Restore Modus durch Passwort schützen

- Kann ein Domänen-Controller in den so genannten Active-Directory-Restore-Modus gebootet werden, so ist es möglich, Veränderungen am AD durchzuführen, indem z. B. alte Zustände (teilweise oder vollständig) von Backup-Medien geladen werden. Diese Veränderungen lassen sich so einspielen, dass sie nach dem regulären Booten durch die Active-Directory-Replikation an alle anderen Domänen-Controllern einer Domäne propagiert werden. Es ist daher sicherzustellen, dass der Active-Directory-Restore-Modus durch ein geeignetes Passwort geschützt ist und Arbeiten in diesem Modus nur unter Einhaltung des Vier-Augen-Prinzips erfolgen. Der Active-Directory-Restore-Modus ist kommandozeilenbasiert und Tippfehler können gravierende Folgen haben, z. B. Löschen oder Überschreiben des falschen Active-Directory-Zweiges. Daher bietet das Vier-Augen-Prinzip hier neben der Tätigkeitskontrolle auch eine Sicherheit durch die Kontrolle aller Eingaben durch zwei Personen.

- Die Domänen-Controller der Forest-Root-Domäne (FRD) sind aufgrund der Sonderstellung der FRD besonders schutzbedürftig.

Generell ist für jeden Domänen-Controller immer die physikalische Sicherheit zu gewährleisten, z. B durch Aufstellung in einem Serverraum.

Prüffragen:

- Sind für alle Domänen-Controller restriktive Zugriffsrechte auf Betriebssystemebene vergeben?

- Wurden die Active-Directory-Berechtigungen restriktiv vergeben?

- Ist die physikalische Sicherheit aller Domänen-Controller gewährleistet?

- Sind nur die gemäß Planung benötigten Dienste für jeden Domänen-Controller installiert?