Ein Active Directory Security Assessment ist eine manuelle, angreiferorientierte Prüfung Ihres lokalen Active Directory und Ihrer Microsoft Entra ID, die aufzeigt, wie aus einem Brückenkopf eine vollständige Domänenübernahme wird - über Kerberoasting, AS-REP-Roasting, ACL- und Delegierungsmissbrauch sowie Diebstahl von Anmeldedaten. Die von erfahrenen Fachleuten (OSCP, CRTP, CREST) geführten Tester von CyberXplore bilden reale Angreifer-Taktiken nach, zugeordnet zu MITRE ATT&CK, und liefern anschließend priorisierte, angriffspfadbasierte Maßnahmen - inklusive kostenlosem Retest und Attestierungsschreiben, damit Sie belegen können, dass jeder Pfad geschlossen ist.
MITRE ATT&CKPTESNISTCIS Benchmarks
Warum CyberXplore
Ausschließlich Senior-Tester (OSCP, CRTP, CREST)
Zertifiziert nach ISO 27001 & ISO 9001
Kostenloser Retest + Attestierungsschreiben
Maßgeschneiderter Scope und Angebot innerhalb von 24 Stunden
Warum es wichtig ist
Active Directory authentifiziert nahezu jeden Benutzer und jedes System, das Sie betreiben - ein einziger Angriffspfad zum Domain Admin gibt Angreifern die Kontrolle über Ihre gesamte Umgebung, einschließlich der Möglichkeit, domänenweit Ransomware auszurollen.
Die meisten AD-Kompromittierungen nutzen Fehlkonfigurationen und angesammelte technische Schulden aus, nicht Softwarefehler: schwache Dienstkonto-Passwörter, gefährliche ACLs, uneingeschränkte Delegierung und verwaiste Administratorrechte, die kein Patch behebt.
Hybride Identität vergrößert den Wirkungsradius - ein Brückenkopf on-premise kann sich über Entra Connect, Föderation und synchronisierte privilegierte Konten in die Microsoft Entra ID (und Ihren Cloud-Tenant) ausbreiten.
Standard-Schwachstellenscans und selbst Web-/Netzwerk-Pentests modellieren AD-Rechteausweitungsketten nur selten, sodass diese Probleme unbemerkt bestehen bleiben, bis ein Eindringling sie zuerst findet.
Wir legen die in Scope befindlichen Domänen, Forests und Entra-ID-Tenants fest, die Ausgangsposition (angenommener Breach mit Standardbenutzer-Brückenkopf oder unauthentifiziert) sowie sichere Grenzen - und bestätigen anschließend Change-Freeze-Fenster und Notfallkontakte.
02
Enumeration & Angriffspfad-Mapping
Von einem Konto mit niedrigen Rechten aus enumerieren wir Benutzer, Gruppen, GPOs, Trusts, ACLs, Delegierungen und Zertifikatsdienste und erstellen mit Werkzeugen wie BloodHound und PingCastle einen vollständigen Graphen der realistischen Rechteausweitungsrouten.
03
Anmeldedaten- & Kerberos-Angriffe
Wir testen sicher Kerberoasting, AS-REP-Roasting, Password Spraying und den Missbrauch schwacher oder wiederverwendeter Dienstkonto-Anmeldedaten, um Tickets zu extrahieren und zu knacken, ohne die Authentifizierungsdienste zu stören.
04
Rechteausweitung & Laterale Bewegung
Wir verketten ACL-Missbrauch, eingeschränkte/uneingeschränkte/ressourcenbasierte Delegierung, AD-CS-Fehlkonfigurationen (ESC1-ESC8) und Diebstahl von Anmeldedaten, um uns lateral zu bewegen und einen konkreten Pfad zu Domain- und Enterprise-Admin nachzuweisen.
05
Hybrid- & Entra-ID-Prüfung
Sofern im Scope, bewerten wir Entra Connect, Föderation, privilegierte Rollenzuweisungen, Conditional Access und On-Prem-to-Cloud-Pivots, um zu zeigen, wie ein AD-Brückenkopf Ihre Microsoft-365- und Azure-Umgebung erreichen kann.
06
Reporting, Remediation & Retest
Sie erhalten Angriffspfad-Narrative, zugeordnet zu MITRE ATT&CK, mit priorisierten Maßnahmen; wir unterstützen Ihr Team während der Behebung und testen jeden Befund kostenlos erneut, um zu bestätigen, dass die Pfade geschlossen sind.
Was wir testen
Enumeration von Active-Directory-Domänen & -Forests (Benutzer, Gruppen, GPOs, Trusts)
Kerberoasting & AS-REP-Roasting gegen Dienst- und Benutzerkonten
Password Spraying, schwache/wiederverwendete Anmeldedaten & Prüfung von Standardkonten
Härtung der Domänencontroller & Prüfung der Gruppenrichtlinien-Sicherheitsbaseline
Was Sie erhalten
Executive Summary, die Angriffspfade in Geschäfts- und Ransomware-Risiken übersetzt
Detaillierte technische Befunde mit Schweregrad, Nachweisen und MITRE-ATT&CK-Zuordnung
Visuelle Angriffspfad-Graphen vom Standardbenutzer bis zum Domain-/Enterprise-Admin
Schritt-für-Schritt-Reproduktion für jede Rechteausweitungskette
Priorisierte, praxisnahe Handlungsempfehlungen und eine Roadmap für das Tiering-Modell
Kostenloser Retest mit Bestätigungsschreiben zur Verifizierung der Behebung nach Umsetzung
Attestierungsschreiben für Kunden, Auditoren und Compliance-Frameworks
Beispiel-Deliverable
Was Sie in Ihrem Bericht sehen
Jedes Engagement endet mit einem klaren, priorisierten Bericht: nach Schweregrad bewertete Findings mit CVSS-Scores, betroffenen Assets und Remediation-Status - plus kostenlosem Retest. Die folgenden Zahlen sind illustrativ.
Findings nach Schweregrad
23 total
Critical
1
High
10
Medium
8
Low
4
Critical · CVSS 9.1CX-714
DCSync via excessive ACL on the domain object
CWE-269CORP\helpdeskRetested
High · CVSS 8.1CX-702
Kerberoastable service account with weak password
CWE-262svc-sql.corp.localOpen
Illustratives Muster: active directory security assessment - anonymisiert auf example.com.
High · CVSS 8.0CX-720
Unconstrained delegation on application server
CWE-266app01.corp.localOpen
Möchten Sie den vollständigen anonymisierten Beispielbericht? Wir legen ihn Ihrem Angebot bei.
Kumulierte Werte aus der gesamten Projekthistorie unseres Teams
Unter NDA geteilt · Details anonymisiert
“CyberXplore found critical issues three previous vendors missed. The report was the clearest we've ever received - our engineers fixed everything in a week, and the free retest confirmed every fix held.”
23 critical findings surfaced
HS
Head of Security
European SaaS platform · Series C · 450 employees
B2B SaaS
Unter NDA geteilt · Details anonymisiert
“Senior testers, fast turnaround, and a free retest that actually proved our fixes worked. They made our SOC 2 audit painless.”
SOC 2 passed first attempt
VE
VP of Engineering
Series B FinTech · Payments platform
FinTech
Zertifizierungen unserer Tester
OSCP
CRTP
CREST
CEH
eWPTX
ISO 27001
ISO 9001
Häufig gestellte Fragen
Es ist eine manuelle, angreifergeführte Prüfung Ihres lokalen Active Directory und Ihrer Microsoft Entra ID, die die Fehlkonfigurationen und Rechteausweitungspfade identifiziert, die ein Angreifer verketten würde, um Domain-Admin-Rechte zu erlangen - abgedeckt werden Kerberoasting, AS-REP-Roasting, ACL- und Delegierungsmissbrauch, AD CS und Hybrid-Identity-Pivots. Ziel ist es, reale Angriffspfade und deren Unterbrechung aufzuzeigen, nicht nur eine Liste von Einstellungen zu erstellen.
