Schlagwortarchiv für: Kerberos

Unser Workshop Master Class Active Directory Security im Überblick

Werden Sie zum Sicherheitsexperten für Active Directory! Dieser fünftägige Workshop vermittelt das nötige Praxis-Know-how, um eine Active-Directory-Implementierung umzusetzen, die sowohl bekannten Angriffen widersteht als auch gegen zukünftige Angriffe durchgehärtet ist.

Nach dem Besuch dieses Kurses werden Sie keine (!) Fragen mehr zum Thema Active-Directory-Sicherheit haben – versprochen!

Über das Seminar

In diesem Workshop wird das Thema Active-Directory-Sicherheit ganz genau unter die Lupe genommen. Mittlerweile sind diverse Angriffsszenarien bekannt (z.B. mimikatz), die auf Credential-Thefting oder Ransomware-Implementierung abzielen. Das Ziel dieses Workshops ist es, diese Szenarien zu verstehen, um sie dann verhindern zu können, und eine Active-Directory-Implementierung umzusetzen, die diesen Angriffen widersteht und auch gegen zukünftige Angriffe durchgehärtet ist. Active Directory sind Ihre „Kronjuwelen“ – ohne Active Directory sind die meisten Firmenumgebungen produktiv komplett lahmgelegt. Deswegen: verstehen, härten und überwachen, damit Sie besser schlafen können.

Voraussetzungen

Die Teilnehmer sollten mindestens fünf Jahre Erfahrung mit Active Directory und Clientsystemen haben.

Zielgruppe

Der Workshop richtet sich an Netzwerkadministratoren und Sicherheitsexperten.

Schulungsumgebung

Die Schulung läuft komplett virtualisiert. Jeder Teilnehmer hat einen PC mit 128 GB RAM, zwei NVME-SSDs (Durchsatz lesend bis zu 3.500 MB/s, schreibend bis zu 2.300 MB/s) sowie einer Gesamtbandbreite ins Internet von 1 Gbit/s.

Jeder Teilnehmer „baut“ seine Umgebung mit dem Trainer komplett selber auf. Durch entsprechende Hardware sind neue Systeme in Sekunden aufgesetzt.

Agenda

  • Einführung und Best Practices zur Installation von Domänencontrollern
  • Hausgemachte Sicherheitsprobleme in Active Directory
    • Kerberos verstehen
    • NTLM vs. Kerberos
    • SMB (Versionen, Angriffsszenarien, sicherer Einsatz)
    • PAC-Validation und die Probleme mit der Microsoft-Implementierung von Kerberos
    • PTH – Pass the Hash/Silver Ticket/Golden Ticket/Skeleton Key
  • Kerberos Ticket Service
    • Kerberos-Passwörter ändern
  • Credential-Thefting verhindern
    • Angriffsszenarien (PTH – Pass the Hash/Silver Ticket/Golden Ticket/Skeleton Key)
    • Windows Defender Credential Guard, Windows Defender Remote Credential Guard BitLocker, Windows Defender Device Guard, AppLocker, Windows Defender Application Guard
  • Konzepte verstehen
    • Tier-Modelle betreiben
    • Red Forest/Golden Forest/Bastion Forests
    • Single-Domain-Modell hochsicher
  • Clean-Installation-Source
    • Hash-Werte der *.iso-Dateien verifizieren
    • Fciv.exe
    • PowerShell
    • 7zip und IgorHasher
  • Aufsetzen des ersten Domänencontrollers
    • ms-ds-machineaccountquota verstehen
    • redircmp einsetzen für neue Computersysteme
    • redirusr einsetzen für neue User
    • BitLocker und TPM 1.2 vs. 2.0
    • BitLocker und Pre-Boot-Authentifizierung
    • AppLocker
    • Monitoring (AD-Audit-Plus, CyberArk)
    • Sicheres Backup und Recovery von BitLocker-geschützen Backup-Volumes
    • Firewalling auf Domänencontrollern
    • IPSec mit RDP konfigurieren
    • Härten der Domänencontroller nach Center of Internet Security/gpPack& PaT/SIM/LDA/Microsoft-Tools
  • Aufsetzen weiterer Domänencontroller
  • Domänencontroller sicher via IPSec betreiben
    • IPSec-Monitoring via MMC
  • PKI-Server aufsetzen als interne Trusted-ROOT-CA
    • Automatisches Zertifikatsdeployment aktivieren via Gruppenrichtlinien
    • Enrollement von Nicht-Standard-Zertifikaten
    • Härten der PKI nach Center of Internet Security/gpPack& PaT/SIM/LDA/Microsoft-Tools
  • Jump-Server und Priviliged Acccess Workstation (PAW) – Konzepte verstehen und umsetzen
    • Jump-Server aufsetzen und konfigurieren (RSAT-Installation, ADMIN-Center installieren mit gültigem Zertifikat einer Trusted-Root-PKI, BitLocker und TPM 1.2 vs. 2.0, BitLocker und Pre-Boot-Authentifizierung, AppLocker, IPSec mit RDP konfigurieren, Backup von Jump-Servern auf BitLocker-geschützte Volumes, Firewalling auf Jump-Servern)
    • Härten der Jump-Server nach Center of Internet Security/gpPack& PaT/SIM/LDA/Microsoft-Tools
    • PAW aufsetzen und konfigurieren (BitLocker und TPM 1.2 vs. 2.0, BitLocker und Pre-Boot-Authentifizierung, AppLocker, IPSec und RDP konfigurieren, Backup von PAWs auf BitLocker-geschützte Volumes, Firewalling auf PAWs)
    • Härten der Domänencontroller nach Center of Internet Security/gpPack& PaT/SIM/LDA/Microsoft-Tools
  • Sicherheit in Domänennetzwerken
    • 802.1X mit MAC-Adressen/Zertifikaten
    • MAC-Flooding auf Switchen und Hubbing-Modus ausschalten
    • IPSec mit Kerberos und Zertifikaten
  • Windows Defender Advanced Threat Protection (WDATP)
    • Konzept von WDATP verstehen
    • WDATP ausrollen und überwachen
    • WDATP auf Domänencontrollern/Jump-Servern und PAWs/Windows-10-Clients.