2 trusted Domains - Gefahr der Übernahme?!

Computer: Software & Programmierung Windows
1

In unserer Firma gibt es ein NT-netzwerk mit 1 Domäne. Eine externe Firma soll in unserem Auftrag ein IT-System installieren. Da dieses unter W2k läuft und Active Directory nutzt, ist nach deren Auskunft eine eigene Domäne nötig, in der die Fremdfirma auch die Rechte eines Domänenadministrators beansprucht. Da z.T. auch Anwendungen in unserer ursprünglichen Domäne genutzt werden sollen, ist angeblich eine Vertrauensstellung der beiden notwendig.
Unsere EDV-Abteilung befürchtet jetzt, dass dadurch die Möglichkeit zur Übernahme der ursprünglichen Domäne durch den Domänenadministrator der neuen W2K-Domäne besteht. Natürlich wird eine solche Absicht der betreffenden Firma nicht unterstellt, aber eine Sicherheitslücke für eine Art „Exploit“ wird als untragbar angesehen.

Als Nicht-Administrator geht diese Problem deutlich über den Rand meines IT-Wissens, deshalb folgende Fragen

  1. Sind diese Befürchtungen begründet?
  2. Kann man über Berechtigungen oder Gruppen-Richtlinien ein solches Szenario verhindern?
  3. Können Ressourcen entsprechend restriktiv zugänglich gemacht werden?
  4. Kann der Domänenadministrator der neuen Domäne tatsächlich unautorisiert PCs von einer in die andere Verschieben oder beliebige Nutzer auch in der alten Domäne anlegen?

Würde mich freuen, wenn mir ein „Profi“ in ein paar Sätzen seine Einschätzung dazu geben könnte.

Vielen Dank im Voraus!

2

Hi Dennis.

Ich kann dir nicht helfen. Aber die Frage ist im Brett „IT Sicherheit“ auf jeden Fall besser aufgehoben.

MfG
Toni

3

In unserer Firma gibt es ein NT-netzwerk mit 1 Domäne.

Ich gehe davon aus, dass Ihr zur Zeit noch NT 4.0 benutzt? Wieviele Clients habt Ihr?

Eine externe Firma soll in unserem Auftrag ein IT-System
installieren. Da dieses unter W2k läuft und Active Directory
nutzt, ist nach deren Auskunft eine eigene Domäne nötig, in
der die Fremdfirma auch die Rechte eines Domänenadministrators
beansprucht.

Das lässt sich nicht vermeiden. Aber warum setzt Ihr auf ein altes Pferd? W2K würde ich nicht nehmen > 2003!

Da z.T. auch Anwendungen in unserer
ursprünglichen Domäne genutzt werden sollen, ist angeblich
eine Vertrauensstellung der beiden notwendig.

Stimmt, nur so ist es möglich, User der einen Domäne auf Recourcen der anderen sauber zu berechtigen.

Unsere EDV-Abteilung befürchtet jetzt, dass dadurch die
Möglichkeit zur Übernahme der ursprünglichen Domäne durch den
Domänenadministrator der neuen W2K-Domäne besteht. Natürlich
wird eine solche Absicht der betreffenden Firma nicht
unterstellt, aber eine Sicherheitslücke für eine Art „Exploit“
wird als untragbar angesehen.

Übernahme? Klingt recht kriegerisch. Welches Verhältnis habt zu euren Dienstleister?
Sobald jemand im Netz ist und die nötige Energie daran setzt und auch über das entsprechende Wissen verfügt, ist es möglich entsprechende Rechte zu erlangen. Ich habe den Eindruck, daas sich eure EDV-Abteilung nicht so 100%tig sicher ist/auskennt?

Als Nicht-Administrator geht diese Problem deutlich über den
Rand meines IT-Wissens, deshalb folgende Fragen

  1. Sind diese Befürchtungen begründet?

Technisch ist das nicht/kaum auszuschließen.

  1. Kann man über Berechtigungen oder Gruppen-Richtlinien ein
    solches Szenario verhindern?

Man kann es erschweren.

  1. Können Ressourcen entsprechend restriktiv zugänglich
    gemacht werden?

Das sollte eigentlich schon so sein. Oder kann bei euch jeder auf alles zugreifen?

  1. Kann der Domänenadministrator der neuen Domäne tatsächlich
    unautorisiert PCs von einer in die andere Verschieben oder
    beliebige Nutzer auch in der alten Domäne anlegen?

Wenn Ihr den neuen Admin keine Rechte in der alten Welt gebt, nein. Er ist dann nur „Gott“ in der neuen Welt.

Würde mich freuen, wenn mir ein „Profi“ in ein paar Sätzen
seine Einschätzung dazu geben könnte.

Vielen Dank im Voraus!

Das ist jetzt nur mal grob umrissen. Gerne gehe ich näher drauf ein.

MfG
M. Schnappauf

4

Lieber M. Schnappauf,

vielen Dank für Deine kompetente Antwort, hat mir schon sehr weiter geholfen. Hast Du noch Zeit, ein bisschen genauer zu werden?

Ich gehe davon aus, dass Ihr zur Zeit noch NT 4.0 benutzt?
Wieviele Clients habt Ihr?

ungefähr 700

Das lässt sich nicht vermeiden. Aber warum setzt Ihr auf ein
altes Pferd? W2K würde ich nicht nehmen > 2003!

2003 soll bis Ende des Jahres in der Haus-Domain NT ersetzen. Spätestens dann soll die W2K-Domäne in die Gesamt-Domäne rutschen. Der damit verbunden Aufwand und die Konsequenzen sind allerdings unabsehbar. Die Anwendung, die unter W2K läuft, ist auf Grund besonderer Anforderungen (Medizinproduktegesetz) nur für W2K freigegeben. Meine Frage hier: Wäre die Situation denn „sicherer“, wenn der Dienstleister als Member-Server in unserere Domain liefe?

Übernahme? Klingt recht kriegerisch. Welches Verhältnis habt
zu euren Dienstleister?

Wie gesagt, es geht nicht um den Dienstleister, sondern um potentielle Dritte, die in „dessen“ Domain eindringen, und um in erster Linie rechtliche Bedenken, so in der Art: „Wie konnten Sie nur ein solches Sicherheitsloch tolerieren?“.

Sobald jemand im Netz ist und die nötige Energie daran setzt
und auch über das entsprechende Wissen verfügt, ist es möglich
entsprechende Rechte zu erlangen. Ich habe den Eindruck, daas
sich eure EDV-Abteilung nicht so 100%tig sicher ist/auskennt?

Den habe ich auch, deshalb frage ich hier nach. Ich bin blöderweise? nur der Projektleiter und bin auf Gedeih und Verderb den gegensätzlichen Aussagen ausgeliefert. Vielleicht wichtige Zusatzinfos: Wir sind nicht am Internet. Die PCs der neuen Domäne stehen in einem räumlich abgeschlossenen Bereich, in dem Fremde auffallen würden. Wir haben die Maßnahmen des IT-Grundschutzhandbuches des BSI umgesetzt.

  1. Sind diese Befürchtungen begründet?

Technisch ist das nicht/kaum auszuschließen.

Wie „böse“ müßte denn einer sein, um das zu tun? Muß mann dazu Cracker-mäßig unterwegs sein, oder ist es relativ leicht?
Wäre ein hochheilige schriftliche Versprechung ausreichend, sich davor zu schützen?

  1. Können Ressourcen entsprechend restriktiv zugänglich
    gemacht werden?

Das sollte eigentlich schon so sein. Oder kann bei euch jeder
auf alles zugreifen?

Nein, wir haben schon ein ausgeklügeltes Gruppenkonzept, glaub ich…

  1. Kann der Domänenadministrator der neuen Domäne tatsächlich
    unautorisiert PCs von einer in die andere Verschieben oder
    beliebige Nutzer auch in der alten Domäne anlegen?

Wenn Ihr den neuen Admin keine Rechte in der alten Welt gebt,
nein. Er ist dann nur „Gott“ in der neuen Welt.

Das ist vielleicht entscheidend. Bei uns kam unter anderem die Behauptung auf, das ein W2K-Domänen-„Gott“ berechtigter ist als ein NT-„gott“. Ist das so? Oder kann ich nicht auch einem Domäneadmin die Rechte abknabbern wie jedem anderen Benutzer?

Vielen Dank und Grüsse aus der quadratestadt,

Dennis

5

Vielen Dank für den Hinweis,

wenn sich nach Abschluss des Threads noch sicherheitsrelevante fragen ergeben, werde ich es nochmal dort versuchen.

Gruss, Dennis

6

Hallo Dennis,

nur das ich das richtig verstehe:
Ich habt eine NT-Domäne, eventuell auch Exchange und 700 NT Clients.
Bis zum Jahresende soll alles auf XP/2003 Server migriert sein? Das ist in drei Monaten???
Zitat „Der damit verbunden Aufwand und die Konsequenzen
sind allerdings unabsehbar“
Dann solltet Ihr das Datum hierfür wesentlich verschieben!!!
Ihr benutzt ein Verfahren welches nur auf W2K laufen darf. Betrifft sowohl Server als auch Clients?
Warum muß der Dienstleister DomAdminRechte haben? Der hat seinen Server (W2K/2003?) und gut ist! Und dieser Server gehört in eine DMZ!
Müssen diese neuen Verfahrensclients auch auf die alte Welt zugreifen?

  1. Sind diese Befürchtungen begründet?

Technisch ist das nicht/kaum auszuschließen.

Wie „böse“ müßte denn einer sein, um das zu tun? Muß mann dazu
Cracker-mäßig unterwegs sein, oder ist es relativ leicht?
Wäre ein hochheilige schriftliche Versprechung ausreichend,
sich davor zu schützen?

Leicht, schwer? Das ist relativ. Meiner persönlichen Ansicht nach sind erst alle technischen Möglichkeiten auszureizen,…

  1. Können Ressourcen entsprechend restriktiv zugänglich
    gemacht werden?

Das sollte eigentlich schon so sein. Oder kann bei euch jeder
auf alles zugreifen?

Nein, wir haben schon ein ausgeklügeltes Gruppenkonzept, glaub
ich…

Ist doch gut - aber dadurch habt Ihr euch eventuell bei der Migration Steine in den Weg gelegt!

  1. Kann der Domänenadministrator der neuen Domäne tatsächlich
    unautorisiert PCs von einer in die andere Verschieben oder
    beliebige Nutzer auch in der alten Domäne anlegen?

Der Domänenadministrator der neuen DOM hat diese Rechte erst mal nur in seiner DOM. Und sonst nirgends.
Nochmal die Frage: Warum brauchen die eine eigene Domäne?

Vielen Dank und Grüsse aus der quadratestadt,

„quadratestadt“ wo ist das denn bitte?

Dennis

MfG
Matthias

1 „Gefällt mir“
7

Hallo Dennis,

nur das ich das richtig verstehe:
Ich habt eine NT-Domäne, eventuell auch Exchange und 700 NT
Clients.

kein Exchange.

Bis zum Jahresende soll alles auf XP/2003 Server migriert
sein? Das ist in drei Monaten???
Zitat „Der damit verbunden Aufwand und die Konsequenzen
sind allerdings unabsehbar“
Dann solltet Ihr das Datum hierfür wesentlich verschieben!!!

Werd’s weitergeben.

Ihr benutzt ein Verfahren welches nur auf W2K laufen darf.
Betrifft sowohl Server als auch Clients?

Genau, betrifft beide.

Warum muß der Dienstleister DomAdminRechte haben? Der hat
seinen Server (W2K/2003?) und gut ist! Und dieser Server
gehört in eine DMZ!

Die gesamten Sicherheitsrichtlinien für die Neue Welt werden vom Dienstleister gepflegt; Die Anwendung verwendet Active Directory. Die Anwendung läuft unter eigener Shell und mit transparentem Windows-Login. Es gibt keinen Zugriff auf freie Ressourcen über aus dieser Shell heraus gestartete Programme (IEXplore, WinExplore, WOrd Datei Öffnen, etc. sind entsprechend „beschnitten“)

Müssen diese neuen Verfahrensclients auch auf die alte Welt
zugreifen?

Ja, denn dort laufen Drittanwendungen, die von Neue-Welt-Clients aus verfügbar sein müssen. Ich stelle mir das so vor: Durch entsprechende Berechtigungen kriegt der Dienstleister jeweil nur die Exe zu sehen, die er braucht, und ruft sie mit entsprechenden Parametern auf (zumeist Filter für Datenauswahl). Der rest der alten Welt ist unsichtbar/unzugänglich. Machbar?

„quadratestadt“ wo ist das denn bitte?

Das ist Mannheim, schau Dir mal den Innenstadtplan an…

Nochmal vielen Dank bisher,
Dennis

8

Hallo Dennis,

Die Anwendung verwendet Active
Directory. Die Anwendung läuft unter eigener Shell und mit
transparentem Windows-Login. Es gibt keinen Zugriff auf freie
Ressourcen über aus dieser Shell heraus gestartete Programme
(IEXplore, WinExplore, WOrd Datei Öffnen, etc. sind
entsprechend „beschnitten“)

Kann man das technisch so machen, dass sich der User mit nen W2K Client an der alten Welt anmeldet?
Bei Aufruf der Anwendungsshell erfolgt eine zusätzliche authentifizierung an der externen Welt?

Müssen diese neuen Verfahrensclients auch auf die alte Welt
zugreifen?

Ja, denn dort laufen Drittanwendungen, die von
Neue-Welt-Clients aus verfügbar sein müssen. Ich stelle mir
das so vor: Durch entsprechende Berechtigungen kriegt der
Dienstleister jeweil nur die Exe zu sehen, die er braucht, und
ruft sie mit entsprechenden Parametern auf (zumeist Filter für
Datenauswahl). Der rest der alten Welt ist
unsichtbar/unzugänglich. Machbar?

Völlig unsichtbar - nein

Mit den mir zur Verfügung stehenden Daten sehe ich drei Möglichkeiten:

  1. Der externe Dienstleister bekommt seine eigene W2K Domäne. Ihr behaltet eure NT- und zieht auch eure eigene 2003er-Welt hoch. Beide Welten (extene und interne) werden durch einen Trust „verbunden“ und eventuell erfolgt eine weitere Zugriffssteuerung/Schutz durch ne Firewall.
    Einen Trust nennt man auch „Vertrauenstellung“. Ein 100%tiger Schutz seiner Welt ist da eigentlich nicht zu erreichen

  2. Es gibt EINE 2003 Welt. Euer Dienstleister bekommt darin sein eigene OU. In dieser und nur in dieser hat er Adminrechte. Da kann er seinen Server reinstellen und mit entsprechenden GPO´s arbeiten.
    Ähnlich wie Trust.

  3. Es gibt zwei völlig getrennte Welten ohne Trust. Die Anwender melden sich in einer der beiden an. Auf/in die andere gelangen diese nur über einen Terminalserver. Sämtliche benötigte SW wird vom TS zur Verfügung gestellt.

Lösung drei wird mit Sicherheit die teuerste, aber auch die sicherste.
Seit ihr auch in den USA tätig? Was sagt/schreibt die FDI?

Gruß
Matthias

1 „Gefällt mir“