Bereich 02 / 12
Schutz von Anmeldedaten
Der Diebstahl von Anmeldedaten aus LSASS ist der Motor für Lateral Movement. Dieser Bereich isoliert NTLM-Hashes und Kerberos-Tickets mit virtualisierungsbasiertem Credential Guard, lässt LSASS als geschützten Prozess laufen, schaltet Legacy-Provider mit Klartextkennwörtern ab und reduziert zwischengespeicherte Anmeldedaten.
Pfad startenLernpfad
0/4 erledigt- 01Credential Guard und LSA-Schutz: LSASS absichernWie Credential Guard und LSA-Schutz (RunAsPPL) Credential Dumping stoppen, wie man sie aktiviert und prüft, was sie brechen und welche Altlasten man abschaltet.
- 02Zwischengespeicherte Anmeldungen, WDigest und Co.Weniger Anmeldedaten auf Datenträger und im Speicher: Anzahl zwischengespeicherter Anmeldungen, WDigest, Bereinigung nach Abmeldung und Anmeldeinformationsverwaltung.
- 03RDP ohne Credential-Preisgabe: RCG und Restricted AdminVerhindern, dass RDP wiederverwendbare Anmeldedaten auf Servern hinterlässt: Remote Credential Guard, Restricted Admin, DisableRestrictedAdmin und Delegierung.
- 04Windows Hello for Business: Vertrauensmodelle und PINWindows Hello for Business mit Cloud-Kerberos-Vertrauensstellung oder Key Trust einführen, TPM-Schlüssel verlangen, PIN-Richtlinie setzen und Bereitstellung prüfen.