Die Bedrohungen für die Unternehmensidentität entwickeln sich ständig weiter, und wenn ein Angreifer in das Identitätssystem eindringt, sind die Folgen langfristig und kostspielig. Vor diesem Hintergrund ist die Überprüfung und Stärkung von Active Directory (AD) und dessen Cloud-Pendant Entra ID/Azure AD zu einer täglichen Notwendigkeit für IT und Sicherheit geworden. Die richtigen Werkzeuge auswählen und verstehen, was jedes einzelne bietet Es ist der erste Schritt, um Lücken zu schließen, bevor sie jemand ausnutzt.
Zu den bekanntesten kostenlosen Optionen zählen Purple Knight (Semperis) und PingCastle (ursprünglich von Vincent Le Toux entwickelt und aktuell Teil des Netwrix-Ökosystems). Beide laufen reibungslos und liefern wertvolle Diagnoseergebnisse, unterscheiden sich jedoch in Ansatz, Methodik und Zielgruppe. Vergleichen Sie sie genau, ohne ihre Schwächen und Stärken zu übersehen.Es ermöglicht Ihnen zu entscheiden, wann Sie das eine oder das andere verwenden oder warum Sie sie kombinieren sollten, um den größtmöglichen Nutzen daraus zu ziehen.
Identitätssicherheit: Warum der Fokus auf Active Directory und Entra ID liegen sollte
AD und Entra ID konzentrieren typischerweise die Kontrolle über Konten, Berechtigungen, Authentifizierung und Vertrauensbeziehungen; wenn sie ausfallen, fällt das Herzstück des Unternehmenszugriffs aus. Eindringversuche in diese Systeme können monatelang unbemerkt bleiben.Dies legt kritische Ressourcen offen und erleichtert die Ausbreitung von Sicherheitslücken. Daher erfordert die Stärkung der Identitätssicherheit die Priorisierung von Active Directory und seiner Cloud-Schicht. Einmalige Bewertungsinstrumente helfen, ein klares Bild des Risikos zu gewinnen, während kontinuierliche Überwachungsinstrumente ein rechtzeitiges Eingreifen bei Abweichungen ermöglichen.
PingCastle: Eine auf dem Reifegrad basierende Momentaufnahme der AD-Umgebung
PingCastle entstand als Active Directory-Bewertungstool, das von Vincent Le Toux in C# entwickelt wurde und sich seit 2017 mit einer kostenlosen Basisversion auf dem Markt etabliert hat. Sein Zweck besteht darin, das Risiko und die Sicherheitsreife von Active Directory anhand von Modellen und Regeln zu messen.Erstellung eines Gesundheits- und Risikoberichts mit starkem Fokus auf praktische Entscheidungen.
Was PingCastle gut macht
Eine seiner Stärken liegt in der Übersetzung technischer Daten in Kontextinformationen: Es analysiert unter anderem Active Directory-Subprozesse, Vertrauensbeziehungen, privilegierte Konten und veraltete Objekte. Das Ergebnis ist eine Risikobewertung und ein detaillierter Bericht, der mit anderen Berichten zusammengeführt werden kann, um Vergleiche im Zeitverlauf zu erleichtern. Darüber hinaus beinhaltet es eine Active Directory-Karte zur Visualisierung von Hierarchien und Vertrauensstellungen.Dadurch wird das Verständnis komplexer Umgebungen beschleunigt und vergessene Bereiche werden wiederentdeckt.
- Risiko- und Gesundheitsbewertung auf der Grundlage interner Modelle und Regeln, mit Bewertung und Risikoberichterstattung.
- Sichtbarkeit von Privilegien und mögliche Wege zu kritischen Objekten, mit Schwerpunkt auf Konten mit hohem Zugriffsrecht.
- Domänen- und Vertrauenszuordnung um Beziehungen, einschließlich Vertrauensaspekten mit Azure AD/Entra ID, zu visualisieren.
- Konsolidierung der Berichte für Benchmarking, KPIs und Management-Dashboards (in höheren Editionen).
PingCastle geht aber noch weiter und scannt auch Arbeitsstationen auf unsichere Praktiken. Erkennt übermäßige lokale Verwaltungsbeamteschlecht geschützte, gemeinsam genutzte Ressourcen, Sicherheitslücken wie WannaCry und sogar Unregelmäßigkeiten in der Anlaufphase, was dazu beiträgt, Hintertüren und Delegationsschwächen aufzudecken, die eine seitliche Bewegung erleichtern könnten.
Wie es funktioniert und was es leistet
Die Engine von PingCastle sammelt Daten mithilfe von unprivilegierten LDAP-Abfragen und WMI und kann integriert werden mit PowerShell-Skriptsund wendet ein Risikomodell an, das in Kategorien gruppiert ist: veraltete Objekte, privilegierte Konten, Vertrauensstellungen und Anomalien. Der daraus resultierende Bericht hebt kritische Probleme hervor. (zum Beispiel veraltete Vertrauensprotokolle, fehleranfällige Delegierungen, schwache Kerberos-Konfigurationen oder unsichere Kontrollpfade) und weist einen AD-Gesundheitswert zu: je niedriger, desto besser.
In hybriden Umgebungen kann PingCastle darüber berichten, ob die Vertrauensbeziehung zu Azure AD ausreichend gesichert ist. Die Kartenansicht und die Konsolidierung der Ergebnisse Sie sind besonders nützlich für Organisationen mit vielen Domänen oder mehreren Vertrauensbeziehungen, bei denen man leicht den Überblick verliert.
Ausgaben, Lizenz und Geltungsbereich
Die Basisversion ist kostenlos für die Prüfung Ihrer eigenen Umgebung, während die Versionen Auditor/Standard und Professional zusätzliche Funktionen und kommerziellen Support bieten. Es werden Abonnements wie Auditor (ca. 3.449 US-Dollar/Jahr) und Professional angeboten. (rund 10.347 US-Dollar pro Domain und Jahr) sowie eine Enterprise Edition mit Konsolidierungsfunktionen und globaler Perspektive für große Unternehmen. Das Projekt signiert seine Binärdateien und veröffentlicht den Code unter der OSL 3.0 (Non-Profit)-Lizenz, die die unlizenzierte kommerzielle Nutzung einschränkt.
Bekannte Einschränkungen von PingCastle
Bei Implementierungen mit vielen Domänen können Berichte unübersichtlich und schwer zu navigieren sein, wenn keine Konsolidierungsprozesse und Ansichten eingerichtet sind. Die kostenlose Version enthält keine erweiterten Berichte oder detaillierten Abhilfeleitfäden.Der Fokus liegt dabei auf Indikatoren für Gefährdung und Risiko, nicht auf Anzeichen einer Gefährdung, die sich bereits manifestiert haben.
Purple Knight: Reichweiten- und Engagement-Indikatoren auf Knopfdruck
Semperis brachte Purple Knight im Jahr 2021 als kostenloses Sicherheitsbewertungstool für Active Directory- und Hybridumgebungen auf den Markt. Seitdem hat es sich aufgrund seines Fokus auf Indikatoren für Gefährdung (Indicators of Exposure, IOE) und Indikatoren für Kompromittierung (Indicators of Compromise, IOC) zu einem Favoriten entwickelt. Ziel ist es, risikoreiche Konfigurationen und Hinweise auf Eindringversuche aufzudecken. In AD geben Sie ID/Azure AD und gegebenenfalls Okta ein.
Indikatoren, Kategorien und Referenzrahmen
Purple Knight gruppiert die Ergebnisse in fünf Hauptbereiche: AD-Delegierung, AD-Infrastruktursicherheit, Kontosicherheit. Gruppenrichtliniensicherheit (GPO) und Kerberos-Sicherheit. Der Bericht verwendet ein „Bulletin“ mit einer Bewertung nach Kategorien und einem Gesamtprozentsatz., mit priorisierten Abhilfemaßnahmen, Schweregradangaben (Informativ, Warnung oder Kritisch) und Zuordnungen zu Rahmenwerken wie MITRE ATT&CK und ANSSI sowie Verweisen auf das MITRE D3FEND-Modell.
- Mehr als hundert Indikatoren (und neuere Versionen übertreffen diese Zahl leicht) und decken gängige Angriffsvektoren ab.
- Unterschied zwischen IOE und IOC um mögliche Fehlkonfigurationen von Anzeichen einer aktiven Kompromittierung zu unterscheiden.
- Richtlinien für die Korrektur von Fehlverhalten und priorisiert nach Risiko und Wahrscheinlichkeit der Ausbeutung.
- Hybride Abdeckung mit lokaler AD, Enter ID/Azure AD und Okta-Unterstützung.
Nutzererfahrung und Berichterstattung
Das Tool ist portabel und verfügt über eine grafische Benutzeroberfläche. Sie laden eine ZIP-Datei herunter, entpacken diese und führen die Binärdatei aus. Nach dem Start erkennt es Gesamtstrukturen und Domänen und ermöglicht die Auswahl der auszuführenden IOE/IOC – eine Granularität, die sowohl Blue- als auch Red-Teams schätzen. Der Scan ist in der Regel in wenigen Minuten abgeschlossen. und generiert einen HTML-Bericht, der eine Checkliste kritischer IOE und klare Erläuterungen mit Links zur Dokumentation enthält.
Das Format „Zeugnis“ ist praktisch: ein Buchstabe und eine Prozentzahl, wobei die einzelnen Kategorien unterschiedlich gewichtet werden. Die Beschreibungen umfassen den Grund, die Auswirkungen, die Einordnung in Sicherheitsrahmen und die Maßnahmen zur Behebung des Problems.Purple Knight läuft im Lesemodus, nimmt keine Änderungen am Active Directory vor und stellt keine Verbindung zum Server her; es kann regelmäßig wiederholt werden, ohne dass ein Risiko für die Produktion besteht.
Registrierung, Community-Version und Entwicklung
Zum Herunterladen des Tools ist eine Registrierung bei Semperis erforderlich; der entsprechende Link wird bereitgestellt. Außerdem werden die Nutzer über neue Versionen und kontinuierliche Verbesserungen informiert. Die Community Edition wird regelmäßig aktualisiert. Und es hat sich trotz seines jungen Alters einen bemerkenswerten Glanz bewahrt, der durch Verbesserungen auf der Grundlage von Rückmeldungen aus der Community erzielt wird.
Einschränkungen und wie sie ergänzt werden
Purple Knight führt einmalige Bewertungen durch; es handelt sich weder um eine Lösung für die kontinuierliche Überwachung noch um eine automatisierte Risikominderungsmaßnahme. Diese Ebene wird von Directory Services Protector (DSP) von Semperis bereitgestellt.Es handelt sich um einen kostenpflichtigen Dienst, der auf die Echtzeit-Erkennung und -Reaktion auf Identitätsbedrohungen (ITDR) ausgerichtet ist und Warnungen sowie die Rückgängigmachung bösartiger Änderungen beinhaltet.
Purple Knight vs. PingCastle: Was sie gemeinsam haben und worin sie sich unterscheiden
Obwohl beide Tools zur Bewertung der Active Directory-Sicherheit und zur Unterstützung hybrider Umgebungen mit Entra ID/Azure AD verwendet werden können, ist ihr Fokus nicht identisch. PingCastle legt Wert auf … Reifegradmethodik und ein „Gesundheitscheck“-Bericht mit Risikobewertung; Purple Knight konzentriert sich auf IOE/IOC und die Bereitstellung eines hochgradig umsetzbaren Leitfadens zur Behebung von Mängeln. Die erste Studie untersucht das „Modell“ und den Zustand des AD-Ökosystems genauer., während die zweite eine sehr aussagekräftige Momentaufnahme liefert, die eine schnelle Korrektur ermöglicht.
Hinsichtlich der Benutzerfreundlichkeit sticht Purple Knight durch seine Benutzeroberfläche und die detaillierte Testauswahl hervor; bei PingCastle glänzen die Domänenkarte und die Berichtskonsolidierung in Organisationen mit vielen Gesamtstrukturen und Vertrauensstellungen. In seinen Berichten bewertet Purple Knight die Kategorien anhand einer Punktzahl und eines Prozentsatzes.PingCastle bietet außerdem eine Gesamtbewertung des Gesundheitszustands an, wobei ein niedrigerer Wert besser ist.
Zur Abdeckung umfasst Purple Knight AD, Entra ID/Azure AD und Okta und ordnet die Ergebnisse MITRE ATT&CK und ANSSI zu, wobei die Behebung priorisiert wird. PingCastle bietet seinerseits Analysen zu Delegierungen, veralteten Objekten, lokalen Berechtigungen und Endpunkt-Schwachstellen an.Es kann außerdem die Vertrauenssicherheit mit Azure AD bewerten. Die Möglichkeit, vergessene Domänen zu erkennen und die Ergebnisse zu vereinheitlichen, ist ein Vorteil, wenn die Domänengrenzen verschwimmen.
Im Hinblick auf die Lizenzierung wird Purple Knight als kostenloses Tool (nach Registrierung) angeboten; kontinuierliche und korrigierende Funktionen befinden sich in Semperis DSP, das kommerziell erhältlich ist. PingCastle bietet eine kostenlose Basisversion für den persönlichen Gebrauch an. und kostenpflichtige Editionen (Auditor/Standard, Professional, Enterprise) mit erweiterten Funktionen, Support und Skalierbarkeit.
Welche Option ist die richtige? Wenn Sie eine schnelle, klare Beurteilung mit priorisierten Reparaturanweisungen wünschen, ist Purple Knight genau das Richtige. Wenn Sie eine Reifegradmethode mit Domänenmapping und Risikokonsolidierung benötigen Für Hunderte oder Tausende von Segmenten ist PingCastle möglicherweise besser geeignet, insbesondere mit seinen kostenpflichtigen Versionen. In der Praxis nutzen viele Organisationen beide: Die Kombination bietet Kreuzvalidierung und eine umfassendere Abdeckung.
Praktische Details zur Umsetzung und Ergebnisse
Beide Tools sind portabel und können in den meisten Kontexten mit Standardbenutzeranmeldeinformationen ausgeführt werden; die Datenerfassung erfolgt primär durch Lesen. Dadurch wird die Einführung auch für Teams mit begrenzten Ressourcen erleichtert. und vermeidet Reibungsverluste mit Produktionssystemen, da diese keine Änderungen vornehmen.
Purple Knight speichert seine Ergebnisse in HTML mit einer logischen Struktur und Links zur Dokumentation sowie einer Checkliste, die die dringenden Punkte hervorhebt. Die Aufschlüsselung nach Schweregrad und der Bezug zu Rahmenwerken Es bietet CISOs und technischen Teams Kontextinformationen. PingCastle liefert seinerseits einen Bericht mit Bewertungen, priorisierten Ergebnissen und, falls gewünscht, konsolidierten Ansichten zur Unterstützung von KPIs und vierteljährlichem Monitoring.
Warnhinweise und betriebliche Überlegungen
Bei PingCastle kann es in Multi-Forest-Umgebungen oder mit Dutzenden von Domänen erforderlich sein, Berichte zu navigieren und zu priorisieren, was zusätzlichen Aufwand bedeutet. Die Basisausgabe bietet keine erweiterten Funktionen und keine ausführlichen Korrekturhinweise.Diese Funktionen sind in den kostenpflichtigen Lizenzen enthalten. Da Purple Knight eine einmalige Bewertung darstellt, ersetzt es kein kontinuierliches Überwachungssystem, und seine automatisierten Abwehrfunktionen sind in der kostenlosen Version nicht verfügbar.
Keines der beiden Systeme ist als IDS/IPS für AD gedacht; sie dienen als diagnostische Ergänzungen und fließen in Sanierungs- und Reifepläne ein. In Szenarien mit Echtzeit-Alarm- und ReaktionsbedarfHierbei kommen ITDR-Lösungen wie Semperis DSP oder Angebote für kontinuierliche Audits zum Einsatz.
Weitere Werkzeuge, die das Ökosystem ergänzen
Wenn es um Kontinuität und die kontextbezogene Erfassung jeder Änderung geht, bietet Netwrix Auditor eine Änderungskontrolle in Active Directory und anderen Systemen (Exchange, SQL Server, SharePoint, Microsoft 365, Teams usw.). Der Schwerpunkt liegt darauf, Benutzer auf verdächtige Änderungen aufmerksam zu machen. (zum Beispiel, wenn ein Benutzer zur Gruppe der Domänenadministratoren hinzugefügt wird) und pflegen Sie einen Konfigurationsverlauf mit Ansichten, die für die Governance nützlich sind.
Um Angriffspfade und Kontrollbeziehungen zu verstehen, ist BloodHound ein klassisches Open-Source-Tool (GPL-3.0), das Objekte, Beziehungen und Berechtigungen in AD modelliert, mit Compilern wie SharpHound und AzureHound. Es ist sowohl für rote als auch für blaue Teams von entscheidender Bedeutung. die den "kürzesten Weg" zu wichtigen Zielen visualisieren und Kletterrouten absperren wollen.
Im Bereich der Echtzeitreaktion und -überwachung bietet der Directory Services Protector (DSP) von Semperis kontinuierliche Überwachung, Warnmeldungen und sogar automatisierte Rücksetzungen als Reaktion auf böswillige Änderungen sowohl in AD als auch in Entra ID. Es fungiert als die fehlende ITDR-Ebene bei einer Punktbewertung. und beschleunigt die Eindämmung von Identitätsdiebstählen.
Die französische Datenschutzbehörde ANSSI stellt Hilfsprogramme wie ORADAD für Active Directory und ORADAZ für Azure/Entra bereit, die bei erweiterten Audits eingesetzt werden. Obwohl die Datenerfassung öffentlich ist, erfordert die vollständige Verarbeitung unveröffentlichte Tools. Dies sind wertvolle Referenzen für Teams, die sich an die Richtlinien der Regierung halten. oder die Audits an anerkannten Best Practices ausrichten möchten.
Einige Marktvergleiche zeigen Angebote mit Hosting und verschiedenen Bereitstellungsoptionen (Windows-Dienst, portabel, lokal oder SaaS), Korrelation mit MITRE ATT&CK, Export in CSV, Mandantenfähigkeit und Optionen zur dokumentierten Risikoübernahme. In der Praxis läuft die Entscheidung auf ein ausgewogenes Verhältnis zwischen Stichprobenprüfungen, Vorfallserkennung und laufender Governance hinaus.Unter Berücksichtigung von Budgets, Lizenzen (in einigen Fällen kostenlos für den persönlichen Gebrauch) und Partnerunterstützung.
Häufig gestellte Fragen: Kann ich einen Benutzer daran hindern, diese Tools auszuführen?
Diese Frage taucht häufig auf, wenn man feststellt, dass portable Tools ohne Administratorrechte ausgeführt werden können. Purple Knight und PingCastle arbeiten in der Regel im Nur-Lese-Modus und benötigen lediglich Benutzerberechtigungen, um das Verzeichnis abzufragen. Wenn Ihr Ziel darin besteht, die Ausführung einzuschränken, kommt die Anwendungskontrolle ins Spiel.Richtlinien wie AppLocker oder Windows Defender Application Control (WDAC) bzw. Softwarebeschränkungsregeln tragen dazu bei, nicht autorisierte Binärdateien einzuschränken. Darüber hinaus verringert die Erhöhung der Berechtigungen in Active Directory die Gefährdung sensibler Daten für Standardbenutzer.
Allerdings geht das AD-Sicherheitsmodell davon aus, dass bestimmte Informationen für authentifizierte Benutzer lesbar sind, da viele Anwendungen darauf angewiesen sind. Eine wirksame Risikominderung umfasst die Stärkung von Delegationen, die Überprüfung von Kontrollwegen und die Reduzierung von Berechtigungen.Mithilfe dieser Tools lassen sich erkennen und korrigieren, was nicht sichtbar oder aktiviert sein sollte. Prävention sollte sich nicht allein auf das Blockieren von ausführbaren Dateien beschränken, sondern vielmehr die Angriffsfläche auf Konfigurationsebene minimieren.
Häufige Anwendungsfälle und intelligente Kombination
Ein kleines IT-Team, das eine schnelle Diagnose und eine klare Anleitung zur Fehlerbehebung benötigt, wird Purple Knight zu schätzen wissen. Priorisierung nach Schweregrad und deren Zuordnung zu geeigneten Rahmenwerken Es ermöglicht Nutzern, Penetrationstests vorzubereiten, Fortschritte zu dokumentieren und Risiken an das Management zu kommunizieren. Gleichzeitig profitieren Unternehmen, die regelmäßig interne Audits durchführen und mehrere Branchen betreuen, von PingCastles Reifegradmodell, Domänenmapping und Konsolidierungsfunktionen.
Viele Organisationen setzen beide Tools in unterschiedlichen Zyklen ein, um sich ergänzende Erkenntnisse zu gewinnen: zuerst eine Momentaufnahme mit IOE/IOC, gefolgt von einer Überprüfung der Prozesse und des Reifegrads mit konsolidierten Gesundheitschecks. Kreuzvalidierung reduziert falsch negative Ergebnisse und verbessert die Priorisierung von Abhilfemaßnahmen.mittelfristig sollen kritische Lücken schneller geschlossen und die Identitätshygiene verbessert werden.
Es gibt keine Patentlösung. Die richtige Wahl erfordert die Abstimmung von Bedarf und Möglichkeiten: eine Momentaufnahme mit konkreten Richtlinien oder Reifegradmodellen und -landkarten? Eine einmalige Bewertung oder kontinuierliches Monitoring mit ITDR? Die Antwort lautet in der Regel ein „Ja, und…“ anstatt eines eindeutigen „Oder“.Die Kombination aus kostenloser Bedarfsanalyse und auf Risiko und Budget zugeschnittenen Überwachungslösungen.
Wenn das Ziel eine nachhaltige Verbesserung der Identitätssicherheit ist, empfiehlt es sich, regelmäßige Bewertungen einzuplanen, Delegierungen und Vertrauensstellungen zu überprüfen und die Kontohygiene sowie Gruppenrichtlinienobjekte (GPOs) aufrechtzuerhalten. ADMX-Dateien) und Kerberos. Die kombinierte Nutzung von Purple Knight und PingCastle, plus einer Änderungsprüfungsebene und/oder ITDREs bietet die richtige Balance zwischen Früherkennung, priorisierter Korrektur und kontinuierlicher Überwachung des Status von AD und Entra ID.