MFA ist in Windows nicht genug: Entdecken Sie die Authentifizierungspfade, die es noch erlauben, durch das Netzwerk zu bewegen

Viele Organisationen haben die Ankunft der Multi-Faktor-Authentifizierung (MFA) als Panacea begrüßt, die plötzlich das Problem der gestohlenen Anmeldeinformationen schließen würde. Jedoch in Windows-Umgebungen, die das Vertrauen manchmal vorzeitig ist: Angreifer weiterhin auf Netzwerke mit gültigen Konten zugreifen, weil viele der Authentifizierung in Windows nicht durch den Cloud-Identity-Anbieter gehen und daher keinen zweiten Faktor zwingen.

Es ist nicht, dass MFA fehlschlägt; das Problem ist, dass es nicht alle Arten von Windows-Werten Identitäten abdeckt. Wenn die Sitzungen mit Kerberos oder NTLM gegen lokale Domänencontroller überprüft werden, werden die in Azure AD, Okta oder anderen IDP angewendeten Richtlinien nicht aktiviert. Microsoft beschreibt diese Protokolle und ihre Implikationen in seiner Dokumentation zu Kerberos und NTLM, die als Hinweis darauf dient zu verstehen, warum bestimmte Login-Starts nicht aus Reichweite von Cloud-Lösungen sind: Kerberos und NT2 ARBEITSLOSIGKEIT.

Direkt auf einem Windows-Computer, der an der Domain angeschlossen ist - entweder ein Benutzer-Laptop oder ein Server - ist in der Regel ein Prozess, der von Active Directory verwaltet wird. Wenn die Organisation keine zweiten Faktormechanismen für lokale Anmeldung (z.B. Windows Hello for Business oder Smartcards) integriert hat, wird dieser Zugriff mit dem Passwort oder dem im Speicher gespeicherten Hash validiert. Dadurch kann ein Angreifer, der dieses Passwort oder seine kryptographische Darstellung erhält, über das Netzwerk hinweggehen, ohne die auf die IDP verhängten bedingten Zugriffsrichtlinien zu aktivieren. Microsoft erklärt die Möglichkeiten, den Login zu modernisieren und dieses Risiko in der Dokumentation zu reduzieren Windows Hallo für Unternehmen und in Führungen zum Schutz von Anmeldeinformationen wie Credimentary Guard.

Ein weiterer üblicher Vektor ist die Remoto Desktop (RDP) Sitzungen. Obwohl RDP nicht dem Internet ausgesetzt ist, verwenden Angreifer es oft, sich nach dem ersten Zugriff seitlich zu bewegen. Eine RDP-Verbindung zu einem Server gewährleistet nicht, dass die Zugriffskontrollschicht der IDP gekreuzt wird; oft wird die Authentifizierung lokal mit AD aufgelöst und der Zugriff auf gestohlene Anmeldeinformationen ausgesetzt. Deshalb ist es wichtig, die Zugangskontrollen auf dem Umfang und in der Teleadministration sowie Lösungen anzuwenden, die MFA in diese Ströme integrieren.

NTLM, ein Vermächtnis, aber noch vorhanden für Kompatibilität, bleibt ein attraktives Ziel. Techniken wie die "pass-the-hash" nutzen die Tatsache, dass NTLM mit der Hash anstelle des Passworts im Klartext authentifizieren kann, so dass ein Angreifer das zu validierende Passwort nicht kennen muss. MITRE dokumentiert diese Techniken und ihre Varianten, die hilft, die Missbrauchsmechanik in Windows-Umgebungen zu verstehen: Pass-die- Hash und Eintrittskarte.

Kerberos ist auch nicht immun. Anstatt Passwörter zu stehlen, können Eindringlinge Speicher-Authentifizierungskarten oder Schmiedetickets aus privilegierten Anmeldeinformationen extrahieren, wodurch Szenarien als Golden Ticket oder Silver Ticket bekannt sind. Diese Angriffe ermöglichen einen dauerhaften Zugriff und eine Seitenanfälligkeit mit weniger sichtbarer Authentifizierung und können Passwortänderungen überleben, wenn die Ursache nicht überschritten wird. Die betrieblichen und detektionellen Auswirkungen werden von MITRE und in der Fachliteratur zu Kerberos-Missbrauchen gut gesammelt.

Ein wiederkehrender Faktor bei Intrusionen sind lokale Konten mit administrativen Privilegien und die Wiederverwendung von Passwörtern. Viele Organisationen halten lokale Konten für Unterstützung oder Erholung, und wenn diese Anmeldeinformationen in mehreren Teams wiederholt werden, kann ein einziges Leck viele Türen öffnen. Microsoft bietet Tools, um dieses Problem zu mindern, darunter Local Administrator Password Solution (LAPS), die die Rotation lokaler Passwörter automatisiert und das Risiko aus statischen Passwörtern reduziert: LÄNDER.

Das SMB-Protokoll, das verwendet wird, um Dateien zu teilen und Remote-Ressourcen zu verwalten, ist ein weiterer hochverwendeter Seitenbewegungsvektor. Mit gültigen Anmeldeinformationen kann ein Angreifer auf administrative Ressourcen zugreifen und sich schnell durch das Netzwerk bewegen. Aus diesem Grund sind die Authentifizierungssteuerungen für Dienste wie SMB und interne Verkehrsaudits unerlässlich; der Technologiekatalog MITRE umfasst Remote-Service-Routen und wie sie für die Seitenmäßigkeit verwendet werden: SMB / Windows Admin Aktien.

Servicekonten sind ein diskretes, aber ernstes Risiko. Sie sind konzipiert, um Aufgaben, Integrationen und Dienste zu automatisieren, so dass sie in der Regel lange Passwörter für Jahre und umfangreiche Berechtigungen an Ort und Stelle haben. Durch die einfache Integration von MFA in automatisierte Prozesse werden diese Konten zu privilegierten Zielen für Angreifer. Das Auditieren, Drehen und Minimieren von Privilegien in Service-Konten sind unverzichtbare Maßnahmen, die viele Organisationen verschieben und die leider die Eskalation und Ausdauer von Bedrohungen erleichtern.

Was können Sicherheitsteams tun, um diese Löcher zu schließen? Die Antwort geht durch die Behandlung der Windows-Authentifizierung als Risikooberfläche mit eigenen Regeln und Steuerungen. Beginnen Sie durch die Verschärfung von Passwortrichtlinien auf Active Directory, die Förderung der Nutzung von längeren Passage Phrasen und die Vermeidung von Wiederverwendung, reduziert bereits die Wahrscheinlichkeit von brutaler Kraft oder Wiederverwendung von Anmeldeinformationen. Der NIST empfiehlt moderne Ansätze für die Verwaltung von Passwörtern und das Screening von engagierten Anmeldeinformationen, deren Lesen verdeutlicht, warum lange Passwörter und Filterprüfung beste Praktiken sind: NIST SP 800-63B.

Darüber hinaus reduziert die Implementierung von Steuerungen, die bekannte Passwörter erkennen und blockieren, um Lücken ausgesetzt zu sein, das Sicherheitsfenster weiter. Dienstleistungen wie Have I Been Pwned haben beliebte Passwort-Verifikation gegen große engagierte Anmeldedaten Repositories, und viele kommerzielle Lösungen enthalten diese Funktion, um Benutzer zu verhindern, dass bereits gefilterte Schlüssel: Habe ich Pwned - Passwörter.

Um die Beseitigung oder Einschränkung von alten Protokollen - insbesondere NTLM - zu erreichen und Maßnahmen zu ermöglichen, die MFA in lokale Ströme integrieren (z.B. Windows Hello for Business oder Drittanbieterlösungen, die MFA RDP und lokale Anmeldung hinzufügen) ist ein weiteres Schlüsselstück. Microsoft und andere Lieferanten erklären, wie Hybrid-Identität und Perimeter-Steuerungen kombiniert werden, so dass Fern- und Verwaltungszugriff auch zusätzliche Überprüfung erfordert: Zustandszugang in Azure AD.

Darüber hinaus bleibt die Identitätshygiene von wesentlicher Bedeutung: Erfinden und Auditieren von Servicekonten, Abtrennen von Konten mit minimalen Privilegien, regelmäßig rotierende Anmeldeinformationen und Entfernen unnötiger Zugriffe sind Praktiken, die die Angriffsfläche begrenzen. Passwort-Management und privilegierte Zugriffstools helfen, viele dieser Aufgaben zu automatisieren und die Wahrscheinlichkeit zu reduzieren, dass ein einziges Konto die gesamte Umgebung beeinträchtigt.

Schließlich sind Erkennung und schnelle Reaktion nicht verhandelbar. Telemetrie steuert, dass Alarm auf Seitenbewegungen, atypische Verwendungen von Kerberos-Tickets, Entfernung von Hass im Gedächtnis oder Zugriff auf gemeinsame Ressourcen von ungewöhnlichen Hosts erhöhen die Wahrscheinlichkeit, eine Intrusion zu unterbrechen, bevor sie Konten in mehreren Systemen ausnutzt. Die Umsetzung von präventiven Maßnahmen mit Endpoints Schutz- und Verhaltensüberwachungstechnologien kann den Unterschied zwischen einem isolierten Vorfall und einer erweiterten Lücke machen.

Es gibt kommerzielle Lösungen, die sich genau auf die Erweiterung von MFA- und Passwort-Kontrollen auf die traditionelle Windows-Welt konzentrieren, sowie die Sperrung von Passworten und die Stärkung von Passwort-Richtlinien in Active Directory. Wenn Produkte ausgewertet werden, sollten sie mit den hier erwähnten technischen Unterlagen und praktischen Anleitungen verglichen werden, um zu verstehen, wie sie in die globale Identitäts- und Zugriffsstrategie passen. Empfohlene Ansätze sind die Integration von MFA in lokale Session-Start-ups, die Beseitigung von NTLM, wo möglich, automatische Rotation von lokalen Passwörtern und kontinuierliche Überwachung von Anomalien in Authentifizierungsflüssen.

Kurz gesagt, die Annahme von MFA ist ein wesentlicher Schritt nach vorn, aber es ist nicht genug an sich. Es ist notwendig, die Authentifizierungsstraßen zu identifizieren und zu schützen, die außerhalb des Rahmens der IPP sind, Protokolle zu modernisieren, privilegierte Konten streng zu verwalten und dem Sicherheitsteam eine effektive Erkennung und Vermittlung zu bieten. Dies ist die einzige Möglichkeit, das Risiko von engagierten Anmeldeinformationen in Windows-Umgebungen nachhaltig zu reduzieren.

Empfohlene Quellen und Lesungen: Microsoft Dokumentation über Kerberos und NTLM ( Kerberos, NT2 ARBEITSLOSIGKEIT), Conditional Access Guides in Azure AD ( Zustand des Zugangs), NIST SP 800-63B bei Authentifizierung ( NIST SP 800-63B), gefilterte Passwortspeicher als Habe ich gesungen? und der MITRE ATT & CK Katalog für Anmeldeinformationen Missbrauch und Seitenbewegungstechniken ( MITRE ATT & CK)