AD-Gesamtstruktur wiederherstellen: Backups validieren

AD-Gesamtstruktur wiederherstellen: Was die Backup-Validierung bedeutet

Eine AD-Gesamtstruktur wiederherstellen und ihre Backups validieren heißt, zwei Fragen zu beantworten: Lässt sich das Backup wiederherstellen, und kann die Organisation begründen, warum sie der daraus wiederhergestellten Gesamtstruktur vertraut? Eine erfolgreiche Wiederherstellung beantwortet die erste Frage. Die zweite erfordert einen untersuchten Wiederherstellungspunkt, ein erprobtes Verfahren und Nachweise, dass das wiederhergestellte Verzeichnis die Wiederherstellungskriterien erfüllt.

Microsofts Leitfaden zur Wiederherstellung einer Active-Directory-Gesamtstruktur bietet eine Vorlage, die an die Umgebung angepasst werden muss. Die Hinweise zur Bewertung des Vorfalls schließen vollständige Sicherheitsempfehlungen zur Wiederherstellung einer gehackten oder kompromittierten Gesamtstruktur ausdrücklich aus. Nutzen Sie das Wiederherstellungsverfahren zusammen mit der notwendigen Vorfallbearbeitung, um Vertrauen herzustellen.

Validierte Wiederherstellung bezeichnet hier eine dokumentierte Übung oder Wiederherstellung mit aufgezeichneten Abnahmeprüfungen und ausdrücklich benannten Grenzen. Das ist eine redaktionelle Definition, keine Microsoft-Zertifizierung. „Der DC ist gestartet“ und „die Replikation funktioniert“ sind nützliche Beobachtungen, belegen aber nicht, dass der ausgewählte Verzeichniszustand sicher ist.

Erfassen Sie auch die Wiederherstellungsdauer als Ergebnis. Eine schnelle Übung mit unbekannten Zugangsdaten, ungeprüften Daten oder ungelösten Validierungsfehlern sollte nicht als validierte Wiederherstellung bezeichnet werden.

Vor der Wiederherstellung einen vertrauenswürdigen Zustand auswählen

Microsofts Hinweise zur Backup-Auswahl warnen davor, dass ein neueres Backup gefährliche Daten erneut einbringen kann. Ist der Zeitpunkt des Fehlers unbekannt, untersuchen Sie den letzten sicheren Zustand. Bei der Wiederherstellung gehen nachfolgende Objekte, Aktualisierungen sowie Konfigurations- oder Schemaänderungen verloren.

Dieselbe Seite empfiehlt, regelmäßig mindestens zwei beschreibbare DCs pro Domäne zu sichern. Erforderlich sind Domain-Admin-Zugangsdaten für jede Domäne und das DSRM-Kennwort. Mit einem RODC-Backup lässt sich kein beschreibbarer DC wiederherstellen; die Wiederherstellung des Systemstatus auf einer neuen Windows-Installation wird nicht unterstützt. Planen Sie den passenden Weg für eine vollständige Serverwiederherstellung. Dsamain und ein LDAP-Browser wie Ldp können bei der Untersuchung gesicherter Verzeichnisdaten helfen.

Bei aktiviertem Papierkorb wird die Gültigkeit des Backups durch den kleineren Wert von deletedObjectLifetime und tombstoneLifetime begrenzt. Unter diesen Bedingungen ist „wir haben eine aktuelle Datei“ keine ausreichende Begründung für die Wiederherstellbarkeit.

Dokumentieren Sie für die Wiederherstellungsentscheidung, welches Backup ausgewählt wurde, welche Domäne es repräsentiert, warum sein Zustand akzeptabel ist und welche Änderungen verloren gehen. Kann die Untersuchung keinen vertrauenswürdigen Punkt begründen, halten Sie diese Unsicherheit fest, statt das neueste Backup als sauber zu bezeichnen.

Aussagen zur Persistenz müssen bedingt bleiben

Die Schlussfolgerung für die Wiederherstellung gilt unter einer Bedingung: Wenn eine bösartige Verzeichnisänderung im ausgewählten Backup enthalten ist und zum wiederhergestellten Zustand gehört, kann die Wiederherstellung dieses Zustands die Änderung erneut einbringen. Das ist eine Ableitung aus dem dokumentierten Rollback-Verhalten, keine Aussage von Microsoft, dass jede Hintertür zwangsläufig unverändert zurückkehrt.

Diese Unterscheidung ist für ACLs und AdminSDHolder wichtig. Unser Artikel über AdminSDHolder und SDProp erklärt die Persistenz über eine geänderte ACL-Vorlage und warum das bloße Korrigieren der ACL eines geschützten Objekts das Vorlagenproblem ungelöst lassen kann. Fragen Sie bei der Wiederherstellung, ob die gesicherte Vorlage und die relevanten Berechtigungen einer akzeptierten Baseline entsprechen. Die hier zitierten Forest-Recovery-Seiten beschreiben die Wiederherstellung einer AdminSDHolder-Hintertür nicht ausdrücklich.

Microsofts Dokumentation zu Zertifikatvorlagen erklärt, dass Vorlagen von Unternehmens-CAs in AD DS liegen. Sie unterscheidet das Ändern einer Vorlage, das Aktivieren der Ausstellung auf einer CA und das Veröffentlichen eines ausgestellten Zertifikats. Eine geänderte Vorlage, die im wiederhergestellten Verzeichniszustand enthalten ist, könnte daher erneut erscheinen: Das ist eine bedingte Schlussfolgerung. Sie belegt nicht den wiederhergestellten Zustand jeder CA, jedes ausgestellten Zertifikats oder jedes PKI-Geheimnisses. Definieren Sie die ergänzende PKI-Prüfung gesondert.

Unser Golden-Ticket-Artikel beschreibt das Persistenzrisiko eines kompromittierten krbtgt-Geheimnisses. Die folgenden Wiederherstellungsanweisungen und Wartezeiten zwischen den Zurücksetzungen stammen aus Microsoft Learn. Der Link erklärt die Bedeutung des Geheimnisses; er ist nicht die maßgebliche Quelle für dieses Wiederherstellungsverfahren.

Die Wiederherstellungsreihenfolge mit Validierungsprüfungen einhalten

Die Voraussetzungen von Microsoft setzen voraus, dass die Ursache und mögliche Abhilfen mit Microsoft Support bewertet wurden und die Wiederherstellung der Gesamtstruktur als Abhilfe ausgewählt wurde, häufig als letzte Option. Sie verlangen außerdem einen dokumentierten Plan, der in einem Labor mit Produktionsbackups getestet wurde.

Bereiten Sie diese Entscheidung vor, bevor Sie destruktive Wiederherstellungsschritte beginnen. Dokumentieren Sie den Vorfallsumfang, die Wiederherstellungszugangsdaten, Informationen zum Notfallzugriff und die ausgewählten Backups. Ein Runbook sollte die nächste Entscheidung auch dann klar vorgeben, wenn die üblichen Verzeichnisdienste nicht verfügbar sind.

Die folgende Übersicht zeigt Microsofts anfängliche Wiederherstellungsreihenfolge. Sie ist kein ausführbarer Ersatz für das vollständige Verfahren:

1. Isoliert wiederherstellen. Beginnen Sie mit einem beschreibbaren DC in der Stammdomäne der Gesamtstruktur und stellen Sie danach weitere Domänen wieder her, übergeordnete vor untergeordneten.
2. Den richtigen Wiederherstellungsmodus für den ersten wiederhergestellten DC jeder Domäne verwenden. Stellen Sie AD DS nicht autoritativ und SYSVOL autoritativ wieder her, entsprechend der dokumentierten Methode. Spätere DCs dieser Domäne müssen SYSVOL mit der autoritativen Kopie neu synchronisieren.
3. Die wiederhergestellten Daten vor dem Anschluss an die Produktion prüfen. Führen Sie die dokumentierten Schritte für FSMO, Metadaten, DNS, RID, Kontokennwörter und Zeit durch. Bei Verdacht auf einen Einbruch müssen Administratorkennwörter zurückgesetzt und alle gMSA-Kennwörter ersetzt werden. Bei Verdacht auf kompromittierte Benutzerkonten müssen zudem Kennwortzurücksetzungen für alle Benutzer der Domäne geplant werden.
4. Die wiederhergestellten DCs gemeinsam validieren. Nutzen Sie vor dem Übergang in die Produktion ein gemeinsames isoliertes Netzwerk.
5. Die wiederhergestellten DCs sichern, bevor die übrigen DCs erneut bereitgestellt werden.

Die Seite dokumentiert außerdem diese Betriebsprüfungen im Abschnitt zur Replikationsintegrität der Gesamtstruktur, nach dem Übergang in das Produktionsnetzwerk:

repadmin /replsum
DCDiag /v

Sie bewerten die Replikation und den Zustand von DCs und DNS. Eine erfolgreiche Ausgabe bescheinigt nicht die Abwesenheit von Persistenz. Halten Sie betriebliche Nachweise und Schlussfolgerungen der Sicherheitsprüfung im Wiederherstellungsprotokoll auseinander.

krbtgt zweimal mit dem dokumentierten Abstand zurücksetzen

Microsofts Verfahren zum Zurücksetzen von krbtgt gilt für beschreibbare DCs, nicht für RODCs. Aktivieren Sie in Active Directory-Benutzer und -Computer die erweiterten Features, öffnen Sie den Users-Container der Domäne und verwenden Sie für krbtgt die Aktion zum Zurücksetzen des Kennworts.

Führen Sie den Vorgang zweimal durch. Das Konto speichert die beiden neuesten Kennwörter; zwei Zurücksetzungen entfernen das alte Kennwort aus diesem Verlauf. Learn verlangt 10 Stunden zwischen den Zurücksetzungen bei den standardmäßigen maximalen Lebensdauern für Benutzer- und Diensttickets. Wurde die maximale Lebensdauer geändert, muss die Wartezeit länger als der konfigurierte Wert sein. Gehen Sie nicht davon aus, dass die erste Zurücksetzung ausnahmslos jedes gefälschte Ticket ungültig macht.

Bei einer Wiederherstellung mit RODCs fordert Learn dazu auf, deren krbtgt_number-Konten nicht zu löschen. Wenden Sie das Verfahren für beschreibbare DCs nicht auf diese Konten an.

Erkennung: Backup-Alter und fehlende Nachweise messen

Der Erfolg eines Backup-Auftrags, ein Verzeichniszeitstempel und eine Wiederherstellungsübung liefern unterschiedliche Nachweise. Bewerten Sie jeden davon nach seiner eigenen Aussagekraft.

Microsofts Hinweise zur Backup-Latenz dokumentieren:

Repadmin.exe /showbackup

Erfassen Sie die gemeldeten Backup-Daten für die anvisierten DCs und Namenskontexte und dokumentieren Sie den tatsächlichen Befehlsumfang. Repadmin benötigt administrative Zugangsdaten auf jedem anvisierten DC. Microsoft erklärt, dass Backups über die standardmäßigen Backup-APIs den Backup-Zeitstempel schreiben; eine Kopie der AD-Datenbank auf Dateiebene bietet diesen Schutz nicht.

Untersuchen Sie Backups, die älter als die Hälfte der Tombstone-Lebensdauer der Gesamtstruktur sind. Learn erklärt Backups, die älter als die Tombstone-Lebensdauer sind, für ungültig und empfiehlt in fast allen Szenarien mindestens tägliche Backups. Lesen Sie die tatsächlichen Lebensdauereinstellungen der Gesamtstruktur aus. Ersetzen Sie diese nicht durch einen pauschalen Wert von 180 Tagen oder den unabhängigen Schwellenwert von 60 Tagen des Collectors.

Auch ein aktueller Zeitstempel belegt weder die Integrität des Mediums noch eine erfolgreiche Wiederherstellung.

Das sind Untersuchungsanlässe, keine Beobachtungen einer Kundenumgebung. Fordern Sie die Artefakte hinter „getestet“ oder „wiederherstellbar“ an: welches Backup, welche Domäne, welche Verfahrensrevision und welche bestandenen Prüfungen?

Abhilfe: Dokumentieren, üben und die Objektwiederherstellung vorbereiten (Remediation)

1. Das Runbook auf die Gesamtstruktur zuschneiden

Microsofts Planungshinweise verlangen eine Topologiekarte mit DCs, Rollen, Backup-Status und Vertrauensstellungen. Sie empfehlen, die Wiederherstellung der Gesamtstruktur mindestens jährlich zu üben, und schlagen außerdem Übungen bei Änderungen der Mitgliedschaft in Domain Admins oder Enterprise Admins vor.

Machen Sie aus der Karte ein brauchbares Entscheidungsprotokoll: Benennen Sie den Wiederherstellungs-DC für jede Domäne, die Backup-Auswahlkriterien, die erforderlichen Zugriffe und die Validierungsprüfpunkte. Legen Sie fest, wer diese Einträge aktuell hält. Eine unerklärte Lücke sollte sichtbar bleiben, statt hinter einer vollständig abgehakten Checkliste zu verschwinden.

2. Die Wiederherstellung wiederholen und die Ergebnisse sichern

Die Voraussetzungen verlangen regelmäßige Sicherung und Wiederherstellung von AD DS und SYSVOL im Labor, routinemäßige Verfahrensprüfungen und Aktualisierungen nach Änderungen am Betriebssystem oder an der Architektur. Üben Sie den tatsächlichen Wiederherstellungsweg mit Produktionsbackups.

Ein brauchbarer Übungsnachweis benennt die Runbook-Revision, ausgewählte Backups, ausführende Personen, durchgeführte Prüfungen, Ausgaben und Abweichungen. Erfassen Sie die Dauer und halten Sie auch fest, was die Übung validiert hat und was nicht. Startet ein Backup erfolgreich, scheitert aber die Datenprüfung, bewahren Sie beide Ergebnisse auf. War der erforderliche Zugriff nicht verfügbar, dokumentieren Sie ihn als zu behebende Wiederherstellungsabhängigkeit.

Unterscheiden Sie „das Verfahren wurde durchgeführt“ von „die Abnahmekriterien wurden erfüllt“. Ein Verfahren zu wiederholen, ohne seine Ergebnisse zu untersuchen, beantwortet die Vertrauensfrage nicht.

3. Den Papierkorb aktivieren, bevor er benötigt wird

Microsofts Hinweise zum Active-Directory-Papierkorb erklären, dass das Feature standardmäßig deaktiviert und seine Aktivierung unumkehrbar ist. Es bewahrt die Attribute und Verknüpfungen gelöschter Objekte einschließlich Gruppenmitgliedschaften. Es kann nur Objekte wiederherstellen, die nach der Aktivierung gelöscht wurden.

Prüfen Sie die dokumentierten Voraussetzungen: Gesamtstruktur- und Domänenfunktionsebenen von Windows Server 2008 R2 oder höher, die angegebenen administrativen Berechtigungen sowie ADAC oder das Active-Directory-PowerShell-Modul.

Wählen Sie für den dokumentierten ADAC-Weg die passende Zieldomäne, dann Enable Recycle Bin im Aufgabenbereich, bestätigen Sie die Meldungen und aktualisieren Sie ADAC. Stellen Sie nach einer kontrollierten Testlöschung das ausgewählte Objekt im Container Deleted Objects wieder her und prüfen Sie seinen Speicherort.

Dokumentieren Sie die Aktivierungsentscheidung und einen kontrollierten Test der Objektwiederherstellung. Der Papierkorb dient der Objektwiederherstellung; er validiert keine kompromittierte Gesamtstruktur. Halten Sie diesen Test von der Übung zur Gesamtstruktur-Wiederherstellung getrennt.

4. Nachweislücken schließen, bevor die Wiederherstellung als validiert gilt

Nutzen Sie ein kurzes Abnahmeprotokoll, das jede Schlussfolgerung mit Nachweisen verbindet. „Backup verfügbar“ sollte das Backup benennen. „Wiederherstellung geübt“ sollte die Übung identifizieren. „Vertrauenswürdiger Zustand“ sollte die Untersuchung und die Baseline-Prüfung benennen. „Betriebsprüfungen bestanden“ sollte auf die aufgezeichneten Ausgaben verweisen.

Benennen Sie bei zusätzlich erforderlichen Sicherheits- oder PKI-Arbeiten die offene Aufgabe und ihre verantwortliche Person. Lassen Sie eine erfolgreiche Replikationsprüfung nicht stillschweigend zur Freigabe für alles außerhalb ihres Umfangs werden.

Wie EtcSec dies erkennt

Der Collector bietet drei aktive Prüfungen mit Bezug zu diesem Thema. Sie identifizieren Konfigurationssignale oder Prüfbedarf; sie beweisen nicht die Wiederherstellbarkeit der Gesamtstruktur.

Die HDS-Kennung belegt weder eine bestimmte nummerierte HDS-Anforderung noch das Fehlen eines Wiederherstellungsplans. Nutzen Sie sie als Anlass für eine menschliche Prüfung der Topologie und der Wiederherstellungsplanung.

BACKUP_AD_NOT_VERIFIED wird vom Collector nicht gemessen. Der stillgelegte Detektor liefert keine Befunde und ist nicht registriert. Er ist von den Vulnerability-Tags dieses Artikels ausgeschlossen. Die Verifizierung einer Wiederherstellung erfordert betriebliche Nachweise außerhalb dieser Verzeichnisprüfungen.