Active Directory-Papierkorb

Der Active Directory-Papierkorb funktioniert ähnlich wie der Windows-Papierkorb auf Desktop-Computern und lässt sich nahtlos in Standard-AD-Prozesse integrieren, um einen Recovery-Mechanismus für gelöschte Objekte bereitzustellen.

Wenn diese Funktion aktiviert ist, werden gelöschte Objekte in einem wiederherstellbaren Zustand aufbewahrt, wobei ihre Attributwerte und Gruppenmitgliedschaften erhalten bleiben, um die Wiederherstellung zu vereinfachen. Administratoren können sowohl über das Active Directory-Verwaltungscenter (ADAC) als auch über PowerShell auf diese Funktion zugreifen, sodass sie unabhängig von den jeweiligen Verwaltungspräferenzen verfügbar ist.

In AD-Umgebungen durchlaufen gelöschte Objekte zwei verschiedene Zustände: „gelöscht“ und „in den Papierkorb verschoben“. Im gelöschten Zustand bleiben die meisten Objektattribute intakt und wiederherstellbar, während im recycelten Zustand die meisten Attribute entfernt werden, was die Recovery erheblich erschwert. Ist der Active Directory-Papierkorb nicht aktiviert, wechseln Objekte sofort in einen „Tombstone“-Zustand, in dem viele Attribute dauerhaft verloren gehen, was die Recovery erschwert.

Bei älteren Windows Server-Gesamtstrukturen ist die Active Directory-Papierkorb-Funktion standardmäßig deaktiviert und muss explizit aktiviert werden. Die Funktion wurde erstmals in Windows Server 2008 R2 eingeführt, erfordert für die Implementierung jedoch eine Gesamtstruktur-Funktionsstufe von mindestens Windows Server 2008 R2. Nach der Aktivierung gilt die Änderung für die gesamte Gesamtstruktur und kann nicht rückgängig gemacht werden, weshalb eine sorgfältige Planung vor der Aktivierung unerlässlich ist.

Active Directory (AD) dient weltweit unzähligen Organisationen als Rückgrat des Identitätsmanagements, wobei seine Datenbank wichtige Benutzerkonten, Gruppen und Sicherheitsrichtlinien enthält. Das versehentliche Löschen dieser Objekte kann den Geschäftsbetrieb stören und ohne geeignete Recovery-Mechanismen erhebliche administrative Herausforderungen mit sich bringen.

Die Active Directory-Papierkorb-Funktion bietet Administratoren ein Sicherheitsnetz, das die schnelle Wiederherstellung gelöschter Objekte ermöglicht, ohne dass komplexe Verfahren zur Wiederherstellung aus Backups erforderlich sind. Diese Funktion bewahrt alle Objektattribute und Gruppenmitgliedschaften, was den ehemals mühsamen Recovery-Prozess erheblich vereinfacht.

Unternehmen, die den Active Directory-Papierkorb implementieren, gewinnen operative Ausfallsicherheit gegenüber häufigen administrativen Fehlern und gewährleisten gleichzeitig die Geschäftskontinuität. Die Funktion stellt eine entscheidende Komponente jeder umfassenden AD-Verwaltungsstrategie dar, insbesondere für Unternehmen, die sich längere Ausfallzeiten oder Datenverluste nicht leisten können.

1. Melden Sie sich mit einem Konto, das über „Enterprise Admin“-Berechtigungen verfügt, bei einem Domänencontroller an.
2. Öffnen Sie den ADAC.
3. Klicken Sie im Navigationsbereich mit der rechten Maustaste auf den Domänennamen und wählen Sie „Forest-Funktionsstufe erhöhen“, falls diese noch nicht auf Windows Server 2008 R2 oder höher eingestellt ist.
4. Navigieren Sie im ADAC zur Stammdomäne der Gesamtstruktur.
5. Klicken Sie im Aufgabenbereich auf „Papierkorb aktivieren“.
6. Lesen Sie die Warnmeldung zur Unumkehrbarkeit dieser Aktion durch.
7. Klicken Sie auf „OK“, um die Funktion zu bestätigen und zu aktivieren.
8. Warten Sie, bis die Replikation auf allen Domänencontrollern abgeschlossen ist.

Alternativ können Administratoren diese Features mit dem folgenden Befehl über PowerShell aktivieren:

Enable-ADOptionalFeature -Identity ‚Recycle Bin Feature‘ -Scope ForestOrConfigurationSet -Target

Die Überwachung der Tombstone- und Aufbewahrungs-Einstellungen spielt eine entscheidende Rolle für erfolgreiche Recovery-Vorgänge. Die Standardaufbewahrungsfrist für gelöschte Objekte beträgt 180 Tage, kann jedoch an die Anforderungen der Organisation und an Compliance-Vorgaben angepasst werden. Eine regelmäßige Überprüfung dieser Einstellungen trägt dazu bei, optimale Recovery-Möglichkeiten zu gewährleisten und unerwarteten Datenverlust aufgrund abgelaufener Aufbewahrungsfristen zu verhindern.

Die Dokumentation bildet die Grundlage für effektive Recovery-Verfahren. Bei der Recovery von gelöschten Konten sollten Administratoren detaillierte Aufzeichnungen über den Recovery-Prozess führen, einschließlich der Überprüfung von Gruppenmitgliedschaften, Sicherheitsberechtigungen und anderen kritischen Attributen. Diese Dokumentation dient sowohl als Prüfpfad als auch als Referenz für zukünftige Recovery-Vorgänge und verringert so das Risiko unvollständiger Recoverys.

Regelmäßige Tests sowohl der Papierkorb-Funktionalität als auch herkömmlicher Backup-Lösungen validieren die Recovery-Fähigkeiten und identifizieren potenzielle Probleme, bevor diese sich auf tatsächliche Recovery-Szenarien auswirken. Diese Tests sollten verschiedene Löschszenarien und Recovery-Anforderungen simulieren, um eine umfassende Validierung der Recovery-Verfahren zu gewährleisten.

Recovery mit Windows Server Backup:

• Erfordert, dass der Domänencontroller während der Recovery offline geschaltet wird.
• Stellt den gesamten Systemzustand einschließlich der AD-Datenbank wieder her.
• Ist zeitaufwändiger, stellt Objekte jedoch unabhängig von der Aufbewahrungsfrist wieder her.
• Erfordert eine sorgfältige Handhabung der autoritativen/nicht-autoritativen Wiederherstellung.

PowerShell-Recovery:

• Kann durchgeführt werden, während der Domänencontroller online bleibt.
• Ermöglicht eine selektive, granulare Recovery bestimmter Objekte.
• Beschränkt auf Objekte, die sich noch innerhalb der Aufbewahrungsfrist befinden.
• Behält bei Verwendung des Papierkorbs die meisten Objektattribute bei.

1. Die Notwendigkeit eines formellen Plans für die Recovery, der zum Zeitpunkt des Angriffs fehlte.
2. Die Bedeutung der Trennung kritischer Backup-Infrastruktur von der Domäne, um eine Verschlüsselung während eines Angriffs zu verhindern.
3. Den Nutzen der Implementierung eines Air-Gap-Schutzes für die hybride Umgebung.

Nach dem Angriff führte BBio mehrere Verbesserungen an seiner Datensicherungsstrategie durch, darunter die Entwicklung eines umfassenden Plans für die Recovery, der kritische Systeme priorisiert und eine klare Reihenfolge der Recovery festlegt. Zudem verstärkte das Unternehmen seinen Ransomware-Schutz durch die Implementierung eines Air-Gap-Schutzes für seine Hybrid-Cloud- und On-Premises-Umgebung.

„Mit dem richtigen Schutz können wir Daten in der Cloud und vor Ort selbst im schlimmsten Fall problemlos verwalten, schützen und wiederherstellen“, sagte Vries und brachte damit das wiedergewonnene Vertrauen des Unternehmens in seine Strategie zur Datenresilienz zum Ausdruck.

Commvault bietet umfassenden Schutz für AD-Umgebungen durch automatisierte Lösungen für Backup and Recovery sowohl für lokale als auch für cloudbasierte Bereitstellungen. Die intelligenten Automatisierungsfunktionen der Plattform minimieren den Verwaltungsaufwand und maximieren gleichzeitig den Datenschutz. Dabei werden konsistente, anwendungsorientierte Backups erstellt, die die Integrität der AD-Datenbank und ihrer Objekte gewährleisten.

Während der native Active-Directory-Papierkorb grundlegende Recovery-Features bietet, ergänzt und erweitert Commvault diese Features durch verbesserte Recovery-Workflows. Die Lösungen von Commvault bieten vereinfachte, schrittweise geführte Recovery-Prozesse, die die technische Komplexität reduzieren, die oft mit der Active-Directory-Recovery verbunden ist, sodass auch weniger erfahrene Administratoren erfolgreiche Recoverys sicher durchführen können.

Die granularen Recovery-Funktionen von Commvault ermöglichen es Administratoren, bestimmte AD-Objekte, Attribute oder ganze Organisationseinheiten wiederherzustellen, ohne die gesamte Umgebung zu beeinträchtigen. Diese Präzision trägt dazu bei, Ausfallzeiten während Recovery-Vorgängen zu minimieren und gleichzeitig die Geschäftskontinuität während des gesamten Prozesses aufrechtzuerhalten. Die Plattform führt zudem detaillierte Recovery-Protokolle und Prüfpfade, unterstützt Compliance-Anforderungen und liefert Dokumentation für behördliche Zwecke.

Der Schutz von Active Directory erfordert eine umfassende Strategie, die über native Tools und einfache Backup-Lösungen hinausgeht. Unternehmen benötigen robuste, automatisierte Lösungen, die Active Directory-Daten in hybriden Umgebungen schützen und bei Bedarf eine schnelle Recovery-Phase ermöglichen. Durch die Implementierung sowohl des Active Directory-Papierkorbs als auch von Backup-Lösungen der Enterprise-Klasse schaffen Unternehmen mehrere Schutzebenen für ihre kritische Identitätsinfrastruktur.

Wir wissen, welche entscheidende Rolle Active Directory für den Betrieb Ihres Unternehmens spielt. Fordern Sie eine Demo an, um zu erfahren, wie wir Sie beim Schutz Ihrer Active Directory-Umgebung unterstützen können.