Nachdem wir in unserem letzten Blog Artikel über das neue Microsoft Securing Privilege Access Model schrieben, möchten wir dieses Mal auf das klassische ESAE Tiering eingehen. Vorweg noch der Hinweis, dass im neuen Microsoft Modell nicht mehr von Tiering gesprochen wird, sondern von Levels of Security (Privileged Access, Specialized Security und Enterprise Security). Dazu gleich mehr, nur behaltet im Hinterkopf, dass wir gleich nochmals auf die Levels of Security zurückkommen werden. Doch nun, als Einführung in diesen Blog, zu unserer Infografik über das Tiering Model:

Warum Tiering?

Warum sollte man die Infrastruktur in verschiedene Tiers oder Levels aufteilen? Microsoft schrieb dazu in der ursprünglichen ESAE Dokumentation:

„The purpose of this tier model is to protect identity systems using a set of buffer zones between full control of the Environment (Tier 0) and the high risk workstation assets that attackers frequently compromise.“ (die deutsche Übersetzung von Microsoft vergessen wir lieber ganz schnell)

Ziel ist also, einen oder mehrere Puffer zwischen Systemen, die die Identitäten verwalten und den Systemen mit hohem Risiko von Angriffen zu schaffen. Ob nur Systeme, die Identitäten verwalten, geschützt werden müssen/sollten und welches die Systeme mit hohem Risiko sind, diskutieren wir im nächsten Abschnitt.

Tiering, aber wie?

Auch hier zunächst ein Blick in die Microsoft Dokumentation. Um die Systeme zu schützen, müssen die Accounts mit administrativen Zugängen geschützt werden. Das Tier Modell dreht sich daher um den Schutz dieser Accounts und sieht im Standard 3 Tiers vor:

Quelle: https://web.archive.org/web/20190125204946im_/https://docs.microsoft.com/en-us/windows-server/identity/media/securing-privileged-access-reference-material/paw_rm_fig1.jpg

Tier 0: Administrative Accounts, die direkte oder indirekte Kontrolle über Enterprise Identitäten (im Gegensatz zu lokalen Identitäten z.B. lokalen SQL Accounts) haben

Tier 1: Administrative Accounts, die Kontrolle über Enterprise Server und Anwendungen haben

Tier 2: Administrative Accounts, die Kontrolle über Endbenutzer, Arbeitsplätze und Geräte haben

An dieser Stelle nochmals kurz der Vergleich zu den Levels of Security aus dem neuen Microsoft Model (Privileged Access, Specialized Security und Enterprise Security). Nach wie vor gibt es also 3 Levels oder wollen wir Tiers sagen? 😉

Im neuen Modell ist Privileged Access die sicherste Schicht, also Tier 0, danach folgt Specialized Security (könnte mit Tier 1 verglichen werden) und zuletzt Enterprise Security, das, ähnlich wie Tier 2, sämtliche unternehmensweite Sicherheits-Controls umfasst. Auch wenn Microsoft die Levels neu benannt hat, geht es weiterhin darum, verschiedene Schichten nach Schutzbedarf zu definieren und voneinander abzuschotten. Nun aber wieder zurück zu Tiering….

Wie sollen die administrativen Zugänge konkret geschützt werden? Als primären Schutzmechanismus sieht Microsoft hier die Einschränkung der Zugänge:

Es gibt pro Tier eine OU mit weiteren Unter-OUs zur logischen Trennung von Servern, Usern und Gruppen etc. In jedem Tier gibt es eine Gruppe, in der alle Admin Accounts Mitglied sind.

Für Tier 1 und 2 gibt es jeweils eine GPO, in der die Logon Einschränkungen konfiguriert werden.

In der Tier 1 Policy wird den Tier 0 Admins der Logon verwehrt.

In der Tier 2 Policy werden sowohl den Tier 0 als auch den Tier 1 Admins der Logon verboten.

Fazit

Das Einführen von Tiering ist, gerade in gewachsenen Umgebungen, eine nicht zu unterschätzende Aufgabe. Allerdings ist es ein wichtiger Eckpfeiler für viele weiterführende Maßnahmen und ein massiver Sicherheitsgewinn, da es das Lateral Movement von Angreifern sehr erschwert. Im Zweifel bietet sich an, zunächst nur Tier 0 Systeme zu isolieren. Erst danach werden Tier 1 und Tier 2 Systeme geschützt. Dies hat den Vorteil, dass man zum einen die wichtigsten Systeme abschottet und gleichzeitig Erfahrung mit dem Tiering Modell sammeln kann. So ist eine Ausweitung auf Tier 1 und 2 im Anschluss einfacher zu bewerkstelligen.