Workshop AD 3
Masterclass Active Directory Security

Unser Trainer

Andy Wendel ist seit über 25 Jahren Trainer und Consultant. Als nur einer von 46 Trainern weltweit hat er den Status des MCLC (Microsoft Certified Learning Consultant) erreicht. Er wurde von einem PFE (Premier Field Engineer) und Carsten Rachfahl (MVP) ausgebildet, wodurch er seine sehr tiefen Hyper-V-Kenntnisse erwarb.

Bei einem einwöchigen Besuch in den heiligsten Hallen von Microsoft, dem EEC (Enterprise Engineering Center – hier werden die neuesten und noch geheimen Systeme getestet), verfeinerte Andy Wendel seine Hyper-V-Erfahrungen in Perfektion. Hier wurde mit den Hyper-V-Programm-Managern über neue Versionen, Storage Spaces und mehr diskutiert und getestet. 

Seit 2015 ist Herr Wendel selbstständig und gibt sein Wissen mit Freude und Hingabe an seine und unsere Kunden weiter. Dieses Wissen gepaart mit entsprechender Hardware in den Schulungsräumen machen seine Kurse zu einem Erlebnis.

Agenda

• Einführung und Best Practices zur Installation von Domänencontrollern
• Hausgemachte Sicherheitsprobleme in Active Directory
  • Kerberos verstehen
  • NTLM vs. Kerberos
  • SMB (Versionen, Angriffsszenarien, sicherer Einsatz)
  • PAC-Validation und die Probleme mit der Microsoft-Implementierung von Kerberos
  • PTH – Pass the Hash/Silver Ticket/Golden Ticket/Skeleton Key
• Kerberos Ticket Service
  • Kerberos-Passwörter ändern
• Credential-Thefting verhindern
  • Angriffsszenarien (PTH – Pass the Hash/Silver Ticket/Golden Ticket/Skeleton Key)
  • Windows Defender Credential Guard, Windows Defender Remote Credential Guard BitLocker, Windows Defender Device Guard, AppLocker, Windows Defender Application Guard
• Konzepte verstehen
  • Tier-Modelle betreiben
  • Red Forest/Golden Forest/Bastion Forests
  • Single-Domain-Modell hochsicher
• Clean-Installation-Source
  • Hash-Werte der *.iso-Dateien verifizieren
  • Fciv.exe
  • PowerShell
  • 7zip und IgorHasher
• Aufsetzen des ersten Domänencontrollers
  • ms-ds-machineaccountquota verstehen
  • redircmp einsetzen für neue Computersysteme
  • redirusr einsetzen für neue User
  • BitLocker und TPM 1.2 vs. 2.0
  • BitLocker und Pre-Boot-Authentifizierung
  • AppLocker
  • Monitoring (AD-Audit-Plus, CyberArk)
  • Sicheres Backup und Recovery von BitLocker-geschützen Backup-Volumes
  • Firewalling auf Domänencontrollern
  • IPSec mit RDP konfigurieren
  • Härten der Domänencontroller nach Center of Internet Security/gpPack& PaT/SIM/LDA/Microsoft-Tools
• Aufsetzen weiterer Domänencontroller
  • Secure Deployment von Domänencontrollern, Memberservern und Clients via MDT
    • Installation und Konfiguration von MDT hochsicher
    • Härtung von MDT-Servern
    • Ausrollen hochsicherer Memberserver und Clients
• Domänencontroller sicher via IPSec betreiben
  • IPSec-Monitoring via MMC
• PKI-Server aufsetzen als interne Trusted-ROOT-CA
  • Automatisches Zertifikatsdeployment aktivieren via Gruppenrichtlinien
  • Enrollement von Nicht-Standard-Zertifikaten
  • Härten der PKI nach Center of Internet Security/gpPack& PaT/SIM/LDA/Microsoft-Tools
• Jump-Server und Priviliged Acccess Workstation (PAW) – Konzepte verstehen und umsetzen
  • Jump-Server aufsetzen und konfigurieren (RSAT-Installation, ADMIN-Center installieren mit gültigem Zertifikat einer Trusted-Root-PKI, BitLocker und TPM 1.2 vs. 2.0, BitLocker und Pre-Boot-Authentifizierung, AppLocker, IPSec mit RDP konfigurieren, Backup von Jump-Servern auf BitLocker-geschützte Volumes, Firewalling auf Jump-Servern)
  • Härten der Jump-Server nach Center of Internet Security/gpPack& PaT/SIM/LDA/Microsoft-Tools
  • PAW aufsetzen und konfigurieren (BitLocker und TPM 1.2 vs. 2.0, BitLocker und Pre-Boot-Authentifizierung, AppLocker, IPSec und RDP konfigurieren, Backup von PAWs auf BitLocker-geschützte Volumes, Firewalling auf PAWs)
  • Härten der Domänencontroller nach Center of Internet Security/gpPack& PaT/SIM/LDA/Microsoft-Tools
• Sicherheit in Domänennetzwerken
  • 802.1X mit MAC-Adressen/Zertifikaten
  • MAC-Flooding auf Switchen und Hubbing-Modus ausschalten
  • IPSec mit Kerberos und Zertifikaten
• Windows Defender Advanced Threat Protection (WDATP)
  • Konzept von WDATP verstehen
  • WDATP ausrollen und überwachen
  • WDATP auf Domänencontrollern/Jump-Servern und PAWs/Windows-10-Clients

Über das Seminar

In diesem Workshop wird das Thema Active-Directory-Sicherheit ganz genau unter die Lupe genommen. Mittlerweile sind diverse Angriffsszenarien bekannt (z.B. mimikatz), die auf Credential-Thefting oder Ransomware-Implementierung abzielen. Das Ziel dieses Workshops ist es, diese Szenarien zu verstehen, um sie dann verhindern zu können, und eine Active-Directory-Implementierung umzusetzen, die diesen Angriffen widersteht und auch gegen zukünftige Angriffe durchgehärtet ist. Active Directory sind Ihre „Kronjuwelen“ – ohne Active Directory sind die meisten Firmenumgebungen produktiv komplett lahmgelegt. Deswegen: verstehen, härten und überwachen, damit Sie besser schlafen können.

Voraussetzungen

Die Teilnehmer sollten mindestens fünf Jahre Erfahrung mit Active Directory und Clientsystemen haben.

Zielgruppe

Der Workshop richtet sich an Netzwerkadministratoren und Sicherheitsexperten.