Mobile-Menu

DNS- und DHCP-Konfiguration im Active Directory lädt zu Cyber-Attacken ein Standard-Einstellung in Windows sorgt für Sicherheitsprobleme

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

DAXTEN GmbH
EPS Rechenzentrum Infrastruktur GmbH

Wenn Admins die vorgegebenen Einstellungen nicht anpassen, können Angreifer ohne Authentifizierung gefälschte DNS-Einträge in „Active Directory“ erstellen. Dazu kommt Spoofing zum Einsatz. Bisher sind keine Angriffe öffentlich bekannt, es ist aber sinnvoll hier nachzuarbeiten.

Sicherheitsprobleme durcj nachlässige DNS- und DHCP-Einstellungen im Active Directory(Bild: Thomas Joos)
Sicherheitsprobleme durcj nachlässige DNS- und DHCP-Einstellungen im Active Directory
(Bild: Thomas Joos)

Um das Sicherheitsproblem zu lösen, ist kein Update notwendig, sondern es reicht die Einstellungen des DHCP-Servers anzupassen. Hauptproblem sind dynamische DNS-Updates, die durch einen DHCP-Server in Active Directory erstellt werden können.

Auch Clients können sich dynamisch registrieren. Zwar sind die Updates praktisch, können aber gravierende Sicherheitslücken verursachen. Es ist daher sehr sinnvoll, die Standardeinstellungen zu ändern oder dynamische DNS-Update zu deaktivieren. Das sorgt zwar für eine umständlichere Verwaltung neuer DNS-Einträge, erhöht dafür aber die Sicherheit. Angreifer können in den Standardeinstellungen ohne Authentifizierung selbst DNS-Einträge über die dynamische Registrierung mit DHCP erzeugen.

Die sicherste Konfiguration ist daher die Deaktivierung der dynamischen Updates in den Eigenschaften von IPv4 auf der Registerkarte „DNS“ oder in den Eigenschaften der einzelnen Bereiche auf der Registerkarte „DNS“. Ob es im Netzwerk fehlerhafte DNS-Einstellungen gibt, lässt auch mit dem Powershell-Skript „Invoke-DHCPCheckup.ps1“ von Akamai überprüfen.

Das Prüfen von DNS-Eigenschaften auf DHCP-Servern

Zunächst sollte in den Eigenschaften von IPv4 und IPv6 auf der Registerkarte „DNS“ der Namensschutz aktiviert werden. Das stellt sicher, dass bereits vorhandene, verifizierte Client-Einträge und damit auch Einträge für Serverdienste nicht einfach ersetzt werden.

Außerdem geht diese Option mit der Aktivierung von sicheren, dynamischen Updates einher. Der Schutz kann zwar ausgehebelt werden, bietet aber dennoch einen grundlegenden Schutz vor solchen Angriffen. Die Aktivierung sollte für jeden Bereich überprüft werden.

Vermeiden! DNSUpdateProxy

Mitglieder der Sicherheits-Gruppe „DNSUpdateProxy“ können DNS-Zoneneinträge aktualisieren. Wird ein Benutzerkonto kompromittiert, das Mitglied in der Gruppe ist, können die Angreifer unproblematisch eigene Einträge erstellen.

Hier ist es besser, über Anmeldeinformationen zu gehen, die auf der Registerkarte „Erweitert“ in den Eigenschaften von DNS-Zonen für jeden Server hinterlegt werden können. Grundsätzlich ist es hier möglich, auf allen DHCP-Servern und für alle Zonen das gleiche Benutzerkonten zu verwenden. Dieses sollte natürlich ein möglichst sicheres Kennwort nutzen.

(ID:49844386)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu RZ- und Server-Technik

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte