Eine belastbare Bestandsaufnahme ist die Grundlage jedes zukünftigen AD-Projekts
Bevor eine historisch gewachsene Active-Directory-Umgebung modernisiert, gehärtet oder migriert wird, muss zunächst verstanden werden, was tatsächlich vorhanden ist.
Gerade bei AD-Umgebungen, die über viele Jahre oder Jahrzehnte gewachsen sind, reicht es nicht, einige Benutzer, Gruppen und Gruppenrichtlinien zu exportieren. Für eine belastbare Entscheidungsgrundlage braucht es eine strukturierte technische und sicherheitsbezogene Bestandsaufnahme.
Mein Ansatz: So viel wie möglich automatisiert erfassen – anschließend fachlich bewerten.
Was sollte dokumentiert und analysiert werden?
Eine Enterprise-Bestandsaufnahme sollte unter anderem folgende Bereiche umfassen:
Forest- und Domain-Struktur
Forests, Domains und Trusts
Forest- und Domain Functional Levels
Domain Controller und Betriebssystemversionen
FSMO-Rollen
Global Catalogs
AD Sites und Subnetze
Replikation und Replikationsfehler
DNS und grundlegende AD-Infrastruktur
AD-integrierte DNS-Zonen
Forwarder und Conditional Forwarder
DNS-Registrierung der Domain Controller
veraltete oder fehlerhafte DNS-Einträge
Abhängigkeiten zwischen DNS, Sites und Replikation
Benutzer und Computer
aktive und deaktivierte Konten
lange nicht verwendete Konten
veraltete Computerobjekte
Service Accounts
Konten mit besonderen Einstellungen
privilegierte Konten
Kennwort- und Anmeldeeigenschaften
Gruppen und Berechtigungsstrukturen
Security- und Distribution-Gruppen
Gruppenverschachtelungen
privilegierte Gruppen
verwaiste oder nicht mehr verwendete Gruppen
direkte Benutzerzuweisungen statt rollenbasierter Gruppenmodelle
problematische oder historisch gewachsene Berechtigungsketten
Organizational Units
bestehende OU-Struktur
Delegationen
Vererbung
Block Inheritance
Verknüpfungen mit Gruppenrichtlinien
Abweichungen zwischen organisatorischer und sicherheitstechnischer Struktur
Group Policies
sämtliche GPOs
GPO-Verknüpfungen
Security Filtering
WMI-Filter
deaktivierte oder nicht verknüpfte GPOs
widersprüchliche Einstellungen
veraltete Richtlinien
sicherheitsrelevante Konfigurationen
Privilegierte Identitäten
Domain Admins
Enterprise Admins
Schema Admins
Administrators
Account Operators, Server Operators und Backup Operators
verschachtelte privilegierte Gruppenmitgliedschaften
administrative Service Accounts
dauerhaft vergebene administrative Rechte
Was lässt sich automatisieren?
Ein erheblicher Teil dieser Bestandsaufnahme kann mit PowerShell automatisiert werden.
Beispielsweise können Skripte strukturierte Daten zu Benutzern, Gruppen, Computern, OUs, GPOs, Domain Controllern, Sites, Subnetzen, Trusts, FSMO-Rollen und privilegierten Gruppen erfassen und in CSV-, JSON-, HTML- oder andere weiterverarbeitbare Formate exportieren.
Das reduziert nicht nur den manuellen Aufwand. Eine automatisierte Erfassung schafft auch eine reproduzierbare Baseline, gegen die spätere Änderungen verglichen werden können.
Für umfangreichere Analysen können – abhängig von Zielsetzung, Sicherheitsanforderungen und Umgebung – zusätzlich etablierte Werkzeuge eingesetzt werden, beispielsweise:
Microsoft PowerShell und die ActiveDirectory-/GroupPolicy-Module
dcdiagrepadminMicrosoft Security Compliance Toolkit
Microsoft Defender for Identity
PingCastle
Purple Knight
Dabei ist wichtig: Ein Tool ersetzt keine Architektur- und Sicherheitsbewertung.
Ein Scanner kann Auffälligkeiten finden. Er kann aber nicht zuverlässig entscheiden, warum eine Struktur entstanden ist, welche Geschäftsanforderungen dahinterstehen oder ob eine bestimmte Abhängigkeit weiterhin benötigt wird.
Das Ziel ist nicht nur eine Dokumentation
Am Ende sollte deshalb nicht einfach ein mehrere hundert Seiten langer Bericht entstehen.
Benötigt wird eine entscheidungsfähige Dokumentation:
Was haben wir?
Was davon wird noch benötigt?
Wo bestehen technische Schulden?
Wo liegen Sicherheitsrisiken?
Welche Abhängigkeiten existieren?
Was kann bereinigt werden?
Was muss migriert werden?
Und was sollte bewusst nicht in eine zukünftige AD-Struktur übernommen werden?
Erst mit dieser Grundlage lässt sich fundiert entscheiden, ob die bestehende Umgebung modernisiert werden sollte oder ob der Aufbau einer neuen, sauber strukturierten Zielumgebung mit anschließender Migration langfristig die bessere Lösung darstellt.
In Teil 3 gehe ich deshalb tiefer auf die Analyse von privilegierten Identitäten, administrativen Berechtigungen und die Vorbereitung einer modernen administrativen Sicherheitsstruktur ein.
➡️ Teil 1: Entwicklungsumgebung aufbauen und die Ausgangslage bewerten
➡️ Teil 2: Bestandsaufnahme und automatisierte AD-Analyse
➡️ Teil 3: Privilegierte Identitäten, administrative Ebenen und Security-Analyse
#ActiveDirectory #MicrosoftAD #CyberSecurity #IdentitySecurity #IAM #PowerShell #WindowsServer #ITSecurity #Infrastructure #ActiveDirectorySecurity