Häufig werden wir gefragt, warum wir eine Systemhärtung nicht mithilfe von Gruppenrichtlinien bzw. Group Policy Objects durchführen. Die einfache Antwort darauf ist: Die Handhabung ist äußerst ineffizient, was zu unbefriedigenden Ergebnissen führt. In diesem Beitrag erläutern wir, warum das der Fall ist.

Ein Gastbeitrag von unserem Partner: FB Pro GmbH

Gruppenrichtlinien: Effektiv und wesentlich

Group Policy Objects (GPO), im Deutschen als Gruppenrichtlinien bekannt, markierten bei ihrer Einführung vor etwa 25 Jahren einen bedeutenden Fortschritt. Sie ermöglichen es Administratoren, mit minimalem Zeitaufwand eine konsistente Konfiguration auf entfernten oder verteilten Systemen zu implementieren.

Die Erstellung effektiver Gruppenrichtlinien waren bei der Einführung relativ unkompliziert. Bis heute bleiben GPOs ein weit verbreitetes und häufig verwendetes Werkzeug zur Verteilung und Aufrechterhaltung von Konfigurationen. Dennoch wird zunehmend klar, dass es bei den Group Policy Objects an wichtigen Funktionen mangelt oder diese nicht im Vordergrund stehen.

Microsoft selbst hebt beispielsweise in einem Beitrag hervor, welche Vorteile neuere Technologien wie PowerShell DSC gegenüber GPOs bieten.

Kann durch GPOs eine Systemhärtung durchgeführt werden?

Ja, prinzipiell können GPOs technisch dazu genutzt werden, Systemkonfigurationen und entsprechende Härtungseinstellungen zu verteilen.

Man kann beispielsweise den SiSyPHuS-Vorgaben des BSI folgen, indem man die empfohlenen Gruppenrichtlinienobjekte zur Härtung von Windows 10 herunterlädt. Auf Basis von GPOs lassen sich dann Härtungskonfigurationen auf die Zielsysteme übertragen. Auch das Center for Internet Security (CIS) bietet gruppierungsrichtlinienbasierte Konfigurationssätze an.

Es gibt jedoch gewichtige Argumente, die gegen eine Umsetzung per GPO sprechen:

• • Der Einsatz von Gruppenrichtlinien ist mit einem hohen manuellen Konfigurations- und Dokumentationsaufwand verbunden, sowohl initial als auch fortlaufend.
  • Systeme, die nicht in die Domäne integriert sind, müssen gesondert behandelt werden, da zentral im Active Directory verwaltete GPOs hier nicht anwendbar sind. Dazu gehören beispielsweise DMZ oder OT-Umgebungen.
  • Auch Linux-basierte Systeme erfordern eine separate Betrachtung.
  • Die Härtungsvorgaben von Organisationen wie dem BSI und CIS überschreiten häufig die technischen Möglichkeiten, die mit Standard-GPOs umgesetzt werden können.
  • Für eine adäquate Umsetzung müssen zusätzliche technische Konfigurationsmethoden wie PowerShell verwendet oder eigene ADMX-Templates entwickelt werden, was die Komplexität und den Dokumentationsaufwand deutlich steigert.
  • GPO-Einstellungen erreichen nicht immer die Zielsysteme. Bei Hunderten von Servern oder Clients muss überprüft werden, ob die Einstellungen korrekt angewendet wurden.
  • OU-Strukturen enthalten oft historisch veraltete Computerobjekte, was eine initiale Bereinigung notwendig macht – insbesondere da keine Wiederherstellungsoptionen vorhanden sind.

In einer Welt, in der sich Cyber-Bedrohungen kontinuierlich weiterentwickeln, stellt sich die Frage, ob es noch angebracht ist, auf „starre“ Gruppenrichtlinien in der IT-Sicherheit zu setzen. Wie bereits eingangs erwähnt, fehlen für ein effektives Security Configuration Management (SCM) entscheidende Funktionalitäten!

Sichere Systemkonfiguration mit Gruppenrichtlinien: Die Vor- und Nachteile

In der untenstehenden Tabelle fassen wir die aus unserer Perspektive wichtigsten Plus- und Minuspunkte einer Systemhärtung mittels GPOs zusammen:

Anders formuliert: Die Systemhärtung mittels Active Directory und Gruppenrichtlinien bildet eine monolithische Herangehensweise, die umfangreiche manuelle Arbeit erfordert. Eine Herausforderung, die überlastete IT-Abteilungen oft nur schwer bewältigen können.

Wie kann eine nachhaltige Systemhärtung erreicht werden?

Wenn Sie nur wenige Systeme, zum Beispiel ein paar Arbeitsplatzrechner und Server, zu administrieren haben, kann eine Härtung über GPO in Ordnung sein. Der Aufwand für die Durchführung, Überwachung und Anpassungen ist zwar beträchtlich, aber mit einem personell gut aufgestellten IT-Team machbar.

Aber in umfangreichen IT-Landschaften erweist sich eine umfassende und nachhaltige Systemhärtung, die alle Facetten des Security Configuration Managements auf hohem Niveau umfasst, mit GPOs als nicht realisierbar – zumindest nicht ohne unverhältnismäßig großen Aufwand.

Die einzige sinnvolle Lösung hierfür ist die Automatisierung!Für die Automatisierung der Systemhärtung gibt es bislang kaum professionelle Lösungen auf dem Markt. Eine Ausnahme: der Enforce Administrator. Dieses Tool ermöglicht die selbstständige Durchführung von Härtungen, basierend auf bewährten und aktuellen Standards – zum Beispiel von Microsoft, BSI, CIS und DISA.

Zusätzlich bietet der Enforce Administrator ein Systems Management und ein Audit-System, um den Compliance-Status zu überwachen. Eine regelmäßige „Selbstheilung“ gemäß den festgelegten Konfigurationen ist ebenfalls Teil der Lösung.

Gruppenrichtlinien vs. Enforce Administrator

Wo liegen die Stärken vonGPOs? Und in welchen Bereichen punktet der Enforce Administrator? Hier finden Sie die Antworten:

Fazit

Gruppenrichtlinien und Active Directory haben zweifellos ihre Stärken. Allerdings erreichen sie bei der Umsetzung von Security Configuration Management (SCM) schnell ihre Grenzen. SCM erfordert nicht nur die Implementierung sicherer Konfigurationen, sondern auch eine Integration in bestehende Prozesse, Möglichkeiten zur Erkennung von Sicherheitsvorfällen und kontinuierliches Monitoring.

Aufgrund der aktuellen Fachkräfteknappheit ist es fast unmöglich, die notwendige Zeit für umfangreiche manuelle Arbeiten aufzubringen, die erforderlich wären, um diese Einschränkungen zu überwinden.

Für eine nachhaltiges Systemhärtung muss das SCM automatisiert werden – und das auf allen Ebenen: bei der Einrichtung, bei der Überwachung und bei der Anpassung. Nur so kann es gelingen, IT-Infrastrukturen langfristig konform aktueller Empfehlungen und Standards zu halten und das Risiko für erfolgreiche Cyber-Angriffe wirksam zu reduzieren.

____

Über die FB Pro GmbH:

Die FB Pro konzentriert sich auf die Härtung von IT-Systemen und -Infrastrukturen. Dazu hat das rheinland-pfälzische Team eigene standardisierte Lösungen und Produkte entwickelt. Diese helfen Unternehmen, ihre Systemlandschaften schneller und effizienter präventiv zu schützen.