Active Directory beveiliging: waarom uw identiteiten kwetsbaarder zijn dan u denkt

Al jaren wordt voorspeld dat Active Directory (AD) zal verdwijnen. Microsoft Entra (voorheen Azure AD) zou het traditionele domeinmodel vervangen en organisaties volledig naar de cloud brengen. De praktijk is echter weerbarstiger en dat heeft gevolgen voor uw beveiliging. Active Directory is namelijk geen aflopende technologie. Het is een blijvend kerncomponent. En daarmee ook een aantrekkelijk doelwit voor aanvallers.

In deze blog licht Gert-Jan de Boer, onze security expert en mede-eigenaar, toe welke stappen u vandaag nog kunt zetten om uw (mkb-)organisatie te beschermen tegen misbruik van identiteiten.

Afhankelijkheid van on-premises AD

Veel organisaties draaien nog steeds bedrijfskritische applicaties die afhankelijk zijn van on-premises AD. Denk aan fileservers, ERP-systemen, industriële omgevingen, legacy-applicaties en interne webservices. Deze applicaties authenticeren via Lightweight Directory Access Protocol (LDAP), NT Lan Manager (NTLM) of Kerberos. Zelfs organisaties met een sterke cloudstrategie opereren in werkelijkheid hybride.

Identiteit is de nieuwe ingang voor cybercriminelen

Wist u dat moderne aanvallen zelden beginnen met het exploiteren van een firewall of serverkwetsbaarheid? Ze beginnen vrijwel altijd met een valide login.

Phishing, het hergebruiken van gelekte wachtwoorden, token theft en sessiekaping zijn vandaag de dag uiterst effectief. Dit omdat ze inspelen op menselijk gedrag in plaats van technische kwetsbaarheden. Een aanvaller hoeft geen systeem meer te kraken; het verkrijgen van valide inloggegevens is vaak voldoende.

Zodra een aanvaller beschikt over valide credentials van een gebruiker, kan hij zich voordoen als een legitieme medewerker. Vanuit dat startpunt verkent hij de omgeving, zoekt naar systemen met hogere rechten en probeert aanvullende accounts of service-accounts te misbruiken. Active Directory fungeert daarbij vaak als centraal navigatiepunt. Via AD kan een aanvaller rechten uitbreiden, andere systemen benaderen en zich lateraal door het netwerk bewegen zonder direct op te vallen.

Recente incidenten, waaronder het datalek bij Odido, laten zien hoe groot de impact is wanneer accounts worden misbruikt. Identiteit is geen IT-domein meer. Het is een security-domein.

En zolang Active Directory onderdeel is van uw omgeving, moet ook dát domein actief worden beschermd.

Twee lagen beveiliging voor uw Active Directory: monitoring en ingrijpen

Bij de beveiliging van Active Directory zijn twee zaken essentieel:

1. Zicht op wat er gebeurt
2. De mogelijkheid om in te grijpen

Cisco biedt hiervoor twee complementaire oplossingen: Identity Intelligence en Duo met AD Defense. Ze vullen elkaar aan, maar doen fundamenteel iets anders.

Identity Intelligence: zicht op identiteitsgedrag

Identity Intelligence richt zich op monitoring en analyse van wat er binnen Active Directory gebeurt. Het controleert en analyseert onder andere:

• Loginpogingen en authenticatiestromen
• Afwijkend gebruikersgedrag
• Privilege-escalaties
• Laterale beweging binnen het domein
• Risicovolle accounts of configuraties

Een goede vergelijking is een Intrusion Detection System (IDS) of een Next-Generation Firewall in detectiemodus.

Identity Intelligence analyseert patronen en afwijkingen binnen identiteitsverkeer, net zoals een IDS netwerkverkeer analyseert op verdachte signatures of gedragingen. Het brengt risico’s in kaart en genereert inzichten, maar blokkeert geen authenticaties en wijzigt het loginproces niet.

Het is dus een detectie- en analysetool, geen ingreep in de authenticatieflow.

Belangrijk is dat organisaties Identity Intelligence ook kunnen gebruiken zonder een Duo-tenant. Het kan zelfstandig worden ingezet voor monitoring van Active Directory. Dat maakt het geschikt voor organisaties die eerst inzicht willen krijgen in hun identiteitsrisico’s.

Identity Intelligence is beschikbaar als onderdeel van een Duo-, Secure Access- en XDR-abonnement en integreert volledig met het Cisco Security Cloud-platform.

Duo MFA met AD Defense: ingrijpen tijdens authenticatie

Waar Identity Intelligence observeert, grijpt DUO MFA met AD Defense daadwerkelijk in.

Met AD Defense wordt MFA insertion mogelijk gemaakt. Dat betekent dat multifactorauthenticatie direct in het authenticatieproces van Active Directory wordt geplaatst.

Authenticatiestromen zoals LDAP, NTLM en Kerberos worden op de domain controllers onderschept. Vervolgens kan MFA worden afgedwongen zonder dat applicaties aangepast hoeven te worden.

Dat verschil is essentieel:

• Identity Intelligence detecteert verdacht gedrag
• Duo MFA met AD Defense voorkomt misbruik tijdens het inloggen

U kunt het vergelijken met het verschil tussen een IDS en een firewall die actief verkeer blokkeert:

• Identity Intelligence ziet dat er iets afwijkends gebeurt.
• Duo MFA zorgt ervoor dat een aanvaller met gestolen credentials simpelweg niet verder komt.

Voor hybride omgevingen is dit bijzonder relevant. Veel organisaties hebben niet volledig in beeld welke applicaties direct tegen AD authenticeren. Traditionele MFA-oplossingen vereisen vaak aanpassingen in applicaties of het gebruik van een proxy. Dat is in complexe omgevingen lastig beheersbaar.

Met MFA insertion wordt beveiliging toegevoegd op de plek waar het er echt toe doet: op de domain controller zelf.

Waarom is de beveiliging van Active Directory juist nu belangrijk?

Zolang Active Directory bestaat, blijft het een kerncomponent in aanvalsketens. Het klassieke patroon is herkenbaar:

1. Initiële toegang via phishing of credential misuse
2. Interne verkenning
3. Laterale beweging via AD
4. Privilege-escalatie
5. Datadiefstal of ransomware

Als u alleen cloud identity beveiligt en uw on-prem AD onvoldoende monitort of beschermt, blijft er een kritieke blinde vlek bestaan.

De gedachte dat AD ‘toch binnenkort verdwijnt’ is gevaarlijk. In de meeste organisaties blijft het nog jaren een integraal onderdeel van de infrastructuur.

Integratie met Cisco XDR en aaZoo Secure Operations

Binnen aaZoo Secure Operations combineren wij detectie en preventie.

Identity Intelligence levert diepgaand inzicht in wat er gebeurt binnen Active Directory. Cisco XDR correleert deze identiteitsdata met endpoint-, netwerk- en cloudtelemetrie. Daardoor ontstaat context.

Een verdachte login kan bijvoorbeeld worden gekoppeld aan:

• Endpoint-activiteit
• Netwerkverkeer
• Cloudtoegang
• Laterale beweging

Wanneer Duo MFA met AD Defense is geactiveerd, wordt preventie toegevoegd aan deze detectielaag. Gestolen credentials zijn dan niet voldoende om toegang te krijgen.

Deze combinatie zorgt ervoor dat identiteit niet alleen zichtbaar is, maar ook daadwerkelijk beschermd wordt.

Doe de check: hoe veilig is uw AD?

Zolang Active Directory onderdeel is van uw omgeving, is het verstandig om kritisch te kijken naar uw huidige inrichting:

• Heeft u volledig inzicht in loginactiviteiten binnen AD?
• Worden afwijkende authenticatiepatronen actief gemonitord?
• Zijn LDAP- en NTLM-authenticaties beschermd met MFA?
• Heeft u zicht op laterale beweging binnen het domein?
• Is identiteitsdata geïntegreerd in uw SOC of MDR-dienst?
• Weet u hoeveel inactieve accounts uw organisatie heeft?

Als één van deze vragen onbeantwoord blijft, is identiteit waarschijnlijk nog onvoldoende geïntegreerd in uw securitystrategie. Maar zolang aanvallers inloggen in plaats van hacken, zou identiteit uw eerste verdedigingslinie moeten zijn.

Benieuwd hoe u de eerste stappen kunt zetten om de identiteit van u en uw collega’s te beschermen? Wij denken graag met u mee! Neem hier direct contact met ons op.