Tool zur Entfernung unbekannter SIDs

• Entfernt tote SIDs und macht die Dokumentation Ihrer Berechtigungen wieder leichter lesbar und verständlich
• Reduziert die Nachfragen Ihrer Revision und dokumentiert, dass Sie die volle Kontrolle haben
• Bietet mehr Sicherheit, da weniger Angriffsfläche für SID History Injection

Anwendungsfall

Nach dem Löschen von Benutzern und Gruppen im Active Directory werden diese in den berechtigten Ressourcen-ACL‘s nicht automatisch mit entfernt. Zurück bleibt auf den Ressourcen die verwaiste oder tote SID. Diese Einträge machen notwendige Audit-Reporte schwer lesbar und werden auch als Sicherheitsproblem eingestuft.

Share Access Rights Analysis

Analyse von Freigabe-Zugriffsrechten

• Prüfen auf vererbte NTFS-Zugriffsrechte
• Suchen von offenen Shares für authentifizierte Konten
• Suchen von Jeder-Vollzugriff Freigaben
• Prüfen auf die Existenz von nicht-administrativen Freigaben

Anwendungsfälle

1.  Die Vererbung von NTFS-Zugriffsrechten auf Freigaben sollte deaktiviert sein. Das Ändern vererbter NTFS-Berechtigungen aus der Ferne löscht alle Zugriffsrechte und macht die Freigabe unbrauchbar.
2. Freigaben werden überprüft, ob authentifizierte Konten (AD und lokal) mindestens das Lese-Zugriffsrecht haben. Dann gelten diese Freigaben als offene Shares. Damit kann ein unkontrollierter Datenabfluss erfolgen.
3. Das Jeder-Konto sollte maximal Ändern-Zugriffsrecht auf der Freigabe haben. Bei Vollzugriff besteht das Risiko, dass bei erweiterten  NTFS-Zugriffsrechten Anwender unbewusst Schaden anrichten können.
4. Ihre Server werden auf die Existenz von nicht-administrativen Freigaben geprüft. Administrative Freigaben (C$, etc.) werden dabei ignoriert. Freigaben können unkontrollierten Zugriff auf kritische Informationen ermöglichen.

Vererbung-Analyse-und Sanierungs-Software

• Identifiziert veränderte Berechtigungen in Ordner-Hierarchien
• Angleichung der Berechtigungen durch Vererbung
• Verschobene Verzeichnisse finden und korrigieren

Anwendungsfall

Das Aufbrechen der Vererbung unterhalb der zu administrierenden Verzeichnisebenen ist oft ungewollt und führt dazu, dass Benutzer dort nicht mehr zugreifen können. Best-Practice ist, dass nach der Administrationsebene alle Berechtigungen durchvererbt sind. CUSATUM empfiehlt maximal 4 Ebenen.

Mindestberechtigungen-Analyse und Restrukturierungs-Software

• Prüft alle Dokumente und Ordner auf erforderliche Zugriffsrechte für Konten und berücksichtigt dabei sowohl direkte als auch indirekte Zugriffsrechte
• Setzt fehlende Berechtigungen

Anwendungsfall

Sie wollen die Mindestberechtigung für einen Benutzer überprüfen, ob z.B. ein Benutzer oder ein Service Account überall mindestes Modify haben? Oft sind entweder keine Berechtigungen oder eine zu geringe Berechtigung vergeben.

Listgruppen Analyse-und Restrukturierungs-Software

• Analyse der Berechtigungen in Ordner-Hierarchien
• Verwalten von List-Berechtigungen in übergeordneten Ordnern

Anwendungsfall

Benutzer sollen zu den „Arbeitsverzeichnissen“ navigieren können. Best-Practice sieht dafür eine Listberechtigung vor, die über Active Directory-Gruppen gesteuert wird. Durch die tägliche Arbeit werden oft Verzeichnisse verschoben, neu erstellt, umbenannt oder gelöscht. Dabei müssten die Listberechtigungen mit korrigiert werden, damit die Benutzer weiterhin problemlos zu den Verzeichnissen gelangen. Weder die Administratoren noch auf dem Markt befindliche Software, z.B. SolarWinds-ARM, Tenfold oder IDM/IAM-Systeme korrigieren diese Probleme nachhaltig.

Erfassung der Berechtigungs-IST-Situation

• Zeichnet die Berechtigungslage auf Fileservern und im Active Directory auf
• Analysiert u.a. auf unterbrochenen Vererbungshierarchien, verschobene Verzeichnisse oder Null-DACL
• Zeigt im Detail die geänderten Berechtigungen unterhalb an, wie hinzugekommene oder entfernte Zugriffsrechte

Anwendungsfall

Sie wollen regelmäßig Ihre Berechtigungen überprüfen oder Berechtigungsreporte erstellen, z.B. einen Wer-hat-Wo-Zugriffs-Report, Use-Case-Report oder einen Berechtigungs-Differenz-Report.

Ersteller-Besitzer auf Dateisystemen entfernen

• Entfernt den Ersteller-Besitzer und verhindert das Entstehen von neuen toten SIDs
• Erlaubt damit eine saubere Migration, z.B. in die Cloud

Anwendungsfall

Standard-Einstellung von Microsoft beim Einbinden neuer Festplatten ist es, die Ersteller-Besitzer-Berechtigung mit Vollzugriff zu vergeben. Dadurch entstehen direkte Berechtigungen, die bei einem Löschen des Benutzers zu einer verwaisten SID führt. Zusätzlich kann der Benutzer die Administratoren, Service Accounts und Benutzer aussperren. Best Practice von CUSATUM ist, diesen Eintrag zu entfernen und mit einer
Gruppenberechtigung einzutragen.

Redundant Account Permision Analysis

• Identifiziert redundante Berechtigungen
• Überprüfen von Gruppenmitgliedschaften mit gleichzeitiger Direktberechtigung

Anwendungsfall

Wenn ein Benutzer eine direkte und eine gleichwertige oder höhere Gruppenberechtigung bekommen hat, ist die direkte Berechtigung redundant. In diesem Fall kann die direkte Berechtigung entfernt werden. Durch die Korrektur vermeidet man gleichzeitig das verwaiste-SID-Problem und kann den Leaver-Prozess einfacher und effektiver gestalten.

Account Risk-und Compliance-Assessment

• Analysiert Konto-basierend auf Best Practice-Kriterien
• Inaktive Benutzer-oder Computerkonten,
• Deaktivierte Benutzerkonten
• Konten mit nie ablaufenden Kennwörtern oder lange Zeit nicht geänderten Kennwörtern
• Leere Gruppen
• Gruppen ohne Beschreibung

Anwendungsfall

Das BSI und andere IT-Auditierungen, wie TISAX und BAFIN, überprüfen sicherheitskritische KPI‘s im Active Directory. Dadurch kann die Qualität der Mitarbeiterprozesse und die IT-Sicherheit überprüft und gewährleistet werden. Im ARCA-Modul sind die wichtigsten Analysen zusammengefasst. Diese können individuell angepasst werden.

Gruppenmitgliedschaften automatisiert zuweisen

• Identifiziert ihre Berechtigungen über Gruppenmitgliedschaften
• Definieren Sie Ihr Regelsystem für Gruppen für Ihre OU-basierten Standorte
• Der GRAZ-Dienst erkennt fehlerhaft gesetzte Gruppenmitgliedschaften und sorgt für eine automatisierte Bereinigung
• Sie sind schneller Compliance-konform

Mehrwerte

Integration in die CARO-Suite

Dieser Baustein ist derzeit nur in der integrierten Lösung C-MAN enthalten und arbeitet auf Basis von PowerShell-Cmdlts. Wünschen Sie eine Vorführung dieser Funktion? Kontaktieren Sie dazu unsere Experten über info@cusatum.de