Dell Newsflash: Schutz gegen Pass-the-Hash-Angriffe
Wie man sich am besten gegen Pass-the-Hash-Angriffe schützt
Frankfurt am Main, 9. Oktober 2014 – Pass-the-Hash-Angriffe gehören zu den unangenehmsten Hacker-Attacken, da zahlreiche Exploits in Windows den Zugriff auf Passwort-Hashs erlauben – und somit auf beliebige Serverdaten. Dell erläutert die wichtigsten Maßnahmen, um solche Angriffe zu unterbinden.
Jedes System, das die Microsoft-eigenen LM- und NTLM-Sicherheitsprotokolle nutzt, ist für Pass-the-Hash-Angriffe verwundbar. Hacker können sich bei LM- und NTLM-basierten Servern mit Hilfe des Hashwerts eines Benutzer-Passworts authentifizieren, wodurch das Ermitteln des eigentlichen Passworts überflüssig wird. Je nach Zugriffsrechten sind dann mehr oder weniger kritische Daten für die Hacker zugänglich. Zahlreiche Exploits und laufende Applikationen in Windows können für Pass-the-Hash-Attacken genutzt werden. Im Folgenden erklärt Dell die wichtigsten Maßnahmen, um diese zu unterbinden.
1. Sicherheitsprotokolle aktualisieren.
Beim Microsoft LAN Manager (LM) und dem NT LAN Manager (NTLM) handelt es sich um veraltete Protokolle, die allerdings noch oft benutzt werden. Wichtig ist daher eine Aktualisierung auf NTML Version 2, die die Sicherheit deutlich verbessert.
2. Einem normalen Account niemals Admin-Rechte einräumen.
Auch Administratoren sollten sich die Mühe machen, einen normalen Account für Alltagsarbeiten zu nutzen und die privilegierten Accounts nur dann zu verwenden, wenn sie wirklich benötigt werden. Im Zweifel heißt das, sich mehrmals am Tag an- und abzumelden; das ist der Preis für eine deutlich erhöhte Sicherheit.
3. Ein getrenntes System für Admin-Arbeiten nutzen.
Ein eigener Rechner für den privilegierten Betrieb sollte stets auf dem neuesten technischen Stand sein, die letzten Betriebssystem-Versionen und alle notwendigen Patches eingespielt haben, strengen Sicherheits-Richtlinien genügen und auch Ethernet-Kabel statt WLAN-Zugang nutzen. Das sind einige der Maßnahmen, die das System deutlich sicherer machen.
4. Keine E-Mail-Accounts für Administratoren einrichten.
E-Mails sind Scheunentore für Angriffe jeder Art. Es muss sichergestellt sein, dass kein Administrator-Account über ein Exchange- oder sonstiges E-Mail-Konto verfügt.
5. Für privilegierte Accounts stets ein besonders starkes Passwort nutzen.
Ein Passwort mit mindestens 15 Zeichen und Sonderzeichen sollte verwendet werden, weil der LM-Hash im Vergleich zu anderen Hashwerten sehr schwach ist. Auch ist ein Passwort häufiger zu erneuern.
6. Speichern des LM-Hashwerts verhindern.
Die Speicherung des LM-Hashwerts in lokalen oder Active-Directory-Datenbanken kann verhindert werden, indem die NoLMHash-Richtlinien implementiert werden. Weitere Informationen sind auf dieser Webseite von Microsoft nachzulesen: http://support.microsoft.com/kb/299656/en-us
7. Privileged Password Manager einsetzen.
Solche Werkzeuge automatisieren, kontrollieren und verwalten die Passwortvergabe an Administratoren. Sie werden üblicherweise auf gehärteten Appliances eingesetzt, die über ein sicheres, Rollen-basiertes Interface zugänglich sind und Attacken oder Systemmodifikationen auf Betriebssystem-, Datenbank- oder System-Level vorbeugen. Solche Tools gibt es sowohl von Dell (http://www.dell.com/de/unternehmen/p/dell-software-privileged-password-manager/pd?p=dell-software-privileged-password-manager&view=pdetails&isredir=true) als auch von anderen Anbietern und sie stellen eine zusätzliche Sicherheitsschicht dar.
