Während die Minimierung der Sicherheitsrisiken beim Umgang mit Serverdiensten aktuell für zahlreiche Organisationen ein entscheidendes Thema ist, spielt der „Protected Users“-Modus in Windows Server hierbei eine zentrale Rolle. Eine Sicherheitsgruppe mit geschützten Benutzern kann dadurch von einem verschärften Schutz profitieren und dazu beitragen, den Diebstahl der Anmeldeinformationen zu vermeiden. Die Kombination aus variantenreichen Schutzmaßnahmen und die Ergänzung mit Credential Guard sind wichtige Erfolgsrezepte.
„Protected Users“ als Sicherheitsgruppe für verschärfte Schutzmaßnahmen
„Protected Users“ wurde erstmals mit Windows Server 2012 R2 im Verzeichnisdienst Active Directory als integrierte Sicherheitsgruppe eingeführt und hat sich seitdem auch als bedeutender Bestandteil der folgenden Versionen des Serverbetriebssystems etabliert. Durch die Zugehörigkeit zur Gruppe gelten für Konten in diesem Modus während der Authentifizierung verschärfte Schutzmaßnahmen. Weil die Maßnahmen automatisch angewendet werden, ist hierfür keine zusätzliche Konfiguration von Gruppenrichtlinien notwendig.
Modus für den verstärkten Schutz der Anmeldedaten von Gruppenmitgliedern
Der „Protected Users„-Modus kann den Schutz für die Anmeldedaten der Gruppenmitglieder wesentlich verbessern. Wenn die Sicherheit der Daten beim Einsatz der Serverdienste eine hohe Priorität genießt und Organisationen hierfür auf ein geeignetes Serverbetriebssystem setzen wollen, lohnt sich daher die Entscheidung für eine moderne Version von Windows Server. Mit den außergewöhnlichen Schutzmaßnahmen im Interesse der Sicherheitsgruppe verfolgen Unternehmen in erster Linie das Ziel, einen Diebstahl der Anmeldeinformationen zu verhindern. Dementsprechend soll eine unbefugte Wiederverwendung der Nutzerdaten so schwer wie möglich gemacht werden.
Kombination aus unterschiedlichen erzwungenen Maßnahmen für geschützte Benutzer
Die Kombination aus mehreren erzwungenen Schutzmaßnahmen für „Protected Users“ ist entscheidend, während Organisationen aktuelle Versionen von Windows Server optimal nutzen möchten. Zusammen mit dem Domain Controller setzt das Clientbetriebssystem solche Einschränkungen durch. Das umfasst insbesondere die folgenden Begrenzungen:
- Authentifizierung ausschließlich über Kerberos wegen Unterbindung des unsicheren Authentifizierungsverfahrens NTLM
- erzwungene AES-Verschlüsselung durch Verzicht auf RC4 und DES als alternative Verschlüsselungsverfahren
- Begrenzung der Lebensdauer des Kerberos-Berechtigungsnachweises TGT auf vier Stunden ohne Möglichkeit zur Verlängerung
- Deaktivierung der Credential Delegation als Möglichkeit für die Weitergabe der Anmeldeinformationen
- keine Zwischenspeicherung der Klartext-Anmeldeinformationen
- Verzicht auf lokale Zwischenspeicherung der NTLM-Hashwerte für die Authentifizierung
Wichtige Unterstützung im Kampf gegen Zugriffe durch Unbefugte
Mit der effektiven Kombination aus den zahlreichen Schutzmaßnahmen trägt die Sonderbehandlung der „Protected Users“ in Windows Server entscheidend dazu bei, unerwünschte Zugriffe durch Unbefugte nachhaltig zu erschweren. Die Maßnahmen zeigen eine besonders starke Wirkung, wenn Organisationen Pass-the-Hash-Angriffe vermeiden wollen. Denn die außergewöhnlichen Vorkehrungen für die Sicherheitsgruppe entziehen solchen Attacken die Grundlage, weil es gar nie zur Zwischenspeicherung eines NTLM-Hashwerts kommt. Somit besteht bei den geschützten Nutzern nicht die Gefahr, dass diese Werte missbraucht werden.
Sinnvolle Ergänzung zwischen „Protected Users“-Modus und Credential Guard
Wer den „Protected Users„-Modus mit der Sicherheitsfunktion Credential Guard ergänzt, kann von einem doppelten Schutzeffekt profitieren. Die Sicherheitsgruppe sorgt in Windows Server auf der Domänenebene für eine verbesserte Sicherheit. Währenddessen schützt Credential Guard die Anmeldeinformationen durch die Virtualisierung in abgeschotteten Bereichen auf der Betriebssystemebene.
