AD- Audit

Berichtswesen & Protokollierung im AD

Die umfassende Lösung zu den Anforderungen eines statischen, dynamischen und Echtzeitaudits in AD- Umgebungen beliebiger Komplexität

Umfangreicher und erweiterbarer Vorrat an Berichten zum Ist–Zustand aller AD–Objekte und Gruppenrichtlinien
Reporte zur dynamischen Überwachung von Änderungen an AD–Objekten, Dateifreigaben und Verzeichnissen
Berechtigungsreporte über AD Objekte, Dateifreigaben und Verzeichnisse inklusive rekursiver Auflösung von Gruppen
Echtzeitalarmierung und zur Forensik geeignete Archivierung sicherheitsrelevanter Ereignisse im Zusammenhang mit dem Betrieb des AD
Integration in Microsoft Operations Manager und NetIQ Security Manager

Welchen Fragen hat sich ein Administrator zu stellen?

Was ist da? Und wie ist es konfiguriert? Wo ist X=Y?
Wer ist wo mit welchen Rechten unterwegs, wer darf was?
Wer ist auf meinen SAP Systemen in welchen Profilen wie berechtigt?
Wer hat welche Rechte auf den SQL Servern des Unternehmens?
Wie sah mein System zum Zeitpunkt X aus?
Wer hatte zum Zeitpunkt X welche Rechte auf Objekte und Daten?
Was passiert in diesem Augenblick?

Was sind die Rahmenbedingungen?

Beibehaltung der Autarkie der Administratoren
Anonymisierte Berichte im Tagesbetrieb
Keine zusätzlichen Services auf den Servern
Nicht anonyme Forensik im Bedarfsfall

Objekte, Nutzer und Gruppen im Griff

Die Diskrepanz zwischen dem, was Sie erwarten und dem, was Draußen ist.

Ein großes Repertoire an mitgelieferten Berichten deckt auf, was aufgrund der Menge und Zugänglichkeit der Daten normalerweise im Verborgenen bleibt.

Objekte im Überblick. Statusreporte. Statisches Audit.

Welche Objekte liegen in den OUs und welche Attribute sind wo vergeben?
Filterbar nach beliebigen Kriterien ist es hier möglich, so granular wie nötig und so universell wie möglich vorzugehen. Die Ergebnisse eines Reportes sind in vielfältiger Form wie Excel, PDF oder CSV zu exportieren und auch direkt weiterzuleiten. So ist es beispielsweise möglich, wichtige Reporte an jedem Montag Morgen in das Postfach bestimmter Gruppen abzulegen.

Dies gilt übrigens nicht nur für die Objekte des AD.

Gruppenrichtlinien als mächtiges Werkzeug zum AD Management lässt die Lösung nicht außen vor. Alle Gruppenrichtlinien werden von AD Audit gesammelt und ihre Inhalte in Reporten sichtbar gemacht.

Aber auch vor den SQL Servern und SAP Systemen in Ihrem Haus macht AD Audit nicht halt. Profile im SAP werden wie auch die Berechtigungen auf SQL Datenbanken im selben Berichtswesen korrelierbar und kalkulierbar gemacht!

Microsoft Active Directory bietet keine ausreichende Unterstützung für Berichtswesen und Protokollierung!

Wer ist wo was?
... und plötzlich hat man ein Dutzend Administratoren

Herauszufinden, in welchen Gruppen ein Nutzer durch zigfache Verschachtelungen wirklich ist, oder welche Nutzer einer Gruppe durch zigfache Verschachtelung angehören, ist ein hartes Stück Arbeit.

Benötigt werden rekursive Sichten auf Nutzer und Gruppen, daher ….

Wer darf was mit y? Wo darf x was?

Noch viel mühsamer als die manuelle Ermittlung rekursiver Listen zu Nutzern und Gruppen ist die Ermittlung der Rechte, die auf ein Objekt vergeben sind.

Soll gar ermittelt werden, welche Rechte ein bestimmter Nutzer im System besitzt und somit eine rekursive Auflösung erfolgen, so ist diese Aufgabe mit Bordmitteln allein nicht mehr zu bewältigen.

Benötigt werden rekursiv aufgelöste Listen zu Berechtigungen, daher…

Änderungsreporte: Dynamisches Audit.

Im Vergleich zu Statusberichten des statischen Audits, zeichnen Änderungsreporte auf, was sich im Lauf der Zeit am System geändert hat.

Die Lösung der VASoft ermittelt dabei jede Änderung, die in Ihrem Active Directory auftritt.
Vorher und Nachher Werte über sämtliche Attribute und Berechtigungen werden aufgezeichnet und können in Berichten in beliebiger Form dargestellt und exportiert werden. Nicht nur Änderungen am AD, sondern auch an Berechtigungen zu AD Objekten, Freigaben und Verzeichnissen können sichtbar gemacht werden.

Nativ und mit Bordmitteln können Änderungen nur anhand des Winddows Ereignis-Logs erkannt werden. Im Falle der Änderung an AD Objekten wären dutzende von Events zu untersuchen, um eine einzelne Konfigurationsänderung zu analysieren.

Sensible Logins

Wenn es von Interesse ist, wer sich WO wie OFT und vor allem auch WIE an- und abmeldet, liefert AD Audit die entsprechenden Antworten. Mühelos und ohne Einsatz spezieller Agenten ermittelt AD Audit die gewünschten Werte.

Änderungen der Gruppenmitgliedschaften.

Ein neuer Nutzer in sensiblen Gruppen? Nicht nur ein sicherheitsrelevanter Alarm, der in Echtzeit an zugewiesene Nutzer und Gruppen berichtet wurde, auch der Bericht über den zurückliegenden Zeitraum gibt Aufschluss darüber, was sich in den Gruppen einer OU geändert hat.

Änderungen an Gruppenrichtlinien

Die Änderungen an Gruppenrichtlinien sind ebenfalls in Berichten abgebildet.
Änderungen an Gruppenrichtlinien können immens auf die Sicherheit im Unternehmen Einfluß nehmen. Insofern sollte bekannt sein, wo welche Änderung passiert ist.

Die Verbindung aus statischem und dynamischem Audit erlaubt die exakte Beschreibung eines Systems zu einem bestimmten Zeitpunkt.

Zur Verfolgung von Sicherheitsvorfällen ist es notwendig, zu wissen, wie das System zu einem bestimmten Zeitpunkt konfiguriert war. Notwendig werden Einsichten in historische Daten und Änderungsdaten

Einfacher gehts nicht

Diese Funktionalität steht Ihnen im übrigen auch ganz ohne den Aufwand der Installation diverser Agenten zur Verfügung. AD Audit extrahiert mittles seiner Zero Footprint Technologie die benötigten Daten remote aus den zu überwachenden Systemen und stellt sie zentral zur Verfügung.

Da vom Betriebssystem keine historischen Daten gepflegt werden, ist schon der Ausgangspunkt einer Recherche nicht vorhanden. Änderungsdaten sind nativ nur aus dem Eventlog zu erkennen.
Dies aber nur, wenn das Eventlog nicht schon längst überschrieben wurde…

Über das AD hinaus: Freigaben und Verzeichnisse

Das Auswerten von Berechtigungen auf Freigabe- oder Verzeichnisebene sind weitere Themen, weche AD Audit adressiert. Wie kann eine als sicher geglaubte Datei des Unternehmens plötzlich im Internet stehen?

Auf Wunsch rekursiv nach AD-Nutzern aufgelöst und in Änderungsberichten nachvollziehbar gemacht, liefert das System die Antwort auf die Frage, welcher Nutzer tatsächlich zu einem bestimmten Zeitpunkt Zugriff auf sensible Daten hatte.

Wie das Ganze funktioniert? Ganz einfach!

Von zentraler Stelle aus wird dem AD Audit Agenten mitgeteilt auf welcher Maschine und in welchem Pfad die Suche beginnen soll. Dabei ist es unerheblich,ob Shares (\\Server\Share) oder Verzeichnisse (D:\Users\Home) untersucht werden sollen. Der Agent startet seine rekursive Suche bis zu einer vorgebbaren Verzeichnistiefe. Zur Auswertung stehen dann alle relevanten Daten und natürlich die rekursiven Nutzerlisten zur Verfügung.

Dies funktioniert natürlich nicht nur auf Ihrem AD Server, sondern remote auf jeder beliebigen Maschine. Und dies sogar ohne dass ein Agent installiert werden müsste. Zero Footprint auf jeder Maschine!

Noch weiter über das AD hinaus

Lokale Sicherheitsrichtlinie, Systemkonfiguration

Nicht nur das AD selbst, sondern auch die zum Management des AD genutzten Maschinen sollten betrachtet werden.

Je sicherer die Management Station, desto geringer die Gefahr eines ungewollten Sicherheitsvorfalls.

Unser AD Audit betrachtet auch lokale Aspekte, wie die lokale Sicherheitsrichtlinie oder installierte Patches. Diese Informationen stehen zentral zur Verfügung und können beliebig weiter verwendet oder berichtet werden.

Wer/Was/Wann/Von Wo? Echtzeit-Audit

Frei konfigurierbar in Art und Umfang, liefern Regeln zu Alarmierung und Langzeitarchivierung die Grundlage zu einer lückenlosen Aufzeichnung sensibler Vorgänge im Active Directory.

Der Einsatz dieses Verfahrens erlaubt die personenbezogene Zuordnung zu Änderungen am System.

Genutzt wird hier die Funktionalität des Microsoft System Center Operation Managers oder des NetIQ Security Managers. Die Infrastruktur eines dieser Produkte stellt gleichzeitig die Grundlage der Datenhaltung und des Reportings der Gesamtlösung dar.

Echtzeitalarmierungen über sensible Vorgänge sind in einem beliebig erweiterbaren Regelsatz vorhanden. Dieser umfasst im Standard bereits zahlreiche Regeln und ist leicht erweiterbar.

Eine Änderungsprotokollierung ist im Übrigen auch ohne Einsatz dieser Produkte möglich.

Business Intelligence – komplexe Analysen

Die BI- Oberfläche zum AD Audit beantwortet Fragen, die in normalen Reporten unbeantwortet bleiben.

Daten und Auswertungen sind mit Lesezeichen verknüpfbar und auch offline verfügbar.

Beliebige Ansichten auf Daten und Verknüpfungen innerhalb des AD Audit Datenvorrats.

Welches sind sensible Gruppen und Nutzer und was führen diese aus?
Wer führt Arbeiten aus, die nicht in seinen Bereich fallen.
Welche Gruppen sind verantwortlich für den Löwenanteil an Changes und wie setzen sich diese Gruppen zusammen?

Was wäre wenn?

Das AD Audit wurde ursprünglich aus der Aufgabe eines Kunden geboren, einer Nachweispflicht nachzukommen. Es sollte prüfbar gemacht werden, ob die geforderten Kriterien des Landesschutzgesetzes erfüllt sind. Die Erfüllung resultierte in der Vergabe eines Datenschutzsiegels.

Dies hat zur Folge, dass der Einsatz der AD Audit Lösung die Möglichkeit eines solchen Nachweises erbringt.

Die einzelnen Berichte zum statischen, dynamischen und Echtzeit- Audit richten sich an die im BDSG aufgeführten Belange der Benutzer-, Zugriffs- und Eingabekontrolle.

Die hinter einer Änderung im AD verborgene Person wird erst durch Verfahren wie die Nutzung der Forensik oder einen Analyse der ausgelösten Alarme im MS SCOM oder NetIQ Security Manager ermöglicht und richtet sich damit an §4 BDSG.

AD Audit:

Die Plattform zur Auditierung eines Microsoft Active Directory

Statisch: Ermittlung des Status Quo zu einem bestimmten Zeitpunkt
Was ist da?
Wer hat wo welche Rolle? Wer hat welche Rechte?
Dynamisch: Erfassung von Änderungen über die Zeit:
Was war wann?
Echtzeit: Erfassung von aktuellen Änderungen
Was passiert in diesem Augenblick?
Unabhängig: Kein Einfluss auf den Systembetrieb
Größtmögliche Autarkie der Administratoren