Da Microsoft keine Schnittstellen für Identitäts-Backups zur Verfügung stellt, haben Entra-ID-Backup-Tools Probleme nach einem Hackerangriff. Mit einer Active-Directory-spezifischen Backup-Lösung ist die Arbeitsfähigkeit des Unternehmens schnellstmöglich wiederhergestellt, da alle Identitäten und deren Berechtigungen zu den Geschäftsdaten und Applikationen erhalten bleiben.

Vor gut dreißig Jahren, nach dem Erfolg der Client-Betriebssysteme Windows 3.x und Windows 95, wurde Microsoft belächelt, als es in den Enterprise-Markt mit Servern und Verzeichnisdiensten einsteigen wollte. Die IT-Bereiche – und vor allem die Identitätssysteme – waren damals noch stark segmentiert, da sich die Anwender im eigenen Unternehmen immer wieder aufs Neue mit separaten Kennungen anmelden mussten, um auf unterschiedliche Geschäftsanwendungen zugreifen zu können. Mit der Zunahme digitalisierter Geschäftsprozesse wuchs der Aufwand, die jeweiligen digitalen Identitäten aller Mitarbeitenden effizient zu verwalten.

Als Microsoft damals das Domänen-Modell durch -Windows NT einführte, trafen die Redmonder den Puls der Zeit. Das Modell verband die Client- und Server-Welt wie keine andere Lösung zuvor. Der Begriff »Windows-integriert« bezieht sich seitdem auf die Eigenschaft, dass Geschäftsanwendungen die zentral verwalteten Microsoft-Identitäten verwenden, statt eigene Nutzerverzeichnisse zu verwalten. Die lang ersehnte »Single-Sign-On«-Funktion wurde Realität; mit der Anmeldung am Computer in der Windows-Domäne des Unternehmens konnte der Mitarbeiter auf alle ihm zugeordneten Daten und Geschäftsapplikationen zugreifen. Spätestens mit dem Erfolg von Microsoft Exchange als E-Mail-Kommunikationsplattform und dessen Abhängigkeit von Windows NT haben sich die Microsoft-Identitäten in den meisten Unternehmen etabliert.

Azure Active Directory wird Entra ID. Die Identitätszentralisierung profitierte zudem von der Einführung des Microsoft-Active-Directory-Verzeichnisdienstes mit Windows Server 2000. Mittels Active Directory (AD) ließen sich mehrere Domänen in eine AD-Gesamtstruktur zusammenführen, so dass Enterprise-Unternehmen weltweit ein zentrales, globales Identitätssystem für ihre IT-Prozesse etablieren konnten.

Aufgrund der erfolgreichen Exchange-E-Mail-Dienste sowie deren Erweiterung als Teil von Office 365 in die Microsoft Azure Cloud, erfuhr das Cloud-Identitätssystem die nötige Akzeptanz.

Die lange Zeit gültige Bezeichnung »Azure Active Directory« (AAD) sollte Vertrautheit schaffen, obwohl es mit dem On-Premises-Active-Directory technologisch wenig gemeinsam hatte. Erst kürzlich wurde es dann zu Microsoft Entra ID umbenannt.

Dennoch war das Ziel erreicht: Microsoft hat sich nun seit einigen Jahren sowohl in der On-Prem- als auch in der Cloud-Welt als Standard für den zentralen Verzeichnisdienst aller Identitäten eines Unternehmens etabliert. Egal, ob sich Mitarbeitende im Büro oder von unterwegs an einem Firmencomputer anmelden, sie nutzten dabei nahezu ausschließlich eine Microsoft-Identität – entweder aus dem On-Prem-AD oder über die synchronisierte Cloud-Identität im Entra-Tenant.

Abbildung 1: Integration von AD- und Entra-ID-Objekten in die Berechtigungsstruktur.

Verzahnung von Microsoft AD und Entra ID. Beide Dienste wurden so eng miteinander verzahnt, dass sich jedoch ein mögliches Problem des einen Dienstes auch auf den anderen auswirken kann. In der Regel ist das On-Prem-AD immer noch das führende Identitätssystem, da hier neue Benutzer angelegt werden, die eine entsprechend eindeutige Sicherheits-ID (SID) bekommen, um direkten oder Gruppenzugriff auf die Daten und Geschäftsanwendungen zu erhalten. Meistens dient eine weitere weltweit eindeutige ID, die GUID, als Bindeglied zu den synchronisierten Cloud-Identitäten im eigenen Entra-Tenant. In der Cloud übernimmt die eindeutige Objekt-ID (OID) von Benutzern und deren Gruppen die Aufgabe, die Zugriffe auf die Geschäftsdaten und Applikationen zu gewähren. Abbildung 1 zeigt diese Abhängigkeit beider Dienste.

Die Verzeichnisdienste müssen gut gesichert sein. Die große Akzeptanz zentralisierter IT-Identitäten eines Unternehmens, die eine wichtige Voraussetzung für die Globalisierung verschiedenster Geschäftsprozesse darstellt, birgt auch Risiken. Diesen Umstand haben Cyberkriminelle längst für sich entdeckt. Ist das Active Directory oder der Entra-ID-Tenant eines Unternehmens erfolgreich attackiert, steht den Kriminellen die Tür zum Unternehmen weit offen.

In diesem Bewusstsein schuf das Analystenhaus Gartner im Jahr 2022 schließlich eine neue Kategorie: Identity Threat Detection and Response (ITDR). Die drastische Zunahme von Ransomware-Angriffen, die die komplette Infrastruktur von Unternehmen samt Verzeichnisdiensten verschlüsselt, ließ diese Kategorie notwendig werden. Unternehmen, die ihre Identitäten nicht schützen und nach einem erfolgreichen Angriff oder einer Zerstörung diese nicht wiederherstellen können, handeln fahrlässig. Die Folge ist eine komplette Handlungsunfähigkeit.

Ungleiche Reife der Microsoft-Verzeichnisdienste bei Disaster-Recovery-Funktionen. Microsoft hat es versäumt, seinen »Recycle Bin« zur Wiederherstellung der AD-Gesamtstruktur weiter zu verbessern. Allein mit den Windows-Tools bleibt dies ein sehr komplexer und fehleranfälliger Prozess.

Microsoft überlässt es Drittanbietern, diese Lücke zu schließen. So können AD-spezifische Backup-Lösungen einerseits die Wiederherstellbarkeit der AD-Gesamtstruktur mittels vollautomatisierter Prozesse deutlich reduzieren. Zum anderen stellen sie sicher, dass sich mögliche Malware auf Servern des Verzeichnisdienstes nicht durch die Wiederherstellung der Backups auf die Zielsysteme überträgt.

Mit einer AD-spezifischen Backup-Lösung ist die Arbeitsfähigkeit des Unternehmens schnellstmöglich wiederhergestellt, da alle Identitäten und deren Berechtigungen zu den Geschäftsdaten und Applikationen erhalten bleiben.

Absicherung nach dem Shared-Responsibility-Modell. In der Microsoft-Cloud ist die Situation komplizierter. Zwar macht die strikte Trennung des Kerndienstes der Microsoft-Cloud von den eigenen Unternehmensdaten einen Angriff auf den kompletten Entra-ID-Service von Microsoft sehr unwahrscheinlich. Jedoch bedeutet diese Trennung auch, dass Microsoft nur für die Bereitstellung und die Verfügbarkeit des Kernservices sorgt. Die Daten, also die eigenen Firmen-Identitäten sowie die dazugehörige Konfiguration, bleiben in der Verantwortung des Unternehmens.

Auch wenn die meisten Cyberangriffe eher die lokale Infrastruktur lahmlegen und damit auch das Active Directory, gibt es ebenso Fälle, wo die Angriffe auch den dazugehörigen Entra-ID-Tenant betreffen. Die Angreifer können dann zwar nicht den Entra-Dienst stoppen, aber diverse Unternehmensidentitäten löschen. Die Verantwortung hierfür liegt in der Hand des Unternehmens, wie Abbildung 2 von Microsoft verdeutlicht.

Abbildung 2: Modell der geteilten Verantwortung in der Cloud
(https://learn.microsoft.com/de-de/entra/architecture/recoverability-overview)

Keine funktionierenden Schnittstellen von Microsoft. Immerhin lassen sich Konfigurationen von Entra ID per Skript oder mit professionellen Lösungen sichern und wiederherstellen. Jedoch sind die Sicherung und Wiederherstellung der Cloud-Identitäten – also insbesondere der eigenen Entra-ID-Benutzer sowie der dazugehörigen Gruppen – momentan nur teilweise möglich, da Microsoft noch keine funktionierenden Schnittstellen bereitstellt.

Löscht ein Angreifer nun mutwillig die Cloud-Identitäten eines Unternehmens derart, dass diese nicht im »Recycle Bin« landen, dann können die Backup-Lösungen heutzutage die gesicherten Identitäten nur zur Erstellung entsprechend neuer Cloud-Objekte verwenden. Diese neuen Objekte bekommen folglich eine neue ID, beziehungsweise eine neue Objekt-ID. Wie zuvor erläutert, basieren alle Zugriffsrechte auf die unternehmerischen Cloud-Daten und -Applikationen auf den alten OIDs.

Es bleibt somit auch nach der Wiederherstellung beziehungsweise Neuerstellung der eigenen Unternehmensidentitäten in Entra ID noch sehr viel zeitintensive Arbeit zu tun, bis es in der Cloud wieder rund läuft – je nach Firmengröße kann es sich um Wochen oder gar Monate handeln. Hier ist Microsoft unbedingt gefordert, nachzubessern. Professionelle Entra-ID-Backup-Tools helfen, den Schmerz zu lindern, können aber mangels Schnittstellen für Identitäts-Backup nicht mit den ausgereiften Lösungen eines AD-spezifischen Backups mithalten.

Guido Grillenmeier,
Principal Technologist
bei Semperis

Illustration: © Rade Kolbas | Dreamstime.com

442 Artikel zu „Backup Recovery „

News | Favoriten der Redaktion | IT-Security | Ausgabe 1-2-2022 | Security Spezial 1-2-2022

Cyber Recovery und agiles Backup Recovery – Im Doppel gegen Ransomware

1. März 2022

Der Schutz vor Ransomware sollte zu den Top-Themen in Unternehmen gehören. Denn laut Experten erreichte der Schaden in Deutschland zuletzt die jährliche Summe von 223 Milliarden Euro. Die gesamte Wirtschaft ist gefährdet. Das weiß Bitkom-Präsident Achim Berg zu bestätigen: »So hoch wie in den Jahren 2020 und 2021 waren die Schäden noch nie.« Berg nannte die Wucht, mit der Ransomware-Angriffe die Wirtschaft erschüttern »besorgniserregend« [1].

Guido Grillenmeier, Principal Technologist bei Semperis

442 Artikel zu „Backup Recovery „

Guido Grillenmeier,
Principal Technologist
bei Semperis