Praxisworkshop | Active Directory Security

Ziel
In diesem Workshop zeigen wir Ihnen, wie wichtig es ist, Ihr Active Directory zu schützen. Sie erlernen, diverse Angriffsszenarien zu verstehen und sie zu verhindern und eine Active-Directory-Implementierung umzusetzen, die diesen Angriffen standhält.
Inhalt

EXAM

4 Tage

Einführung und Best Practices zur Installation von Domänencontrollern
Hausgemachte Sicherheitsprobleme in Active Directory
- Kerberos verstehen
- NTLM vs. Kerberos
- SMB (Versionen, Angriffsszenarien, sicherer Einsatz)
- PAC-Validation und die Probleme mit der Microsoft-Implementierung von Kerberos
- PTH - Pass the Hash/Silver Ticket/Golden Ticket/Skeleton Key
Kerberos Ticket Service
- Kerberos-Passwörter ändern
Credential-Thefting verhindern
- Angriffsszenarien (PTH - Pass the Hash/Silver Ticket/Golden Ticket/Skeleton Key)
- Windows Defender Credential Guard, Windows Defender Remote Credential Guard BitLocker, Windows Defender Device Guard, AppLocker, Windows Defender Application Guard
Konzepte verstehen
- Tier-Modelle betreiben
- Red Forest/Golden Forest/Bastion Forests
- Single-Domain-Modell hochsicher
Clean-Installation-Source
- Hash-Werte der *.iso-Dateien verifizieren
- Fciv.exe o PowerShell
- 7zip und IgorHasher
Aufsetzen des ersten Domänencontrollers
- ms-ds-machineaccountquota verstehen
- redircmp einsetzen für neue Computersysteme
- redirusr einsetzen für neue User
- BitLocker und TPM 1.2 vs. 2.0
- BitLocker und Pre-Boot-Authentifizierung
- AppLocker
- Monitoring (AD-Audit-Plus, CyberArk)
- Sicheres Backup und Recovery von BitLocker-geschützten Backup-Volumes
- Firewalling auf Domänencontrollern
- IPSec mit RDP konfigurieren
- Härten der Domänencontroller nach Center of Internet Security/gpPack& PaT/SIM/LDA/Microsoft-Tools
Aufsetzen weiterer Domänencontroller
- Secure Deployment von Domänencontrollern, Memberservern und Clients via MDT
  - Installation und Konfiguration von MDT hochsicher
  - Härtung von MDT-Servern
  - Ausrollen hochsicherer Memberserver und Clients
Domänencontroller sicher via IPSec betreiben
- IPSec-Monitoring via MMC
PKI-Server aufsetzen als interne Trusted-ROOT-CA
- Automatisches Zertifikatsdeployment aktivieren via Gruppenrichtlinien
- Enrollement von Nicht-Standard-Zertifikaten
- Härten der PKI nach Center of Internet Security/gpPack& PaT/SIM/LDA/Microsoft-Tools
Jump-Server und Priviliged Access Workstation (PAW) - Konzepte verstehen und umsetzen
- Jump-Server aufsetzen und konfigurieren (RSAT-Installation, ADMIN-Center installieren mit gültigem Zertifikat einer Trusted-Root-PKI, BitLocker und TPM 1.2 vs. 2.0, BitLocker und Pre-Boot-Authentifizierung, AppLocker, IPSec mit RDP konfigurieren, Backup von Jump-Servern auf BitLocker-geschützte Volumes, Firewalling auf Jump-Servern)
- Härten der Jump-Server nach Center of Internet Security/gpPack& PaT/SIM/LDA/Microsoft-Tools
- PAW aufsetzen und konfigurieren (BitLocker und TPM 1.2 vs. 2.0, BitLocker und Pre-Boot-Authentifizierung, AppLocker, IPSec und RDP konfigurieren, Backup von PAWs auf BitLocker-geschützte Volumes, Firewalling auf PAWs)
- Härten der Domänencontroller nach Center of Internet Security/gpPack& PaT/SIM/LDA/Microsoft-Tools
Sicherheit in Domänennetzwerken
- 802.1X mit MAC-Adressen/Zertifikaten
- MAC-Flooding auf Switchen und Hubbing-Modus ausschalten
- IPSec mit Kerberos und Zertifikaten
Windows Defender Advanced Threat Protection (WDATP)
- Konzept von WDATP verstehen
- WDATP ausrollen und überwachen
  WDATP auf Domänencontrollern/Jump-Servern und PAWs/Windows-10-Clients