AD Gruppenverschachtelung: Versteckte DA-Pfade

Was ist gefährliche Gruppenverschachtelung?

Gefährliche Gruppenverschachtelung entsteht, wenn Ketten von Active-Directory-Gruppenmitgliedschaften effektive Rechte erzeugen, die Prüfer nicht bewusst vergeben wollten. Ein Benutzer, ein Dienstkonto oder eine operative Gruppe muss kein direktes Mitglied von Domain Admins, Enterprise Admins, Schema Admins oder einer anderen sensiblen Gruppe sein. Ist das Konto jedoch über eine oder mehrere Zwischengruppen verschachtelt, erbt es trotzdem den daraus resultierenden Autorisierungskontext.

Active-Directory-Sicherheitsgruppen sind Autorisierungsobjekte. Sie können in Zugriffskontrolllisten eingetragen, mit Rechten versehen und in andere Gruppen aufgenommen werden. Diese Verschachtelung ist administrativ nützlich, erschwert aber die Rechteprüfung. Die direkte Mitgliedschaft beantwortet nur eine Frage: Wer ist explizit Mitglied dieser Gruppe? Die effektive Mitgliedschaft beantwortet die wichtigere Frage: Wer erhält dieses Recht, nachdem alle verschachtelten Mitgliedschaften aufgelöst wurden?

Das Problem ist in langlebigen Domänen verbreitet. Gruppen überstehen Migrationen, Reorganisationen, Fusionen, Anwendungsumbauten, Notfalländerungen und Eigentümerwechsel. Eine Gruppe, die 2016 für die Serveradministration angelegt wurde, kann 2026 noch immer in einen geschützten Pfad verschachtelt sein, selbst wenn niemand im aktuellen Team mehr weiß, warum.

Wie Gruppenverschachtelung versteckte Rechte erzeugt

Ist Gruppe A Mitglied von Gruppe B, erben die Mitglieder von Gruppe A die effektiven Rechte von Gruppe B. Ist Gruppe B wiederum Mitglied einer Tier-0-Gruppe, verfügen die Mitglieder von Gruppe A jetzt über einen Tier-0-Pfad – selbst wenn keines dieser Konten als direktes Mitglied der letztlich privilegierten Gruppe erscheint.

Das ist das Kernrisiko: Verschachtelte Pfade verstecken Rechte in der Mitte der Kette. Eine direkte Prüfung von Domain Admins zeigt vielleicht nur ein oder zwei Gruppen. Aber jede dieser Gruppen kann weitere Gruppen, Dienstkonten, veraltete Benutzer oder gemeinsam genutzte operative Identitäten enthalten.

Microsoft dokumentiert geschützte Konten und Gruppen in Active Directory, darunter Gruppen wie Domain Admins, Enterprise Admins, Schema Admins, Administrators, Account Operators, Backup Operators, Server Operators, Print Operators und weitere. Diese Gruppen verdienen besondere Aufmerksamkeit, weil eine Mitgliedschaft weitreichende administrative Fähigkeiten verleihen oder über AdminSDHolder ein geschütztes Kontoverhalten auslösen kann.

Direkte vs. effektive Mitgliedschaft

Eine sinnvolle Prüfung unterscheidet drei Sichten:

Nur die dritte Sicht liefert einen Sanierungsplan. Löst sich ein Helpdesk-Benutzer über fünf Gruppen in Domain Admins auf, ist das Entfernen des Benutzers aus der letzten Gruppe nicht die Lösung, weil der Benutzer dort gar nicht direkt Mitglied ist. Sie müssen die Gruppenkante entfernen oder umgestalten, die den Pfad erzeugt.

Wo sich versteckte Tier-0-Pfade meist verbergen

Probleme mit gefährlicher Verschachtelung stammen meist aus vorhersehbaren Mustern:

• Migrationsgruppen, die nach einer Verzeichniskonsolidierung beibehalten wurden
• Serveradministrationsgruppen, die für vorübergehende Fehlerbehebung nach oben verschachtelt wurden
• Backup-, Deployment- oder Monitoring-Konten, die während eines Ausfalls breiten Zugriff erhielten
• gemeinsam genutzte operative Gruppen mehrerer Teams ohne aktuellen Eigentümer
• Anwendungssupport-Gruppen, die Rechte von alten Admin-Gruppen geerbt haben
• Gruppen, die für eine Region oder Geschäftseinheit erstellt und später anderswo wiederverwendet wurden
• alte Projektgruppen, die noch ehemalige Mitarbeiter oder Dienstkonten enthalten

Eine praxistaugliche Prüfung beginnt oben an der Rechtegrenze und arbeitet sich nach unten vor. Beginnen Sie mit Tier-0-Gruppen und weisen Sie nach, wer sie transitiv erreichen kann. Gruppen alphabetisch durchzuprüfen verschwendet Zeit und übersieht meist den relevanten Pfad.

Die Angriffskette

Schritt 1 – Den verschachtelten Pfad finden

Der Angreifer oder Prüfer kartiert die rekursive Mitgliedschaft ausgehend von privilegierten Gruppen. Ziel ist es, ein Konto zu finden, das leichter zu kompromittieren ist als ein direkter Domain Admin, sich aber dennoch in einen privilegierten Pfad auflöst.

Get-ADGroupMember -Identity 'Domain Admins' -Recursive |
  Select-Object SamAccountName, ObjectClass, DistinguishedName

Schritt 2 – Das schwächste Glied identifizieren

Das schwächste Glied ist oft kein namentlich bekannter Administrator. Es kann ein Dienstkonto mit SPN, ein veraltetes Benutzerkonto, ein gemeinsam genutztes Operatorkonto oder eine große Support-Gruppe sein. Der verschachtelte Pfad macht aus dieser schwächeren Identität ein sinnvolles Eskalationsziel.

Get-ADGroupMember -Identity 'Domain Admins' -Recursive |
  Where-Object {$_.objectClass -eq 'user'} |
  Get-ADUser -Properties Enabled, PasswordLastSet, ServicePrincipalName, LastLogonDate |
  Select-Object SamAccountName, Enabled, PasswordLastSet, LastLogonDate, ServicePrincipalName

Schritt 3 – Bestehende Autorisierung nutzen

Erbt die kompromittierte Identität bereits die benötigten Rechte, braucht der Angreifer keine neue Schwachstelle in Active Directory. Das Verzeichnis gewährt den Zugriff bereits. Deshalb ist gefährliche Verschachtelung ein Angriffspfad-Problem, nicht nur ein Hygieneproblem.

Erkennung

Windows-Event-IDs

Überwachen Sie Änderungen an Sicherheitsgruppen auf Domänencontrollern. Microsoft dokumentiert die zentralen Ereignisfamilien unter Audit Security Group Management, und auch die Pflichtereignisliste von Microsoft Defender for Identity enthält die "Mitglied hinzugefügt"-Varianten dieser Ereignisse (4728, 4732, 4756).

Alarmieren Sie nicht nur bei direkten Aufnahmen in Domain Admins. Alarmieren Sie auch bei Änderungen an Gruppen ein oder zwei Ebenen unterhalb von Tier 0, denn dort entstehen versteckte Pfade häufig.

Praktische Prüfschritte

Nutzen Sie wiederkehrende Prüfungen statt einmaliger Bereinigung:

• rekursive Mitgliedschaft für geschützte Gruppen exportieren
• direkte mit effektiver Mitgliedschaft vergleichen
• Dienstkonten, gemeinsam genutzte Konten, deaktivierte und veraltete Benutzer in rekursiven Pfaden kennzeichnen
• Gruppen ohne Eigentümer, ohne Beschreibung oder ohne aktuelles Prüfdatum identifizieren
• prüfen, ob Gruppenänderungen genehmigt und erwartet waren
• überwachen, ob dieselbe Gruppenkante nach der Bereinigung erneut angelegt wird

Behebung

Das Ziel ist nicht, jede Gruppe flachzuklopfen. Das Ziel ist, versteckte Tier-0-Vererbung zu entfernen und verbleibende privilegierte Pfade explizit, mit Eigentümer versehen und prüfbar zu machen.

1. Rekursive Mitgliedschaft von Tier 0 abwärts prüfen

Beginnen Sie mit den Gruppen, die die Rechtegrenze definieren.

$tier0Groups = @('Domain Admins','Enterprise Admins','Schema Admins','Administrators','Backup Operators')
$results = foreach ($group in $tier0Groups) {
  Get-ADGroupMember -Identity $group -Recursive | ForEach-Object {
    [PSCustomObject]@{
      RootGroup = $group
      Account = $_.SamAccountName
      Type = $_.ObjectClass
      DistinguishedName = $_.DistinguishedName
    }
  }
}
$results | Export-Csv tier0-recursive-membership.csv -NoTypeInformation

2. Die Gruppenkante finden, die den Pfad erzeugt

Einen Benutzer aus der falschen Gruppe zu entfernen, korrigiert das Modell nicht. Finden Sie die Zwischengruppenbeziehung, die das Recht gewährt, und entscheiden Sie, ob sie noch benötigt wird. Ist eine Serveradmin-Gruppe in einen Domain-Admin-Pfad verschachtelt, gestalten Sie das administrative Modell neu, statt benutzerbezogene Ausnahmen zu schaffen.

3. Tier-Grenzen explizit neu aufbauen

Ziel ist es, zu verhindern, dass Gruppen niedrigerer Tiers durch bequeme Verschachtelung Rechte höherer Tiers erben. Eine Helpdesk-Gruppe sollte nicht dadurch privilegiert werden, dass sie in eine Serveradmin-Gruppe verschachtelt wurde, die später weiter nach oben verschachtelt wurde.

4. Eigentümerschaft und Prüfrhythmus zuweisen

Jede Gruppe nahe Tier 0 sollte einen Eigentümer, einen Zweck und einen Prüfrhythmus haben. Kann niemand erklären, warum eine Gruppe in einen privilegierten Pfad verschachtelt ist, entfernen oder isolieren Sie sie, bis die Abhängigkeit nachgewiesen ist. Dokumentieren Sie Ausnahmen als Ausnahmen, nicht als normale Architektur.

Was Sie nicht tun sollten

Beheben Sie gefährliche Verschachtelung nicht durch blindes Löschen von Gruppen. Manche Gruppen unterstützen möglicherweise noch Anwendungsadministration, Backup-Jobs oder operative Abläufe. Die richtige Reihenfolge ist: den genauen Pfad identifizieren, Eigentümerschaft bestätigen, unnötige Kanten entfernen und den abhängigen Ablauf testen. Vermeiden Sie außerdem, verschachtelte Rechte durch direkte Benutzermitgliedschaft in derselben geschützten Gruppe zu ersetzen. Das macht den Pfad zwar sichtbarer, verringert aber nicht das Recht. Ziel ist es, das effektive Recht zu reduzieren und die Nachvollziehbarkeit zu verbessern, nicht nur die Gruppenliste zu verkürzen.

Validierung nach der Bereinigung

Weisen Sie nach der Sanierung nach, dass der Pfad verschwunden ist:

• rekursive Mitgliedschaftsexporte für geschützte Gruppen erneut ausführen
• bestätigen, dass sich kein gemeinsam genutztes Konto, Dienstkonto, deaktiviertes Konto oder veraltetes Benutzerkonto mehr in Tier 0 auflöst
• die Ereignisse 4728, 4732, 4756, 4735, 4737 und 4755 während und nach der Sanierung prüfen
• bestätigen, dass verbleibende verschachtelte Gruppen einen Eigentümer und einen dokumentierten Zweck haben
• verifizieren, dass Überwachungswarnungen bei Änderungen an Gruppen unterhalb der privilegierten Grenze auslösen
• Graphergebnisse vor und nach der Bereinigung vergleichen, damit der entfernte Pfad eindeutig belegt ist

Das Validierungsziel ist einfach: Die Umgebung sollte nicht von versteckter Rechtevererbung abhängen, die erst eine Graphabfrage im Nachhinein erklären kann.

Wie EtcSec dies erkennt

EtcSec kartiert den effektiven Gruppengraphen, statt sich nur auf die direkte Mitgliedschaft zu verlassen. Das macht den Befund aus zwei Gründen nützlich: Er zeigt den vollständigen Rechtepfad, und er hilft Prüfern zu erkennen, welches Objekt in der Kette für einen Angreifer am leichtesten zu kompromittieren ist.

Verwandte Beiträge

Betrachten Sie gefährliche Gruppenverschachtelung zusammen mit AD-Angriffspfade: Fehlkonfigurationen bis Domain Admin, ACL-Missbrauch und DCSync: Die stillen Pfade zu Domain Admin, AD-Trust-Angriffe: Von der Unterdomäne bis zur Gesamtstruktur-Root, GPO-Fehlkonfigurationen: Wie Gruppenrichtlinien zum Angriffsvektor werden und Veraltete privilegierte Konten: Verstecktes Risiko in Active Directory. Verschachtelte Rechte sind meist relevant, weil sie mit einem weiteren Angriffspfad zusammenhängen.

Primärquellen

• Active Directory Security Groups
• Protected accounts and groups in Active Directory
• Audit Security Group Management
• 4732: A member was added to a security-enabled local group
• Configure Windows event auditing - Microsoft Defender for Identity