Schlüsselpunkte
- Passwort-Blacklisting verhindert Spraying-Angriffe: Indem bekannte, wiederverwendete und unternehmensspezifische Passwörter gesperrt werden, wird die Durchführung von Password-Spraying-Angriffen erheblich erschwert.
- Active Directory kann benutzerdefinierte Passwörter nicht von sich aus blockieren: Das lokal installierte Active Directory unterstützt ohne zusätzliche Hilfe keine benutzerdefinierten Listen mit gesperrten Passwörtern.
- Entra ID kann Regeln durchsetzen, ohne Eigentümer der Liste zu sein: Microsoft Entra ID kann unzulässige Passwörter blockieren, während Unternehmen weiterhin die Kontrolle darüber behalten, welche Passwörter auf der Liste stehen.
- Eine eigene Liste zu führen verhindert eine Abhängigkeit von einzelnen Tools: Eine eigene Blacklist ermöglicht die plattformübergreifende Wiederverwendung und verhindert gleichzeitig die Abhängigkeit von einem einzigen Sicherheitsprodukt.
- Schwarze Listen funktionieren am besten als Teil eines betrieblichen Prozesses: Durch die Überwachung abgelehnter Passwörter, die Aktivierung von Passwortzurücksetzungen per Self-Service und die Aktualisierung der Listen nach Vorfällen bleibt das System langfristig effektiv.
Mit der richtigen Kombination von Tools ist es möglich, zu lernen, wie man eine Passwort-Blacklist für Active Directory erstellt und implementiert. Dieser Leitfaden erklärt, wie Sie eine Liste gesperrter Passwörter erstellen können, die verhindert, dass Ihre Benutzer:innen leicht erratbare, gebräuchliche oder bereits kompromittierte Passwörter verwenden.
Was ist ein Password-Spraying-Angriff?
Die Erstellung einer Passwort-Blacklist oder eines Filters, der verhindert, dass Benutzer:innen gesperrte Passwörter verwenden, trägt dazu bei, Ihr Unternehmen vor Passwort-Spraying-Angriffen zu schützen. Bei diesen Angriffen werden häufig verwendete oder leicht zu erratende Passwörter sowie Passwörter ausprobiert, die zuvor bei einem Datenleck offengelegt wurden. Angreifer könnten versuchen, auf mehrere verbundene Konten zuzugreifen, die Active-Directory-Anmeldeinformationen für verschiedene Cloud-Dienste oder privat gehostete Dienste verwenden.
Eine eigene, speziell auf Ihr Unternehmen zugeschnittene Sperrliste für Passwörter geht dabei über allgemeine Listen hinaus: So können Sie beispielsweise verhindern, dass der Name oder die Adresse Ihres Unternehmens in Passwörtern verwendet wird, und zugleich Passwörter sperren, die nachweislich bereits kompromittiert, offengelegt oder weitergegeben wurden, etwa wenn Beschäftigte Benutzerkonten gemeinsam nutzen.
So erstellen Sie eine Passwort-Blacklist in Active Directory
Active Directory, das auf Windows-Domain-Controllern gehostet wird, unterstützt von sich aus keine benutzerdefinierten Passwort-Sperrlisten. Zwar haben Produkte von Drittanbietern diese Rolle traditionell übernommen, doch führt dies zu einer Bindung an einen bestimmten Anbieter. Microsoft Entra ID entwickelt sich aufgrund seiner engen Integration mit Microsoft 365 und seiner verbesserten cloudbasierten Verwaltungstools schnell zur bevorzugten Lösung für die Verwaltung der Unternehmensauthentifizierung mit Active Directory und hat nun eine Funktion zur Sperrung von Passwörtern eingeführt.
Durch die Nutzung von Microsoft Entra Hybrid Join zur Verbindung Ihres lokalen Active Directory mit Microsoft Entra ID werden Geräte und Benutzer:innen zwischen beiden Diensten synchronisiert, und Sie können die zusätzlichen Funktionen von Entra ID benutzen. Dazu gehören ein benutzerdefinierter Passwortschutz sowie die Möglichkeit, eigene Listen mit gesperrten Passwörtern zu definieren, wenn Sie den erforderlichen Agenten auf Ihren Domain-Controllern installieren. Darüber hinaus sollten Sie die Passwort-Rückübertragung aktivieren, um Passwortänderungen von Entra ID in Ihre Active Directory-Infrastruktur zu synchronisieren.
Vermeidung von Anbieterbindung durch die Führung einer eigenen Passwortliste
Möglicherweise müssen Sie Ihre Passwort-Blacklist auch auf anderen Plattformen außerhalb von Active Directory oder des Microsoft-Ökosystems verwenden. Daher ist es wichtig, eine eigene Kopie zu führen, damit diese jederzeit zur Verfügung steht. Dies können Sie über Ihre IT-Dokumentationsplattform erledigen.
Es ist unbedingt erforderlich, dass Ihre Passwort-Blacklist durch Verschlüsselung und Zugriffskontrolle geschützt wird, da sie Angreifern wichtige Hinweise auf Passwörter liefern könnte, die sie bei einem Password-Spraying-Angriff ausprobieren könnten. Stellen Sie sicher, dass die von Ihnen gewählte IT-Dokumentationsplattform umfassende Sicherheitsfunktionen sowie rollenbasierte Zugriffsrechte unterstützt und das Hochladen verschlüsselter Dateien ermöglicht, sodass nur diejenigen Techniker:innen Zugriff zum Lesen und Aktualisieren von Blacklists haben, die diesen benötigen.
Entwicklung einer Strategie für eine Passwort-Blacklist in Active Directory
Bei der Entscheidung, welche Passwörter in Ihre Liste der unzulässigen Passwörter aufgenommen werden sollen, berücksichtigen Sie Folgendes:
- Geknackte, häufig verwendete, leicht zu erratende Passwörter sowie triviale Varianten davon (wie das Anhängen einer fortlaufenden Nummer oder eines Datums). Beispiele hierfür sind Firmen- oder Markennamen sowie lokale Umgangssprache.
- Konzentrieren Sie sich auf die für Ihre Umgebung spezifischen, anfälligen Passwörter: Verzichten Sie dabei auf gängige Begriffe wie „Passwort“, da solche Dictionary-Angriffe bereits durch Ihren Authentifizierungsanbieter beziehungsweise Ihre Passwortkomplexitätsrichtlinie abgedeckt sein sollten, denn der Versuch, jedes erdenkliche schwache Passwort manuell zu verwalten, ist ein von vornherein unmögliches Unterfangen.
- Passwortlisten zur besseren Verwaltbarkeit normalisieren und duplizierte Einträge entfernen
Sie sollten Ihre Passwortliste regelmäßig überprüfen, insbesondere nach einem Sicherheitsvorfall, um sicherzustellen, dass sämtliche offengelegten Passwörter berücksichtigt werden.
So stellen Sie sicher, dass Ihre Active-Directory-Blacklist für Passwörter wirksam ist
Benutzer sollten dazu ermutigt werden, Passwort-Zurücksetzungen eigenständig über die Weboberfläche von Entra ID vorzunehmen, damit ihre Passwörter möglichst zeitnah über alle föderierten Dienste hinweg aktualisiert werden. Sollte bekannt werden, dass ein leicht zu erratendes Passwort von mehreren Benutzer:innen verwendet wird, ein Sicherheitsvorfall aufgetreten ist oder Benutzerkonten gemeinsam genutzt werden, sollten nach der Aktualisierung der Passwort-Sperrliste verpflichtende Passwort-Zurücksetzungen veranlasst werden, um sicherzustellen, dass sämtliche Konten fortan neue, sichere Passwörter verwenden.
Microsoft Entra ID ermöglicht es Ihnen, abgelehnte Passwortversuche zu überwachen. Diese Funktion lässt sich mit Ihrer RMM-Lösung (Remote Monitoring and Management) kombinieren, um Benutzer zu identifizieren, die Schwierigkeiten haben, ein neues Passwort festzulegen, sodass ein Support-Techniker proaktiv auf sie zugehen kann. Halten Sie Ihr Helpdesk-Personal stets über geltende Passwortrichtlinien und deren Änderungen auf dem Laufenden, damit es Benutzer:innen rasch und kompetent weiterhelfen kann.
Password-Spraying-Angriffe überwachen und Passwort-Sperrlisten absichern mit NinjaOne
Die Suite der IT-Management-Tools von NinjaOne lässt sich sowohl mit lokalen Windows-Bereitstellungen als auch mit Microsoft-365- und Azure-Tools wie Entra ID sowie mit Plattformen für Endpunktschutz und Sicherheit integrieren. Dazu zählen RMM-, MDM- und Endpunktsicherheitslösungen ebenso wie Helpdesk- und Dokumentationsplattformen. So verfügen Sie über alles Notwendige, um die Erkennung und Blockierung von Password-Spraying-Angriffen zu automatisieren und zu überwachen, Passwort-Sperrlisten sicher zu dokumentieren und Benutzer fortlaufend über geltende Passwortrichtlinien zu informieren.
