NTDS.dit-Extraktionsangriffe erklärt

Was ist NTDS.dit und welche Rolle spielt es in Active Directory?

Die NTDS.dit-Datei ist die primäre Datenbank von Active Directory (AD), die kritische Informationen über alle AD-Objekte speichert, wie Benutzer, Anmeldeinformationen, Computer, Gruppen und deren Mitgliedschaften sowie Passwort-Hashes. Diese Daten ermöglichen Authentifizierung, Autorisierung und Verzeichnisdienste in einer Windows-Domäne, weshalb Angreifer diese Datei häufig in Kampagnen zum Diebstahl von Anmeldeinformationen ins Visier nehmen.

Hier sind einige interessante Fakten über die NTDS.dit-Datei:

• Standardmäßig befindet sich die NTDS.dit-Datei unter: C:\Windows\NTDS\ntds.dit.
• Technisch basiert NTDS.dit auf der Extensible Storage Engine (ESE), einer leichtgewichtigen Datenbank-Engine, die ihre Inhalte in Tabellen, Indizes und Transaktionsprotokolle für schnelle Abfragen und zuverlässige Wiederherstellung organisiert.
• Die Datei selbst kann nicht isoliert gelesen werden. Sie ist abhängig von den SYSTEM- und SECURITY-Registrierungszweigen, da der Boot-Schlüssel (syskey) aus diesen Zweigen benötigt wird, um sensible Felder wie Passwort-Hashes zu entschlüsseln.
• Die Dateigröße hängt von der Umgebung ab. In kleinen Organisationen kann sie nur wenige Megabyte betragen, während in großen Unternehmen mit Tausenden von Konten und Objekten die Datenbank auf Gigabyte anwachsen kann.

Wie die NTDS.dit-Extraktion funktioniert

Dieser Abschnitt beschreibt die schrittweise Durchführung des NTDS.dit-Extraktionsangriffs, erläutert gängige Angriffsverfahren und erklärt, warum die NTDS.dit-Passwortextraktion ein Hauptziel für Angreifer ist, die domänenweite Anmeldeinformationen für einen dauerhaften, wirkungsvollen Zugriff im gesamten Unternehmen suchen.

Schritt-für-Schritt-Ausführung

Ein NTDS.dit-Extraktionsangriff verläuft in mehreren Schritten. Der Angriff beginnt mit einer ersten Sicherheitsverletzung, stiehlt die NTDS.dit-Datei (und den SYSTEM-Hive), indem eine Kopie davon von einem Domänencontroller erstellt wird, stellt Passwort-Hashes wieder her und entschlüsselt sie, knackt oder verwendet diese Anmeldeinformationen erneut und erreicht schließlich eine kompromittierte Domäne.

1. Erster Zugriff: Angreifer erhalten ersten Zugriff auf das Zielnetzwerk durch Methoden wie Phishing-Kampagnen, Ausnutzung von Software-Schwachstellen, Verwendung gestohlener Zugangsdaten und Ausnutzung von Fehlkonfigurationen.
2. Privilegienerwerb: Der Angreifer erhält dann hohe Privilegien (Domain Admin oder lokaler SYSTEM auf einem Domänencontroller).
3. Zugriff auf den Domänencontroller: Mit erhöhten Rechten erhält der Akteur Zugriff auf das Dateisystem und die Registrierungshives des Domänencontrollers, entweder auf einem aktiven Host, einem Snapshot oder einem Backup-Image.
4. NTDS.dit-Erfassung: Der Angreifer erhält eine Kopie der NTDS.dit-Datei (oder einen logischen Auszug ihres Inhalts) über Snapshot-/Backup-Mechanismen, Verwaltungswerkzeuge oder durch Diebstahl eines virtuellen Festplattenabbilds. Das Ziel ist eine Offline-Kopie, die außerhalb der aktiven DC-Umgebung analysiert werden kann.
5. SYSTEM-Hive-Abruf: Der Angreifer erlangt außerdem die SYSTEM- (und manchmal SECURITY-) Registry-Hive, da diese das Boot-Schlüsselmaterial enthalten, das benötigt wird, um bestimmte geschützte Felder in NTDS.dit zu interpretieren oder zu entschlüsseln.
6. Analyse/Entschlüsselung außerhalb des Hosts: Mithilfe der kopierten Dateien und Schlüsselmaterialien analysiert der Angreifer die Datenbank und extrahiert Passwort-Hashes und Anmeldeinformationen. Werkzeuge wie secretsdump.py (Impacket) und DSInternals werden häufig für diesen Zweck verwendet. Der SYSTEM-Hive enthält den Boot-Schlüssel (SYSKEY), den Angreifer verwenden, um den in NTDS.dit gespeicherten Password Encryption Key (PEK) zu entschlüsseln. Dieser PEK wird dann verwendet, um NTLM-Hashes, Kerberos-Schlüssel und andere geschützte Anmeldeinformationen aus der Datenbank zu entschlüsseln.
7. Ausnutzung von Anmeldeinformationen: Nachdem Angreifer Passwort-Hashes extrahiert haben, knacken sie entweder die NTLM-Hashes mit Tools wie Hashcat oder John the Ripper, um Klartextpasswörter zu erhalten, oder sie nutzen Pass-the-Hash (PtH)-Techniken, um sich direkt mit den Hashes zu authentifizieren, ohne sie zu knacken, was eine schnellere seitliche Bewegung im Netzwerk ermöglicht.
8. Ziele nach der Ausnutzung: Mit Anmeldeinformationen bewegen sich Angreifer lateral innerhalb der AD-Umgebung, greifen auf sensible Ressourcen zu, bleiben bestehen und können auf Cloud-Identitäten und externe Systeme umschwenken.

Angriffsmethoden

Angreifer verwenden heimtückische und legitim wirkende Techniken, um NTDS.dit und zugehörige Verzeichnisdaten zu erhalten. Sie wählen eine Methode, die am besten die Balance zwischen Tarnung, Einfachheit und Wirkung für die Zielumgebung hält.

Persistenz

Extrahierte NTDS.dit-Daten sind für Angreifer lange nach dem Einbruch nutzbar, da sie Anmeldeinformationen wiederverwenden, Tickets fälschen und den Zugriff auf die gesamte Umgebung aufrechterhalten können.

• Langfristiger Wert: Extrahiertes NTDS.dit-Material bleibt lange nach einer ersten Kompromittierung nützlich. Angreifer können Passwörter offline knacken und jederzeit Angriffe wie Pass-the-Hash ausführen.
• Backups als Zeitkapseln: Alte Backups können über lange Zeiträume Anmeldeinformationen und die krbtgt-Schlüssel enthalten. Da viele Organisationen den Schlüssel nicht häufig wechseln, können selbst veraltete Kopien eine langfristige Kompromittierung erleichtern.
• Folgen für die gesamte Domäne: Mit Hashes für Konten mit hohen Berechtigungen oder das krbtgt-Konto können Angreifer Kerberos-Tickets fälschen, Konten imitieren und einen dauerhaften, domänenweiten Zugriff aufrechterhalten.
• Umgebungübergreifendes Pivoting: Von AD gestohlene Anmeldeinformationen funktionieren auch außerhalb des Firmennetzwerks (für SSO, Cloud-Föderationen und VPNs), wodurch Angreifer auf andere Systeme zugreifen und Daten stehlen können.

Angriffsablaufdiagramm

Um Ihnen den NTDS.dit-Extraktionsangriff zu erklären, finden Sie hier ein Flussdiagramm, das die Ereigniskette erläutert, begleitet von einem Beispiel aus der Perspektive einer Organisation.

In einer Produktionsstätte klickt ein Mitarbeiter auf einen bösartigen Link, und der Angreifer erhält ersten Zugriff auf einen Benutzerarbeitsplatz. Der Angreifer erhöht seine Rechte und bewegt sich seitlich, bis er Administratorrechte auf einem Server erhält, der einen Domänencontroller erreichen kann. Mithilfe des Backup-Zugriffs des Servers kopiert er unbemerkt eine Volume Shadow-Kopie, die NTDS.dit und den SYSTEM-Hive enthält. Außerhalb des Standorts extrahieren sie Passwort-Hashes und stellen Anmeldeinformationen für mehrere Konten mit hohen Privilegien wieder her. Mit diesen Anmeldeinformationen verschaffen sie sich Zugang zu cloudverbundenen Diensten und bewegen sich seitlich im Unternehmensnetzwerk, um sensible geistige Eigentumsrechte zu exfiltrieren.

Beispiele für die Extraktion von NTDS.dit

Echte Vorfälle zeigen, dass ein NTDS.dit-Dump ein wirkungsvoller Weg zu langfristiger Persistenz, lateraler Bewegung und Datendiebstahl ist.

Folgen der NTDS.dit-Extraktion

Die NTDS.dit-Datei fungiert als Schlüssel zum Authentifizierungssystem einer Organisation. Mit jedem Passwort-Hash und Kerberos-Ticket, das einem Angreifer zur Verfügung steht, können die Auswirkungen sich auf Finanzen, Betrieb, Reputation und regulatorische Risiken ausweiten.

Häufige Ziele der NTDS.dit-Extraktion: Wer ist gefährdet?

Jede Organisation, die Active Directory betreibt, ist ein potenzielles Ziel für einen NTDS.dit-Extraktionsangriff, und das betrifft fast jeden. Schauen wir uns an, wer am meisten gefährdet ist.

Risikobewertung

Um das Risiko eines NTDS.dit-Extraktionsangriffs zu bewerten, sollten drei Schlüsselfaktoren berücksichtigt werden: die potenziellen Auswirkungen, wenn Angreifer Ihre Active Directory-Datenbank erlangen, wie schwierig es für sie ist, die Extraktion durchzuführen, und wie wahrscheinlich ein solcher Versuch in Ihrer Umgebung ist. Zusammen unterstreichen diese Faktoren die Bedeutung des Schutzes und der Überwachung von Domänencontrollern und AD-Artefakten für die Sicherheit des Unternehmens.

Wie man die Extraktion von NTDS.dit verhindert

Der Schutz der Active Directory-Datenbank erfordert eine mehrschichtige Verteidigung, die die Offenlegung von Privilegien begrenzt, eine starke Authentifizierung durchsetzt und kontinuierlich auf verdächtiges Verhalten überwacht. Die folgenden Maßnahmen können das Risiko einer NTDS.dit-Extraktion erheblich reduzieren.

Begrenzen Sie den privilegierten Zugriff

Angreifer können NTDS.dit nur extrahieren, wenn sie administrative oder SYSTEM-Rechte erhalten, daher ist es entscheidend, die Privilegienexposition zu minimieren.

• Beschränken Sie die Mitgliedschaft in Domain Admins, Enterprise Admins und anderen hoch privilegierten Gruppen nur auf das notwendige Personal.
• Wenden Sie ein gestuftes Administrationsmodell (Stufe 0–2) an, um kritische Konten und Server zu isolieren.

Diese Maßnahmen verhindern laterale Bewegungen und stellen sicher, dass eine Kompromittierung einer niedrigeren Ebene (wie eines Arbeitsplatzes) nicht direkt zu einem Domänencontroller führt.

Starke Authentifizierung durchsetzen

Schwache oder wiederverwendete Anmeldedaten bleiben einer der einfachsten Einstiegspunkte für Angreifer. Sie sollten:

• Erzwingen Sie Multi-Faktor-Authentifizierung (MFA) für alle privilegierten Konten und Service-Administratoren, um Credential-Replay- und Brute-Force-Angriffe zu blockieren.
• Deaktivieren oder blockieren Sie Legacy-Authentifizierungsprotokolle wie NTLM und Basic Authentication, die Angreifer ausnutzen können, um Sicherheitskontrollen zu umgehen.

Domänencontroller absichern

Die beste Verteidigung gegen die Extraktion von NTDS.dit beginnt damit, Domänencontroller so schwer wie möglich kompromittierbar zu machen. Berücksichtigen Sie Folgendes:

• Betreiben Sie Domänencontroller auf dedizierten, gesicherten Servern, die in einem eigenen Netzwerksegment isoliert sind, keine Dateifreigaben, keine Webdienste, nichts, das dem Internet ausgesetzt ist.
• Wenden Sie regelmäßig Betriebssystem- und Active Directory-Patches an, um bekannte Schwachstellen zu schließen.
• Deaktivieren Sie jeden unnötigen Dienst und Port, beginnend mit dem Print Spooler, der wiederholt ausgenutzt wurde, um SYSTEM-Zugriff zu erlangen. Verwenden Sie strenge Firewall-Regeln, die nur den wesentlichen AD-Verkehr zulassen. Jeder zusätzliche Dienst, offene Port und administrative Freigabe auf einem Domänencontroller kann NTDS.dit für unbefugten Zugriff öffnen.

Überwachen Sie verdächtige Aktivitäten

Früherkennung kann den Unterschied zwischen einem Eindringen und einer vollständigen Kompromittierung der Domäne ausmachen.

• Aktivieren Sie die Protokollierung und Prüfung der Befehlszeile für Tools wie ntdsutil.exe, vssadmin.exe, wmic.exe und andere Snapshot-Dienstprogramme, die häufig verwendet werden, um auf NTDS.dit zuzugreifen oder es zu kopieren.
• Überwachen Sie Windows-Ereignis-IDs wie 325, 327 und 4104, die verdächtige Versuche aufdecken können, auf NTDS.dit zuzugreifen oder es zu kopieren.
  • Ereignis-ID 325: Von ESENT protokolliert, wenn eine Datenbank wie ntds.dit angehängt oder darauf zugegriffen wird. Dies kann auf einen unautorisierten Zugriff auf die AD-Datenbank hinweisen.
  • Ereignis-ID 327: ESENT-Ereignis, das das Trennen oder Herunterfahren der Datenbank anzeigt. Es ist nützlich, um Aktivitäten wie das Kopieren oder Auslesen von NTDS.dit zu erkennen.
  • Ereignis-ID 4104: PowerShell-Skriptblock-Protokollierungsereignis. Es zeigt die Ausführung verdächtiger Skripte oder Befehle (wie ntdsutil, vssadmin), die für die Extraktion von NTDS.dit verwendet werden.
• Verwenden Sie EDR- und SIEM-Lösungen, um ungewöhnliche Zugriffs­muster auf Dateien oder Registrierungs­hives zu erkennen und zu melden.

Backups schützen

Da NTDS.dit- und SYSTEM-Hive-Dateien häufig in Backups enthalten sind, ist der Schutz dieser Backups genauso wichtig wie der Schutz des Domänencontrollers selbst.

• Verschlüsseln Sie AD-Backups stets, beschränken Sie den Zugriff auf Backup-Speicherorte und stellen Sie sicher, dass Ihre Backup-Infrastruktur gegen Manipulation gehärtet ist.
• Drehen Sie regelmäßig das Passwort des krbtgt-Kontos, um gestohlene Kerberos-Tickets ungültig zu machen, die für Persistenz verwendet werden könnten.

Sicherheitsrahmenwerke übernehmen

Frameworks wie Zero Trust und Microsofts Enterprise Access Model bieten strukturierte Möglichkeiten zur Stärkung der AD-Sicherheit.

• Implementieren Sie Zero-Trust-Prinzipien, um jede Zugriffsanfrage zu überprüfen, auch von innerhalb des Netzwerks.
• Verwenden Sie Microsoft LAPS (Local Administrator Password Solution) oder ähnliche Tools, um sicherzustellen, dass lokale Administratorpasswörter einzigartig sind und automatisch rotiert werden. Dies kann seitliche Bewegungen einschränken, wenn ein Host kompromittiert wird.

Regelmäßige Prüfung und Tests

Auch mit vorhandenen Kontrollen ist eine kontinuierliche Validierung unerlässlich. Sie müssen:

• Führen Sie regelmäßige Active Directory-Audits durch, um unautorisierte Privilegienerhöhungen, Änderungen der Gruppenmitgliedschaft und Fehlkonfigurationen zu erkennen.
• Planen Sie Penetrationstests oder Red-Team-Übungen, die sich auf AD- und Anmeldediebstahlszenarien konzentrieren, um die Verteidigungen zu überprüfen und eventuelle Erkennungslücken aufzudecken.

Wie Netwrix helfen kann

Netwrix bietet mehrere Produkte und Funktionen, die helfen können, die Bedingungen zu mindern oder zu erkennen, die zu NTDS.dit-Extraktionsangriffen führen. Der Fokus liegt auf Erkennung und Reaktion, Prüfpfad, Access Governance, Risikosichtbarkeit und Alarmierung, um Lücken zu schließen, die traditionelle Werkzeuge möglicherweise übersehen. Die folgende Tabelle zeigt, wie Netwrix-Angebote Ihre Verteidigung gegen den Diebstahl von NTDS.dit unterstützen können:

Erkennungs-, Minderungs- und Reaktionsstrategien

Um sich gegen die Extraktion von NTDS.dit und damit verbundene Kompromittierungsversuche von Active Directory zu schützen, benötigen Organisationen eine umfassende Strategie, die Erkennung, Minderung und Reaktion abdeckt. Hier sind einige praktische Maßnahmen.

Erkennung

Durch die frühzeitige Erkennung verdächtiger Aktivitäten, die auf die NTDS.dit-Datei abzielen, können Sicherheitsteams eine vollständige Kompromittierung der Domäne verhindern. Zu den Maßnahmen zur Früherkennung gehören:

• Überwachung verdächtiger Tool-Nutzung: Verfolgen Sie ungewöhnliche Ausführungen von ntdsutil.exe, esentutl.exe, vssadmin.exe und Backup-Utilities. Angreifer neigen dazu, diese Tools zu missbrauchen, um AD-Datenbanksnapshots zu erstellen oder zu kopieren.
• Überprüfen Sie Ereignisse zur Erstellung von Schattenkopien: Achten Sie auf Ereignis-IDs 7036 (Dienststart/-stopp) und 8222 (VSS-Schattenkopieerstellung), insbesondere wenn diese außerhalb von Wartungsfenstern oder durch nicht administrative Benutzer initiiert werden.
• Verfolgen Sie Zugriffsversuche auf die NTDS.dit-Datei: Konfigurieren Sie die Überwachung auf Domänencontrollern, um direkte Lesezugriffe, Kopien oder Verschiebungen der NTDS.dit-Datei und des SYSTEM-Registrierungs-Hives zu erkennen.
• Erkennen Sie Replikationsmissbrauch (DCSync): Überwachen Sie Verzeichnisreplikationsanfragen von Nicht-DC-Systemen. Warnungen sollten ausgelöst werden, wenn DRSUAPI- oder DS-Replikations-APIs von nicht autorisierten Hosts oder Konten aufgerufen werden.
• Ungewöhnliches Admin-Verhalten korrelieren: Untersuchen Sie Anomalien wie plötzliche Privilegienerhöhungen, neue Schattenkopieraufgaben oder Domänenreplikationen von unerwarteten Endpunkten.

Minderung

Minderungsmaßnahmen verringern die Wahrscheinlichkeit, dass Angreifer Daten des Domänencontrollers erhalten oder ausnutzen. Wichtige Schritte umfassen:

• Durchsetzung eines administrativen Schichtmodells: Implementieren Sie die Microsoft-Tier-0/1/2-Struktur, um hochprivilegierte Konten (wie DC-Administratoren) von Systemen mit geringerer Vertrauenswürdigkeit zu isolieren. Dies verhindert, dass eine Kompromittierung in niedrigeren Ebenen höhere Ebenen erreicht.
• Verwenden Sie just-in-time (JIT) privilegierten Zugriff: Gewähren Sie Administratoren oder bestimmten Konten nur bei Bedarf vorübergehend erhöhte Rechte, beispielsweise durch Lösungen wie Netwrix Privilege Secure. Dies minimiert dauerhafte Berechtigungen, begrenzt die Expositionszeit für Zugriffe mit hohen Rechten und reduziert das Risiko von Diebstahl oder Missbrauch von Anmeldeinformationen.
• Drehen Sie das krbtgt-Passwort regelmäßig zweimal: Drehen Sie das Passwort des krbtgt-Kontos zweimal hintereinander, um gefälschte oder zwischengespeicherte Kerberos-Tickets ungültig zu machen, wie sie bei Golden Ticket-Angriffen erstellt werden. Dies stellt sicher, dass zuvor ausgestellte Tickets unbrauchbar werden.
• Multi-Faktor-Authentifizierung (MFA) erforderlich: Erzwingen Sie MFA für alle privilegierten und administrativen Anmeldungen, einschließlich RDP, PowerShell-Remoting und AD-Verwaltungskonsolen.
• Sichere Backups: Verschlüsseln Sie AD-Backups und beschränken Sie den Zugriff darauf. Dies verhindert, dass Angreifer NTDS.dit über Backup-Daten abrufen.
• Deaktivieren Sie veraltete Authentifizierungsmethoden: Schalten Sie veraltete Protokolle wie NTLM, LM oder Basic Authentication nach Möglichkeit aus, um Vektoren für Anmeldeinformationsdiebstahl zu reduzieren. Erzwingen Sie stattdessen Kerberos oder moderne Authentifizierungsmechanismen (OAuth, SAML oder zertifikatbasiert).
• Netzwerksegmentierung anwenden: Isolieren Sie Domänencontroller in einem dedizierten, eingeschränkten Netzwerksegment. Nur autorisierte administrative Jump-Server oder Tier-0-Systeme sollten Netzwerkzugriff auf DCs haben.

Antwort

Wenn eine NTDS.dit-Extraktion oder eine Kompromittierung der Domain erkannt wird, ergreifen Sie schnelle und strukturierte Gegenmaßnahmen.

• Isolieren Sie kompromittierte Domänencontroller: Trennen Sie betroffene Systeme sofort vom Netzwerk, um den Vorfall einzudämmen und weitere laterale Bewegungen oder Datenexfiltration zu verhindern. Deaktivieren Sie deren Replikationsverbindungen und blockieren Sie die Kommunikation mit anderen DCs.
• Drehen Sie privilegierte Anmeldeinformationen: Setzen Sie alle administrativen, Service- und gemeinsamen Konten zurück, beginnend mit Tier-0-Identitäten wie Domain Admins, Enterprise Admins und Servicekonten, die mit Domänencontrollern verknüpft sind. Nach der Eindämmung sollten Sie in Erwägung ziehen, den krbtgt-Schlüssel erneut zu drehen, um alle verbleibenden Kerberos-Tickets oder unbefugten Token vollständig ungültig zu machen.
• Kompromittierte Infrastruktur wiederherstellen: Wenn Persistenzmechanismen oder DC-Manipulationen bestätigt werden, bauen Sie die betroffenen Domänencontroller aus sauberen, vertrauenswürdigen Quellen neu auf, anstatt sie aus potenziell infizierten Backups wiederherzustellen. Nach dem Wiederaufbau wenden Sie die Sicherheitsgrundlagen erneut an und patchen alle Systeme, bevor Sie sie wieder online bringen.
• Führen Sie eine forensische Analyse durch: Untersuchen Sie Schattenkopien, Sicherungsdaten, Ereignisprotokolle und Speicherabbilder, um Angreiferaktivitäten nachzuverfolgen, Persistenzmechanismen zu identifizieren und Versuche der Datenexfiltration zu erkennen. Konzentrieren Sie sich auf die Analyse des Zugriffs auf NTDS.dit, Replikationsereignisse sowie die Nutzung von PowerShell oder Verwaltungstools auf Anzeichen von Anmeldeinformationsdiebstahl. Korrigieren Sie die Ergebnisse mit Bedrohungsinformationen.
• Benachrichtigen Sie die Aufsichtsbehörden, wenn eine Datenpanne aufgetreten ist: Wenn sensible Zugangsdaten oder Benutzerdaten offengelegt wurden, befolgen Sie die Vorfallreaktions- und rechtlichen Meldeverfahren Ihrer Organisation. Einige Vorschriften, wie die GDPR (72 Stunden) und HIPAA (60 Tage), verlangen die Meldung einer bestätigten Panne innerhalb bestimmter Fristen. Benachrichtigen Sie die zuständigen Aufsichtsbehörden, betroffene Kunden und Partner gemäß den Anforderungen.

Branchenspezifische Auswirkungen

Cyberangriffe, die NTDS in Windows und anderen Identity-Systemen ins Visier nehmen, können in verschiedenen Branchen verheerende Folgen haben. Die Auswirkungen variieren je nach Sektor, umfassen jedoch häufig Verstöße gegen Vorschriften, finanzielle Verluste und langfristige Reputationsschäden.

Entwicklung von Angriffen und zukünftige Trends

Verteidiger sehen sich jetzt einer weitaus komplexeren Bedrohungslandschaft durch NTDS.dit gegenüber. Angriffe, die früher lokalen Zugriff und spezialisierte Werkzeuge erforderten, können nun über Cloud- und Hybridumgebungen erfolgen. Moderne Angreifer integrieren die Extraktion von NTDS.dit in Ransomware-Abläufe und nutzen legitime Windows-Dienstprogramme, um ihre Aktivitäten zu verschleiern, was diese Angriffe schneller, heimlicher und schwerer zu erkennen macht.

Wichtige Statistiken und Infografiken

Die folgenden Zahlen zeigen deutlich, wie zentral Active Directory in modernen Angriffen bleibt und warum die Extraktion von NTDS.dit weiterhin eine so wirkungsvolle Technik ist.

• Verizon’s DBIR (2024) zeigt, dass die Verwendung gestohlener Anmeldedaten in etwa 24 % aller Verstöße die initiale Handlung war. Im DBIR 2024-Muster „Basic Web Application Attacks“ machten gestohlene Anmeldedaten etwa 77 % der Hacking-Aktionen aus. Dies unterstreicht, wie wertvoll AD-Anmeldeinformationen für Angreifer sind.
• Microsoft Telemetriedaten zeigen, dass mehr als 99,9 % der Konten, bei denen ihre Systeme eine Kompromittierung festgestellt haben, keine MFA aktiviert hatten. Dies ist ein eindrucksvoller Hinweis darauf, wie effektiv MFA automatisierte und auf Anmeldeinformationen basierende Angriffe blockiert.
• Die Vorfalldaten von Coveware zeigen, dass Ransomware-Vorfälle, die Active Directory betreffen, durchschnittlich etwa 21 Tage Betriebsunterbrechung verursachten (Coveware Q4 2020 Analyse), was verdeutlicht, wie stark eine Kompromittierung der Identität den Betrieb und die Wiederherstellung stört.

Balkendiagramm der Extraktionsmethoden

Das folgende Balkendiagramm zeigt die am häufigsten verwendeten Werkzeuge bei NTDS.dit-Extraktionsangriffen, basierend auf dokumentierten Vorfällen von 2022 bis 2024.

Beachten Sie, dass diese Daten nur auf öffentlich dokumentierten Vorfällen basieren. Die tatsächliche Häufigkeit dieser Methoden in der Praxis ist wahrscheinlich viel höher.

Abschließende Gedanken

Die NTDS Active Directory-Datenbank (NTDS.dit) speichert alle Verzeichnisinformationen, einschließlich Benutzerkonten, Passwörter und Domänenkonfigurationen, was sie zu einer kritischen Komponente der Windows Server-Sicherheit macht.

Die Extraktion von NTDS.dit ist eine schnelle, wirkungsvolle Methode für Angreifer, gestohlene Identitäten in eine vollständige Übernahme der Domäne umzuwandeln. In den heutigen hybriden Umgebungen wächst dieses Risiko nur weiter. Um Ihre Identity-Infrastruktur zu schützen, setzen Sie MFA durch, sichern und überwachen Microsoft Entra Connect und Synchronisationsvorgänge, erkennen Sie Living off the Land (LOTL)-Aktivitäten und ungewöhnlichen SYSTEM/NTDS-Zugriff und integrieren Sie AD-Forensik in Ihre Incident-Response-Pläne. Dies wird die Wahrscheinlichkeit, dass ein einzelner Anmeldeinformationsdiebstahl zu einem vollständigen Ausfall führt, drastisch reduzieren.