Aaron Turner:[00: 00: 00]
Zunächst muss man sich in die Denkweise von Bill Gates Mitte der 90er-Jahre hineinversetzen. Er hatte sich zum Ziel gesetzt, dass Novell mit Enterprise Directory viel Geld verdienen würde. Daraufhin sagte Microsoft: „Wir müssen Novell die Konkurrenz wegnehmen.“ Die erste Version der Active Directory-Funktionsspezifikation hatte zum Ziel, Novell vom Markt zu verdrängen. Das war die Mission.
Active Directory wurde zunächst unter dem Gesichtspunkt betrachtet, wie man mehr Windows und Office verkaufen kann. Es war ein Bereitstellungsmechanismus und nicht unbedingt eine Sicherheitsbarriere. Nehmen wir an, 250 Milliarden Dollar wurden für Firewalls ausgegeben. Wie viel davon floss in Identitätsmanagement? Vielleicht 2 %. Aufgrund dieser mangelnden Investitionen befinden wir uns in einer massiven Schuldenfalle im Bereich Identitätsmanagement.
Sie werden also in Maßnahmen investieren müssen, die sich mit dem bestehenden System befassen, um die Frage zu beantworten: „Okay, was werde ich tun, um die in 25 Jahren entstandenen Probleme mit Gruppenrichtlinien zu beheben?“ Diese Entscheidung muss getroffen werden.
Roy Akerman:
Identität ist nicht nur ein operatives Problem, sondern auch ein Sicherheitsproblem, und die meisten Teams finden das gerade erst heraus.
Rob Ainscough:
Dies ist der Podcast, in dem wir die Bedeutung von Identitätssicherheit rückwärts analysieren und offene Gespräche über die Menschen führen, die Identitätssicherheit von innen heraus aufbauen, verbessern und neu denken.
Roy Akerman:
Ich bin Roy Akerman.
Rob Ainscough:
Und ich bin Rob Ainscough.
Roy Akerman:
Lass uns eintauchen.
Rob Ainscough:
Machen wir das.
Willkommen zurück. Hallo Roy. Wie geht es dir?
Roy Akerman:
Mir geht's gut. Schön, dich zu sehen, Rob.
Rob Ainscough:
Schön, dich auch zu sehen. Äh, ich freue mich sehr, denn in dieser Folge haben wir Aaron Turner bei uns, richtig? Aaron ist seit 30 Jahren in der Branche, hat seine eigene Firma gegründet, aber – und das ist für uns am wichtigsten – er hat für Microsoft gearbeitet, als… Active Directory Das wurde gerade zu einer Sache, nicht wahr, zu dieser entscheidenden Zeit.
Er war im Basislager. Es war total aufregend für uns, mit ihm zu sprechen.
Roy Akerman:
So wie der Designer, der Architekt.
Rob Ainscough:
Der Schuldige. Äh, aber
Aaron Turner:
Lasst uns hier sehr vorsichtig sein. Ich war der Letzte in der Hierarchie.
Roy Akerman:
Das sagte er.
Rob Ainscough:
Aber du warst dabei … du hattest den ersten Eindruck. Du warst dabei.
Roy Akerman:
Ja.
Aaron Turner:
Oh,
Rob Ainscough:
Ich war dabei. Du warst dabei.
Aaron Turner:
Ich war zwar dabei, aber ich war, äh, eigentlich Support-Ingenieur, was bedeutete, dass ich mich mit all den Fehlern und dem ganzen Mist herumschlagen musste, richtig? Ich habe also das Schlimmste vom Schlimmsten gesehen.
Rob Ainscough:
Wow. Ja. Trotzdem eine privilegierte Position, deshalb werden wir ein bisschen darüber sprechen. Wir werden darüber sprechen, wie sich die Identität im Laufe der Jahre verändert hat. Active DirectoryWelche Rolle spielt der Spieler, was bedeutet das heute für Angreifer und Verteidiger?
Ich denke, das wird eine wirklich interessante Session. Ähm, Aaron, könntest du uns zum Einstieg etwas über deinen Werdegang und deine Biografie erzählen?
Aaron Turner:
Ich begann diese Reise, weil ich den Film WarGames gesehen habe. Also, der Film WarGames kam 1984 in die Kinos, und ich dachte: „Das scheint unglaublich zu sein.“
„Ob ich das wohl kann?“, fragte ich mich. Und das führte mich auf eine Reise, auf der ich mich manchmal in Schwierigkeiten mit Computern brachte, richtig? Und schließlich fand ich heraus, wie man mit Computer-Kriminalität Geld verdienen kann. Ich war einer der ersten Penetrationstester, Anfang bis Mitte der 90er-Jahre, und dachte mir irgendwann: Okay, vielleicht kann ich einen besser bezahlten Job finden als mit den ganzen Gelegenheitsjobs im Bereich Sicherheitstests.
Microsoft schrieb eine Stelle aus, in der sie eine zweisprachige Person mit Internetkenntnissen und Novell-Erfahrung für ihr Team suchten. Sie wollten sich auf Projekte in Lateinamerika konzentrieren, und da ich Spanisch spreche und eine Zeit lang in Mexiko gelebt habe, kannte ich mich dank meiner Arbeit bei WarGames schon etwas mit dem Internet aus. Dann bekam ich diese großartige Chance bei Microsoft und begann dort eine Reise, auf der wir im Grunde die Grundlagen für das Internet und Enterprise Computing schufen.
Und habe dort acht Jahre verbracht. Eine fantastische Zeit, in der ich unglaublich viel gelernt habe.
Roy Akerman:
Unsere Geheimdienstmitarbeiter haben uns zwei Dinge mitgeteilt, die ich Ihnen bestätigen muss. Erstens: Nach einem Jahr im Amt hat Ihnen Bill Gates persönlich freie Hand gelassen, jedes beliebige Projekt durchzuführen – natürlich mit einem beträchtlichen Budget.
Und beim zweiten Thema geht es um einen Goldstern. Könnten Sie also damit anfangen und dann zu unseren Gesprächen über Identität übergehen? Das wäre toll. Könnten Sie uns etwas darüber erzählen?
Aaron Turner:
Also, äh, in den Jahren 1998, 99 kam der Gouverneur von Venezuela zu Microsoft und sagte: „Wir wollen eine landesweite Identitätsplattform für jeden Bürger Venezuelas aufbauen.“
Roy Akerman:
Wow.
Aaron Turner:
Sie sind also hingefahren und haben versucht, mit NT4 eine Enterprise-Identitätsplattform aufzubauen, aber das hat nicht funktioniert. Es klang vielversprechend. Und es gab ständig Probleme. Immer und immer wieder. Und niemand aus unserem Team war mutig genug, nach Venezuela zu reisen, denn Venezuela hat heute einen noch schlechteren Ruf, aber schon damals war es ein unsicheres Land.
Da ich mich in Lateinamerika auskannte, dachte ich: „Okay, ich fahre hin.“ Also meldete ich mich und ging hin. Weil ich half, das Problem zu lösen, fand ich heraus, wie man einige Änderungen am NT-Code vornimmt, woraus später der Windows-2000-Code entstand. Für diese Änderung und meinen Mut, nach Venezuela zu reisen, wurde ich 1999 mit einem goldenen Stern ausgezeichnet, einer damals sehr seltenen Auszeichnung von Bill Gates.
Aber als Empfänger dieser Förderung hatte man gewissermaßen die Möglichkeit zu experimentieren, richtig? Man hatte die Freiheit zu sagen: „Hey, du hast etwas Großartiges geleistet. Mal sehen, was du tun kannst, um Microsoft weiter voranzubringen.“ Und so ermöglichten mir meine Spanischkenntnisse und mein Mut, nach Venezuela zu gehen, im Grunde genommen, Erstaunliches zu leisten und an … zu arbeiten. Active DirectorySQL Server, Windows Mobile, Xbox Live.
Ich hatte zum Beispiel die Möglichkeit, in meiner Zeit dort an allen möglichen richtig coolen Dingen mitzuarbeiten.
Roy Akerman:
Alles aus der Identitätsperspektive
Aaron Turner:
Manchmal geht es um Identität, manchmal um Zerstörung.
Roy Akerman:
Ja.
Aaron Turner:
Mhm. Stimmt's? Manchmal hilft es, Leuten bei der Entwicklung von Bedrohungsmodellen zu helfen. Wissen Sie, wir hatten erst so um 2002, 2003 ein richtiges Cybersicherheitsteam.
Wissen Sie, ich war damals in der Anfangszeit dabei, als wir… Niemand hatte je ein Update-System für Unternehmen wie Windows Update entwickelt, richtig? Niemand hatte sich damals Gedanken darüber gemacht, wie man zwei Milliarden Computer aktualisiert. Hm. Niemand hatte daran gedacht, Festplatten zu verschlüsseln, falls man einen Laptop verliert.
Niemand hatte über solche Dinge nachgedacht. Und so mussten wir über Dinge nachdenken, über die vorher noch niemand nachgedacht hatte.
Rob Ainscough:
Heute werden wir uns also darauf konzentrieren. Active Directory Die Geschichte ist also immer noch aktuell, für die meisten Unternehmen sprechen wir über die Cloud und den gesamten Wandel, der in den letzten 10, 15 Jahren stattgefunden hat.
Aber die Realität ist, dass es für viele Unternehmen immer noch das Nervenzentrum der Unternehmensidentität ist, richtig? Es ist absolut entscheidend. Und, wie bereits erwähnt, hatten Sie eine wirklich interessante Position, da Sie die Entstehung, das Wachstum und die Entwicklung zu dem, was es heute ist, miterlebt haben. Mich interessiert vor allem, wo genau das passiert ist. Active Directory komme aus?
Wozu war es gedacht? Was wollten Sie damit erreichen? Active Directory zu dieser Zeit?
Aaron Turner:
Zunächst muss man sich in die Denkweise von Bill Gates Mitte der 90er Jahre hineinversetzen. Bill Gates hatte es sich zur Aufgabe gemacht, ein erfolgreiches Unternehmen aufzubauen, weil er immer paranoid war, dass das, was mit Wang und Digital passiert war, sich wiederholen könnte. Man muss sich nur die vielen Leichen am Straßenrand in der Computerbranche der 80er und 90er Jahre ansehen, und es gab unzählige Leichen.
Roy Akerman:
Mmm.
Aaron Turner:
Und so war er paranoid, weil er dachte: „Wir müssen rausgehen und den Markt erobern.“ Er setzte sich das Ziel, dass Novell mit Unternehmensverzeichnissen viel Geld verdienen sollte. Novell war ein sehr starkes Unternehmen, das im Grunde führend im Aufbau von Unternehmensverzeichnissen war. Wie schafft man es, dass die Leute ein gutes Computererlebnis haben?
Wie kommt man an einen Benutzernamen und ein Passwort? Wie sorgt man für eine gute Dateistruktur? Und so sagte Microsoft: „Wir müssen uns das Geld schnappen. Wir müssen Novell das Taschengeld klauen.“ Und so entstand die erste Version von … Active Directory Die Hauptaufgabe bestand darin, Novell zu vernichten. Das war sozusagen die Mission.
Ähm, wir hatten nicht viel anderes, und der Rest war interessant, nicht wahr? Ich war zum Beispiel ein großer Fan von Kerberos. Kerberos war damals noch recht neu. Das MIT hatte gerade den Kerberos-Standard veröffentlicht. Ich dachte: „Hey, Kerberos ist der Hammer! Das wird wirklich viel besser sein.“ Denn wir hatten ja immer noch mit NTLM zu tun, richtig?
NTLM ist ein äußerst anfälliges und verwundbares Protokoll, das leicht umgangen werden kann, und die Hashwerte sind gebrochen. Wir arbeiten immer noch mit dem NT LAN Manager, einem Windows-Protokoll (NT4). Das Problem war also: Wenn es uns nur darum geht, Novell zu eliminieren, wie können wir daraus ein Sicherheitssystem machen?
Und genau diese Spannung herrschte. Hm. Wissen Sie, diejenigen von uns, die sich leidenschaftlich für Sicherheit einsetzen, Active Directory Zunächst ging es darum, wie man mehr Windows und mehr Office verkaufen kann. Es war also – hm … ein Bereitstellungsmechanismus. Es war nicht unbedingt eine Sicherheitsgrenze.
Roy Akerman:
Wirklich interessant. Und ja, es ist interessant, dort zu sein und tatsächlich etwas Neues aufzubauen, vielleicht etwas Besseres, das etwas ersetzen wird, das gerade erst angefangen hatte zu wachsen.
Und ich wette, da musste man einige Kompromisse eingehen, richtig? Schließlich gab es die Markteinführungszeit und viele andere Dinge, und es gab ja auch einen Wandel in der Computerwelt. Könnten Sie uns zurück ins Jahr 98 führen, vielleicht etwas später, und uns sagen, welche anfänglichen Kompromisse die Entwickler und Designer hätten eingehen müssen?
Aaron Turner:
Nun ja, also, äh, wie ich bereits erwähnte, das Ziel von Active Directory Es ging darum, mehr Windows und Office zu verkaufen, richtig? Schnelle Bereitstellung, richtig? Wie stellt man eine ganze Reihe von Systemen bereit? Ähm, und um diese Markteinführungsgeschwindigkeit zu erreichen, wurden einige Dinge vernachlässigt, wie zum Beispiel die Multi-Faktor-Authentifizierung, richtig? MFA war kein zentrales Designprinzip. Active Directory, Recht?
Es war so ein Gedanke wie: „Vielleicht finden ein paar Partner eine Lösung.“ Und Firmen wie RSA und Gemalto – ja, genau – haben sich gemeldet und gesagt: „Ja, wir kümmern uns um die MFA-Implementierung.“ Eine meiner Aufgaben war beispielsweise die Durchführung der Regressionstests für alle MFA-Token von Drittanbietern.
Und damals war die einzige Möglichkeit, ein MFA-Token zum Laufen zu bringen, der Austausch der GINA. Man musste einen GINA-Shim entwickeln – oh je, das ist komplex … das ist Kernel-Ebene, also Operationen auf einem Windows-Domänencontroller, manchmal auch auf dem Endgerät. Sagen wir mal so: Wenn ich nicht 300 Bluescreens am Tag gesehen hätte, hätte ich meinen Job nicht richtig gemacht, oder?
Weil diese GINAs schlecht geschrieben waren. Wir bei Microsoft haben dabei mangelhafte Anleitungen gegeben, und so weiter. Wenn also jemand zu uns kam und sagte: „Hey, lasst uns MFA einführen“, und dann einen Proof of Concept durchführte und zehn Bluescreens bekam, meinte er: „Nein, das ist okay. Ich brauche keine MFA, danke.“
„Ich möchte keine MFA verwenden.“ Ähm, und das ist ein Beispiel für mangelnden Fokus aus Sicherheitsperspektive, denn heute würden wir MFA als Kernbestandteil betrachten, als eine grundlegende Funktion, die unbedingt vorhanden sein muss… Und das ist ein Beispiel. Ja. Ein anderes Beispiel sind, ähm, wir hatten diese Sicherheitsgrenzen, die wie Wälder funktionierten, richtig?
Es gab Gesamtstrukturen und Domänen, und man konnte gesamtstrukturübergreifende Vertrauensstellungen einrichten, und man konnte – hm … unidirektionale oder bidirektionale Vertrauensstellungen und all das haben. Und dann gab es Gruppen und verschachtelte Gruppen, und dann gab es Gruppenrichtlinienobjekte und all das, und all das wurde von einer Funktion ausgehend entwickelt …
Es geht um die Perspektive einer Windows-Bereitstellung, nicht um die Perspektive der Sicherheitsgrenzen.
Rob Ainscough:
Ja.
Aaron Turner:
Wie erzwingt man also die richtige Granularität bei einer Gesamtstrukturübergreifenden Vertrauensstellung? Und übrigens: Aufgrund der Microsoft-Lizenzbestimmungen, die nach deren Einführung eingeführt wurden, waren die meisten Benutzer nicht motiviert, ein Domänenkonto für den Domänenadministrator und ein Domänenkonto für ihren Exchange-Server (z. B. im Posteingang) zu verwenden.
Das würde man vermischen, richtig? Jetzt haben Sie also Ihre Steuerungsebene vermischt, sodass das Konto, mit dem Sie Ihre E-Mails lesen, auch das Konto ist, das Sie für die Domänenadministration verwenden.
Roy Akerman:
Mmm.
Aaron Turner:
Stimmt's? Und das ist keine gute Situation.
Roy Akerman:
Ja. Hm. Es klingt also so, als gäbe es beim Thema Vertrauen viele Abstraktionsebenen, wie zum Beispiel domänenübergreifend und gesamtstrukturübergreifend.
Wie schaffen wir Vertrauen, wenn wir eine einzelne, beispielsweise eine „s“ oder „a“, Entität erschaffen, die wir validieren und authentifizieren müssen, um dieses Vertrauen zu erlangen? Ich wette, darüber gab es viele Diskussionen.
Aaron Turner:
Nun, zunächst einmal hatten zwar andere Leute das schon vorher versucht, zum Beispiel AT&T mit einem Großteil ihrer Unix-Arbeit, die Regierung, Sie wissen schon, solche Dinge, Leute hatten versucht, diesen Weg einzuschlagen, aber sie hatten es noch nie zu den niedrigen Gesamtbetriebskosten versucht, die Microsoft anstrebte, richtig?
Mhm. Also, zum Beispiel ist es eine Sache, ein ausgeklügeltes Enterprise-Authentifizierungssystem zu entwickeln, wenn promovierte Wissenschaftler bei den Bell Labs arbeiten, richtig? Die Leute von AT&T wussten, was sie taten. Aber wenn man beispielsweise einen Systemadministrator eines örtlichen Krankenhauses zum Domänenadministrator macht, ist das etwas ganz anderes als ein promovierter Wissenschaftler bei den Bell Labs.
Das sind zwei völlig unterschiedliche Persönlichkeiten. Zwei völlig verschiedene Rollen. Und indem man diese sehr leistungsfähigen Systeme – Windows Server, Exchange Server, SQL Server – in kleineren und mittleren Unternehmen einführt, die vielleicht keine gute Sicherheitsarchitektur und keine guten Sicherheitsteams haben, denen diese Fähigkeiten fehlen, dann schafft man wirklich schlimme Situationen, in denen man sich fragt: „Warum machen wir nicht einfach alle zu Domänenadministratoren?“
Das macht es einfacher. Jeder muss Domänenadministrator sein.“
Roy Akerman:
Ja.
Aaron Turner:
Und wir haben gesehen, dass ganze Domänen von Domänenadministratoren verwaltet wurden, weil es einfach einfacher war. Es hat ihre Arbeit erleichtert. Sie mussten nicht mehr nach Fehlern suchen, warum eine Anwendung nicht funktionierte oder Ähnliches. Hm. Und wenn man sich die Schwierigkeiten ansieht, mit denen wir in der Anfangszeit konfrontiert waren, als wir versuchten, das Prinzip der minimalen Rechtevergabe umzusetzen – einige der frühen Adobe-Anwendungen liefen beispielsweise nur mit umfassenden Administratorrechten –, dann…
Mhm. Es würde einfach nicht funktionieren.
Rob Ainscough:
Lauf. Das ist üblich, ja.
Aaron Turner:
Und so entstanden diese überprivilegierten Situationen. Oftmals war das Anbieter-Ökosystem also gegen einen, richtig? Nehmen wir an, ich möchte das Prinzip der minimalen Berechtigungen anwenden. Oh, aber das geht nicht, weil ich diese App brauche.
Rob Ainscough:
Mm-hmm.
Aaron Turner:
Oh ok.
Roy Akerman:
Nun, das sollte man berücksichtigen, denn manchmal geben wir den Infrastrukturbauern oder den grundlegenden Dingen die Schuld. Active Directorydass sie so viele andere Entwicklungsbereiche, wie beispielsweise andere Anbieter, zufriedenstellen mussten.
Und ich denke, diese Abwägungen sind heutzutage für viele Angreifer sozusagen das tägliche Brot, richtig? Mhm. Wir sprechen hier nicht nur von Active Directory als Werkzeug, sondern als eine Reihe von Konzepten, die unser heutiges Verständnis von Identität maßgeblich geprägt haben. Ich hoffe also, dass ich das nicht zu schnell angehe, aber ich bin neugierig.
Spulen wir also kurz in die Gegenwart vor. Vielleicht gehen wir später noch einmal darauf zurück. Wie Sie sehen, ist Identität heutzutage ein extrem heißes Thema, nicht wahr? Unmengen an Kapital wurden investiert, um dieses Problem zu lösen. Es entwickelt sich weiter, parallel zu KI, NHI und vielen anderen Schlagwörtern in diesem Bereich.
Wie sehen Sie die Strategien der Angreifer und Verteidiger in diesem Zusammenhang? Welche Kernprinzipien werden Ihrer Meinung nach heute noch von Angreifern missbraucht, und welche Strategien spielen dabei eine Rolle?
Aaron Turner:
Schauen wir uns also zunächst die Ökonomie der Identität an, okay? Nehmen wir dazu die Gesamtsumme, die von 1999 bis heute für Firewalls ausgegeben wurde.
Also, bevor ich mich darauf vorbereitete, habe ich grob recherchiert. Sagen wir einfach, in den letzten 25 Jahren wurden 250 Milliarden Dollar für Firewalls ausgegeben, okay? Ähm, wie viel wurde für Identitätsmanagement ausgegeben?
Rob Ainscough:
Ja.
Aaron Turner:
Vielleicht 2 % davon. Also, weit entfernt davon, oder? Ich meine, nur ein Bruchteil davon. Und das lag unter anderem an Microsofts Strategie, … Active Directory zum Markt.
Kaufen Sie sich eine Windows-Serverlizenz, und übrigens, die Identitätsverwaltung gibt's gratis dazu – gratis … inklusive. Und wenn man einen CIO fragt: „Wie sieht Ihre Identitätsstrategie aus?“, dann antwortet er: „Nun, sie ist …“ Active Directory." Also, Active Directory ist keine Identitätsstrategie. Active Directory ist vielleicht ein Authentifizierungssystem.
Es ist keine Plattform für Identitätsmanagement. Aha. Es ist keine Plattform für Berechtigungsmanagement. Es ist keine Föderationsplattform, richtig?
Rob Ainscough:
Mmm.
Aaron Turner:
Aufgrund dieser mangelnden Investitionen befinden wir uns also in einer massiven Schuldenfalle im Bereich Identitätsmanagement im Vergleich zu Firewalls, richtig? Hm. Während Firewalls seit 25 Jahren einen eigenen Budgetposten haben, erhält das Identitätsmanagement jetzt gerade erst einen Budgetposten.
Und so gibt es die Ökonomie der Identität, die die Menschen in eine schwierige Lage gebracht hat. Wenn wir das als grundlegende ökonomische Wahrheit annehmen, müssen wir uns zunächst fragen: „Was werden wir tun, um unsere bestehende Identität aufzubrechen und uns durch digitale Transformation aus dieser Situation zu befreien?“, z. B.: „Werde ich diese Probleme mit der bestehenden Identität durch den Wechsel zu nativen Cloud-Identitäten oder Ähnlichem lösen können?“, oder: „Muss ich meine bestehende Identität nachträglich anpassen, um sie zukunftsfähig zu machen?“
Roy Akerman:
Mmm.
Aaron Turner:
Und so muss diese Entscheidung getroffen werden, und leider können sich die meisten Unternehmen nicht selbst aus dieser Situation befreien, also werden sie in Legacy-orientierte Dinge investieren müssen, um zu sagen: „Okay, was werde ich tun, um 25 Jahre verpfuschter Gruppenrichtlinienobjekte und schlechter – richtig … SCIM-Infrastruktur und all dem, was ich getan habe, zu reparieren?“
Mir wurde, äh, eine meiner Lieblingsfragen gestellt, und zwar von einem sehr erfahrenen Menschen. Active Directory Der Domänenadministrator fragt: „Wie oft haben Sie schon nachgeschaut, wie viele Gruppenrichtlinienobjekte (GPOs) noch vorhanden sind? Wie viele GPOs befinden sich in Active Directory, weil Sie sie nicht bereinigt haben?“
Roy Akerman:
Mmm.
Aaron Turner:
Und in einer Organisation, die AD seit, äh, zwei Jahrzehnten nutzt, gibt es normalerweise Hunderte von ungenutzten Gruppenrichtlinienobjekten (GPOs).
Rob Ainscough:
Ja
Aaron Turner:
Einfach da draußen, und – ja … jemand hat es eingesetzt. Niemand war jemals für die Beseitigung verantwortlich, und das ist …
Rob Ainscough:
latente Schulden. Und das ist wirklich interessant, denn ich denke, um auf Ihren Punkt zurückzukommen, dass Unternehmen, mit denen ich jetzt spreche, irgendwie in der Mitte des Weges stecken bleiben, zwischen der Absicherung und der Modernisierung, richtig?
Ja. Beides ist mit den verfügbaren Tools nicht besonders schnell oder einfach, und man bleibt quasi in der Mitte stecken, wo man denkt: „Okay, vielleicht bin ich in fünf Jahren Cloud-First, ephemer und all diese tollen Dinge, die ich mir wünsche, um die Welt zu verbessern.“ Aber was ist mit den nächsten fünf Jahren, wenn Ihre kritischen Systeme noch laufen? Active Directory?
Was machen wir da eigentlich? Denn das muss man sich schon bewusst machen, oder?
Roy Akerman:
Es handelt sich also um eine Komplexität, die – äh – zu einer Art Schuldenfalle führte, einer architektonischen Schuld, die wiederum zu Verwundbarkeit führte.
Rob Ainscough:
Yep.
Roy Akerman:
Und, und wieder einmal, wie all diese vernachlässigten Dinge, haben uns die GPOs und die „Wenn es nicht kaputt ist, repariere es nicht“-Mentalität und ähnliches in eine Lage gebracht, in der dies eine der angreifbarsten Flächen unserer Zeit ist.
Obwohl wir über eine Technologie sprechen, die 28 entwickelt wurde, und, äh, Entschuldigung, 1998, und die noch jede Menge Zeit hatte, sich selbst zu verbessern.
Aaron Turner:
Nehmen wir also ein Beispiel. Wissen Sie, wenn wir uns die Kill-Chain einer typischen Ransomware-as-a-Service-Situation ansehen – Mm-hmm … okay, also Ransomware-as-a-Service ist, falls Ihnen das nicht geläufig ist, die Sache, bei der es eine Gruppe von Russen gibt, die eine Ransomware-as-a-Service-Plattform eingerichtet haben, und Sie als Franchisenehmer können deren Tools von ihnen kaufen, richtig?
Also, ja, RBAs … die verkaufen einem im Grunde genommen die, äh, Informationsdiebstähle, die, ähm, Werkzeuge für die laterale Bewegung. Es ist wie ein Paket, richtig? Man bekommt diese Werkzeuge. Alle diese Werkzeuge basieren auf einer LSASS-Schwachstelle. Wenn man also an den Stack denkt, der … Active DirectoryDenn wenn sie auf einem ungepatchten Windows-Server auf LSASS zugreifen können, spielt es keine Rolle, ob es sich um einen Domänencontroller handelt.
Rob Ainscough:
Mmm.
Aaron Turner:
LSASS, das 1998 entwickelt wurde, speichert alle Anmeldeinformationen, die jemals auf dem Server verwendet wurden, solange das System gestartet ist. Daher läuft der LSASS-Prozess aufgrund des Fokus auf Verfügbarkeit ununterbrochen. LSASS war jedoch nie für den Dauerbetrieb konzipiert, sondern sollte idealerweise einmal pro Woche gestartet werden.
So nach dem Motto: „Nein, wir aktualisieren das nur“, was auch immer. Was nun passiert, ist Folgendes: Wenn ein Angreifer, beispielsweise eine Ransomware-Gruppe, Zugriff auf einen ungepatchten Windows-Server erlangt und der LSASS-Prozess bereits seit Monaten oder Jahren – oder so lange, wie der Server in Betrieb ist – läuft, sind alle Anmeldeinformationen, die jemals auf diesem System verwendet wurden, vorhanden.
Wow. Und sie können es, und sie bekommen sie alle, und das gibt ihnen die Möglichkeit, sich seitlich zu bewegen und einfach zu denken: „Hmm.“ Und dann, die Ransomware-as-a-Service-Leute, lassen sie diesen LSASS-Prozess ablaufen, und ihre Tools nehmen ihn automatisch, um zu sehen: „Okay, habe ich hier Domänenadministrator-Anmeldeinformationen? Okay, ich habe einen Domänenadministrator.“
Okay, ich werde eine Gruppenrichtlinie verwenden, um meine Verschlüsselungsprogramme bereitzustellen – genau. Ja, ja … und meine Management-Tools bereitzustellen und meine Daten zu exfiltrieren und all das zu tun, was nötig ist.“ Und genau das passiert bei Ransomware-as-a-Service. Sie benötigen keine Fachkenntnisse. Sie verfügen über die Tools, die sie durch ihren Franchisevertrag mit der Ransomware-as-a-Service-Gruppe erhalten.
Roy Akerman:
Mmm.
Aaron Turner:
Das ist also ein Beispiel für LSASS, das 1998 entwickelt wurde – ein Prozess, von dem wir nie annahmen, dass er ewig laufen würde. Hm. Aber da er nun dauerhaft läuft, bleiben all diese Zugangsdaten ungeschützt und sind somit Diebstahl ausgesetzt.
Rob Ainscough:
Mmm.
Roy Akerman:
Und es ist immer noch da. Und ich denke, es wurde auch in die Cloud verlagert, weil wir immer noch versuchen, Konnektivität herzustellen, richtig?
Wir synchronisieren also unsere AD-, äh, äh, Anmeldeinformationen oder - Genau ... Sie wissen schon, mit der Cloud, und wir alle kennen ja diese ganzen Angriffe, nicht wahr?
Rob Ainscough:
Recht.
Roy Akerman:
Ähm, und andere. Es wird also immer weiter hinausgezögert, anstatt endlich eine Lösung zu finden. Ja. Oder, wie du schon sagtest, es bietet vielen Anbietern die Möglichkeit, darauf aufbauend weitere Schutzebenen zu entwickeln.
Rob Ainscough:
Ja. Ich finde das wirklich interessant, denn aus Sicherheitssicht sind wir fast schon ein Opfer des Erfolgs von Active DirectoryStimmt's? Bei den Leuten sind ja offensichtlich alle ihre Windows-Rechner angeschlossen. SQL Server, schließen wir den auch an. Ach, warum verbinden wir Linux nicht gleich mit Active Directory?
Wir haben dieses systemische Risiko aufgebaut, und dann kam die Cloud und sagte: „Hey – lasst uns diese Zugangsdaten synchronisieren, richtig? Lasst uns das einfach machen, richtig?“ Sie ist also ein Opfer ihres eigenen Erfolgs geworden, was uns, wie Sie wissen, im Hinblick auf dieses systemische Risiko für Unternehmen viel angreifbarer macht, richtig?
Aaron Turner:
Viele Organisationen verstehen nicht, was Active Directory wird gerade serviert.
Die denken sich wohl: „Ach, es funktioniert einfach“, oder? Ich weiß nicht, ob es NTLM, NTLMv2, LDAP oder Kerberos ist. Ich weiß nicht, was da tatsächlich zum Einsatz kommt.
Rob Ainscough:
Mmm.
Aaron Turner:
Daher denke ich, dass der erste Schritt für jede Organisation darin besteht, die Erfolgsprotokollierung zu aktivieren. Dies ist allerdings teuer und ressourcenintensiv. Nicht alle Organisationen haben die Erfolgsprotokollierung aktiviert.
Die meisten Organisationen protokollieren Fehler, wenn eine Authentifizierung fehlschlägt. Daher müssen Sie zunächst für eine gewisse Zeit die Erfolgsprotokollierung aktivieren und sicherstellen, dass Sie über ausreichend Speicherplatz verfügen, um alle Erfolgsprotokolle zu speichern.
Rob Ainscough:
Yep.
Aaron Turner:
Und jetzt haben Sie also diese Erfolgsberichte. Dann nutze ich gerne Tools, ähm, Sie wissen schon, kostengünstige Daten- und Analysetools.
Mein Favorit mit Community Edition heißt Gravwell (GRAV wie Victor, WELL). Mit der Community Edition von Gravwell lassen sich die rohen XML-Logs eines Domänencontrollers einlesen und visuelle Force-Directed-Diagramme erstellen, um beispielsweise alle Benutzer anzuzeigen, die aktuell LDAP oder LLM verwenden.
Ich möchte jeden Server sehen, der Kerberos anpingt oder Ähnliches. Und so kann ich diese Bereiche jetzt visuell darstellen, denn wir Menschen brauchen Visualisierung. So entwickeln wir Strategien. Jetzt habe ich also eine Visualisierung, die mir zeigt: „Oh mein Gott, ich wusste gar nicht, dass 1,500 meiner Benutzer auf unverschlüsseltes LDAP angewiesen sind.“
„Das ist schlecht.“ Sozusagen, aber das erfährst du erst, wenn du die Erfolgsprotokollierung aktivierst. Das ist also Schritt eins. Schritt zwei: Jetzt, wo du weißt, was da draußen ist, kannst du die Systeme abschalten, die diese Systeme nutzen. Einer meiner Lieblingstricks ist folgender: Okay, hier sind fünf Server, die LDAP verwenden.
Was machen die denn? Ach so, das ist für so ein Steuer-Compliance-System, das auf einer Access-Datenbank basiert. Okay. Gut, dann nehmen wir die Daten einfach und laden sie auf eine Power Platform hoch, machen sie Cloud-nativ und schalten den Server ab. Jetzt muss ich mir keine Gedanken mehr um LDAP machen, richtig? Ich habe die Fehlerquelle beseitigt und trotzdem die Geschäftsanforderungen erfüllt, weil ich die Access-Datenbank auf der Power Platform betreiben kann.
Ich brauche diesen Server nicht mehr. Wie kann ich also modernisieren, um diese Abhängigkeit zu beseitigen? Und wenn ich diesen Weg eingeschlagen habe, wie kann ich dann eine Art segmentierte Identitätsstrategie entwickeln, um die Cloud-Berechtigungsverwaltung von der lokalen Berechtigungsverwaltung zu trennen?
Ich werde Wissensarbeiter von privilegierten Nutzern trennen. Ich werde diese sinnvolle Segmentierung der Identität vornehmen. Und tatsächlich veröffentlichte die NSA 2020 meiner Meinung nach eines der wichtigsten freigegebenen Dokumente, in dem sie offenlegten, wie sie die Russen aus dem US-Finanzministerium befreiten.
Dies ist also eine detaillierte Schilderung der sechsmonatigen Auseinandersetzung der NSA mit den Russen. Es ist ihnen hoch anzurechnen, dass sie so bescheiden waren, dies zu tun, denn nicht viele würden von sich behaupten: „Hey, wir haben sechs Monate gebraucht, um dieses Chaos zu beseitigen.“ Und genau das haben sie getan, und in dem Dokument erläutern sie, dass das Kernproblem darin bestand, dass das Finanzministerium fünf verschiedene Identitätsebenen nutzte.
Sie hatten ein lokales Active Directory, AD FS zur Synchronisierung mit Entra (damals noch Azure AD), Okta und Duo. Genau, sie hatten also diese fünf verschiedenen Identitätsebenen. Und interessant ist, dass viele sagen: „Ich bin ja schon in die Cloud migriert, weil ich Okta nutze.“
Ich habe noch nie ein Okta-Projekt ohne funktionierende Okta-Projekte gesehen. Active DirectoryJa. Ich habe zum Beispiel noch nie erlebt, dass eine Okta-Kernfunktion von selbst funktioniert.
Rob Ainscough:
Genau das meine ich, es ist das Nervenzentrum, richtig? Es hängt an dieser grundlegenden Sicherheit von Active Directory im Kern.
Aaron Turner:
Ja. Und so, in der NSA-Fallstudie, in der es um die Ereignisse um das Finanzministerium geht, versteckten sich die Russen, weil die NSA ihnen auf die Pelle rückte, und sagen wir, sie rückten ihnen auf die Pelle. Active Directory Anzeichen für einen Kompromiss, und sie würden dorthin gehen, und dann würden die Russen sich für eine Weile in Okta niederlassen und dort vom Land leben.
Dann näherten sie sich in Okta, gingen dann kurz nach Duo. Dort näherten sie sich wieder, gingen dann nach Entra. Und dort näherten sie sich erneut, bevor sie nach AD FS gingen. Im Grunde zogen sie also dorthin, wo es dunkel war – wie Kakerlaken eben. So lebten sie.
Daher meine dringende Empfehlung: Reduzieren Sie Ihre Identitätsverwaltung so weit wie möglich. Vermeiden Sie die Verwendung von … Tatsächlich heißt es in dem NSA-Whitepaper auf Seite drei: „Wer Exchange Online nutzt, ist verrückt, irgendetwas mit Entra Protect zu verwenden.“ Das wird ganz klar gesagt.
Sie sollten den Einsatz von Cloud-Identität streng regeln.
Roy Akerman:
Mhm. Ich denke, die Geschichte klingt plausibel. Allerdings ist Segmentierung wirklich extrem schwierig. Man muss die Ressourcen kennen. Wir müssen die Eigenentwicklungen kennen, also den Kern des Zugriffs, richtig? Ich glaube, selbst das Finanzministerium hatte fünf verschiedene IDPs oder fünf verschiedene Verzeichnisse, die synchronisiert werden mussten. Und jedes davon wurde wahrscheinlich von einer anderen Partei betrieben, richtig?
Aufgrund dieser Komplexität der Segmentierung – hm, wissen Sie, also – einige der Assets oder Ressourcen, auf die wir zugreifen möchten. Ich meine, ich frage mich, ob Sie das nicht auch bei dem großen Einzelhändler festgestellt haben, für den Sie als IM-Leiter gearbeitet haben. Wie viele, äh, Dutzende, äh, Hunderttausende von menschlichen Identitäten, ganz zu schweigen von nicht-menschlichen Identitäten, richtig?
Yeah,
Rob Ainscough:
Absolut. Ich glaube, das Unternehmen hat 400,000 Mitarbeiter. Ja. Äh, wissen Sie, irgendwo zwischen 400.000 und 500,000 – also … je nach Jahreszeit, also riesig …
Roy Akerman:
Eine Segmentierung, ja, Segmentierung ist ein Schimpfwort, oder geht das tatsächlich?
Rob Ainscough:
Ich denke, es ist machbar. Es gibt, glaube ich, zwei wichtige Dinge. Zum einen braucht es einen Mentalitätswandel hinsichtlich der Funktion von Identität, und dass es nicht nur darum geht, Konten zu schützen oder MFA einzuführen, richtig?
Sie sind hier, um das zu schützen, was Ihrem Unternehmen wichtig ist. Und wie Sie schon sagten, ist es entscheidend zu verstehen, was wichtig ist, wie die Authentifizierungs- und Zugriffsprozesse aussehen und welche Regeln dafür gelten. Aber die Technologie, die Sie dabei wirklich unterstützt, ist unerlässlich.
Das ist in diesem Umfang nicht einfach. Angesichts dieser Fragmentierung und Komplexität ist es nicht leicht. Aber ich denke, der erste Schritt ist, so zu denken und sich dann ein Gesamtbild zu verschaffen, um zu verstehen, was vor sich geht. Darauf aufbauend kann man dann den nächsten Schritt wagen. Denn alles und überall gleichzeitig zu schützen, ist unmöglich. Aber man kann wichtige Schritte unternehmen, um das zu schützen, was für das eigene Unternehmen wirklich zählt.
Aaron Turner:
Also brauchst du
Roy Akerman:
die sehen
Rob Ainscough:
gesamten Wald
Aaron Turner:
bevor
Rob Ainscough:
Du tust genau das – ja.
Roy Akerman:
Genau.
Rob Ainscough:
Und
Roy Akerman:
dann Sie
Aaron Turner:
Die richtigen Kontrollen durchführen.
Roy Akerman:
Welche Lehren können unsere Anhänger daraus ziehen, A) aus der Art und Weise, wie Kartelle Technologie nutzen, um ihre, äh, flexiblen Operationen durchzuführen, und B) aus der anderen Seite, wie die Identität manipuliert, kompromittiert, verdoppelt werden kann, wenn es um die Strafverfolgungsbehörden geht?
Ja, es sieht so aus, als würden wir hier eine richtig interessante Episode aufbauen. Interessant.
Rob Ainscough:
Das war’s für diese Folge von Identity Decoded.
Aaron Turner:
Falls dieses Gespräch Ihre Sichtweise auf Identitätssicherheit verändert hat, teilen Sie es einer Person mit, die in diesem Bereich arbeitet.
Roy Akerman:
durch die gleichen Herausforderungen.
Rob Ainscough:
Und vergesst nicht, die Sendung zu verfolgen, damit ihr nichts verpasst!
nächsten.
