G 3.49 Fehlerhafte Konfiguration des Active Directory
Windows 2000 und Windows Server 2003 gestatten die Delegation einzelner administrativer Rechte - auch für Teilbereiche des Active Directory - an bestimmte Benutzer. Diese Delegation erfolgt durch die Vergabe detaillierter Einzelberechtigungen im Active Directory.
Durch die hohe Komplexität der Rechtevergabe, z. B. viele für die einzelnen Objekttypen spezifische Einzelberechtigungen, Vererbung von Berechtigungen, unzureichende Dokumentation, im Active Directory kann es geschehen, dass
- Administratoren Zugriff auf Bereiche des Active Directory haben, zu deren Administration sie nicht befugt sind, oder
- Bereiche des Active Directory nicht durch Zugriffsrechte geschützt sind, so dass jeder Benutzer auf diese Daten zugreifen kann.
Die Gefahr des unberechtigten Zugriffs bei Fehlkonfiguration der Active-Directory-Zugriffsrechte erhöht sich insbesondere dadurch, dass mehrere Zugriffsschnittstellen auf das Active Directory existieren, z. B. ADSI, LDAP.
Besondere Gefährdungen ergeben sich aus Handlungen, die die Datenbankstruktur des Active Directory ändern:
- Änderungen des Active Directory Schemas können dazu führen, dass das bestehende Windows 2000 System zu anderen Softwarepaketen, die das Active Directory nutzen, inkompatibel wird. Da sich Änderungen des Schemas z. T. nicht rückgängig machen lassen, kann dies bedeuten, dass das bestehende System völlig neu aufgesetzt werden muss.
- Bei der Aufnahme eines personenbezogenen Attributes in den Global Catalog des Active Directory besteht die Gefahr, dass personenbezogene Daten auch jenseits des eigentlichen Adressatenkreises zugänglich sind.
Beispiel:
Innerhalb einer Firma werden die internen Telefonnummern der Mitarbeiter im Active Directory abgelegt. Wenn die Rechner der Firma nur eine Domäne im Active Directory Baum eines größeren Unternehmensverbundes bilden, würden diese internen Telefonnummern bei Aufnahme in den Global Catalog an alle Domänen des Active Directory Baumes verteilt.