Ihr Unternehmen ist gerade Opfer eines Ransomware-Angriffs geworden. Ihre Cyber- und IT-Abteilungen bemühen sich verzweifelt, Ihren Notfallplan in Gang zu setzen und umzusetzen. Plötzlich stellen alle fest, dass sie sich nirgendwo mehr anmelden können. Active Directory (AD) muss offline sein!? Die Authentifizierungs- und Autorisierungstools Ihres Unternehmens sind betroffen.
Nach stundenlanger Triage und Einschätzung des Ausmaßes dieses Problems meldet Ihr Cyber-Incident-Response-Team, dass die Wiederherstellung der grundlegenden AD- sowie Authentifizierungs- und Autorisierungsdienste über eine Woche dauern wird – wenn alles gut läuft.
Sie dachten, Ihr Ausfallsicherheitsplan mit AD-Backups und einer SaaS-Identitätsplattform sei ausreichend. Doch selbst mit SaaS im Mix ist die Recovery komplex und muss manuell erfolgen, was den Weg zurück zu einem minimalen Betriebsniveau verzögert, wenn Zeit am wichtigsten ist.
Ausfallsicherheit bedeutet, dass Sie Authentifizierung und Autorisierung schnell, vorhersehbar und auf vertrauenswürdige Weise wiederherstellen können – ganz gleich, ob die Störung durch böswillige Aktivitäten, einen Ausfall oder eine versehentliche Fehlkonfiguration verursacht wurde.
Die Bedrohung verstehen
Angreifer nehmen AD ins Visier, da es die Ebene der Identitätskontrolle darstellt. Sobald sie Fuß gefasst haben, sichern sie sich oft eine dauerhafte Präsenz, indem sie Schatten- oder Backdoor-Konten erstellen, anschließend Anmeldedaten sammeln und ihre Berechtigungen ausweiten. Mit erweiterten Zugriffsrechten bewegen sie sich lateral durch Systeme und Anwendungen und bleiben dabei manchmal so lange unentdeckt, dass das erste deutliche Anzeichen erst dann auftritt, wenn die Authentifizierung fehlschlägt.
Sie verschaffen sich umfassende Kenntnisse über das Netzwerk, die Mitarbeiter und die Anwendungen des Unternehmens. Und wenn sie bereit sind, den Schaden zu maximieren, können sie die gesamte AD-Struktur verschlüsseln oder beschädigen, wodurch Anmeldungen gestört und die Recovery in der gesamten Umgebung erschwert werden.
Warum Identität (und warum zuerst AD)?
Es ist üblich, dass der Identitäts-Stack eines Unternehmens, insbesondere AD und Entra ID, im Laufe der Zeit komplexer wird. Gesamtstrukturen wachsen, Berechtigungen breiten sich aus, veraltete Richtlinien häufen sich an, und Prozesse, die „gut genug“ waren, führen oft zu einer langfristigen Sicherheitslücke. Diese Komplexität schafft blinde Flecken, und die Sicherheitsverantwortlichen verlieren den klaren Überblick darüber, wie sich Rollen, Berechtigungen und Richtlinien entwickeln.
Und es geht nie „nur um AD“. Identität ist ein Ökosystem: Lösungen für Identitäts-Governance und Zugriff (IGA), privilegierter Zugriff, Kundenidentität, Identitätsanbieter, Authentifizierungsdatenbanken und Single Sign-On – all das ist mit derselben Basis verbunden. Deshalb können Identitätsvorfälle (und sogar alltägliche Fehlkonfigurationen) im Vergleich zu vielen anderen Infrastrukturausfällen unverhältnismäßig große Störungen verursachen.
Die Herausforderung bei der Recovery ist der Punkt, an dem die meisten Pläne ihre Schwächen offenbaren. Selbst mit Backups ist die Recovery einer Forest-Struktur ein mehrstufiger Prozess mit hohem Risiko, bei dem die Anleitung für die manuelle Recovery 50 bis 100 (oder mehr) einzelne Schritte umfassen kann und je nach Komplexität der Umgebung und Vorbereitungsgrad Tage bis Wochen in Anspruch nehmen kann.
Die eigentliche Frage lautet nicht: „Haben wir Backups?“, sondern: „Können die Teams die Backups unter Druck fehlerfrei einsetzen, und wurden die Runbooks getestet und überprüft, damit Recovery nicht im ungünstigsten Moment zu einem fehleranfälligen Durcheinander wird?“
Die Lösung
Die Notwendigkeit eines Recovery-Plans ist groß. Er muss getestet und verifiziert werden. Unternehmen müssen wissen und verstehen, dass ihre Identitätsmanagement-Plattform das Hauptziel für Cyberkriminelle und Angriffe ist. Sie muss entsprechend geschützt werden. Es müssen Backups erstellt, getestet und verifiziert werden, um sicherzustellen, dass eine Wiederherstellung möglich ist. Dazu gehören:
- Sicherungen von AD-, Entra ID- und IGA-Plattformen.
- Getestete und verifizierte Pläne für die Recovery.
- Isolierte Recovery-Umgebungen und Cleanroom Recovery.
- AD-Recovery-Workflow und -Automatisierung.
Eine strenge Identitäts-Governance und -Überwachung sind nach wie vor entscheidend, aber sie sind nur ein Teil des Ganzen. Sie benötigen die Fähigkeit, verdächtiges Identitätsverhalten frühzeitig zu erkennen, es schnell einzudämmen und sicher wiederherzustellen, wenn sich etwas ändert, was nicht sein sollte (sei es böswillige Aktivität oder eine versehentliche Änderung, die die Authentifizierung unterbricht).
Das bedeutet auch, dass Sie Identitätskonten und Benutzeraktivitäten in SecOps integrieren und kontinuierlich auf Signale wie die unbefugte Erstellung von Konten, Änderungen an Berechtigungen und abnormale Authentifizierungsmuster achten müssen – und über einen bewährten, wiederholbaren und sauberen Recovery-Pfad verfügen müssen.
Commvault und Deloitte: Eine Partnerschaft für Identitätsresilienz
Identitätsresilienz ist eine geschäftliche Herausforderung, die eine starke Governance, Prozesse, Kontrollen und unterstützende Technologien erfordert. Aus diesem Grund haben sich Deloitte und Commvault zusammengeschlossen, um umfassende Programme für Identitätsschutz, Recovery und Resilienz anzubieten, auf die sich Unternehmen verlassen können, wenn es darauf ankommt.
Deloitte bringt fundiertes Fachwissen in den Bereichen Cyberrisiken, Unternehmensresilienz sowie Identitäts- und Zugriffsmanagement ein, um Fortune-100- bis Fortune-1000-Unternehmen bei der Konzeption, Umsetzung und Operationalisierung von Programmen zur Identitätsresilienz zu unterstützen.
Diese Programme helfen Kunden dabei, ihre Sicherheitslage zu bewerten, ihre Erkennungs- und Reaktionsfähigkeiten zu verbessern sowie Mindestanforderungen für das Unternehmen zu definieren, um anschließend getestete und verifizierte Recovery-Pläne mit klaren Zeitplänen und Verantwortlichkeiten für alle Stakeholder aus den Bereichen Business und IT zu erstellen. Deloitte macht Identitätsresilienz durch Runbooks, Tests und Readiness zu einem umsetzbaren Programm, sodass Teams wissen, wie „Vorbereitetsein“ unter Druck aussieht.
Commvault setzt Resilienzprogramme mit integriertem Schutz und automatisierten Recovery-Workflows über Identitätssysteme hinweg in die Praxis um – ergänzt durch Commvault AirGap und Cleanroom Recovery, um wiederholbare, saubere und validierte Recovery-Prozesse zu gewährleisten, wenn es darauf ankommt. Commvault bietet die technologische Grundlage mit Funktionen zur Identitätsresilienz, darunter:
- Schutz für kritische Identitätssysteme, einschließlich AD und Entra ID, Zeitpunktvergleich und Rollback-Unterstützung bei unerwünschten oder versehentlichen Änderungen.
- Überwachung und Erkennung, um verdächtige Änderungen frühzeitig aufzudecken (wer hat was wann geändert), wodurch das Zeitfenster für Angreifer, sich auszubreiten oder Fuß zu fassen, verringert wird.
- Automatisierte Recovery-Workflows, einschließlich der Automatisierung der Recovery auf Forest-Ebene, um den manuellen Aufwand und das Risiko bei der Recovery von Identitäten zu verringern.
- Commvault Cleanroom zur Validierung der Identitätswiederherstellung in einer isolierten Umgebung, bevor das Vertrauen in die Produktionsumgebung wiederhergestellt wird.
- Commvault AirGap zur Aufrechterhaltung unveränderlicher, luftisolierter Sicherungskopien, wodurch eine geschützte Grundlage geschaffen wird, die eine saubere Wiederherstellung und Cleanroom-Tests ermöglicht, wenn der Identität (oder der sie umgebenden Umgebung) nicht vertraut werden kann.
Maßnahmen ergreifen
Wenn Sie Ihre Readiness zur Cyber-Wiederherstellung einem Stresstest unterziehen möchten, beginnen Sie mit einem Deloitte Active Directory-Workshop, um Abhängigkeiten abzubilden und einen klaren, umsetzbaren Plan zur Wiederherstellung von AD und Workloads in der Produktionsumgebung zu erstellen. Validieren Sie diesen anschließend auf die richtige Art und Weise: Nutzen Sie Commvault, um die Wiederherstellung im Commvault Cleanroom zu testen, bevor Sie sie jemals bei einem realen Vorfall benötigen.
Für Unternehmen, die bereit sind, den nächsten Schritt zu gehen, können wir dies zu einem 30-tägigen Pilotprojekt ausweiten, bei dem eine saubere Recovery sowie Tests mit echten Daten und messbaren Ergebnissen in die Praxis umgesetzt werden. Für weitere Informationen wenden Sie sich bitte an Ihren Ansprechpartner bei Deloitte unter commvaultsalesteam@deloitte.com oder an Ihren Ansprechpartner bei Commvault unter deloittealliance@commvault.com.
Dave Nowak ist Principal im Bereich Cyber Defense & Resilience bei Deloitte, und Michael Fasulo ist Senior Director, Portfolio Marketing, bei Commvault.
