So sperren Sie Ihren Active Directory-Passwortzurücksetzungsprozess
Table of Contents
Attackers target helpdesks with social engineering attacks to gain unauthorized access to user accounts, which they can use to compromise an environment or launch ransomware attacks. When done effectively, they can bypass MFA and avoid having to verify their identity. It’s possible (and highly recommended) to have a solution in place that lets helpdesk agents accurately verify the identity of callers. However, if you have a solution in place to verify end users and securely reset passwords, you want to make sure this is the only way helpdesk agents can reset a password.
Wir werden einige Schritte vorstellen, die Sie unternehmen können, um den Passwortzurücksetzungsprozess in Active Directory zu „sperren“. Zunächst ist es wichtig zu verstehen, warum eine Organisation ihren Passwortzurücksetzungsprozess verschärfen möchte. Beginnen wir mit einem kürzlichen Cyberangriff auf MGM Resorts, der die Anfälligkeit von Helpdesks für betrügerische Anrufe und die Bedeutung der Fähigkeit von Servicedesk-Mitarbeitern hervorhebt, die Benutzerverifizierung genau durchzusetzen.
MGM Resorts-Angriff: eine Lektion in Social Engineering
In September 2023, MGM Resorts’ infrastructure was compromised by a hacking group known as Scattered Spider. The hackers gained access by using social engineering to trick helpdesk personnel. It’s believed the group found an MGM Resorts employee’s information on LinkedIn and then called the helpdesk, posing as an employee who had lost their device and needed a password reset. After helpdesk staff gave the attacker a temporary password, they were able to gain an initial foothold in the environment and launch a ransomware attack.
Der resultierende Ransomware-Angriff beeinträchtigte den Betrieb von MGM für etwa zehn Tage, bevor der Betrieb wieder normal aufgenommen werden konnte. Später wurde jedoch bekannt, dass die Hackergruppe Zugriff auf die persönlichen Daten der Gäste erhalten hatte, einschließlich Namen, Kontaktinformationen, Sozialversicherungsnummern und andere Informationen. Dieser Angriff unterstreicht die Notwendigkeit für Organisationen, eine Möglichkeit zu haben, die Identität von Benutzern zu überprüfen, die eine Passwortzurücksetzung und andere kontobezogene Informationen benötigen.
Sicherer Servicedesk: Kombinieren Sie Sicherheit mit Benutzererfahrung
Specops Secure Service Desk allows organizations to effectively verify the identity of end-users calling the help desk for password resets. Using Secure Service Desk, help desk staff can send a one-time code to a mobile number associated with the user’s account. It also allows integration with common identity services that may already be used, like Duo Security, Okta, and others. This allows the helpdesk to take charge of secure password resets, enforcing the need to validate identity for end users requesting password resets and other account operations.
Wenn Helpdesk-Mitarbeiter den Workflow korrekt befolgen, können sie Situationen wie bei MGM Resorts vermeiden, in denen ein Hacker versucht, den Verifizierungsprozess zu umgehen. Wenn Ihre Organisation also bereits ein Tool wie Secure Service Desk verwendet, um die Identität zu validieren, wie können IT-Teams diesen Prozess „sperren“ und die ordnungsgemäße Benutzerverifizierung und sichere Passwortzurücksetzungen durchsetzen?
Durchsetzung der Benutzerverifizierung für Passwortzurücksetzungen
Um Social-Engineering-Szenarien zu vermeiden, müssen Organisationen die Möglichkeit für Servicedesk-Mitarbeiter entfernen, Passwörter außerhalb des ordnungsgemäßen Workflows für die Benutzeridentitätsverifizierung zurückzusetzen. Es sollte nicht möglich sein, dass jemand mit einer Ausrede anruft und den Verifizierungsprozess umgeht. Es gibt einige Schritte, die Sie unternehmen können, um den Prozess in Ihrem Active Directory zu verschärfen.
Active Directory-Gruppen
Integrierte Active Directory Domain Services (AD DS)-Gruppen können Passwörter zurücksetzen. Beispielsweise können Benutzer in den Gruppen „Account Operators“ oder „Domain Admins“ Passwörter zurücksetzen. Servicedesk-Benutzer, die diesen Gruppen hinzugefügt wurden, könnten Passwörter außerhalb der von Specops Secure Service Desk implementierten Workflows zurücksetzen.
Anstatt die integrierten Gruppen in Active Directory zu verwenden, um die Berechtigungen für Passwortzurücksetzungen zu erteilen, ist es besser, benutzerdefinierte Sicherheitsgruppen mit genau den Berechtigungen zu erstellen, die die Helpdesk-Mitarbeiter benötigen. Mit dem integrierten Active Directory Delegation of Control Wizard können Sie in Active Directory detaillierte Berechtigungen zur Ausführung bestimmter Aufgaben erteilen. Unten im Delegation of Control Wizard können Sie Berechtigungen für bestimmte Aufgaben delegieren, einschließlich Ändern der Mitgliedschaft einer Gruppe. Das Erstellen spezifischer Gruppen mit detaillierten Berechtigungen stellt sicher, dass Servicedesk-Mitglieder keine überprovisionierten Berechtigungen haben.
Delegierte Berechtigungen in Active Directory Domain Services
Für Umgebungen, in denen bereits delegierte Berechtigungen vorhanden sind, bevor eine Strategie zur Durchsetzung der Identitätsverifizierung implementiert wird, können Sie PowerShell verwenden, um delegierte Berechtigungen in Active Directory Domain Services (AD DS) zu ermitteln.
- Öffnen Sie PowerShell mit administrativen Rechten: Um PowerShell-Befehle auszuführen, die mit Active Directory interagieren, benötigen Sie administrative Rechte. Klicken Sie mit der rechten Maustaste auf das PowerShell-Symbol und wählen Sie „Als Administrator ausführen“.
- Importieren Sie das Active Directory-Modul: Sie müssen das Active Directory-Modul importieren, bevor Sie AD-spezifische Cmdlets verwenden können. Verwenden Sie den folgenden Befehl:
Import-Module ActiveDirectory - Identify the AD Object: Determine the distinguished name (DN) or path of the AD object (like an OU) for which you want to check the delegated permissions. For example, if you want to check the permissions of an OU named ‚Sales,‘ find its DN. You can do that in AD DS, by looking at the advanced properties of the OU object.
Getting the Distinguished Name for an AD DS OU - Abrufen der ACL des AD-Objekts: Verwenden Sie das Cmdlet Get-Acl, um die ACL des Objekts abzurufen. Zum Beispiel:
$acl = Get-Acl -Path "AD:\OU=Sales,DC=yourdomain,DC=com" - Analysieren der ACL-Einträge: Die ACL enthält eine Liste von Access Control Entries (ACEs), die die Berechtigungen definieren. Sie können diese Einträge mit Folgendem anzeigen:
$acl.Access | Format-Table - Filtern und Untersuchen der Ergebnisse: Die Ausgabe listet die Sicherheitsprinzipale (Benutzer oder Gruppen) und die zugewiesenen Berechtigungen auf. Sehen Sie sich die delegierten Berechtigungen in der Ausgabe an, z. B. spezifische Rechte, die nicht-administrativen Benutzern oder Gruppen gewährt wurden.
- Exportieren der Ergebnisse (optional): Wenn Sie die Ergebnisse speichern möchten, können Sie sie in eine CSV-Datei exportieren:
$acl.Access | Export-Csv -Path „C:\path\to\output.csv“ -NoTypeInformation
Nachfolgend finden Sie ein Beispiel für die CSV-Ausgabe aus dem PowerShell-Export von Zugriffssteuerungslisten für eine bestimmte OU.
Testen Sie Specops Secure Service Desk
Verifying identity for end-user password reset requests is a must due to attackers using social engineering and other attack vectors to steal credentials via helpdesks. Service desk agents need the right tools to verify identity and validate users are who they say they are. Specops Secure Service Desk is a great solution to provide the help desk with the tools needed for proper identity verification.
Organisationen müssen jedoch auch die von Secure Service Desk bereitgestellten Workflows durchsetzen, um sicherzustellen, dass die Identität ordnungsgemäß überprüft wird. Eine ordnungsgemäße Berechtigungsdelegierung und die Überprüfung vorhandener delegierter Berechtigungen sind wichtig, um zu steuern, wer die Berechtigung hat, Benutzerkontopasswörter direkt zurückzusetzen.
Zuletzt aktualisiert am 09/11/2026