Seite zwei ist unauffällig

Ein Domänencontroller hat eine Höflichkeitsgrenze. Sie heißt MaxPageSize, steht in der LDAP-Richtlinie und beträgt seit Windows 2000 in der Vorgabe 1.000. Jede Suche, die mehr Objekte träfe, bekommt die ersten 1.000 und einen Ergebniscode, den viele Werkzeuge nicht auswerten.

Ein Werkzeug, das nicht seitenweise liest, prüft also die ersten 1.000 Konten einer Domäne und meldet für den Rest: nichts. Und „nichts" liest jeder als „unauffällig".

Das Muster hinter der Grenze

Die 1.000 sind nur das anschaulichste Beispiel für eine Frage, die in jedem Prüfwerkzeug steckt: Was passiert mit dem, was nicht gelesen werden konnte? Ein Lesekonto ohne Recht auf die LAPS-Attribute sieht keine LAPS-Abdeckung. Eine Suche, die an der Objektgrenze abbricht, sieht die zweite Hälfte der Dienstkonten nicht. Ein Bericht, der die Zertifizierungsstelle nicht kennt, sieht keine ESC-Schwachstelle.

In allen drei Fällen gibt es zwei Antworten. Die bequeme: kein Befund, grün. Die richtige: nicht bewertbar, und zwar sichtbar.

Wie das Modul damit umgeht

Das Modul Verzeichnissicherheit in isidaten liest Active Directory immer seitenweise. Ein Lauf, der einen Bereich nicht zu Ende gelesen hat, gilt als unvollständig: Er schreibt neue Befunde, schließt aber keine, denn ein Befund verschwindet nicht, nur weil das Verzeichnis nicht zu Ende gelesen wurde. Ein Attribut, das das Lesekonto an keinem Objekt sehen durfte, macht die Prüfung „nicht bewertbar", und das zählt weder als bestanden noch als fehlgeschlagen.

Dieselbe Regel gilt eine Ebene höher. Eine Domäne besteht aus fünf Bereichen: dem, was per LDAP im Verzeichnis lesbar ist, und vier Familien, die LDAP nicht sieht, die Zustände der Domänencontroller, die Zertifizierungsstelle, die Zugriffssteuerungslisten und die Gruppenrichtlinien. Die Abdeckung ist deshalb keine Ampel, sondern eine Karte: Basis, teilweise, vollständig. Solange eine Familie fehlt, zeigt die Oberfläche für sie weder Reifegrad noch Score.

Kein Score auf halber Grundlage

Das ist der unbequeme Teil. Ein Risikoscore aus den LDAP-Prüfungen allein wäre eine Zahl ohne die Domänencontroller, ohne die Zertifizierungsstelle, ohne die ACLs. Sie sähe gut aus und wäre nichts wert. Deshalb gibt es Score und Reifegrad erst ab Abdeckung „teilweise", und keinen Gesamtwert über Verzeichnisse mit gemischter Abdeckung. Das Widget beantwortet stattdessen die Frage, die davor kommt: wie viel überhaupt geprüft ist.

Woher die vier Familien kommen

Für die vier Familien, die LDAP nicht sieht, liefert der isidaten-Agent auf dem Domänencontroller Fakten: Registry-Werte aus einer Allowlist mit festen Pfaden, Dienstzustände, RPC-Filter, die Überwachungsrichtlinie, die Konfigurationspartition der Zertifizierungsstelle, die dekodierten Zugriffseinträge der Tier-0-Objekte, die Sicherheitsvorlagen aus SYSVOL. Er liefert Zustände, keine Geheimnisse: Ein Kennwort in den Gruppenrichtlinien-Einstellungen wird als Vorhandensein samt Dateiname gemeldet, der Wert wird nie gelesen.

Bewertet wird auf dem Server. Das ist keine Nebensache, sondern der Grund, warum eine neue Prüfregel kein Agent-Release braucht. 18 Regeln für die Domänencontroller, 16 für die Zertifizierungsstelle von ESC1 bis ESC16, 14 für die Zugriffssteuerungslisten, 14 für die Gruppenrichtlinien, dazu 24 eigene LDAP-Prüfungen.

Der Baustein verlangt die Analyse, nicht die Note

APP.2.2 verlangt in A23 die regelmäßige Analyse der Berechtigungen und der daraus folgenden Angriffspfade. Die Normübersicht des Moduls sagt je Anforderung, wodurch sie belegt ist: belegt, offen, teilweise geprüft, nicht geprüft, nicht abgedeckt. Die letzte Zeile steht bewusst da. Red Forest, virtualisierte Domänencontroller oder der sichere Kanal lassen sich mit Verzeichnisdaten nicht prüfen und brauchen eine organisatorische Prüfung. Ein Werkzeug, das diese Zeile weglässt, behauptet Vollständigkeit, die es nicht hat.

Die Prüffrage

Wie viele Konten hat Ihre Domäne, und wie viele davon hat der letzte Härtungsbericht gelesen?

Wenn die zweite Zahl fehlt, wissen Sie nicht, ob Seite zwei unauffällig war oder nur ungelesen.

Quellen

Microsoft, LDAP-Richtlinien in Active Directory (MaxPageSize, Vorgabe 1.000). BSI IT-Grundschutz-Kompendium, Baustein APP.2.2 Active Directory Domain Services, Edition 2023, Anforderung A23. BSI IT-Grundschutz, Baustein ORP.4 Identitäts- und Berechtigungsmanagement. ISO/IEC 27001:2022, A.5.15, A.5.16, A.5.18.