So operationalisieren Sie Active-Directory-Domain-Services-Baselines über alle Kunden hinweg

Ähnlich wie eine Azure-AD-Sicherheitsbaseline legt eine solide Baseline für Active Directory Domain Services (AD DS) die Richtlinien und Vorgehensweisen in On-Prem-Umgebungen fest. Das stärkt Ihre Sicherheitslage, doch die Umsetzung in allen On-Prem-Domänen erfordert ein strukturiertes Vorgehen.

Entwickeln Sie ein skalierbares Framework für AD-DS-Sicherheit. Dieser Artikel erklärt, wie Sie Active-Directory-(AD-)Baselines mit Funktionen zur Fernwartung und -Verwaltung (RMM) sicher im großen Maßstab ausrollen.

Eine visuelle Schritt-für-Schritt-Anleitung finden Sie in unserem Video: So operationalisieren Sie Active-Directory-Domain-Services-Baselines über alle Kunden hinweg.

Ein skalierbares Framework für AD-DS-Sicherheit aufbauen

Ihre AD-DS-Baseline definiert, wie Passwörter, Benutzeranmeldungen, Protokolle und erweiterte Berechtigungen im lokalen Active Directory konfiguriert sein müssen. So stellen Sie AD-DS-Baselines mit Unterstützung durch RMM bereit und pflegen sie:

📌 Voraussetzungen:

• Administrativer Zugriff auf die Domäne(n) oder delegierte Organisationseinheiten (OUs)
• Windows 11 Pro, Education oder Enterprise
• PowerShell (5.1+) mit AD- und GPO-Modulen, RSAT-Tools
• Eine definierte Baseline (z. B. von Microsoft empfohlene Standardwerte, CIS-Benchmarks oder eine hybride, individuelle Baseline)
• Zentralisiertes Logging bzw. zentrale Ereigniserfassung (Windows-Ereignisweiterleitung, SIEM, RMM)
• Eine Plattform für Automatisierung oder Skript-Bereitstellung (z. B. NinjaOne oder vergleichbar)

Schritt 1: Ein Baseline-Framework etablieren

Beginnen Sie mit einer klar definierten AD-DS-Sicherheitsbaseline auf Grundlage verlässlicher Quellen (z. B. Microsoft Security Compliance Toolkit, CISA-AD-DS-Benchmarks usw.). Darin sollten Richtlinien zu Passworterstellung, Anmeldungen, GPOs, Auditierung und privilegiertem Zugriff festgehalten sein.

Microsoft empfiehlt Sicherheitsbaselines, die Ihre Kriterien mit internen Risiken und externen Standards in Einklang bringen, etwa CIS (Center for Internet Security) und NIST (National Institute of Standards and Technology).

Ihre Baseline sollte Folgendes regeln:

• Passwörter und Kontosperrung
• Kerberos-Richtlinien
• Einschränkungen für Legacy-Protokolle
• Modell für privilegierten Zugriff
• AD-DS-Auditierung
• Hardening der Domain-Controller

Darüber hinaus sind das Erkennen von Compliance-Abweichungen und das Festhalten des Soll-Zustands Ihrer Baseline entscheidend für eine proaktive Verwaltung. NinjaOne RMM ermöglicht beides über sein zentrales Dashboard und eine sichere IT-Dokumentation, alles sichtbar über eine einheitliche Benutzeroberfläche.

Schritt 2: Durchsetzung der Baseline automatisieren

Nachdem Sie Ihre Sicherheitsbaseline umrissen haben, müssen Sie die Konfigurationen in allen Kundendomänen durchsetzen und laufend überprüfen. Dafür gibt es in der Regel zwei Wege: modulare Skripte oder Änderungen per Gruppenrichtlinie.

Durchsetzungsmodule in PowerShell

Hier einige Beispiele, wie Sie Ihre AD-DS-Sicherheitsbaseline per PowerShell durchsetzen.

📌 Anwendungsfälle: Bereitstellung Ihrer Sicherheitsbaseline für das lokale Active Directory auf mehreren Systemen.

📌 Voraussetzungen: Administrative Berechtigungen, Domänenadministratorrechte, PowerShell 5.1 oder neuer, Active-Directory-Modul.

1. Drücken Sie Win + R, geben Sie PowerShell ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Führen Sie Folgendes aus, um Schwellenwerte für Kontosperrungen und Passwörter festzulegen:

Set-ADDefaultDomainPasswordPolicy -MinPasswordLength 14 -LockoutThreshold 5 -MaxPasswordAge (New-TimeSpan -Days 60)

3. Führen Sie Folgendes aus, um das Legacy-Protokoll SMBv1 zu deaktivieren:

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

4. Führen Sie Folgendes aus, um anonymen Zugriff zu deaktivieren und sensible Daten zu schützen:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RestrictAnonymous" -Value 1

5. Führen Sie Folgendes aus, um gestufte Admin-Gruppen anzulegen und das Least-Privilege-Prinzip durchzusetzen:

New-ADGroup -Name "Tier0-Admins" -GroupScope Global -Path "OU=Privileged,DC=domain,DC=com"

🥷🏻| Nutzen Sie vorgefertigte, individuell anpassbare Skripte, um Workflows rund um Sicherheitsrichtlinien-Baselines zu verschlanken. Entdecken Sie hier den Skript-Hub von NinjaOne.

Gruppenrichtlinienobjekte für dauerhafte Kontrollen nutzen

Gruppenrichtlinienobjekte (GPOs) sind unverzichtbare Werkzeuge, um eine strikte Sicherheitsbaseline umzusetzen, von einzelnen Systemen bis hin zu ganzen Kundenumgebungen. Anders als PowerShell-Skripte sorgen GPOs dafür, dass Ihre Konfigurationen auch nach Neustarts oder Richtlinienaktualisierungen erhalten bleiben.

So stellen Sie AD-DS-Sicherheitsbaselines per GPO zentral in On-Prem-Umgebungen bereit:

1. Drücken Sie Win + R, geben Sie gpmc.msc ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Erstellen Sie ein neues Gruppenrichtlinienobjekt für Ihre AD-DS-Sicherheitsbaseline.
3. Verknüpfen Sie das neue GPO mit der Organisationseinheit (OU) des Domain-Controllers.
4. Konfigurieren Sie die Kontorichtlinien, deaktivieren Sie Legacy-Protokolle und wählen Sie Überwachungsrichtlinien, die das Least-Privilege-Prinzip in den Vordergrund stellen.
   1. Geräte unterhalb dieses DCs erben Ihre Baseline-Konfigurationen hierarchisch.

🥷🏻| Nutzen Sie die richtlinienbasierten Automatisierungs-Workflows von NinjaOne, um Protokolle mit halbem Risiko zu verbessern. Erfahren Sie hier, wie NinjaOne-Richtlinien Aufgaben vereinfachen.

Schritt 3: Laufende Validierung und Erkennung von Abweichungen

Eine kontinuierliche Überprüfung Ihrer Einstellungen ist entscheidend, um Abweichungen von Ihrer AD-DS-Sicherheitsbaseline zu verhindern. Dieser „Drift“ kann entstehen, wenn Patches fehlerhaft angewendet oder Einstellungen manuell geändert werden, weshalb eine Überwachung rund um die Uhr nötig ist.

Health-Audits per PowerShell

So vergleichen Sie Ihre AD-DS-Sicherheitsbaseline mit dem aktuellen Zustand, um mögliche Abweichungen zu erkennen:

📌 Anwendungsfälle: Vergleich Ihrer aktuellen Sicherheitsbaseline mit den erwarteten Konfigurationen.

📌 Voraussetzungen: PowerShell 5.1 oder neuer, administrative Berechtigungen.

1. Drücken Sie Win + R, geben Sie PowerShell ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Notieren Sie den vollständigen Dateipfad der Textdatei Ihrer Soll-Baseline (z. B. C:\Baseline\expected-config.txt).
3. Führen Sie Folgendes aus, um die Baselines zu vergleichen und Abweichungen zu erkennen:

$baseline = Get-Content „<expectedConfigFilepath>„

$liveConfig = Get-Content „<actualConfigFilepath>„

Compare-Object -ReferenceObject $baseline -DifferenceObject $liveConfig

Ersetzen Sie <expectedConfigFilepath> durch den Dateipfad Ihrer tatsächlichen Soll-Baseline-Datei.

Ersetzen Sie <actualConfigFilepath> durch den Dateipfad Ihrer aktuellen Baseline-Datei.

4. Markieren Sie Folgendes:
   1. GPO-Änderungen
   2. Registry-Änderungen
   3. Abweichungen bei privilegierten Gruppen
   4. Änderungen an der Domänenkonfiguration

5. Nutzen Sie die Aufgabenplanung, um dieses Skript im großen Maßstab wöchentlich oder monatlich auszuführen.

Regelmäßige und bedarfsgerechte Berichterstattung

Erkenntnisse zu Compliance-Abweichungen und Änderungen an der Baseline sollten in Governance-Reviews behandelt werden. Nehmen Sie Folgendes in Ihre Berichte auf, damit die Kommunikation zwischen Ihrem Team und Ihren Kunden offen bleibt:

• Abdeckungsgrad: Wie viele Ihrer aktuellen Einstellungen mit der Baseline übereinstimmen.
• Entwicklungen: Trends seit dem vorherigen Audit.
• Nächste Schritte: Behebung bei nicht konformen Systemen.

Schritt 4: Ausgelöste Baseline-Prüfungen (ereignisgesteuert)

Bei verdächtigen Systemereignissen und risikoreichen Änderungen müssen Baselines in Echtzeit erneut validiert werden, um die Compliance zu wahren. Richten Sie dafür Auslöser ein, die Audits starten, sobald Rollen zu schnell erhöht werden oder in Echtzeit zu viele Passwortfehler erkannt werden.

📌 Anwendungsfälle: Umsetzung ereignisgesteuerter Prüfungen.

📌 Voraussetzungen: Gruppenrichtlinienverwaltungskonsole, administrative Berechtigungen.

1. Drücken Sie Win + R, geben Sie PowerShell ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Öffnen Sie die Aufgabenplanung.
3. Legen Sie fest, dass ein PowerShell-Skript ausgeführt wird, sobald eine bestimmte Ereignis-ID im Sicherheitsprotokoll erkannt wird.
   1. Auslöser: Ereignis-ID 4625.
   2. Aktion: Ein Skript ausführen, das die Baseline-Compliance prüft.
4. Verwenden Sie dieses Skript, um die AD-DS-Compliance zu überprüfen:

$baseline = Get-Content „<expectedConfigFilepath>„

$liveConfig = Get-Content „<actualConfigFilepath>„

Compare-Object -ReferenceObject $baseline -DifferenceObject $liveConfig

Ersetzen Sie <expectedConfigFilepath> durch den Dateipfad Ihrer tatsächlichen Soll-Baseline-Datei.

Ersetzen Sie <actualConfigFilepath> durch den Dateipfad Ihrer aktuellen Baseline-Datei.

Lassen Sie Prüfungen Ihrer AD-DS-Sicherheitsbaseline automatisiert laufen bei:

• Ereignis-ID 4625 – fehlgeschlagene Anmeldung
• Ereignis-ID 4672 – Admin-Anmeldung
• Ereignis-ID 4728–4729, Änderung der Gruppenmitgliedschaft
• Ereignis-ID 1102 – Überwachungsprotokoll gelöscht

Schritt 5: Änderungskontrolle und Dokumentation

Das Hardening der AD-DS-Sicherheit ist ein iterativer Prozess mit laufender Optimierung. Automatisierung verschlankt zwar Ihren Workflow, doch erst das Protokollieren von Abweichungen sorgt dafür, dass sich dieselben Fehler nicht wiederholen.

Dokumentieren Sie jede Abweichung von der Baseline, was sich seit dem letzten Audit geändert hat, wer für die Behebung verantwortlich ist sowie Datum und Uhrzeit der Lösung. Benennen Sie Ihre Aufzeichnungen einheitlich (z. B. ADDS-Hardening-[Kundenname]-[JJJJMMTT]-v1) und bewahren Sie Validierungsberichte auf, um Trends über die Zeit zu verfolgen.

Verknüpfen Sie Ihre Dokumentation schließlich mit relevanten Tickets in RMM-Plattformen, um Lösungszeiten zu verkürzen. Diese binden PSA-Funktionen (Professional Services Automation) ein und vereinfachen die AD-DS-Bereitschaft zusätzlich.

So verbessert die Integration von NinjaOne die AD-DS-Sicherheit

NinjaOne bringt nicht nur eine eigene Planungs-Engine mit, sondern automatisiert auch Berichte und Diagramme im All-in-one-Dashboard, damit wichtige Projekte schneller vorankommen. So vereinfacht die Integration von NinjaOne die Entwicklung einer AD-DS-Sicherheitsbaseline:

Heben Sie Ihre AD-DS-Baseline mit RMM auf das nächste Level

Eine operationalisierte AD-DS-Sicherheit umfasst gehärtete Sicherheitskriterien, Automatisierungspläne und eine langfristige Nachverfolgung. So können Sie sich auf einen nachhaltigen Kundenschutz konzentrieren, der die Einhaltung von SLAs und eine sofortige Behebung von Abweichungen sicherstellt, insbesondere mit hoch bewerteten Endpunkt-Management-Lösungen, die eine Steuerung ganz ohne manuellen Aufwand ermöglichen.

Verwandte Themen:

• Endpunkt-Hardening für MSPs per Skript: CIS-Benchmarks mit PowerShell
• So erstellen und erzwingen MSPs betriebssystemspezifische Checklisten für Endpunkt-Hardening
• Was ist Gruppenrichtlinie in Active Directory?