Wie schützen wir unseren Domänencontroller oder Verzeichnisserver?

Behandeln Sie ihn als Ihr wertvollstes System, denn wer ihn kontrolliert, kontrolliert jedes Konto. Begrenzen Sie, wer sich an ihm anmelden darf: nur wenige persönliche Administratorkonten mit phishing-resistenter MFA, genutzt von einem eigenen Admin-Arbeitsplatz und nie für E-Mail oder Surfen. Halten Sie ihn aktuell, betreiben Sie nichts anderes darauf, sperren Sie seinen Internetzugang bis auf das Nötige und lassen Sie normale PCs ihn nur auf den Ports erreichen, die die Authentifizierung braucht, nicht für Remote-Desktop oder Admin-Freigaben. Halten Sie eine getestete Offline-Sicherung des Verzeichnisses und einen dokumentierten Wiederherstellungsplan bereit, denn ein Verzeichnis unter Druck neu aufzubauen ist schwer. Prüfen Sie die Mitgliedschaft in Administratorgruppen regelmäßig und beobachten Sie die Sicherheitsprotokolle des Verzeichnisses mit einem Werkzeug, das sie liest. Im Netz markiert NetSenX neue Sitzungen zum Domänencontroller, die nicht zum normalen Verhalten eines Hosts passen, etwa ein Marketing-PC, der nachts eine Fernsitzung öffnet, als laterale Bewegung, in jedem Plan. Die Protokolle des Verzeichnisses liest es nicht.

← Alle 45 Fragen zu Zero Trust, Identität und SegmentierungAlle Themen