Der Agent liefert Fakten, bewertet wird auf dem Server
Active Directory ist in den meisten Häusern das System, dessen Kompromittierung alles andere entscheidet, und der Baustein APP.2.2 verlangt in A23 die regelmäßige Analyse der Berechtigungen und der daraus folgenden Angriffspfade. Das Modul prüft dafür fünf Bereiche einer Domäne: was im Verzeichnis lesbar ist, per LDAP über ein gewöhnliches Lesekonto; was nur auf den Domänencontrollern selbst zu sehen ist, die Zertifizierungsstelle, die Zugriffssteuerungslisten und die Gruppenrichtlinien, über die Sonde des isidaten-Agenten. Der Agent liefert Zustände, nie Kennwörter, und die Prüfregeln liegen auf dem Server, damit eine neue Regel kein Agent-Release braucht.
Die Abdeckung ist keine Ampel, sondern eine Karte je Familie: Basis, teilweise, vollständig. Risikoscore und Reifegrad gibt es erst ab „teilweise", und ein Gesamtwert über Verzeichnisse mit gemischter Abdeckung wird nicht gebildet. Eine grüne Bewertung auf halber Grundlage wäre gefährlicher als gar keine.
Active Directory begrenzt jede Suche serverseitig auf 1000 Objekte und liefert darüber hinaus stillschweigend nichts. Das Modul liest deshalb immer seitenweise, und ein Lauf, der nicht zu Ende gelesen hat, schreibt neue Befunde, schließt aber keine. Ein Attribut, das das Lesekonto nicht sehen darf, gilt als nicht bewertbar, nie als bestanden.
Dreihundert Konten ohne Kennwortablauf sind nicht dreihundertmal so gefährlich wie eines. Jede offene Prüfregel zählt einmal mit ihren Punkten, in vier auf 100 gedeckelten Bereichen, und der Gesamtscore ist das Maximum, nicht die Summe. Meldet die Sonde eine Lücke, die auch der Bericht kennt, zählt sie einmal.
Ein Nachweis für APP.2.2 A23, der sagt, was geprüft wurde und was nicht, statt einer Note, die beides verwischt.
Vereinbaren Sie eine unverbindliche Demo – wir zeigen Ihnen das Modul an Ihren eigenen Anwendungsfällen.
