LDAP Risiko

[testperson 1.988]

Und bis ihr jemanden gefunden/geholt habt, passt ihr evtl. schonmal eure Firewall an und lasst LDAP / SMB nicht mehr von außen rein.

 

Option 1) Alles funktioniert weiterhin und das war eine recht grobe Fehlkonfiguration

Option 2) Ihr habt schonmal was gefunden, was besprochen werden sollte

[NorbertFe 2.401]

vor 25 Minuten schrieb testperson:

passt ihr evtl. schonmal eure Firewall an und lasst LDAP / SMB nicht mehr von außen rein.

War meine Aussage vermutlich nicht deutlich genug :) Danke.

[haiflosse 10]

Vielen Dank für die Antworten und Vorschläge.

Prinzipiell nutzen wir die LDAP Anbindung nur für die Anmeldung auf den externen Seiten wie z.B. moodle oder webuntis oder für eine wordpress Seite.

Die LDAP Anbindung ist nur auf diesen Server zugelassen.

Dachte daher dass LDAPs eine sichere Lösung ist.

 

[NorbertFe 2.401]

Nein ist es nicht. Hat dir ja der PenTest mehr oder weniger deutlich bestätigt. Sowas läuft üblicherweise bei externen Diensten wie Moodle usw. über SAML/OAuth. Jedenfalls nicht, indem man seinen DC einfach nach extern aufmacht. Warum auch immer du da auch noch SMB nach extern offen hast. Und LDAP nur auf diesen Server zugelassen? Welchen meinst du? Den DC? ;) 

[haiflosse 10]

Mit Zugelassen meine ich, dass nur der externe Server bei a1 oder wo die wordpress Seite liegt auf das LDAP des DC, der sich im Haus befindet, zugreifen kann.

[NilsK 3.140]

Moin,

 

um es jetzt noch mal sehr deutlich zu sagen: Die Art, wie ihr das deinen Aussagen nach gebaut habt, ist weit jenseits dessen, wie man sowas macht. Ihr habt eine hochgradig angreifbare Umgebung in Betrieb, die mindestens sämtliche personenbezogenen Daten einem sehr hohen Risiko aussetzt (Ausspähung und Missbrauch). Da ihr eine Schule seid, handelt es sich dabei sehr wahrscheinlich um hochsensible Daten.

 

Aus Sicht der IT-Sicherheit muss dieser Zugang sofort abgeschaltet werden und darf so nicht wieder in Betrieb gehen. 

 

Gruß, Nils

 

[Dukel 472]

Hier wurde schon SAML/OAuth genannt.

Abschliessend kommt es immer auf die Anforderungen und Voraussetzungen an.

[zahni 597]

Nur ein kleiner Fingerzeig: Was immer mehr Anbieter auch (leider) für On-Prem nutzen, ist Entra SSO. Dazu braucht man aber natürlich das ganz "Gedöns" von Microsoft. 

Allerdings sind natürlich auch SAML-Implementierungen potenziell angreifbar, besonders die von Citrix .

 

[Dukel 472]

Bitte nicht das Thema kapern sondern einen eigenen Thread erstellen.

 

Am besten fängt man mit den Anforderungen und nicht bei den Protokollen und Anbietern an ;)