Die wichtigsten Erkenntnisse
- Die Identitätsinfrastruktur stellt eine primäre Angriffsfläche dar, deren Kompromittierung den Geschäftsbetrieb zum Erliegen bringen kann.
- Die Schwachstellenanalyse von Commvault hilft dabei, Fehlkonfigurationen und risikobehaftete Einstellungen anhand klarer Indikatoren für Sicherheitslücken und Anleitungen zur Behebung dieser Probleme aufzudecken.
- Mithilfe von Echtzeit-Audits können Teams subtile böswillige Änderungen sofort erkennen und die Aktivitäten von Angreifern in Echtzeit nachverfolgen.
- Ein Rollback mit einem Klick kann dazu beitragen, unbefugte Änderungen schnell rückgängig zu machen, wodurch Ausfallzeiten minimiert und die Ausbreitung von Angriffen eingedämmt werden können.
Cybersicherheit und die Bedeutung der Identität
Wenn die meisten Menschen an Cybersicherheit denken, stellen sie sich gestohlene Dateien oder verschlüsselte Datenbanken vor. Doch dahinter verbirgt sich noch eine weitere Ebene, die – sollte sie kompromittiert werden – alles andere irrelevant macht: Ihre Identitätsinfrastruktur. Identitätsmanagementsysteme wie Active Directory (AD), Entra ID und Okta entscheiden darüber, wer sich anmelden darf, auf welche Ressourcen Zugriff gewährt wird und ob Ihr Unternehmen überhaupt funktionieren kann. Wenn Angreifer dort eindringen, können sich Benutzer nicht mehr authentifizieren, Anwendungen fallen aus und der Betrieb kommt zum Erliegen. An diesem Punkt handelt es sich nicht mehr um ein Datenproblem, sondern um ein Kontrollproblem. Die automatisierte Wiederherstellung von Forest-Strukturen mithilfe sauberer Betriebssystem-Neuinstallationen ermöglicht es Unternehmen, Identitätssysteme sicher wiederherzustellen, ohne dabei erneut Sicherheitsrisiken einzuführen. Und so funktioniert es.
Erkennen Sie Ihre Schwachstellen, bevor die Angreifer dies tun
Die Schwachstellenanalyse von Commvault vergibt für Ihre AD-Umgebung einen Sicherheitsstatus. Stellen Sie sich das wie eine Gesundheitsbewertung für Ihr Verzeichnis vor. Die meisten Umgebungen weisen mehr Schwachstellen auf, als den Menschen bewusst ist, und dies macht sie sichtbar.
Unser Tool hilft dabei, Indikatoren für Sicherheitslücken (IOEs) aufzudecken – das sind spezifische Fehlkonfigurationen oder riskante Einstellungen, die ausgenutzt werden könnten. Ein gängiges Beispiel sind Konten, bei denen Passwörter so eingerichtet sind, dass sie niemals ablaufen. Veraltete, nicht regelmäßig aktualisierte Anmeldedaten sind eine der häufigsten Methoden, mit denen Angreifer sich langfristigen Zugriff auf eine Umgebung sichern.
Commvault weist nicht nur auf das Problem hin, sondern hilft auch dabei, die betroffenen Konten zu identifizieren, führt Sie Schritt für Schritt durch die Behebungsmaßnahmen und ermöglicht es Ihnen, die Liste zu exportieren, um die Erstellung eines Skripts zur Behebung des Problems zu vereinfachen.
Erleben Sie es live
Sich seiner Schwachstellen bewusst zu sein, ist der erste Schritt. Zu erkennen, wann jemand diese aktiv ausnutzt, ist der zweite Schritt. Die Audit-Funktion für das Identitätsmanagement von Commvault ermöglicht es, alle Änderungen an Identitätssystemen wie Active Directory und Entra ID in Echtzeit zu erfassen – einschließlich Details dazu, wer die Änderung vorgenommen hat, wann und von wo aus sowie wie die Werte vor und nach der Änderung aussahen.
Angreifer dringen in der Regel nicht gewaltsam ein, sondern nehmen subtile, gezielte Änderungen vor. Ein kompromittiertes Konto könnte beispielsweise einen Backdoor-Benutzer anlegen, diesen unbemerkt zu den Domänenadministratoren hinzufügen und anschließend ein bösartiges Gruppenrichtlinienobjekt (GPO) verknüpfen, das zur Verbreitung von Ransomware dient – und jeder einzelne dieser Schritte wird im Audit-Feed erfasst.
Sobald Sie ein verdächtiges Konto entdecken, können Sie mithilfe von Filterfunktionen sofort alle Änderungen aufrufen, die dieses Konto jemals vorgenommen hat, und erhalten so einen umfassenden Überblick darüber, worauf der Angreifer Zugriff hatte.
Den Schaden schnell beheben
Die Erkennung ist nur dann von Bedeutung, wenn man darauf reagieren kann. Aus derselben Überwachungsansicht heraus können Sie eine böswillige Änderung mit einem einzigen Klick rückgängig machen und so die Umgebung in ihren letzten bekannten fehlerfreien Zustand zurückversetzen, ohne zwischen verschiedenen Tools hin- und herwechseln oder ein benutzerdefiniertes Skript schreiben zu müssen. Das Ziel besteht darin, Ausfallzeiten zu minimieren und die Ausbreitung des Angriffs einzudämmen, bevor er entdeckt wird.
Wenn das Schlimmste eintritt: Wiederherstellung
Manchmal gelingt es einem Angriff, die Sicherheitsmaßnahmen zu umgehen, und man muss von Grund auf neu aufbauen. Die Wiederherstellung einer gesamten AD-Struktur – also der Wiederaufbau der gesamten Verzeichnisumgebung nach einem Ransomware-Angriff – ist bekanntermaßen komplex und umfasst oft 50 bis über 100 einzelne Schritte, je nachdem, wie viele Domänen und Domänencontroller Sie haben.
Commvault unterstützt die Automatisierung dieses Vorgangs durch koordinierte Runbooks, die jeden Schritt nacheinander abarbeiten: die Wiederherstellung der Domänencontroller in der richtigen Reihenfolge auf der Grundlage ihrer FSMO-Rollen (Flexible Single Master Operation), die Wiederherstellung von SYSVOL, die Überprüfung der Metadaten und die Wiederherstellung der Vertrauensbeziehungen zwischen den Domänen. Eine Topologieansicht der gesamten AD-Gesamtstruktur verdeutlicht visuell, welche Domänencontroller zuerst wieder online gehen sollten.
Das herausragende Merkmal hierbei ist das, was Commvault als „Clean OS Recovery“ bezeichnet. Anstatt potenziell kompromittierte virtuelle Maschinen wiederherzustellen, werden Domänencontroller auf brandneuen VMs neu aufgebaut. Die Wiederherstellung einer infizierten Maschine birgt das Risiko, dass die Malware direkt mit zurückkommt. Die Wiederherstellung auf einer neuen Infrastruktur bedeutet, dass Sie nicht nur Ihre Daten zurückerhalten, sondern tatsächlich einen Neuanfang machen.
Ein Dashboard für lokale Systeme und die Cloud
Die meisten Unternehmen arbeiten heute weder ausschließlich vor Ort noch ausschließlich in der Cloud, sondern nutzen ein Hybridmodell, bei dem Active Directory den Zugriff auf Legacy-Anwendungen regelt und Entra ID die modernen Cloud-Identitäten verwaltet. Die einheitliche Steuerungsebene von Commvault ermöglicht es, beide Bereiche über eine einzige Konsole abzudecken: Bewertungen, Audits, Erkennung und Wiederherstellung auf beiden Plattformen.
Der Vorteil liegt auf der Hand: weniger Tools, weniger Komplexität und eine übersichtlichere Darstellung für die Führungskräfte, wenn diese fragen, wie die Identitätsinfrastruktur durchgängig geschützt wird. Die Widerstandsfähigkeit der Identitätsverwaltung verdient eine eigene, gezielte Auseinandersetzung – unabhängig von der Erstellung von Backups und dem Schutz von Endgeräten. Die Kombination aus proaktivem Schwachstellenscan, Änderungsüberwachung in Echtzeit, schneller Rollback-Funktion und einer sauberen Wiederherstellung der Domänenstruktur hilft Ihrem Unternehmen dabei, Ihre Verzeichnisinfrastruktur als eigenständige Sicherheitspriorität zu behandeln.
FAQs
F: Warum ist die Identitätsinfrastruktur ein so wichtiger Schwerpunkt im Bereich der Sicherheit?
A: Identitätssysteme regeln die Authentifizierung und den Zugriff innerhalb einer Organisation. Werden sie kompromittiert, können Angreifer den Betrieb vollständig lahmlegen, wodurch andere Sicherheitsmaßnahmen wirkungslos werden.
F: Was sind Indikatoren für Sicherheitsrisiken (IOEs)?
A: IOEs sind bestimmte Fehlkonfigurationen oder risikobehaftete Einstellungen in Identitätsumgebungen, die Angreifer ausnutzen können. Ihre Aufdeckung kann Einblicke in Schwachstellen liefern und den Teams als Orientierungshilfe bei deren Behebung dienen.
F: Wie trägt die Echtzeitüberwachung dazu bei, Angriffe abzuwehren?
A: Durch Echtzeit-Audits lassen sich alle Änderungen in Identitätssystemen nachverfolgen, einschließlich der Informationen, wer die Änderung vorgenommen hat und was sich geändert hat. Diese Transparenz hilft Sicherheitsteams dabei, verdächtiges Verhalten frühzeitig zu erkennen und das gesamte Ausmaß eines Angriffs zu untersuchen.
F: Können böswillige Änderungen wirklich schnell rückgängig gemacht werden?
A: Ja, Commvault ermöglicht die direkte Rückgängigmachung nicht autorisierter Änderungen über dieselbe Benutzeroberfläche. Dies trägt dazu bei, die Reaktionszeit zu verkürzen und Systeme ohne komplexe Skripte in einen sicheren Zustand zurückzusetzen.
F: Was macht die Wiederherstellung einer gesamten AD-Struktur so schwierig?
A: Der Wiederaufbau einer gesamten AD-Struktur umfasst viele miteinander verknüpfte Schritte, darunter die Wiederherstellung von Domänencontrollern und die erneute Einrichtung von Vertrauensbeziehungen. Die Komplexität steigt mit der Größe der Umgebung.
F: Was ist die „Clean OS Recovery“-Funktion von Commvault und warum ist sie wichtig?
A: „Clean OS Recovery“ unterstützt die Neuinstallation von Domänencontrollern auf neuen, nicht kompromittierten Systemen, anstatt infizierte Rechner wiederherzustellen. Dieser Ansatz trägt dazu bei, verbleibende Malware zu beseitigen und ermöglicht eine sichere Wiederherstellung.
Nico Guerrera ist Senior Technical Marketing Manager bei Commvault.
