Von Pannen bis zum Totalausfall: Schutz und Wiederherstellung von AD und Entra ID

Sie steuern die Authentifizierung und den Zugriff. Werden sie kompromittiert, können Angreifer ihre Berechtigungen erweitern, Abwehrmaßnahmen deaktivieren und zentrale Unternehmensdienste lahmlegen. 

Sie umfasst Hunderte von miteinander verknüpften Schritten. Die manuelle Ausführung unter Zeitdruck führt oft zu Verzögerungen, Fehlern und einer unvollständigen Wiederherstellung. 

Es identifiziert die wesentlichen Identitätskomponenten, die für eine schnelle Wiederaufnahme des Geschäftsbetriebs erforderlich sind, wobei Ergebnisse Vorrang vor einer vollständigen Neuinstallation haben. 

Sie ermöglichen es Teams, die Recovery-Prozesse für AD und Entra ID sicher zu proben, die Automatisierung zu validieren und Schwachstellen aufzudecken, bevor ein echter Angriff stattfindet. 

Indem es dabei hilft, Recovery-Schritte zu automatisieren, Identitätsänderungen zu überprüfen und die Identitätsresilienz in die Unity Platform zu integrieren. 

Bitte sehen Sie sich hier das Video mit dem zeitgestempelten Transkript an

Hallo und herzlich willkommen zum „Shift“-Podcast zum Thema „Wiederherstellung von Active Directory und Entra ID“. 

Ich bin Darren Thompson und werde heute Ihre Moderation übernehmen. 

Active Directory und Entra ID sind nach wie vor das Rückgrat der Identitätsverwaltung in den meisten Unternehmen
und zugleich eines der größten Angriffsziele. 

Wenn AD ausfällt, kann alles zum Stillstand kommen – von Geschäftssystemen bis hin zum physischen Zugang. 

Dennoch sind viele Strategien der Recovery nach wie vor manuell oder fehlen gänzlich. 

In dieser Folge spreche ich mit Dan Conrad, einem globalen Experten für alle
Fragen rund um Identitätsmanagement. 

Wir werden über die sich wandelnden Herausforderungen bei der AD-Recovery sprechen und darüber, wie Commvault Cloud Unternehmen dabei hilft
, diesen Prozess zu automatisieren und zu beschleunigen. 

Dan, vielen Dank, dass du heute bei uns bist. 

Es freut mich, hier zu sein, Darren. 

Fangen wir also mit den Grundlagen an. 

Warum gehören Active Directory und die Anmelde-ID auch heute noch zu den wichtigsten, aber zugleich auch zu den
anfälligsten Ressourcen in unseren Unternehmen? 

Die Antwort auf diese Frage hat viele Facetten, aber ich denke, einer der Gründe für
die hohe Anfälligkeit ist, dass das System äußerst funktionsreich ist. 

Wissen Sie, hohe Funktionalität schafft viele potenzielle Einfallstore, ähm, aber es ist dennoch
anfällig, weil es schon seit über 25 Jahren im Einsatz ist. 

Unternehmen sind darauf angewiesen, und es ist in 25 Jahren noch nie ausgefallen, oder? 

Es ist dasselbe Active Directory, das sie vor 25 – oder vielleicht auch vor 20 Jahren – eingerichtet haben. 

Sicher, es wurde aktualisiert. 

Es hat sich ein wenig weiterentwickelt. 

Es wurde erweitert. 

Aber im Kern ist es immer noch das gleiche Active Directory, und es läuft immer noch, und sie mussten es bisher noch nicht
wiederherstellen. 

Es ist so etwas wie die Stromversorgung in einem Rechenzentrum. 

Man geht einfach davon aus, dass es da ist, und wir haben es vergessen. 

Deshalb ist es kein Bestandteil eines Plans für die Recovery. 

Aber es ist sicherlich in den letzten Jahren, so vermute ich, zu einem Ziel für Kriminelle geworden. 

Sprechen Sie doch ein wenig darüber. 

Wäre das kein Problem, würden wir dieses Gespräch heute wahrscheinlich gar nicht führen, denn
die Verzeichnisdienste selbst sind nach wie vor ziemlich anfällig, aber sie waren weniger wertvoll, 

, bis Dinge wie Ransomware aufkamen. 

Es gab zwar Sicherheitslücken wie bei Target und wie beim OPM, aber das
waren keine Angriffe, bei denen tatsächlich die gesamte Organisation kompromittiert und lahmgelegt wurde. 

Es wurden lediglich Daten gestohlen, was schon schlimm genug war. 

Wenn man nun Daten stehlen und auf dem Weg nach draußen die Organisation über einen
Faktor lahmlegen kann, von dem sie nicht ahnen würde, dass er eintreten würde, oder den sie nicht als Möglichkeit in Betracht gezogen hat, 

dann sieht die Sache ganz anders aus. 

Interessant. 

Ich weiß, dass wir besonders intensiv an einer bestimmten Funktion gearbeitet haben, und ich
höre viel über die Recovery-Prozesse für Forest-Strukturen. 

Erzählen Sie uns doch ein wenig darüber. 

Was ist das und warum erscheint die „Forest Recovery“ für einen Administrator komplexer als
jede andere Recovery? 

Nun ja, genau. 

Wir sprechen hier nicht von Server-Recovery oder gar Dateisystem-Recovery oder davon, Daten einfach
wieder an ihren ursprünglichen Speicherort zurückzuspeichern. 

Die Wiederherstellung eines Active Directory-Forests ist ein komplizierter Prozess. 

Und falls Sie mit der Terminologie von Active Directory nicht vertraut sind: Eine der
Strukturen innerhalb von Active Directory ist die Forest-Struktur. 

Forests bestehen also aus Domänen, die wiederum Domänencontroller enthalten – das sind die Server, die man gemeinhin darunter versteht
. 

Ich kann einen Server wiederherstellen, also sollte ich auch in der Lage sein, eine Gesamtstruktur wiederherzustellen. 

Und Active Directory ist dieses sich bewegende, lebendige, atmende Wesen, das mit allen anderen Teilen
interagiert. 

Und aus Sicherheitssicht 

ist es so, als würden Sie und ich ständig eine Vertrauensbeziehung neu aufbauen. 

Wir wissen, wer wir sind. 

Wenn du also eine Weile weg bist und dich jemand durch eine Kopie von Darren ersetzt, werde
ich das sehr genau bemerken, und so wird es nicht funktionieren. 

Und genau das macht Active Directory. 

Wenn also ein einzelner Domänencontroller ausfällt, wissen die meisten AD-Administratoren, dass man einen
Domänencontroller nicht wiederherstellt, da dies den Rest des Verzeichnisses beschädigen würde. 

Man muss einen neuen aufbauen. 

Man bereinigt den Speicherort des alten Controllers und richtet einen neuen ein. 

Wenn es um die Recovery einer Gesamtstruktur geht, 

muss man das bei allen Domänencontrollern gleichzeitig durchführen. 

Es gibt also die Recovery-Prozedur für das Betriebssystem und dann die 125 Koordinationsschritte, die man
durchführen muss, damit die Gesamtstruktur nach der Recovery wieder funktioniert. 

Und ich glaube, ich sehe langsam die Antwort auf meine nächste Frage, aber erzählen Sie uns doch ein wenig
darüber, wie Unternehmen, die dies sehr manuell durchführen, unter diesem manuellen 

. 

Richtig. 

Das soll nicht heißen, dass es nicht machbar ist. 

Es ist ein Prozess, der durchgeführt werden kann. 

Microsoft veröffentlicht den Leitfaden zur Forest Recovery. 

Ähm, die meisten AD-Administratoren kennen diesen Leitfaden sehr gut, hoffen aber, dass sie ihn niemals nutzen müssen. 

Und der falsche Zeitpunkt, um herauszufinden, wie man eine Gesamtstruktur wiederherstellt, ist genau dann, wenn man eine
Gesamtstruktur wiederherstellen muss. 

Wenn man also nicht entsprechend geplant und sein Active Directory sogar so aufgebaut hat, dass es wiederhergestellt werden kann,
wird es ein sehr schwieriger Prozess, denn all diese – und ich sage mal, ich werde 

eine unterschiedliche Anzahl von Schritten nennen, da es davon abhängt, wie viele Schritte erforderlich sind – und alle
müssen korrekt ausgeführt werden, sonst muss man manchmal von vorne anfangen. 

Eine Organisation mit etwa 40.000 Mitarbeitern wandte sich an uns; sie hatte eine Single-Domain-Forest, was
in der Active-Directory-Welt am einfachsten wiederherzustellen ist. 

Sie kamen zu dem Schluss, dass ihr minimal funktionsfähiges Active Directory aus acht Domänencontrollern
bestehen würde. 

Das ist zwar ziemlich knapp bemessen, aber machbar. 

Und sie wollten versuchen, das selbst zu machen. 

So nach dem Motto: „Wie gehen wir das an? Das ist ein großer Aufwand, lasst uns das üben und sehen, was dabei herauskommt.“ 

Also haben sie die Wiederherstellung durchgeführt, und sie haben dafür 33 Stunden gebraucht. 

Das war eine Herkulesaufgabe für viele Leute, und sie haben es geschafft. 

Sie wissen, wie es geht. 

Und sie kamen zu uns und fragten: „Könnt ihr das übertreffen?“ 

Richtig. 

Na ja, natürlich können wir das. 

Richtig. 

Also haben wir denselben Prozess durchlaufen. 

Als sich die Gelegenheit bot, an einem Wettrennen teilzunehmen, haben wir geschummelt. 

So konnten wir den Wald in knapp zwei Stunden wiederherstellen. 

Also, ja, nur weil wir all diese Schritte automatisiert haben, musst du nicht, na ja,
nachschlagen und die richtigen Informationen sammeln, um sie anzuwenden. 

Jeder einzelne Schritt wird anders sein. 

Als CISO mache ich mir vor allem Gedanken über die Recovery-Zeiten, richtig? 

Angenommen, ich wurde gehackt, Active Directory und alles andere sind weg. 

Also, wissen Sie, diese enorm langen Zeiträume, die für solche manuellen Prozesse benötigt werden, wirken sich
alle auf die Zeit aus, die ich brauche, um mein Unternehmen wieder zum Laufen zu bringen. 

Richtig. 

Die Recovery-Zeit von Active Directory ist immer ein Hauptanliegen. 

Ich versuche, den Fokus weg von der Recovery-Zeit hin zur Recovery-Genauigkeit zu verlagern. 

Richtig. 

Weißt du, die reflexartige Reaktion, 

Wenn man eine Gesamtstruktur wiederherstellen muss, besteht die erste Reaktion darin, sie anhand der letzten
verfügbaren Sicherung wieder in die Produktionsumgebung zu versetzen. 

Sie wissen schon, als man noch wusste, dass sie lief. 

Ich würde Unternehmen dazu ermutigen, erst einmal tief durchzuatmen und die Recovery in einer isolierten Recovery-Umgebung
durchzuführen. 

Denn, wie wir wahrscheinlich noch näher darauf eingehen werden, empfehlen wir euch, eure Forest-Recoverys
in dieser isolierten Recovery-Umgebung zu üben. 

So können Sie eine minimal funktionsfähige Version Ihres Active Directory hochfahren – was in einer Forest mit einer einzigen
Domäne einem Domänencontroller entspricht. 

In einer Forest mit mehreren Domänen wäre es ganz einfach, einen Domänencontroller pro Domäne bereitzustellen, um
das Verzeichnis zu überprüfen, zu sehen, was dort vorhanden ist, möglicherweise herauszufinden, wie es kompromittiert wurde, und 

sicherzustellen, dass es nicht wieder passiert. 

Sobald Sie diesen Prozess im Griff haben – das kann ein paar Stunden dauern –, wechseln Sie zur
Produktionsumgebung und führen Sie dort Ihre Recovery-Prozedur durch. 

Richtig. 

Und das alles dann unter Stress und Chaos durchführen, richtig? 

Richtig. 

So fühlt sich das an. 

Genau. 

Der falsche Zeitpunkt, um das zu lernen, ist, wenn es nicht läuft. 

Ja, auf jeden Fall. 

Wir haben also bereits einige Themen angesprochen. 

Lassen Sie uns einfach einen Schritt zurücktreten und ganz allgemein darüber sprechen, wie Commvault bei all
dem hilft. 

Geben Sie uns doch zunächst einmal einen Überblick. 

Wir automatisieren also im Grunde den Microsoft-Prozess. 

Ähm, ich betrachte das aus zwei Perspektiven. 

Wir gehen auf die Kunden zu und machen ihnen klar, dass die Pläne, von denen sie glauben, dass sie sie bereits haben
, 

wahrscheinlich nicht funktionieren werden. 

Und ich würde sogar sagen: Wenn ich Kunden nach ihrem Plan frage und sie anfangen, mir davon zu erzählen, sammle ich
diese Geschichten wirklich gerne, weil es da draußen einige sehr kreative Antworten gibt. 

Das reicht von der Konfiguration der Forest für die Wiederherstellung – was eine einmalige Maßnahme ist – bis hin zur Einrichtung von
49 zusätzlichen Domänencontrollern. 

war eine davon. 

Jeden Tag schalteten sie sieben aus und sieben wieder ein. 

Das bringt doch überhaupt nichts. 

Ähm 

Wissen Sie, aus unserer Sicht werden wir diesen gesamten Prozess automatisieren. 

Wenn wir sie also dazu bringen können, das zu üben und umzusetzen, sich das bei
der Wald-Recovery-Prozesse einzuprägen und dann zu erkennen, dass die Recovery auf eine bestimmte Art und Weise erfolgen muss, sind das 

riesige Fortschritte. 

Ja. 

Und erzähl uns etwas über das Alleinstellungsmerkmal. 

Das machen andere ja auch. 

Weißt du, warum um alles in der Welt sollten wir umschweifen, was uns von anderen unterscheidet? 

Ähm, nun, weil wir es tun – wir sind in erster Linie ein Datenschutzunternehmen, oder? 

Wir wissen also, wie man Daten schützt, wenn wir unsere Forest-Recovery-Aktion auf der
zugrunde liegenden Convol-Plattform durchführen. 

Und egal, ob es sich um Software oder SAS handelt – ich bin definitiv ein Fan der SAS-Lösung bei der Active
Directory-Forest-Recovery-Prozedur. 

Aber all das ist in unsere Plattform integriert. 

Wir nutzen also Dinge wie unveränderlichen Speicher und einen integrierten Threat Scan. 

Und falls Sie keine isolierte Recovery-Umgebung zum Üben haben, gibt
es bei uns „Cleanroom Recovery“. 

Wir werden wahrscheinlich später in einem dieser Podcasts noch einmal über Commvault Cleanroom sprechen. 

Und das ist eine Umgebung, die erst dann existiert, wenn Sie sie brauchen. 

Wenn Sie also einmal pro Quartal eine Forest-Recovery-Übung durchführen müssen, ist Cleanroom der ideale Ort dafür
. 

Sie werden das nicht in die Produktion übernehmen, aber es bietet Ihnen eine hervorragende Möglichkeit, die
einzelnen Schritte zu erlernen und ein Gefühl dafür zu entwickeln. 

Vor ein paar Wochen fragte mich ein Kunde: „Wenn wir die Lösung mit Commvault umsetzen, woher wissen
wir dann, dass sie auch funktioniert?“ 

Ich sagte: „Nun, ihr werdet es jeden Freitag durchführen. 

Warum sollte es dann nicht funktionieren, wenn Sie es am Montag brauchen?“ 

Es geht also nicht darum, zu warten, bis man den Knopf drücken muss, und dann den Knopf zu drücken. 

Weil man es ja schon unzählige Male gemacht hat. 

Und es ist ein einfacher Vorgang: Man führt einfach die automatisierten Skripte aus, die alles übernehmen
– 

na ja, vom Aufbau des Betriebssystems aus einem sauberen OS über die Recovery aus einem Systemzustands-Backup
bis hin zur Recovery nach einer DC-Promotion – und dann die 150 Schritte auf dem Weg dorthin ausführen. 

Weißt du, es ist ein alter Hut, aber es funktioniert einfach. 

Übung macht den Meister. 

Das stimmt. 

Das gilt in der IT genauso wie überall sonst. 

Das stimmt. 

Und weißt du, dein Unternehmen wird sich weiterentwickeln, Situationen werden sich ändern. 

Wenn Sie also üben, werden Sie diese Veränderungen erkennen. 

Vielleicht haben Sie Ihrem Active Directory eine Struktur hinzugefügt, die Sie bei Ihrer
Recovery übersehen haben. 

Das ist ein guter Punkt, um darauf hinzuweisen. 

Erzählen Sie uns doch etwas darüber – ich weiß, dass dies ein wirklich wichtiger Teil unserer Roadmap bei Commvault ist. 

In diesen Bereich unseres Produkts fließt viel Entwicklungsarbeit. 

Erzählen Sie uns doch etwas über die neuesten und besten Features, die wir in Ihren aktuellen
Code integrieren. 

Klar, aber nur unter uns. 

Nur unter uns. 

Nur unter uns. 

Niemand hört zu. 

Ja, das Neueste und Beste: Wir haben gerade „Clean OS Recovery“ eingeführt, was einen großen
Schritt nach vorn in der Welt der System-Recovery-Prozesse darstellt, da wir keine 

Betriebssystemreste mit, nichts von diesem Teil des bestehenden Betriebssystems. 

Nun hatte Commvault ohnehin Möglichkeiten, das zu regeln, aber hier handelt es sich um ein sauberes Betriebssystem
mit Active Directory darauf. 

Sie müssen sich also keine Sorgen machen, ob Sie Daten auf den Domänencontrollern gespeichert hatten – was eine
schlechte Idee war –, sondern Sie übertragen einfach einen brandneuen Active-Directory-Domänencontroller 

übertragen, um dies zu erreichen. 

Die andere Seite davon ist, dass wir in naher Zukunft Active
Directory-Bewertungen einführen werden. 

Wenn Ihre Backups laufen – sagen wir, täglich –, werden dabei Informationen über Ihr
Verzeichnis gesammelt und es wird festgestellt: 

Sie haben in diesen fünf Bereichen Schwachstellen geschaffen, und hier ist, was Sie tun müssen, um
diese Schwachstellen zu beheben. 

Das wird Ihnen also direkt ins Auge springen. 

Und mit diesen Informationen sinkt die Wahrscheinlichkeit, dass Sie eine Forest-Recovery durchführen müssen, erheblich
. 

Außerdem werden wir in naher Zukunft auch eine Echtzeit-Überwachung von Active Directory einführen. 

Darüber werden wir später am Nachmittag in einer der Sitzungen sprechen: Wenn
jemand Ihr Verzeichnis auf bestimmte Weise ändert, haben Sie die Möglichkeit, 

entweder anhand Ihrer Backups oder der vorhandenen Daten rückgängig zu machen. 

Und wir haben auf der Konferenz diese Woche von Unity gehört, der Unity-Plattform, der
neuesten Version. 

Und Sie haben erwähnt, dass dies besonders überzeugend ist, weil es Teil einer Plattform ist
, Teil des allgemeinen Convolt-Ansatzes. 

Aber jetzt vereinen wir Sicherheit, Identitätsmanagement sowie Schutz und Recovery unter einem Dach. 

Erzählen Sie ein wenig darüber und was das für jemanden bedeutet, der sich täglich Gedanken über Active
Directory macht. 

Nun, wissen Sie, aus der Sicht von Commvault nutzen wir die Daten, das Backup and
Recovery der Daten – eigentlich nur das Backup – als Engpass für Daten, sei es 

sei es bei Dateisystemen, virtuellen Maschinen, M365 oder Salesforce – als Ausgangspunkt, um die Daten zu analysieren
und auf der Grundlage der verfügbaren Informationen Entscheidungen zu treffen. 

Das Sammeln der Informationen ist fast sinnlos, wenn man sie nicht nutzen kann, um Entscheidungen zu treffen,
oder? 

Das ist in etwa so, als würde dir der Pilot sagen, dass du in 35.000
Fuß Höhe fliegen wirst. 

Ich weiß aber nicht, was ich mit dieser Information anfangen soll. 

Aber wenn man mir sagt, dass 

wir zum falschen Flughafen fliegen, möchte ich vielleicht aus dem Flugzeug aussteigen. 

Auf der Grundlage der Informationen, die wir bei der Analyse der Daten aus
dem Backup-System sammeln, werden wir in der Lage sein, Ihre Daten zu analysieren und Ihnen in Echtzeit Einblicke in 

deine Daten. 

Ja, das ist unglaublich. 

Und ich habe diese Woche in New York tatsächlich mit CISOs und CTOs darüber gesprochen, was das
im Kontext bedeutet, nämlich dass ich in einer einzigen Übersicht die Möglichkeit habe, 

über Active Directory so nachzudenken, wie wir es beschrieben haben. 

Unternehmensdaten, meine Anwendungen, egal wo sie sich befinden – in der Cloud, in einer Hybridumgebung oder vor Ort –, und eine einzige Plattform zu
haben, die all das plus meine Governance verwaltet, ist ziemlich überzeugend. 

Wir konzentrieren uns auf AD, weil ich aus dieser Welt komme, aber lassen Sie uns ein wenig über Entra und
Entra ID sprechen. 

Erklären Sie einfach, wo das hineinpasst und wie sich die Dinge für uns in diese Welt erstrecken. 

Also, die meisten Unternehmen – sagen wir einfach mal, jeder hat Active Directory. 

Ich würde sagen, wahrscheinlich 95 % der Unternehmen verfügen über Active Directory. 

Die meisten dieser Unternehmen nutzen auch Entra ID, da sie M365 einsetzen. 

Sie hosten also ihr SharePoint, ihre E-Mails und ihre Teams – alles in M365. 

Entra ID ist also der Verzeichnisdienst, der dahintersteckt. 

Noch einmal: 95 % dieser Unternehmen synchronisieren diese Daten in Entra ID aus ihrem lokalen
Active Directory. 

Das lokale Active Directory ist also die maßgebliche Quelle für die meisten dieser Identitäten. 

Diese werden also mit Entra synchronisiert und gewähren den Benutzern Zugriff auf cloudbasierte Anwendungen. 

Ich beobachte eine sehr langsame Entwicklung, bei der Unternehmen erkennen, dass sie 

Benutzerobjekte oder Benutzerentitäten und Identitäten vor Ort benötigen und einfach auf eine reine Entra-Identität
umsteigen. 

Ein großer Kunde aus dem Einzelhandel hat zum Beispiel vielleicht 25.000 Mitarbeiter,
von denen vielleicht nur 5.000 im Büro arbeiten, wo sie auf Drucker und 

Freigaben und dergleichen – also altmodische Dinge – zugreifen müssen. 

Der Rest muss sich lediglich bei den cloudbasierten Anwendungen authentifizieren. 

Das ist ein idealer Anwendungsbereich für Entra. 

So können sie rein auf Entra basierende Objekte nutzen. 

Aber Entra bringt auch einige Komplexitäten mit sich, oder? 

Zunächst einmal gibt es bei Entra keine Forest-Recovery. 

Das gibt es nicht. 

Das ist nicht möglich. 

Es handelt sich um eine Wiederherstellung auf Objekt- und Attributebene. 

Da der Benutzer von einer lokalen Umgebung oder vielleicht einem anderen Identitätsanbieter oder
Ähnlichem synchronisiert wird, ist die Wiederherstellung der Objekte zwar gut, aber nicht unbedingt entscheidend. 

Die wichtigen Teile der Konfigurationen – also Richtlinien für den bedingten Zugriff und Ihre
Unternehmensanwendungen, die Benutzern Zugriff auf SaaS-Anwendungen gewähren – darauf 

bei der Wiederherstellung wirklich im Fokus stehen müssen. 

Richtig. 

Das leuchtet ein. 

Wechseln wir also das Thema und kommen wir ein wenig vom Thema ab. 

Ich möchte 

dir ein schreckliches Szenario ausmalen. 

Wir sind gerade kompromittiert worden. 

Die Organisation ist lahmgelegt. 

Natürlich wird Active Directory eines der ersten Dinge sein, mit denen ich mich zur Wiederherstellung befasse. 

Ohne das habe ich keine Benutzer, keine Identitäten und keine Berechtigungen. 

Erläutern Sie uns doch bitte einmal in groben Zügen, wie dieser Recovery-Prozess aussehen würde. 

Was mir aufgefallen ist: Wenn ich mir die DR- oder CR-Pläne
von Unternehmen anschaue, nutzen sie versehentlich Active Directory, um Active Directory wiederherzustellen. 

Und das ist ein seltsames Konzept. 

Das ist einer dieser Momente, in denen man sich an die Stirn schlägt. 

Wenn man also seinen Cyber-Recovery-Plan ausführt, versucht man als Erstes, sich
bei der Steuerungsebene anzumelden, sei es nun CommBald oder etwas anderes. 

Meistens handelt es sich bei den Anmeldedaten für die Steuerungsebene um Active-Directory-Anmeldedaten
. 

Man kann also Active Directory nicht zur Wiederherstellung von Active Directory verwenden. 

Oder der Server, auf dem Sie dies tun, ist in eine Domäne eingebunden. 

Das wird nicht funktionieren. 

Das müssen Sie also berücksichtigen. 

Sobald Sie an dem Punkt angelangt sind, an dem Sie Ihr Active Directory wiederherstellen müssen, gibt es viel
zu tun. 

Wenn Sie sich schon im Vorfeld darauf eingestellt haben, wird diese Arbeit etwas einfacher
sein, weil Sie Recovery bereits einkalkuliert haben. 

In einer Commvault-Umgebung wird es so ablaufen, wie ich gesagt habe: Höchstwahrscheinlich würdest du auf
Dan hören und die Recovery-Prozesse in einer isolierten Recovery-Umgebung durchführen, nachdem du erst einmal tief durchgeatmet 

und erkannt haben: „Um das richtig zu machen, brauche ich noch eine Stunde.“ 

Schauen Sie sich meine minimal funktionsfähige Active Directory Recovery an, um zu sehen, wo ich kompromittiert wurde, und
analysieren Sie das. 

Gehen Sie sogar so weit, Backups zu vergleichen. 

Das ist eine Funktion, die Commvault bietet und andere Anbieter nicht: 

dass wir einen Zeitpunkt aus einem Backup – sagen wir vor drei Monaten – der Objekte und
Attribute im Active Directory heranziehen und diesen mit der Live-Umgebung vergleichen können, sofern diese noch existiert, 

oder mit dem Backup, das Sie gestern erstellt haben, um zu sehen, welche Änderungen es gibt. 

Hat jemand erweiterte Berechtigungen erhalten? 

Wurden Gruppenrichtlinien geändert und Ähnliches? 

In unserer Sitzung heute Nachmittag werden wir daher zeigen, wie eine Angriffskette für ein Active Directory ablaufen
würde und wie man eine Gruppenrichtlinie, die mit der obersten Ebene verknüpft war, 

ein Malware-Paket anwendete – ist aus dieser Perspektive unser Hauptaugenmerk. 

Und die Möglichkeit, 

die Datenresilienz oder den Recovery-Prozess eines Objekts oder Attributs nutzen können, um eine
Angriffskette zu unterbinden. 

Sie haben bereits einige Punkte angesprochen, aber lassen Sie uns darüber sprechen. 

Lassen Sie uns konkret über die Features von Commvault sprechen, die Sie am meisten begeistern –
insbesondere im Hinblick auf jemanden, der anderen ständig dabei hilft, Verzeichnisattribute wiederherzustellen. 

Was sind die Aspekte bei Commvault – die Features, die Funktionen, die Alleinstellungsmerkmale
–, die uns wirklich von anderen abheben? 

Ich bin jetzt seit etwas mehr als einem Jahr bei Commvault, und ich muss 

Zugegeben, ich beschäftige mich seit 25 Jahren ausschließlich mit Active Directory, aber wenn ich diesen
Knopf drücke und eine Forest-Recovery-Prozedur durchführe, ist das schon ziemlich cool. 

Es tut sich was, und das ist keine Illusion – es tut sich wirklich was. 

Alles läuft parallel. 

Domänencontroller werden im Backend hochgefahren und bereitgestellt. 

Die von mir erstellte Demo-Umgebung zum Beispiel wird gestartet. 

Es handelt sich um eine Forest mit mehreren Bäumen und mehreren untergeordneten Forests – eine ziemlich komplexe Architektur –, aber die Art und Weise, wie sie
wiederhergestellt wird … 

ist ziemlich beeindruckend. 

Es werden sofort fünf Domänencontroller hochgefahren, da es fünf Domänen in zwei
verschiedenen Bäumen gibt. 

Danach kehrt das System zum Ausgangspunkt zurück und führt alle Recovery-Prozesse der Gesamtstruktur durch, beispielsweise
die Übernahme der FISMAL-Rollen und die Erweiterung des RID-Pools. 

Aber es ist ein interaktives Runbook. 

Man sieht zu, wie alles direkt vor den eigenen Augen geschieht. 

Wenn Sie also eingreifen möchten, können Sie das tun. 

Sie können den Prozess anhalten. 

Sie können einen Schritt ausführen. 

Wenn Ihnen ein Teil der Forest-Recovery besonders gefällt – etwas sehr Obskures wie das Erhöhen des
RID-Pools –, dann ist das genau Ihr Ding. 

Du kannst den Vorgang genau dort anhalten, dich anmelden, dich bei einem Domänencontroller anmelden, den ADSI-Editor öffnen,
das Attribut suchen, den Windows-Rechner öffnen, die Zahl einfügen, 100.000 dazu addieren und 

wieder ein. 

Wenn dir dieser komplizierte Vorgang gefällt, kannst du das als Teil unseres Runbooks erledigen und dann
hierherkommen und auf „Weiter“ klicken. 

Ähm, und es ist ein interaktives Runbook. 

Wir nennen das „Human in the Loop“. 

Man sieht, wie es direkt vor einem abläuft, und man kann beobachten, wie alle Prozesse
entweder nacheinander oder gleichzeitig ausgeführt werden, da viele davon gleichzeitig gestartet werden – 

wir nennen das Parallelisierung. 

Erstaunlich. 

Ich weiß, dass die Demos, die wir für potenzielle Kunden und gemeinsam mit unseren Partnern durchführen, für große
Begeisterung sorgen – und man versteht auch warum, oder? 

Und man muss ihnen zugutehalten: Wir lassen es cool aussehen. 

Wenn man also die Forest-Recovery durchführt und das aufwendigste Recovery-Szenario wählt und
es dann einfach nur noch Domain-Controller regnet, ist das ein ziemlich beeindruckender Vorgang. 

Lassen Sie uns also einmal einen Schritt von der Technologie zurücktreten. 

Wenn ich darüber nachdenke, wie Menschen mit Technologie umgehen, wenn es um 

im Zusammenhang mit der Recovery, einer sauberen Recovery und einer Recovery, auf die sich das Unternehmen verlassen kann. 

Was sind hier die entscheidenden Erfolgsfaktoren für diese drei Bereiche? 

Nun, aus Sicht von Active Directory lege ich Wert darauf, das „Minimum Viable“ zu ermitteln. 

Wie bereits erwähnt, hat die Organisation, die uns darauf aufmerksam gemacht hat, entschieden, dass
acht Domänencontroller ihr „Minimum Viable“ darstellen. 

Das war ein großer Schritt nach vorn. 

Ja. 

Denn in der Welt der Active Directory Recovery geht es darum, das – wie soll ich sagen –
minimal funktionsfähige Niveau zu ermitteln und zu identifizieren. 

Und sobald man diese Hürde genommen hat – also das „Minimum Viable“ wiederhergestellt hat – 

sind 90 % des Drucks weg. 

Das Verzeichnis ist da, vielleicht habe ich noch nicht alle Domänencontroller, vielleicht gibt es einen
Benutzer am anderen Ende der Welt, der Probleme bei der Authentifizierung hat, aber im Großen und Ganzen 

Teil ist man ziemlich gut aufgestellt. 

Dabei geht es darum, die Personen zu identifizieren, die daran beteiligt sind. 

Wo brauche ich meine Domänencontroller? 

Die Leute, die sich mit ihrem eigenen Verzeichnisdienst auskennen, die „alten Hasen“, so wie ich, die
„alten Hasen“ in der Organisation. 

Und dann muss man den Prozess auf den Weg bringen – und sich auch mit den politischen Aspekten auseinandersetzen, die dahinterstehen. 

Wenn du also die Personen und die Prozesse festgelegt hast, musst du dich an diese Pläne halten und
dir bewusst sein, dass sie sich je nach Szenario möglicherweise ändern können. 

Aber in den meisten Fällen liegen Sie genau richtig, wenn Sie einen Plan haben und diesen geübt haben
. 

Ja. 

Und lassen Sie uns zum Abschluss noch über diese Übung sprechen, oder? 

Testen. 

Ich finde diese Idee, unter chaotischen Bedingungen zu testen, großartig, denn ich habe selbst schon Erfahrungen mit Sicherheitsverletzungen gemacht. 

Ich weiß, wie sich das anfühlt. 

Das ist emotional. 

Die Gedanken rasen. 

Überall wird mit dem Finger gezeigt. 

All die Dinge, von denen man dachte, man könnte sie tun, 

– na ja – wirken plötzlich viel komplizierter, als sie eigentlich sein sollten. 

Erzähl uns doch mal etwas über die besten Vorgehensweisen beim Testen und Üben. 

Welche Technologien können wir nutzen? 

Was können wir in unserem eigenen Unternehmen umsetzen, um gut zu üben? 

Nun ja, zumindest sollten wir ein gewisses Maß an Chaos einbauen. 

Wenn man sich also einen Recovery-Plan ansieht oder sogar einen Recovery-Plan übt: Was passiert, wenn ich
diesen Knopf drücke und das, womit eine Verbindung hergestellt wird, nicht mehr existiert? 

Man zieht dem Ganzen einfach den Boden unter den Füßen weg – und das bringt einen dazu, Redundanz sogar in der eigenen Denkweise zu
verankern. 

So nach dem Motto: Wie soll ich das denn machen? 

Ich habe während meiner Zeit beim US-Militär einige größere Ausfälle und Ähnliches
miterlebt. 

Es ging nicht um die Technologie. 

Es ging um die Kreativität der Menschen. 

Die Räder fangen gerade erst an, sich zu drehen. 

Und ich erinnere mich, dass einige der kreativsten Recoverys, die wir gefunden haben, nicht gerade schön waren. 

Aber letztendlich lief alles wieder. 

In den meisten Fällen haben die Benutzer gar nicht mitbekommen, dass überhaupt etwas passiert war. 

Ich sage nicht, dass das bei Active Directory auch so sein wird, aber es hängt von
deiner Flexibilität, deiner Kenntnis der eigenen Organisation, 

dem Wiederherstellungsplan, den ihr als Team entworfen habt, und eurer Fähigkeit, euch anzupassen, wenn Chaos
ausbricht. 

Und mir gefällt der Gedanke, dass wir umso besser werden, je mehr wir üben, und dass sich mit der Etablierung der Prozesse
die Möglichkeit ergibt, diese zu automatisieren. 

Genau. 

Ja, wir sehen nur allzu oft, dass IT-Prozesse automatisiert werden, bevor der Prozess wirklich ausgereift ist. 

Das ist also ein weiterer Vorteil des Übens. 

Also, Dan, wie erwartet ist unsere Zeit um. 

Vielen Dank, dass du dir Zeit für uns genommen hast. 

So viel fundiertes 

Wissen und Inhalte hast du uns hier vermittelt. 

Hoffentlich können die Zuschauer das alles mitnehmen. 

Aber vielen Dank. 

Ich weiß das sehr zu schätzen, Darren, danke. 

Falls das heutige Gespräch Sie dazu angeregt hat, über Ihr eigenes Active Directory und dessen
Recovery-Plan nachzudenken oder darüber, wie schnell Sie sich von einem Sicherheitsvorfall erholen könnten, besuchen Sie bitte 

commvault.com/ad-exposed. 

Dort finden Sie praktische Anleitungen und Tools, wie Sie Ihr Active
Directory automatisieren, koordinieren und testen oder mit Commvault Cloud eine ID-Recovery durchführen können. Es ist alles, was Sie brauchen, um das, was ein 

Systemausfall 

in eine schnelle und sichere Recovery verwandeln. 

Vielen Dank fürs Zuhören. 

Sie