Von Pannen bis zum Totalausfall: Schutz und Wiederherstellung von AD und Entra ID

Sie steuern die Authentifizierung und den Zugriff. Werden sie kompromittiert, können Angreifer ihre Berechtigungen erweitern, Abwehrmechanismen deaktivieren und zentrale Geschäftsdienste lahmlegen. 

Dabei sind Hunderte von miteinander verknüpften Schritten erforderlich. Die manuelle Durchführung unter Zeitdruck führt häufig zu Verzögerungen, Fehlern und einer unvollständigen Wiederherstellung. 

Es ermittelt die wesentlichen Identitätskomponenten, die die für eine rasche Wiederaufnahme des Geschäftsbetriebs erforderlich sind, wobei Ergebnisse Vorrang vor einem vollständigen Neuaufbau haben. 

Damit können Teams die Recovery-Prozesse für AD und Entra ID sicher testen, die Automatisierung überprüfen und Schwachstellen aufdecken, bevor ein tatsächlicher Angriff stattfindet. 

Indemihnen dabei zu helfen, Recovery-Schritte zu automatisieren, Identitätsänderungen zu überprüfen und die Identitätsresilienz in die Unity Platform zu integrieren. 

Sehen Sie sichhierdas Video mit dem zeitgestempelten Transkript an

Hallo und herzlich willkommen zum „Shift“-Podcast zum Thema „Wiederherstellung von Active Directory und Entra ID“. 

Ich bin Darren Thompson und werde heute die Moderation übernehmen. 

Active Directory und Entra ID bilden nach wie vor das Rückgrat der Identitätsverwaltung in den meisten Unternehmen
und sind zugleich eines der größten Angriffsziele. 

Wenn das AD ausfällt, kann alles zum Stillstand kommen – von Geschäftssystemen bis hin zum physischen Zugang. 

Dennoch werden viele Strategien zur Recovery nach wie vor manuell durchgeführt oder fehlen gänzlich. 

In dieser Folge spreche ich mit Dan Conrad, einem weltweit anerkannten Experten für alle
Fragen rund um Identitäten. 

Wir werden über die sich wandelnden Herausforderungen bei der AD-Recovery sprechen und darüber, wie Commvault Cloud Unternehmen dabei unterstützt
, diesen Prozess zu automatisieren und zu beschleunigen. 

Dan, vielen Dank, dass du heute bei uns bist. 

Ich freue mich, hier zu sein, Darren. 

Fangen wir also mit den Grundlagen an. 

Warum gehören Active Directory und die Anmelde-ID auch heute noch zu den wichtigsten, aber zugleich auch zu den
die anfälligsten Ressourcen in unseren Unternehmen? 

Die Antwort auf diese Frage ist vielschichtig, aber ich denke, einer der Gründe dafür ist
sterben Hohe Anfälligkeit geht mit hoher Funktionalität einher. 

Wissen Sie, eine hohe Funktionalität bringt viele potenzielle Schwachstellen mit sich, ähm, aber sie ist dennoch
anfällig, weil es sie bereits seit über 25 Jahren gibt. 

Unternehmen sind darauf angewiesen, und in den letzten 25 Jahren hat es noch nie versagt, oder? 

Es ist dasselbe Active Directory, das sie vor 25 – vielleicht auch vor 20 – Jahren eingerichtet haben. 

Klar, es wurde aktualisiert. 

Es hat sich ein wenig weiterentwickelt. 

Es wurde erweitert. 

Aber im Grunde genommen ist es immer noch das gleiche Active Directory, und es läuft immer noch, und sie mussten es bisher noch nicht
wiederherstellen. 

Es ist so etwas wie der Strom in einem Rechenzentrum. 

Man geht einfach davon aus, dass es da ist, und wir haben es vergessen. 

Deshalb ist es auch nicht Teil eines Plans für die Recovery. 

Aber ich vermute, dass es in den letzten Jahren zu einem Ziel für Kriminelle geworden ist. 

Erzählen Sie doch ein wenig darüber. 

Wäre das kein Problem, würden wir dieses Gespräch heute wahrscheinlich gar nicht führen, denn
Die Verzeichnisdienste selbst sind nach wie vor ziemlich anfällig, aber sie waren weniger wertvoll,

, bis Dinge wie Ransomware aufkamen. 

Es gab zwar Sicherheitslücken wie bei Target und wie beim OPM, aber das
Es gab keine Angriffe, bei denen die gesamte Organisation tatsächlich kompromittiert und lahmgelegt wurde. 

Es wurden lediglich Daten gestohlen, was schon schlimm genug war. 

Wenn man nun Daten stiehlt und auf dem Weg nach draußen die Organisation über einen
ein Faktor, der sie lahmlegen kann, von dem sie nicht ahnen würde, dass er eintreten könnte, oder den sie nicht als Möglichkeit in Betracht gezogen hat, 

Dann sieht die Sache ganz anders aus. 

Interessant. 

Ich weiß, dass wir besonders intensiv an einer bestimmten Funktion gearbeitet haben, und ich
Ich höre viel über die Recovery von Wäldern. 

Erzählen Sie uns doch ein wenig darüber. 

Was ist das und warum erscheint die „Forest Recovery“ für einen Administrator komplexer als
Jede andere Recovery? 

Na ja, genau. 

Wir sprechen hier nicht von Server-Recovery oder gar Dateisystem-Recovery oder davon, Daten einfach
wieder an ihrem ursprünglichen Speicherort zu speichern. 

Die Wiederherstellung eines Active Directory-Forests ist ein komplizierter Vorgang. 

Und falls Sie mit der Terminologie von Active Directory nicht vertraut sind: Eine der
Zu den Strukturen innerhalb von Active Directory gehört die Forest-Struktur. 

Forests bestehen also aus Domänen, die wiederum Domänencontroller enthalten – das sind die Server, die man gemeinhin damit in Verbindung bringt
. 

Ich kann einen Server wiederherstellen, also sollte ich auch in der Lage sein, eine Gesamtstruktur wiederherzustellen. 

Und Active Directory ist dieses sich bewegende, lebendige, atmende Gebilde, das mit allen anderen Teilen
interagiert. 

Und aus Sicherheitsgründen

Es ist so, als würden Sie und ich ständig aufs Neue eine Vertrauensbeziehung aufbauen. 

Wir wissen, wer wir sind. 

Wenn du also eine Weile weg bist und dich jemand durch eine Kopie von Darren ersetzt, wirst du
Das werde ich sehr wohl bemerken, und so wird es nicht funktionieren. 

Und genau das leistet Active Directory. 

Wenn also ein einzelner Domänencontroller ausfällt, wissen die meisten AD-Administratoren, dass man einen
Der Domänencontroller wird nicht wiederhergestellt, da dies den Rest des Verzeichnisses tatsächlich beschädigen würde. 

Man muss einen neuen bauen. 

Man räumt den Aufbewahrungsort des alten Controllers auf und richtet einen neuen ein. 

Wenn es um die Recovery einer Gesamtstruktur geht, 

Das muss man auf allen Domänencontrollern gleichzeitig durchführen. 

Es gibt also das Recovery-Verfahren für das Betriebssystem und dann die 125 Koordinationsschritte, die man
durchführen muss, damit die Gesamtstruktur nach der Recovery wieder funktioniert. 

Und ich glaube, ich sehe langsam die Antwort auf meine nächste Frage, aber erzählen Sie uns doch ein wenig
darüber, wie Unternehmen, die dies sehr manuell durchführen, unter diesem aufwendigen 

. 

Richtig. 

Das soll nicht heißen, dass es nicht machbar ist. 

Es ist ein Prozess, der durchgeführt werden kann. 

Microsoft veröffentlicht den Leitfaden zur Forest Recovery. 

Ähm, die meisten AD-Administratoren kennen diesen Leitfaden sehr gut, hoffen aber, dass sie ihn niemals brauchen werden. 

Und der falsche Zeitpunkt, um herauszufinden, wie man eine Gesamtstruktur wiederherstellt, ist genau dann, wenn man eine
die Gesamtstruktur wiederherstellen muss. 

Wenn man also nicht entsprechend geplant hat und sein Active Directory sogar so aufgebaut hat, dass es wiederhergestellt werden kann,
wird es ein sehr schwieriger Prozess, denn all diese – und ich sage mal, ich werde 

eine unterschiedliche Anzahl von Schritten nennen, da dies davon abhängt, wie viele Schritte erforderlich sind, und alle
müssen korrekt ausgeführt werden, sonst muss man manchmal von vorne anfangen. 

Eine Organisation mit etwa 40.000 Mitarbeitern wandte sich an uns; sie verfügte über eine Single-Domain-Forest, was
in der Active Directory-Welt am einfachsten wiederherzustellen ist. 

Sie kamen zu dem Schluss, dass ihr minimal funktionsfähiges Active Directory aus acht Domänencontrollern besteht
bestehen würde. 

Das ist zwar ziemlich knapp bemessen, aber machbar. 

Und sie wollten versuchen, das selbst zu machen. 

Also nach dem Motto: „ Wie versuchen wir das? Na ja, das ist ganz schön aufwendig, lasst uns das mal üben und schauen, was dabei herauskommt. “ 

Also haben sie die Wiederherstellung durchgeführt, und dafür haben sie 33 Stunden gebraucht. 

Das war für viele eine Herkulesaufgabe, und sie haben es geschafft. 

Sie wissen, wie es geht. 

Und sie kamen zu uns und fragten: „Könnt ihr das übertreffen?“ 

Richtig. 

Na ja, natürlich können wir das. 

Richtig. 

Also haben wir denselben Prozess durchlaufen. 

Als sich die Gelegenheit bot, an einem Wettrennen teilzunehmen, haben wir geschummelt. 

So konnten wir den Wald in knapp zwei Stunden wiederherstellen. 

Außerdem, ja, nur weil wir all diese Schritte automatisiert haben, muss man nicht erst nachschlagen und die richtigen Informationen zusammentragen,
um sie anzuwenden. 

Jeder einzelne Schritt wird anders sein. 

Als CISO mache ich mir vor allem Gedanken über die Recovery-Zeiten, oder? 

Angenommen, ich wurde gehackt, Active Directory und alles andere sind weg. 

Wissen Sie außerdem, wie enorm lang die Zeiträume sind, die für solche manuellen Prozesse benötigt werden?
, wirken sich aus Es hängt alles davon ab, wie lange es dauert, bis ich mein Unternehmen wieder auf die Beine bringe. 

Richtig. 

Die Recovery-Zeit von Active Directory ist stets ein zentrales Anliegen. 

Ich versuche, den Fokus von der Recovery-Zeit auf die Genauigkeit der Recovery zu verlagern. 

Richtig. 

Weißt du, diese reflexartige Reaktion, 

Wenn man eine Gesamtstruktur wiederherstellen muss, besteht die erste Reaktion darin, sie anhand der letzten
die verfügbare Sicherung wieder in den Produktionsbetrieb zu integrieren. 

Sie wissen schon, als man noch wusste, dass sie lief. 

Ich würde Unternehmen dazu ermutigen, erst einmal tief durchzuatmen und die Recovery in einer isolierten Recovery-Umgebung durchzuführen
durchzuführen. 

Denn – wie wir wahrscheinlich noch näher darauf eingehen werden – empfehlen wir Ihnen, Ihre Forest-Recoverys
in dieser isolierten Recovery-Umgebung zu üben. 

So können Sie eine minimal funktionsfähige Version Ihres Active Directory aufbauen – was in einer Single-Domain-Forest
einem Domänencontroller entspricht. 

In einer Forest mit mehreren Domänen wäre es ganz einfach, pro Domäne einen Domänencontroller einzurichten, um
das Verzeichnis zu überprüfen, um festzustellen, was sich dort befindet, möglicherweise herauszufinden, wie es kompromittiert wurde, und 

sicherzustellen, dass so etwas nicht noch einmal passiert. 

Sobald Sie diesen Vorgang im Griff haben – das kann ein paar Stunden dauern –, wechseln Sie zur
Produktionsumgebung und führen Sie dort Ihre Recovery-Prozeduren durch. 

Richtig. 

Und das alles dann unter Stress und Chaos durchziehen, oder? 

Richtig. 

So fühlt sich das also an. 

Genau. 

Der falsche Zeitpunkt, um das zu lernen, ist, wenn es nicht klappt. 

Ja, auf jeden Fall. 

Wir haben also bereits einige Themen angesprochen. 

Lassen Sie uns einfach einen Schritt zurücktreten und ein wenig allgemein darüber sprechen, wie Commvault bei all
dem das hilft. 

Geben Sie uns doch zunächst einmal einen Überblick. 

Wir automatisieren also im Grunde genommen den Microsoft-Prozess. 

Ähm, ich betrachte das aus zwei Perspektiven. 

Wir gehen auf die Kunden zu und machen ihnen klar, dass die Pläne, von denen sie glauben, dass sie diese bereits haben
, 

wahrscheinlich nicht funktionieren werden. 

Und ich würde sogar sagen: Wenn ich Kunden nach ihrem Plan frage und sie anfangen, mir davon zu erzählen, sammle ich
diese Geschichten wirklich gerne, denn da draußen gibt es einige sehr kreative Antworten. 

Das reicht von der Konfiguration der Forest für die Wiederherstellung – was eine einmalige Maßnahme ist – bis hin zur Einrichtung von
49 zusätzliche Domänen-Controller. 

war eine davon. 

Jeden Tag schalteten sie sieben aus und sieben wieder ein. 

Das bringt doch überhaupt nichts. 

Ähm 

Wissen Sie, aus unserer Sicht werden wir diesen gesamten Prozess automatisieren. 

Wenn wir sie also dazu bringen können, das zu üben und umzusetzen, sich das bei
sich die Regenerationsprozesse des Waldes einzuprägen und dann zu erkennen, dass die Recovery auf eine bestimmte Art und Weise erfolgen muss, das sind die

riesige Fortschritte. 

Ja. 

Und erzähl uns etwas über das Alleinstellungsmerkmal. 

Das machen andere doch auch. 

Weißt du, warum um alles in der Welt sollten wir um den heißen Brei herumreden – was zeichnet uns aus? 

Ähm, na ja, weil wir das eben so machen  – wir sind doch in erster Linie ein Datenschutzunternehmen, oder? 

Wir wissen also, wie man Daten schützt, während wir unsere „Forest Recovery“-Aktion auf der
auf der zugrunde liegenden Convol-Plattform durchführen. 

Und ganz gleich, ob es sich um Software oder SAS handelt – ich bin definitiv ein Fan der SAS-Lösung bei der Active
Verzeichnis-Wald-Recovery-Prozedur. 

Aber all das ist in unserer Plattform integriert. 

Wir nutzen also Funktionen wie unveränderlichen Speicher und einen integrierten Threat Scan. 

Und falls Sie keine isolierte Recovery-Umgebung zum Üben haben, gibt es
Das gibt’s bei uns: „Cleanroom Recovery“. 

Wir werden wahrscheinlich später in einem dieser Podcasts noch einmal über Commvault Cleanroom sprechen. 

Und das ist eine Umgebung, die erst dann existiert, wenn man sie braucht. 

Wenn Sie also einmal pro Quartal eine Forest-Recovery-Übung durchführen müssen, ist Cleanroom der ideale Ort dafür
. 

Sie werden das zwar nicht in die Produktion übernehmen, aber es bietet Ihnen eine hervorragende Möglichkeit, die
einzelnen Schritte zu erlernen und ein Muskelgedächtnis dafür aufzubauen. 

Vor ein paar Wochen fragte mich ein Kunde: „Wenn wir die Lösung mit Commvault umsetzen, woher wissen wir dann,
„Werden wir dann wissen, ob sie funktioniert?“ 

Ich sagte: „Nun, Sie werden das jeden Freitag machen.“ 

„Warum sollte es dann nicht funktionieren, wenn Sie es am Montag brauchen?“ 

Es geht also nicht darum, zu warten, bis man den Knopf drücken muss, und dann den Knopf zu drücken. 

Weil man das ja schon unzählige Male gemacht hat. 

Und es ist ganz einfach: Man führt einfach die automatisierten Skripte aus, die alles übernehmen
– 

Na ja, von der Einrichtung des Betriebssystems aus einem sauberen OS bis hin zur Recovery aus einem Systemzustands-Backup
bis hin zur Recovery nach einer DC-Promotion – und dann die 150 Schritte auf diesem Weg zu durchlaufen. 

Weißt du, das ist zwar nichts Neues, aber es funktioniert. 

Übung macht den Meister. 

Das stimmt. 

Das gilt in der IT genauso wie überall sonst. 

Das stimmt. 

Und weißt du, dein Unternehmen wird sich weiterentwickeln, die Umstände werden sich ändern. 

Wenn Sie also üben, werden Sie diese Veränderungen erkennen. 

Möglicherweise haben Sie Ihrem Active Directory eine Struktur hinzugefügt, die Sie bei der
Recovery übersehen. 

Das ist eine hervorragende Gelegenheit, darauf hinzuweisen. 

Erzählen Sie uns doch etwas darüber – ich weiß, dass dies ein wirklich wichtiger Teil unserer Roadmap bei Commvault ist. 

In diesen Bereich unseres Produkts fließt viel Entwicklungsarbeit. 

Erzählen Sie uns doch etwas über die neuesten und besten Features, die wir in Ihrer aktuellen
Code integrieren. 

Klar, aber das bleibt unter uns. 

Das bleibt aber unter uns. 

Das bleibt aber unter uns. 

Niemand hört zu. 

Ja, das Neueste und Beste: Wir haben gerade „Clean OS Recovery“ eingeführt, was einen großen
einen Fortschritt in der Welt der Recovery-Prozesse darstellt, da wir keine 

Betriebssystemreste, nichts von diesem Teil des bestehenden Betriebssystems. 

Nun hatte Commvault zwar ohnehin Möglichkeiten, das zu regeln, aber hier handelt es sich um ein sauberes Betriebssystem
mit Active Directory darüber. 

Sie müssen sich also keine Sorgen machen, ob Sie Daten auf den Domänencontrollern gespeichert hatten – das
war zwar keine Gute Idee ☺, aber dafür brauchen Sie einfach einen brandneuen Active Directory-Domänencontroller 

übertragen, um dies zu erreichen. 

Die Kehrseite davon ist, dass wir in naher Zukunft Active
Verzeichnis-Bewertungen einführen werden. 

Wenn Ihre Backups laufen – sagen wir, täglich –, werden dabei Informationen über Ihr
Das Verzeichnis wurde zusammengestellt und wird angezeigt: 

Sie haben in diesen fünf Bereichen Schwachstellen geschaffen, und hier erfahren Sie, was Sie tun müssen, um
diese Schwachstellen zu beheben. 

Das wird Ihnen also sofort ins Auge fallen. 

Und mit diesen Informationen sinkt die Wahrscheinlichkeit, dass Sie eine Forest-Recovery durchführen müssen, erheblich
. 

Außerdem werden wir in naher Zukunft auch eine Echtzeitüberwachung von Active Directory einführen. 

Darüber werden wir später am Nachmittag in einer der Sitzungen sprechen: Wenn
Sollte jemand Ihr Verzeichnis auf bestimmte Weise ändern, haben Sie die Möglichkeit, 

entweder anhand Ihrer Backups oder der vorhandenen Daten rückgängig zu machen. 

Und wir haben diese Woche auf der Konferenz von Unity gehört, der Unity-Plattform, der
neuesten Version. 

Und Sie haben erwähnt, dass dies besonders überzeugend ist, weil es Teil einer Plattform ist
, Teil des allgemeinen Convolt-Ansatzes. 

Aber jetzt vereinen wir Sicherheit, Identität sowie Schutz und Recovery unter einem Dach. 

Erzählen Sie ein wenig darüber und was das für jemanden bedeutet, der sich täglich Gedanken über Active macht
Verzeichnis erstellt. 

Nun, wissen Sie, aus der Sicht von Commvault nutzen wir die Daten, das Backup und
Recovery der Daten – eigentlich nur das Backup – als Engpass für Daten, sei es 

sei es bei Dateisystemen, virtuellen Maschinen, M365 oder Salesforce – als Ausgangspunkt für die Analyse der Daten
und auf der Grundlage der verfügbaren Informationen Entscheidungen zu treffen. 

Das Sammeln von Informationen ist fast sinnlos, wenn man sie nicht nutzen kann, um Entscheidungen zu treffen,
oder? 

Das ist in etwa so, als würde der Pilot dir sagen, dass du in einer Höhe von 35.000
Du wirst fliegen. 

Ich weiß aber nicht, was ich mit dieser Information anfangen soll. 

Aber wenn man mir sagt, dass

Wenn wir zum falschen Flughafen fliegen, möchte ich vielleicht aus dem Flugzeug aussteigen. 

Auf der Grundlage der Informationen, die wir bei der Analyse der Daten aus
die im Backup-System gesammelt werden, können wir Ihre Daten analysieren und Ihnen in Echtzeit Einblicke in 

deine Daten. 

Ja, das ist unglaublich. 

Und ich habe diese Woche in New York tatsächlich mit CISOs und CTOs darüber gesprochen, was das
bedeutet im Kontext nämlich, dass ich auf einem einzigen Bildschirm die Möglichkeit habe, 

über Active Directory so nachzudenken, wie wir es beschrieben haben. 

Unternehmensdaten, meine Anwendungen – ganz gleich, wo sie sich befinden – in der Cloud, in einer Hybridumgebung oder vor Ort – und daher ist es ziemlich überzeugend, eine einzige Plattform zu nutzen, um
die all das sowie meine Unternehmensführung verwaltet. 

Wir konzentrieren uns auf AD, da ich aus dieser Welt komme, aber lassen Sie uns ein wenig über Entra und
Entra ID sprechen. 

Erklären Sie einfach, wo das hineinpasst und wie sich die Dinge für uns in dieser Welt auswirken. 

Außerdem – sagen wir es mal so: Fast jedes Unternehmen hat Active Directory. 

Ich würde sagen, wahrscheinlich verfügen 95 % der Unternehmen über Active Directory. 

Die meisten dieser Unternehmen nutzen auch Entra ID, da sie über M365 verfügen. 

Sie hosten also ihr SharePoint, ihre E-Mails und ihre Teams – alles in M365. 

Entra ID ist also der Verzeichnisdienst, der dahintersteckt. 

Noch einmal: 95 % dieser Unternehmen synchronisieren diese Daten aus ihrem lokalen System in Entra ID
Aktives Verzeichnis. 

Das lokale Active Directory ist also die maßgebliche Quelle für die meisten dieser Identitäten. 

Diese werden also mit Entra synchronisiert und ermöglichen den Benutzern den Zugriff auf cloudbasierte Anwendungen. 

Ich beobachte einen sehr langsamen Wandel bei den Unternehmen, die erkennen, dass sie keine 

Benutzerobjekte oder Benutzerentitäten und Identitäten vor Ort benötigen und einfach auf eine reine Entra-Identität
umsteigen. 

Ein großer Kunde aus dem Einzelhandel hat zum Beispiel vielleicht 25.000 Mitarbeiter,
von denen vielleicht nur 5.000 im Büro arbeiten, wo sie auf den Drucker und 

Freigaben und Ähnliches – also altmodische Dinge – benötigen. 

Die übrigen Nutzer müssen sich lediglich bei den cloudbasierten Anwendungen authentifizieren. 

Das ist ein idealer Anwendungsbereich für Entra. 

So können sie reine Entra-Objekte nutzen. 

Aber Entra bringt doch auch einige Herausforderungen mit sich, oder? 

Zunächst einmal gibt es bei Entra keine Forest Recovery. 

So etwas gibt es nicht. 

Das ist nicht möglich. 

Es handelt sich um eine Wiederherstellung auf Objekt- und Attributebene. 

Da der Benutzer sich in einer lokalen Umgebung befindet oder möglicherweise einen anderen Identitätsanbieter nutzt oder
Wenn die Synchronisierung auf ähnliche Weise erfolgt, ist die Wiederherstellung der Objekte zwar gut, aber nicht unbedingt entscheidend. 

Die wichtigen Teile der Konfigurationen – also Richtlinien für den bedingten Zugriff und Ihre
Unternehmensanwendungen, die Benutzern Zugriff auf SaaS-Anwendungen gewähren – darauf 

bei der Wiederherstellung wirklich im Blick behalten müssen. 

Richtig. 

Das leuchtet ein. 

Wechseln wir also das Thema und kommen wir ein wenig auf etwas anderes zu sprechen. 

Ich möchte

dir ein schreckliches Szenario ausmalen. 

Wir sind gerade angegriffen worden. 

Die Organisation ist lahmgelegt. 

Natürlich wird Active Directory eines der ersten Dinge sein, mit denen ich mich befasse, um den Betrieb wiederherzustellen. 

Ohne das habe ich keine Benutzer, keine Identitäten und keine Berechtigungen. 

Erläutern Sie uns doch bitte in groben Zügen, wie dieser Recovery-Prozess aussehen würde. 

Mir ist Folgendes aufgefallen: Wenn ich mir die DR- oder CR-Pläne
Wenn ich mir eine Organisation anschaue, nutzen sie versehentlich Active Directory, um Active Directory wiederherzustellen. 

Und das ist ein seltsames Konzept. 

Das ist einer dieser Momente, in denen man sich an die Stirn schlägt. 

Wenn Sie also Ihren Cyber-Recovery-Plan umsetzen, versuchen Sie als Erstes, denen
sich bei Ihrer Steuerungsebene anzumelden, sei es CommBald oder etwas anderes. 

Meistens handelt es sich bei den Anmeldedaten für die Steuerungsebene um Active Directory-Anmeldedaten
. 

Man kann Active Directory also nicht zur Wiederherstellung von Active Directory verwenden. 

Oder der Server, auf dem Sie dies tun, ist in eine Domäne eingebunden. 

Das wird nicht funktionieren. 

Das müssen Sie also berücksichtigen. 

Sobald Sie an dem Punkt angelangt sind, an dem Sie Ihr Active Directory wiederherstellen müssen, gibt es eine
Es gibt viel Arbeit zu erledigen. 

Wenn Sie sich im Vorfeld die richtige Denkweise angeeignet haben, wird diese Arbeit etwas einfacher
sein, da Sie Recovery bereits im Voraus geplant haben. 

In einer Commvault-Umgebung wird es so sein, wie ich gesagt habe: Höchstwahrscheinlich würdest du auf
Dann hör zu und führe die Recovery-Prozesse in einer isolierten Recovery-Umgebung durch, nachdem du erst einmal tief durchgeatmet hast 

und erkannt haben: „ Um das richtig zu machen, brauche ich noch eine Stunde. “ 

Sehen Sie sich meine minimal funktionsfähige Active Directory-Recovery an, um zu erkennen, wo ich kompromittiert wurde, und
Analysieren Sie das. 

Gehen Sie sogar so weit, Backups miteinander zu vergleichen. 

Das ist eine Funktion, die Commvault bietet und andere Anbieter nicht: 

dass wir einen Zeitpunkt aus einem Backup – sagen wir vor drei Monaten – der Objekte und
ein Attribut aus Active Directory heranziehen und es mit der Live-Umgebung vergleichen können, sofern diese noch existiert, 

oder mit dem Backup, das Sie gestern erstellt haben, um zu sehen, welche Änderungen es gibt. 

Hat jemand erweiterte Berechtigungen erhalten? 

Wurden Gruppenrichtlinien geändert und Ähnliches? 

In unserer Sitzung heute Nachmittag werden wir daher zeigen, wie eine Angriffskette auf ein Active Directory abläuft
würde und wie man eine Gruppenrichtlinie, die mit der obersten Ebene verknüpft war und 

ein Malware-Paket einsetzt – darauf konzentrieren wir uns aus dieser Perspektive. 

Und die Möglichkeit,

die Datenresilienz oder den Recovery-Prozess eines Objekts oder Attributs nutzen können, um eine
die Angriffskette zu unterbinden. 

Sie haben also bereits einige Punkte angesprochen, aber lassen Sie uns darüber sprechen. 

Lassen Sie uns konkret über die Features von Commvault sprechen, die Sie am meisten begeistern ✌️
insbesondere mit Blick auf eine Lösung, die es den Nutzern ermöglicht, Verzeichnisattribute jederzeit wiederherzustellen. 

Was sind die Aspekte bei Commvault – die Features, die Funktionen, die Alleinstellungsmerkmale?
–, die uns wirklich von anderen unterscheiden? 

Ich bin nun seit etwas mehr als einem Jahr bei Commvault, und ich muss 

Zugegeben, ich beschäftige mich seit 25 Jahren ausschließlich mit Active Directory, aber wenn ich auf diesen
Wenn man auf den Knopf drückt und eine Forest-Recovery-Prozedur durchführt, ist das schon ziemlich cool. 

Es tut sich etwas, und das ist keine Illusion ➡ es tut sich wirklich etwas. 

Alles läuft gleichzeitig. 

Domänencontroller werden im Backend hochgefahren und bereitgestellt. 

Die von mir erstellte Demo-Umgebung wird zum Beispiel gestartet. 

Es handelt sich um einen Forest mit mehreren Bäumen und mehreren untergeordneten Forests – eine ziemlich komplexe Architektur –, aber die Art und Weise, wie sie
wiederhergestellt wird … 

Das ist ziemlich beeindruckend. 

Es werden sofort fünf Domänencontroller hochgefahren, da es fünf Domänen in zwei
verschiedener Bäume gibt. 

Danach kehrt das System zum Ausgangspunkt zurück und führt alle Recovery-Prozesse der Gesamtstruktur durch, zum Beispiel
die Übernahme der FISMAL-Rollen und die Erweiterung des RID-Pools. 

Aber es handelt sich um ein interaktives Runbook. 

Man sieht, wie sich alles direkt vor den eigenen Augen abspielt. 

Wenn Sie also eingreifen möchten, können Sie das tun. 

Sie können den Vorgang anhalten. 

Sie können einen Schritt ausführen. 

Wenn Ihnen ein Aspekt der Forest Recovery besonders gut gefällt – etwa etwas sehr Obskures wie die Erhöhung des
RID-Pools –, dann ist das genau das Richtige für Sie. 

Du kannst den Vorgang genau an dieser Stelle unterbrechen, dich anmelden, dich bei einem Domänencontroller anmelden, den ADSI-Editor öffnen,
das Attribut suchen, den Windows-Rechner öffnen, die Zahl eingeben, 100.000 addieren und 

wieder ein. 

Wenn dir dieser komplizierte Vorgang gefällt, kannst du ihn als Teil unseres Runbooks durchführen und dann
Kommen Sie hierher und klicken Sie auf „Weiter“. 

Ähm, und es ist ein interaktives Runbook. 

Wir nennen das „Human in the Loop“. 

Man sieht, wie es direkt vor einem abläuft, und man kann alle Prozesse
beobachten, die entweder nacheinander oder gleichzeitig ausgeführt werden, da viele von ihnen gleichzeitig gestartet werden – 

Das nennen wir Parallelisierung. 

Erstaunlich. 

Ich weiß, dass die Vorführungen, die wir für Interessenten und gemeinsam mit unseren Partnern durchführen, für große
Sie sorgen für Begeisterung – und man versteht auch, warum, oder? 

Und man muss ihnen zugutehalten: Wir lassen es cool aussehen. 

Wenn man also die Forest-Recovery durchführt und das aufwendigste Recovery-Szenario wählt und
Wenn es plötzlich nur so von Domänencontrollern wimmelt, ist das ein ziemlich beeindruckendes Phänomen. 

Lassen Sie uns also einmal einen Schritt von der Technologie zurücktreten. 

Wenn ich darüber nachdenke, wie Menschen mit Technologie im Zusammenhang 

im Zusammenhang mit der Recovery, einer einwandfreien Recovery und einer Recovery, auf die sich das Unternehmen verlassen kann. 

Was sind hier die entscheidenden Erfolgsfaktoren für diese drei Bereiche? 

Nun, aus Sicht von Active Directory lege ich Wert darauf, das „Minimum Viable“ zu ermitteln. 

Wie bereits erwähnt, hat die Organisation, die uns darauf aufmerksam gemacht hat, beschlossen, dass
acht Domänencontroller stellen ihr „Minimum Viable“ dar. 

Das war ein großer Schritt nach vorne. 

Ja. 

Denn bei der Recovery-Prozedur für Active Directory geht es darum, das – wie soll ich sagen –
das minimal realisierbare Niveau zu ermitteln und zu identifizieren. 

Und sobald man diese Hürde genommen hat – also das „Minimum Viable“ wiederhergestellt hat –, 

sind 90 % des Drucks weg. 

Das Verzeichnis ist da, vielleicht habe ich noch nicht alle Domänencontroller, vielleicht gibt es einen
Ein Benutzer am anderen Ende der Welt, der Probleme bei der Authentifizierung hat, aber im Großen und Ganzen 

dann sind Sie ziemlich gut aufgestellt. 

Dabei geht es darum, die daran beteiligten Personen zu ermitteln. 

Wo benötige ich meine Domänencontroller? 

Die Leute, die sich mit ihrem eigenen Verzeichnisdienst auskennen – die „Old-School“-Leute wie ich, die
„„Old-School““-Leute in der Organisation. 

Und dann muss man den Prozess in Gang bringen – und sich auch mit den politischen Aspekten auseinandersetzen, die dahinterstecken. 

Wenn Sie also die Personen und die Abläufe festgelegt haben, müssen Sie sich an diese Pläne halten und
sich bewusst sein, dass sie sich je nach Szenario möglicherweise ändern können. 

Aber in den meisten Fällen liegen Sie genau richtig, wenn Sie einen Plan haben und diesen geübt haben
. 

Ja. 

Und lassen Sie uns zum Abschluss noch über diese Übung sprechen, oder? 

Testen. 

Ich finde diese Idee, unter chaotischen Bedingungen zu testen, großartig, denn – oh – ich habe bereits Erfahrungen mit Sicherheitsverletzungen gemacht. 

Ich weiß, wie sich das anfühlt. 

Das ist emotional. 

Die Gedanken rasen. 

Überall wird mit dem Finger auf andere gezeigt. 

All die Dinge, von denen man dachte, man könnte sie tun, 

– na ja – wirken plötzlich viel komplizierter, als sie eigentlich sein sollten. 

Erzähl uns doch mal etwas über die bewährten Methoden zum Testen und Üben. 

Welche Technologien können wir nutzen? 

Was können wir in unserem eigenen Unternehmen umsetzen, um gut zu üben? 

Na ja, zumindest sollten wir dieses Maß an Chaos simulieren. 

Wenn man sich also einen Recovery-Plan ansieht oder sogar einen Recovery-Plan durchspielt: Was passiert, wenn ich
wenn ich auf diese Schaltfläche klicke und das, womit eine Verbindung hergestellt wird, nicht mehr existiert? 

Man zieht dem Ganzen einfach den Boden unter den Füßen weg, und das bringt einen dazu,
Redundanz sogar in der eigenen Denkweise zu schaffen. 

Also nach dem Motto: Wie soll ich das denn machen? 

Während meiner Zeit beim US-Militär habe ich einige größere Ausfälle und Ähnliches miterlebt
. 

Es ging nicht um die Technologie. 

Es ging um die Kreativität der Menschen. 

Die Räder fangen gerade erst an, sich zu drehen. 

Und ich erinnere mich, dass einige der kreativsten Recoverys, die wir gefunden haben, nicht gerade schön waren. 

Aber letztendlich lief dann doch wieder alles. 

In den meisten Fällen haben die Nutzer gar nicht mitbekommen, dass überhaupt etwas passiert ist. 

Ich sage nicht, dass das bei Active Directory genauso ablaufen wird, aber es hängt von
Ihre Flexibilität, Ihre Kenntnis der eigenen Organisation, 

dem Recovery-Plan, den Sie als Team ausgearbeitet haben, und Ihrer Fähigkeit, sich anzupassen, wenn Chaos
ausbricht. 

Und mir gefällt der Gedanke, dass wir umso besser werden, je mehr wir üben, und dass sich im Zuge der Etablierung der Prozesse
die Möglichkeit bietet, diese zu automatisieren. 

Genau. 

Ja, wir sehen nur allzu oft, dass IT-Prozesse automatisiert werden, bevor der Prozess überhaupt bereit ist. 

Das ist also ein weiterer Vorteil des Übens. 

Außerdem, Dan, wie erwartet ist unsere Zeit um. 

Vielen Dank, dass du dir Zeit für uns genommen hast. 

So viel fundiertes 

Du hast uns Wissen und Inhalte vermittelt. 

Hoffentlich können die Zuhörer das mitnehmen. 

Aber vielen Dank. 

Das weiß ich sehr zu schätzen, Darren, danke. 

Falls das heutige Gespräch Sie dazu angeregt hat, über Ihr eigenes Active Directory und dessen
Wenn Sie über einen Recovery-Plan nachdenken oder darüber, wie schnell Sie sich von einem Sicherheitsvorfall erholen könnten, besuchen Sie bitte

commvault.com/ad-exposed. 

Dort finden Sie praktische Anleitungen und Tools, mit denen Sie Ihre Active
Die Verzeichnisumgebung automatisieren, koordinieren und testen oder die ID-Recovery-Funktionen mit Commvault Cloud ausführen. Das ist alles, was Sie brauchen, um das zu tun, was ein 

Systemausfall 

in eine schnelle und sichere Recovery verwandeln. 

Vielen Dank für Ihre Aufmerksamkeit. 

Sie