Audit Policy Recommendations

Dieser Abschnitt befasst sich mit den Windows-Standardeinstellungen für Überwachungsrichtlinien, den empfohlenen Baselineeinstellungen für Überwachungsrichtlinien und den aggressiveren Empfehlungen von Microsoft für Arbeitsstations- und Serverprodukte.

Die hier gezeigten SCM-Baselineempfehlungen sowie die Einstellungen, die wir zur Erkennung von Kompromittierungen empfehlen, sollen lediglich als ein erster Basisleitfaden für Administratoren dienen. Jede Organisation muss ihre eigenen Entscheidungen bezüglich der Bedrohungen, denen sie ausgesetzt sind, ihren akzeptablen Risikotoleranzen und der Überwachungsrichtlinienkategorien oder Unterkategorien, die sie aktivieren sollten, treffen. Weitere Informationen zu Bedrohungen finden Sie im Leitfaden zu Bedrohungen und Gegenmaßnahmen. Administratoren, die noch keine durchdachte Überwachungsrichtlinie eingerichtet haben, sollten mit den hier empfohlenen Einstellungen beginnen und diese dann vor der Implementierung in ihrer Produktionsumgebung ändern und testen.

Die Empfehlungen gelten für Computer der Unternehmensklasse, laut Definition von Microsoft also Computer mit durchschnittlichen Sicherheitsanforderungen und einem hohen Maß an erforderlicher Betriebsfunktionalität. Entitäten mit höheren Sicherheitsanforderungen sollten aggressivere Überwachungsrichtlinien in Betracht ziehen.

Die folgenden Baselineeinstellungen für Überwachungsrichtlinien werden für Computer mit normalen Sicherheitsanforderungen empfohlen, die nicht bereits bekanntermaßen unter aktiven, erfolgreichen Angriffen durch bestimmte Angreifer oder Schadsoftware leiden.

Empfohlene Überwachungsrichtlinien nach Betriebssystem

Dieser Abschnitt enthält Tabellen, in denen die Empfehlungen für Überwachungseinstellungen aufgeführt sind, die für die folgenden Betriebssysteme gelten:

• Windows Server 2022
• Windows Server 2019
• Windows Server 2016
• Windows Server 2012
• Windows Server 2012 R2
• WindowsServer 2008
• Windows 10
• Windows 8.1
• Windows 7

Diese Tabellen enthalten die Windows-Standardeinstellung, die Baselineempfehlungen und die stärkeren Empfehlungen für diese Betriebssysteme.

Legende zur Tabelle „Überwachungsrichtlinie“

Empfehlungen zu Überwachungseinstellungen für Windows 10, Windows 8 und Windows 7

Überwachungsrichtlinie

¹ Ab Windows 10, Version 1809, ist „Anmeldung überwachen“ für „Erfolg“ und „Fehler“ standardmäßig aktiviert. In früheren Versionen von Windows ist standardmäßig nur „Erfolg“ aktiviert.

Empfehlungen zu Überwachungseinstellungen für Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows Server 2008 R2 und Windows Server 2008

Festlegen der Überwachungsrichtlinie auf Arbeitsstationen und Servern

In allen Plänen zur Verwaltung von Ereignisprotokollen sollten Arbeitsstationen und Server überwacht werden. Ein häufiger Fehler besteht darin, nur Server oder Domänencontroller zu überwachen. Da böswilliges Hacken häufig zunächst auf Arbeitsstationen auftritt, wird die beste und früheste Informationsquelle außer Acht gelassen, wenn Arbeitsstationen nicht überwacht werden.

Administratoren sollten jede Überwachungsrichtlinie vor der Implementierung in ihrer Produktionsumgebung mit Bedacht überprüfen und testen.

Zu überwachende Ereignisse

Eine perfekte Ereignis-ID zum Generieren einer Sicherheitswarnung sollte die folgenden Attribute enthalten:

• Hohe Wahrscheinlichkeit, dass das Auftreten auf unbefugte Aktivitäten hinweist

• Eine geringe Anzahl falsch positiver Ergebnisse generieren

• Das Auftreten sollte zu einer (forensischen) Untersuchung führen

Zwei Arten von Ereignissen sollten überwacht werden und zu Warnungen führen:

1. Ereignisse, bei denen auch ein einmaliges Auftreten auf nicht autorisierte Aktivitäten hinweist

2. Eine Häufung von Ereignissen, die eine erwartete und akzeptierte Baseline überschreitet

Beispiel für diesen ersten Ereignistyp:

Wenn es Domänenadministratoren (DAs) untersagt ist, sich bei Computern anzumelden, die keine Domänencontroller sind, sollte bereits beim einmaligen Vorfall, dass sich ein Mitglied der Gruppe „Domänenadministratoren“ bei einer Endbenutzerarbeitsstation anmeldet, eine Warnung generiert und der Vorfall untersucht werden. Diese Art von Warnung lässt sich einfach mithilfe des Ereignisses 4964 „Spezielle Anmeldung überwachen“ generieren (Spezielle Gruppen wurden einer neuen Anmeldung zugewiesen). Weitere Beispiele für Warnungen bei einer einzelnen Instanz sind:

• Wenn Server A niemals eine Verbindung mit Server B herstellen soll, Warnung ausgeben, sobald sie eine Verbindung miteinander herstellen.

• Warnung, wenn einer sensiblen Sicherheitsgruppe unerwartet ein normales Endbenutzerkonto hinzugefügt wird.

• Wenn Mitarbeiter am Werksstandort A niemals nachts arbeiten, Warnung ausgeben, wenn sich ein Benutzer um Mitternacht anmeldet.

• Warnung, wenn ein nicht autorisierter Dienst auf einem Domänencontroller installiert wird.

• Führen Sie eine Untersuchung durch, wenn ein normaler Endbenutzer versucht, sich direkt bei einer SQL Server-Instanz anzumelden, wenn kein eindeutiger Grund dafür vorliegt.

• Wenn Ihre Gruppe „Domänenadministratoren“ keine Mitglieder enthält und sich dort jemand selbst hinzufügt, überprüfen Sie diesen Vorfall sofort.

Beispiel für diesen zweiten Ereignistyp:

Eine anomale Anzahl von Anmeldefehlern kann auf einen Angriff hinweisen, bei dem versucht wird, das Kennwort zu raten. Bevor ein Unternehmen bei einer ungewöhnlich hohen Anzahl von Anmeldefehlern eine Warnung ausgibt, muss es zunächst die normalen Ebenen von Anmeldefehlern in seiner Umgebung kennen und von einem böswilligen Sicherheitsereignis unterscheiden können.

Eine umfassende Liste der Ereignisse, die Sie bei der Überwachung auf Anzeichen einer Kompromittierung einschließen sollten, finden Sie in Anhang L: Zu überwachende Ereignisse.

Zu überwachende Active Directory-Objekte und -Attribute

Im Folgenden finden Sie die Konten, Gruppen und Attribute, die Sie überwachen sollten, um Versuche zu erkennen, ihre Active Directory Domain Services-Installation zu kompromittieren.

• Systeme zum Deaktivieren oder Entfernen von Antiviren- und Antischadsoftware (automatisches Neustarten des Schutzes, wenn er manuell deaktiviert wird)

• Administratorkonten für nicht autorisierte Änderungen

• Aktivitäten, die mit Konten mit Berechtigungen ausgeführt werden (Konto automatisch entfernen, wenn verdächtige Aktivitäten durchgeführt werden oder die zugewiesene Zeit abgelaufen ist)

• Konten mit Berechtigungen und VIP-Konten in AD DS. Überwachen Sie Änderungen, insbesondere Änderungen von Attributen auf der Registerkarte „Konto“ (z. B. „cn“, „name“, „sAMAccountName“, „userPrincipalName“ oder „userAccountControl“). Beschränken Sie zusätzlich zur Überwachung der Konten, wer die Konten ändern darf, auf eine möglichst kleine Gruppe von Administratorbenutzern.

Eine Liste der empfohlenen zu überwachenden Ereignisse, deren Kritikalitätsbewertungen und eine Zusammenfassung der Ereignismeldungen finden Sie unter Anhang L: Zu überwachende Ereignisse.

• Gruppieren Sie Server nach der Klassifizierung ihrer Workloads. So können Sie schnell die Server identifizieren, die am stärksten überwacht und besonders streng konfiguriert werden sollten.

• Änderungen an den Eigenschaften und der Mitgliedschaft der folgenden AD DS-Gruppen: „Unternehmensadministratoren“ (EA), „Domänenadministratoren“ (DA), „Integrierte Administratoren“ (BA) und „Schemaadministratoren“ (SA)

• Deaktivierte Konten mit Berechtigungen (z. B. integrierte Administratorkonten in Active Directory und auf Mitgliedssystemen) zum Aktivieren der Konten

• Verwaltungskonten zum Protokollieren aller Schreibvorgänge in das Konto

• Integrierter Sicherheitskonfigurations-Assistent zum Konfigurieren von Dienst-, Registrierungs-, Überwachungs- und Firewalleinstellungen, um die Angriffsfläche des Servers zu verringern. Verwenden Sie diesen Assistenten, wenn Sie Jumpserver als Teil Ihrer Verwaltungshoststrategie implementieren.

Zusätzliche Informationen zur Überwachung von Active Directory Domain Services

Weitere Informationen zur Überwachung von AD DS finden Sie unter den folgenden Links:

• Globale Objektzugriffsüberwachung ist Magie: Enthält Informationen zum Konfigurieren und Verwenden der erweiterten Überwachungsrichtlinienkonfiguration, die zu Windows 7 und Windows Server 2008 R2 hinzugefügt wurde.

• Einführung in die Überwachung von Änderungen in Windows 2008: Führt die Überwachung der in Windows 2008 vorgenommenen Änderungen ein.

• Coole Überwachungstricks in Vista und 2008: Erläutert interessante neue Features der Überwachung in Windows Vista und Windows Server 2008, die zur Problembehandlung oder zum Anzeigen von Vorgängen in Ihrer Umgebung verwendet werden können.

• Überwachung aus einer Hand in Windows Server 2008 und Windows Vista: Enthält eine Zusammenstellung der in Windows Server 2008 und Windows Vista verfügbaren Überwachungsfeatures und -informationen.

• Schritt-für-Schritt-Anleitung zur AD DS-Überwachung: Beschreibt das neue Überwachungsfeature für Active Directory Domain Services (AD DS) in Windows Server 2008. Außerdem werden Verfahren zum Implementieren dieses neuen Features bereitgestellt.

Allgemeine Liste der Empfehlungen und Kritikalitäten zu Sicherheitsereignis-IDs

Alle Empfehlungen zur Ereignis-ID werden wie folgt von einer Kritikalitätsbewertung begleitet:

Hoch: Für Ereignis-IDs mit einer hohen Kritikalitätsbewertung sollten immer sofort Warnungen ausgegeben und Untersuchungen durchgeführt werden.

Mittel: Eine Ereignis-ID mit einer mittleren Kritikalitätsbewertung kann auf böswillige Aktivitäten hinweisen, muss jedoch von einer anderen Anomalie begleitet werden (z. B. einer ungewöhnlichen Anzahl innerhalb eines bestimmten Zeitraums, unerwarteten Vorkommen oder Vorkommen auf einem Computer, bei dem normalerweise nicht erwartet wird, dass das Ereignis protokolliert wird). Ein Ereignis mit mittlerer Kritikalität kann auch als Metrik erfasst und im Zeitverlauf verglichen werden.

Niedrig: Ereignis-IDs mit geringer Kritikalität sollten keine größere Aufmerksamkeit auf sich ziehen oder Warnungen auslösen, es sei denn, sie treten im Zusammenhang mit Ereignissen mittlerer oder hoher Kritikalität auf.

Diese Empfehlungen dienen als Basisleitfaden für den Administrator. Alle Empfehlungen sollten vor der Implementierung in einer Produktionsumgebung gründlich überprüft werden.

Eine Liste der empfohlenen zu überwachenden Ereignisse, deren Kritikalitätsbewertungen und eine Zusammenfassung der Ereignismeldungen finden Sie unter Anhang L: Zu überwachende Ereignisse.