Die Sicherheit von Dienstkonten hängt von einer ordnungsgemäßen Verwaltung und Konfiguration ab.
Bevor Sie technische Maßnahmen ergreifen, sollten Sie zunächst eine Dokumentation für die Dienstkonten erstellen. Diese Dokumentation sollte mindestens die folgenden Informationen enthalten:

Anwendungsbereich des Dienstkontos: Angabe der Server, auf denen dieses Konto installiert ist.
Erforderliche und ausreichende Rechte für das Dienstkonto: Aufgrund der Komplexität der Konfiguration kann es vorkommen, dass Dienstkonten mit mehr Rechten ausgestattet werden, als sie benötigen.
- Für Dienste und Produkte von Drittanbietern sollten nach Möglichkeit keine Konfigurationen verwendet werden, die hochprivilegierte Konten erfordern. Während der Proof-of-Concept-Phase (PoC) für neue Produkte sollten Sie den Anbieter auffordern, die für die Nutzung des Diensts erforderlichen Berechtigungen einzuschränken, da die Sicherheit in der Entwurfsphase von entscheidender Bedeutung ist.
- Der Server, auf dem der Dienst konfiguriert wird, und sein Dienstkonto sollten innerhalb der Domäne die gleiche Sensibilitätsstufe aufweisen.
  - Ein privilegiertes Dienstkonto stellt nur dann ein Risiko dar, wenn es auf nicht privilegierten Servern konfiguriert wird. Es sollte ausschließlich auf privilegierten Systemen konfiguriert werden, um Sicherheitslücken zu vermeiden.
  - Wenn Sie ein nicht privilegiertes Dienstkonto auf einem privilegierten Server konfigurieren, installieren Sie es nicht auf Servern mit geringeren Berechtigungen. Es sollte ein dediziertes Konto für den privilegierten Server bleiben.
Typ des Dienstkontos: Geben Sie an, ob es sich um ein benutzerdefiniertes Dienstkonto (d. h. aus einem Standard-Domänenbenutzerkonto erstellt) oder um ein verwaltetes Microsoft-Dienstkonto (Managed Service Account, MSA) handelt.
- Wann immer möglich und sofern von der Anwendung oder dem Dienst unterstützt, sollten Sie verwaltete Dienstkonten (MSAs) verwenden, da sie im Vergleich zu manuellen Vorgängen erhebliche Sicherheitsverbesserungen bieten. Beispielsweise werden Kerberoasting-Angriffe aufgrund der starken Passwörter von MSAs nahezu unmöglich.
Passworterneuerung für das Dienstkonto:
- Automatisch oder manuell
- Wenn Sie Passwörter manuell verwalten, legen Sie die nächste geplante Passworterneuerung fest. Es ist wichtig, den Anwendungsbereich des Dienstkontos zu kennen, um potenzielle Authentifizierungsprobleme zu antizipieren, die durch diese Änderung entstehen können.
Überprüfung des Passworts des Dienstkontos: Wenn es sich bei dem Dienstkonto nicht um ein MSA handelt, überprüfen Sie das Passwort regelmäßig – entweder durch Penetrationstests oder mithilfe des IoE „Erkennung von Passwortschwächen“. Hierdurch wird sichergestellt, dass das Passwort stark genug ist, um Brute-Force-Angriffen zu widerstehen.
Speicherung des Passworts des Dienstkontos: Speichern Sie die Passwörter von Dienstkonten nur bei Bedarf (was insbesondere bei MSAs nicht immer der Fall ist) mit einer sicheren Methode, z. B. in einem speziellen Passwort-Speicher-Manager mit entsprechenden Berechtigungen. Speichern Sie diese Passwörter ausschließlich aus Sicherheitsgründen und beschränken Sie den Zugriff auf einige wenige vertrauenswürdige Administratoren.
Rolle des Diensts oder der geplanten Aufgabe, die mit dem Dienstkonto verbunden ist: Ermitteln Sie, ob es sich um einen Dienst handelt, der von IT-Administratoren oder von einem anderen Benutzer im Unternehmen selbst erstellt wurde.
Besitzer des Dienstkontos: Ermitteln Sie die Person, die Sie kontaktieren müssen, um weitere Informationen über einen bestimmten Dienst zu erhalten.

Fazit: Investieren Sie Zeit in die Erstellung einer umfassenden Dokumentation und erstellen Sie so viele verwaltete Dienstkonten (MSAs) wie möglich. Dieser Ansatz trägt dazu bei, die mit der manuellen Verwaltung von Dienstkonten verbundenen Probleme zu verringern.

Erkennungen

Fehlkonfigurationen von Dienstkonten

medium

No changelogs found