing privileged access and Tier 0 assets
  17. 17Microsoft Learn — Active Directory Forest Recovery guide
  18. 18Microsoft Learn — AdminSDHolder, protected groups and SDProp

Verfasst von Julian Zentgraf