Information Protection

Microsoft Purview Information Protection (ehemals Microsoft Information Protection MIP) nutzt Azure Rights Management Service (Azure RMS) um Cloud Daten zu schützen. Die Daten (E-Mails oder Dateien) werden in einem Microsoft 365 Zero Security Trust Model in ein 3-Tier Datenmodell aufgeteilt. In Tier-2 und Tier-3 können die Daten mit sog. Sensitivity Labels manuell (Labeling) oder automatisch (Client / Service-side Auto-Labeling) versehen werden. Diese Labels beinhalten eine Classification bzw. Kategorisierung der Daten sowie, je nach Classification, eine optionale Aktion (Encryption, Marking Content). Daten können durch Sensitivity Labels auch nur Classifications zugeordnet werden, ohne dass eine Aktion, wie z.B. Encryption, durchgeführt wird.

    •    Low             Starting Point – Schutz nur durch Berechtigungen ist hier ausreichend.
    •    Medium      Enterprise – Arbeitet mit verschärften Berechtigungen oder Sensitivity Labels.
    •    High            Specialize – Werden durch Confidential Sensitive Labels geschützt.

Eine E-Mail oder Datei kann nur ein Sensitivity Label und ein Retention Label enthalten. Ein Sensitivity Label besitzt eine eindeutige ID (Unique Label Identifier) und kann zu unterschiedlichen Kategorien mit Label Order / Priorität zugeordnet werden, die durch Benutzer mit entsprechender Berechtigung geändert werden können:

•    Personal
•    Public
•    General
•    Confidential
•    Highly Confidential

Benutzer oder Gruppen (Microsft 365 Groups) können mit Office 365 Apps Built-In Labeling oder Microsoft Purview Information Protection Client auf die gekennzeichneten (labeled) Daten zugreifen und das am Header der Datei angehängte Sensitivity Label (Klartext) nur sehen, wenn er/sie durch eine Label Policy die entsprechende Berechtigung (minimum Read) bekommen hat.

Microsoft Purview Insider Risk Management ist eine Lösung zur Minimierung interner Risiken. Sie erkennt, untersucht und bearbeitet sowohl bösartige als auch unbeabsichtigte Aktivitäten innerhalb der Organisation. Insider-Risk Richtlinien legen fest, welche Risikotypen identifiziert werden sollen. Außerdem lassen sich Prozesse für Maßnahmen sowie die Eskalation von Fällen an Microsoft eDiscovery (Premium) definieren. Risikoanalysten können dadurch schnell reagieren und sicherstellen, dass Benutzer den Bestimmungen der Organisation entsprechen.

Information Governance

Durch die Microsoft Purview Data Lifecycle Management und Microsoft Purview Records Management (ehemals Microsoft Information Governance MIG), also die Informationsverwaltung, ist es möglich, Organisationsdaten auf Konformitätsvorschriften oder behördliche Anforderungen zu überprüfen. Es geht hierbei vor allem um die Aufbewahrung und Löschung von Daten aus diversen Microsoft 365 Diensten wie E-Mails, Teams Nachrichten oder SharePoint-Dokumenten. Mit Hilfe von Retention Policies und Retention Labels kann auf Daten (E-Mails in Exchange Online Postfächern, Nachrichten aus allen Teams Kanälen, SharePoint Dokumenten) genau bestimmt werden, wie lange diese aufbewahrt werden sollen und wann sie gelöscht werden können.

Zusätzlich gibt es die Möglichkeit, Data Loss Prevention (DLP) in der Organisation zu verwenden, um sensible Daten wie Kreditkartennummern oder Gesundheitsinformationen besonders zu schützen. Durch DLP Richtlinien kann verhindert werden, dass Benutzer diese Daten an Unbefugte weitergeben.
Data Loss Prevention ist, wie Information Protection und Information Governance, ein Teil der Microsoft Purview Angebote.

Die Microsoft Purview Data Map dient als zentrale Basis für Datenermittlung und Datengovernance. Sie sammelt Metadaten aus Analysen, SaaS-Anwendungen, Azure-Services und Betriebssystemen in On-Premises-, Hybrid- und Multicloud-Umgebungen. Durch das integrierte Scan- und Klassifizierungssystem werden Cloud-Ressourcen kontinuierlich aktualisiert.

Communication Compliance

Microsoft Purview Information Barriers (IB) ist eine Compliancelösung, mit der Sie die bidirektionale Kommunikation und Zusammenarbeit zwischen Gruppen und Benutzern in Microsoft Teams, SharePoint und OneDrive einschränken können.

Sie können IB-Richtlinien für die Benutzer einschränken, die nicht mit bestimmtem Benutzer Dateien freigeben, finden, chatten oder anrufen sollten. IB-Richtlinien führen automatisch Prüfungen durch, um nicht autorisierte Kommunikation und Zusammenarbeit zwischen definierten Gruppen und Benutzern zu erkennen und zu verhindern.

Microsoft Purview Communication Compliance ist eine Insider-Risikolösung, die unzulässige Nachrichten frühzeitig erkennt, erfasst und geeignete Maßnahmen ermöglicht, bevor Sicherheits- oder Bestimmungsverstöße entstehen. Sie analysiert Text- und bildbasierte Kommunikation in Microsoft-Apps darunter Teams, Microsoft 365 Copilot und Copilot Chat, Viva Engage, Outlook und weitere. Dabei identifiziert sie mögliche Verstöße gegen Geschäftsrichtlinien, etwa die Weitergabe sensibler Informationen, bedrohliche oder belästigende Sprache sowie potenzielle Verstöße gegen gesetzliche Vorgaben, beispielsweise im Bereich Aktien- und Marktmanipulation.

In diesem „high level“ Intensivkurs lernen Sie eine mehrstufige (2 und 3) Windows Server 2025 PKI mit dem Key Storage Provider (KSP) und SHA-256 aufzubauen und zu verwalten. Die Sicherheit von der gesamten PKI soll auf das 128-Bit Sicherheitsniveau von Suite-B „Secret“ angehoben werden, auch wenn „nur“ RSA Key (Digital Signature und Key Exchange) und noch kein Elliptic Curve ECDSA (Digital Signature) und ECDH (Key Exchange) wegen diversen Anwendungen eingesetzt werden soll.

In diesem Kurs wird auch SCAMA (Smart Card Authentication Mechanism Assurance) praktiziert um die höchste Sicherheit bei der Anmeldung zu erreichen. SCAMA sorgt dafür, dass erst nach der Anmeldung mit Smart Card (mit Issuance Policy) der angemeldete Benutzer einer Universal Gruppe z.B. T0-DomAdmins auf dem Kerberos Ticket (PAC) zugeordnet wird. Die UG bleibt auch danach leer. Somit ist der Benutzer, selbst nach der Anmeldung, unsichtbar!

Aktuell ist das Thema Umstellung von SHA1 auf SHA-256, weil ab Januar 2016 keine Windows CA noch mit SHA1 und „Legacy CSP“ arbeiten soll. Sie lernen im Kurs selbstverständlich alle CA-Stufen (Root CA, Policy CA, Issuing CA) mit dem Key Storage Provider und SHA-256 zu konfigurieren. Da viele Anwendungen noch Probleme mit den Elliptic Curve Cryptography, die in der Suite-B Cryptography durch NSA und NIST publiziert wurden, setzen wir im Moment noch RSA anstatt ECDSA (Digital Signature) und ECDH (Key Exchange) ein. Auch in vielen RFCs werden RSA und 2048 vorgeschrieben. Um dennoch die kryptographische Gesamtstärke auf das 128-Bit Niveau von Suite-B Level „Secret“ zu erreichen, arbeiten wir ab 2018 nur noch mit RSA 4096 Key, sowohl für alle CA inkl. Issuing CA als auch für die normalen Zertifikate. Bis 2017 haben wir RSA 4096 nur für die Root CA und Policy CA eingesetzt.

Alle PKI-fähigen Anwendungen wie SmartCard-Authentifizierung, Websites (SSL/TLS), Encrypted File System (EFS) etc. werden im Kurs praktiziert.

Im ersten Einführungsblock verschaffen wir uns einen Überblick über die verschiedenen Kryptographische Verfahren (Symmetric Key AES-128, AES-256, Public Key RSA vs. ECDSA und ECDH, One-Way-Hash SHA-128, SHA-256, SHA-512) und über die Windows Server 2025 PKI Komponenten. Eine 2025 PKI ist kaum anders als eine 2019 PKI. Der Grund ist, dass Microsoft eher Azure Cloud CA forciert. Dennoch die On-Premises PKI bleibt uns noch eine Weile erhalten, denn wer will schon seine komplette PKI in der Microsofts Azure Cloud haben?

Im zweiten Block wird eine 3-stufige PKI mit Standalone Root-CA (offline), Standalone Policy CA (offline) und Enterprise SubCA (online) mit OCSP korrekt aufgebaut. Auch 2-stufige PKI können unter der gemeinsamen Root-CA aufgebaut und später in eine 3-stufige PKI erweitert werden. Dabei wird jede CA mit CAPolicy.Inf und Script ConfigMe.cmd konfiguriert, sodass die Revocation List (*.CRL) und CA-Zertifikat (*.CRT) in Active Directory und auf Webserver publiziert werden können. Von vorne herein wird der Standard ISIS-MTT (Common Criteria) beachtet. Dabei wird der Verwendungszweck der Private Key einer CA eingeschränkt, dass dieser nur für Zertifikatsignierung und nicht für Dokumentensignierung eingesetzt werden darf.

Im dritten Block beginnt die Administration mit der Konfiguration der CA. Die Zertifikatsvorlagen des Typs 2 (Legacy CSP), 3 und 4 müssen für die unterschiedlichen Anwendungen erstellt und konfiguriert werden. Zu Beginn ist es wichtig, die CA für die Private Key Archivierung zu aktivieren. Bevor eine PKI-Anwendung wie z.B. EFS (Encrypting File System) mit Nutzung von Private Key ausgerollt werden kann, muss das Key-Recovery konfiguriert und getestet werden. Auch die verschiedenen Enrollment-Methoden – manuell und automatisch (Auto-Enroll) – für Zertifikate an Benutzer und Computer werden praktiziert.

Im vierten Block werden die unterschiedlichen PKI-Anwendungen durchgeführt.
Die Smart Card Authentifizierung spielt eine immer wichtigere Rolle, da die Kerberos Pre-Authentifizierung nicht sicher ist. Noch wichtiger als die „normale“ Smart Card Anmeldung ist SCAMA (Smart Card Authentication Mechanism Assurance). Mit SCAMA ist es durch Issuance Policy und eindeutiger OID möglich bei der Anmeldung eine dynamische Zuordnung des angemeldeten Benutzers zu einer Universal Gruppe (UG) zu erreichen. Der SCAMA User sieht seine Gruppenmitgliedschaft nur auf seinem Windows Access Token (Whoami /all), die UG bleibt immer leer. Somit ist ein Administratorkonto in der UG unsichtbar und wird dadurch stark geschützt.
» SCAMA wird zusammen mit anderen Sicherheitsmassnahmen in unserem Kurs ASAI (Advanced Security Active Directory Infrastructure) detailliert behandelt.
Virtual Smart Card (VSC) wird von einem TPM Chip abgeleitet, wobei bis zu 10 VSC von einem TPM erstellt werden können.

Im fünften Block wird das Thema Certificate Revocation List (CRL) sowie die Erneuerung der CA-Zertifikate praktiziert. Es ist sehr wichtig zu erkennen, dass eine Base CRL immer verfügbar sein muss, besonders wenn die Smart Card Anmeldung anstelle Benutzername und Passwort erzwungen wird. Ohne eine gültige CRL kann kein Domain Controller eine Smart Card Anmeldung akzeptieren. Auch Emergency CRL-Methoden werden besprochen, also wenn keine CA bzw. gültige CRL verfügbar sind – vor allem aber, wie kann eine Base CRL im Fall eines CA-Ausfalls dennoch eine gewisse Zeit durch CRLOverlap überbrückt werden. Auch wenn keine CRLOverlapPeriod und CRLDeltaOverlapPeriod eingestellt sind, bekommen sowohl eine Base CRL als auch Delta CRL eine Lebensdauerverlängerung durch Overlap von 10% der Gesamtlebensdauer (CRLPeriodUnits) bei Base CRL bzw. 12 Stunden bei einer Delta CRL. Die Erneuerung eines CA-Zertifikats mit demselben oder neuen Schlüsselpaar wird von der Enterprise Issuing-CA, Policy CA bis zu Root CA praktiziert. Besonders interessant ist die Erneuerung des RootCA Zertifikats mit einem NEUEN Schlüsselpaar. Die Kursteilnehmer können sehen, wie das alte und das neue Root Zertifikat durch ein sog. Kreuzzertifikat (Cross CA Certificate) untereinander vertrauen, bis alle SubCA in der PKI vom neuen Root CA Zertifikat signiert worden sind.

Im letzten Block werden die Themen Certificate Lifecycle Notification (Optional), Backup & Recovery, Troubleshooting sowie Auditing von der CA behandelt. Ab Windows 8 und 2012 ist es möglich die Lebensdauer eines Zertifikats zu überwachen. In die neuen Crimson Channel Logs CertificateServicesClient-Lifecycle-System u. -User werden Events eingetragen, die für die Lebensdauer eines Zertifikats in MY Store relevant sind. Das wichtigste Event 1003 erscheint, wenn ein Zertifikat bald abläuft. Wir zeigen wie eine Benachrichtigung per E-Mail mit Hilfe von Task Scheduler und PowerShell Script automatisch erfolgen kann. Eleganter ist natürlich, mit einem SCOM (Operations Manager) Monitor diese Events zu überwachen. Wir demonstrieren im Kurs unser selbst entwickeltes Programm, um u.a. die Lebensdauer von allen Zertifikaten aller CAs aufzulisten und zu analysieren.

Der Intensivkurs ist so konzipiert, dass die Teilnehmer durch praktische Übungen rasch in die relativ komplexe PKI-Thematik einsteigen und nach 5 Tagen in der Lage sind, eine moderne sichere mehrstufige PKI aufzubauen und zu verwalten. Zum Schulungskonzept gehört unbedingt, dass der gesamte Zusammenhang einer PKI erklärt und durch praktische Übungen verdeutlicht wird. Der Kurs setzt nicht voraus, dass ein Teilnehmer schon vorher Erfahrung mit PKI haben muss!

In diesem neu aufgelegten 5-Tage Kurs kombinieren wir die wichtigsten Themen aus den beiden Kursen Azure Admin und Azure Hybrid die nicht mehr einzeln angeboten werden.

Es werden alle notwendigen Schritte vom Aufbau eines Azure Tenants bis hin zur Einbindung der „On-Premises“ Ressourcen in die Azure Welt behandelt.

Nachdem ein Azure Tenant erstellt wurde, wird mindestens eine Subscription benötigt, um Azure Ressourcen erstellen zu können. Wenn ein Unternehmen mehrere Subscriptions besitzt, ist es sehr zu empfehlen eine Management Group Struktur anzulegen. Management Groups sind logische Einheiten, denen die Subscriptions zugeordnet werden können. Außerdem können einer Management Group Berechtigungen und Policies zugewiesen werden, um den Zugriff und die Verwaltung von Ressourcen zu steuern und zu kontrollieren. Zusätzlich kann eine ordentliche Management Group Struktur auch für eine Kostenübersicht genutzt werden.

In diesem Kurs wird daher der Aufbau dieser Strukturen praktiziert. Anschließend werden wir die Zuweisung von Berechtigungen auf Subscriptions, Management Groups, Resource Groups und Ressourcen erläutern und auch anwenden.

Durch Berechtigungen lässt sich zwar das „Wer“ abdecken, nicht aber das „Wie“. Hierfür können die Azure Policies verwendet werden. Mithilfe der Azure Policies ist es möglich für die Erstellung von Ressourcen Rahmenbedingungen festzulegen. Beispielsweise kann konfiguriert werden, dass innerhalb einer Management Group die Ressourcen nur in einer bestimmten Azure Region erstellt werden dürfen. Das Thema Azure Policies wird in diesem Kurs ebenfalls unterrichtet.

Beim Aufbau eines Tenants ist es besonders wichtig eine virtuelle Netzwerkinfrastruktur zu planen und zu realisieren. Diese dient später dazu, Azure Ressourcen miteinander zu verbinden. Für eine Hybrid-Stellung muss natürlich auch die Netzwerkverbindung zum On-Premises Datacenter in die Planung mit einfließen. Die Verbindung zwischen Azure und dem On-Premises Netz wird über ein VPN Site-to-Site Gateway hergestellt, dessen Einrichtung wir ebenfalls im Kurs behandeln.

Wenn eine Verbindung zwischen dem On-Premises und dem Azure Netzwerk hergestellt wurde, muss auch die Namesauflösung (DNS) konfiguriert werden. Damit Benutzer auf Azure Ressourcen über den privaten DNS Namen zugreifen können, kann der DNS Private Resolver eingerichtet werden. Dieser Azure Service erlaubt ein DNS Forwarding aus dem On-Premises Netzwerk ins Azure Netzwerk und umgekehrt. Die Einrichtung und Verwendung des DNS Private Resolvers wird in diesem Kurs praktiziert.

Wenn in Azure Ressourcen erstellt werden müssen diese immer einer Ressourcen Gruppe angehören. Ressourcen können beispielsweise virtuelle Maschinen oder ein Storage Account sein. Es wird empfohlen, Ressourcen, die in etwa den gleichen Lebenszyklus haben, in eine gemeinsame Ressourcen Gruppe aufzunehmen. Dies erleichtert das spätere Verwalten und Löschen der Ressourcen.

Das Erstellen von Azure Ressourcen wird in diesem Kurs auch behandelt. Es werden in Azure Virtuelle Maschinen, Storage Accounts, Private Endpoints, virtuelle Netzwerke und ein Azure App Service erstellt.

Ein Storgae Account kann für Blob, File, Queue und Table verwendet werden. Wenn ein Storage Account für die Verwendung von Files verwendet wird, können Benutzer mithilfe von SMB und mit Kerberos Authentifizierung auf diesen zugreifen. Der Inhalt kann mithilfe von Azure File Sync synchronisiert werden.

Durch Extentions für Virtuelle Maschinen können nützliche Erweiterung integriert werden. Es kann z.B. ein PowerShell Skript ausgeführt werden oder durch die Extension Azure AD Login for Windows wird eine Azure VM in Azure AD aufgenommen. Mithilfe des Azure Ressource Model (ARM) wird berechtigt, wer sich anmelden darf.

Eine neue Funktion von Windows Server 2022 Azure Edition ist „SMB over Quic“. Über diese Funktion können Windows 11 Clients ohne eine VPN Verbindung auf ihre Netzwerklaufwerk aus dem Internet zugreifen. Auch der Zugriff auf einen Storage Account über das Internet ist mit SMB und der Kerberos Authentifizierung mittlerweile möglich. Die Funktion nennt Microsoft Azure AD Kerberos Authentication.

Hat man nun diverse Ressourcen in Azure angelegt ist es natürlich möglich Benutzern den Zugriff auf diese Ressourcen zu ermöglichen. In der Regel sollen Benutzerkonten aus dem On-Premises AD weiterverwendet werden. Um dies zu erreichen, muss AAD-Connect eingerichtet werden, um die On-Premises Benutzerkonten nach Azure zu synchronisieren. Wenn die Identität eines Benutzers in Azure AD bekannt ist, kann ihm z.B. der Zugriff auf einen Storage Account gewährt werden oder die Möglichkeit, sich an einer Azure VM anzumelden.

Bei der Einrichtung von AAD-Connect ist vor allem die Authentifizierungsmethode ein wichtiger Punkt. Während die On-Premises Welt mit Kerberos und NTLM arbeitet, wird in Azure OAuth2 verwendet.

Folgende vier Authentifizierungsmethoden stehen zur Auswahl:

• PHS (Password-Hash Sync)
• PTA (Pass-Through Authentication)
• ADFS (Active Directory Federation Services)
• PingFederate

Eine große Stärke von Azure ist die Automatisierung. In diesem Kurs wird daher auch das automatische Erstellen von Ressourcen praktiziert. Die Automatisierung basiert weitgehend auf Templates. Das Format dieser Templates ist JSON (JavaScript Object Notation), welches sich in Azure großer Beliebtheit erfreut.

Zusätzlich ist es auch möglich PowerShell Skripte in Azure auszuführen. Diese können Aktionen sowohl in Azure als auch in der On-Premises Umgebung ausführen.

Damit die Ausführung der Skripte für die On-Premises Umgebung funktioniert, wird der Hybrid Runbook Worker benötigt. Dieser wird im Kurs unterrichtet.

Planung der Azure Infrastruktur

• Subscriptions
• Tenants
• Managements Groups
• Lizenzen

Azure Resource Management (ARM)

• Azure RBAC und AAD Roles
• Azure AD Gruppen erstellen
• Anlegen und Zuweisung der Built-In Roles, Custom Roles
• Privileged Identity Management (PIM) für Azure Ressourcen

Aufbau von Azure Hybrid Umgebung

• AAD Connect
• Authentication Federated (ADFS) oder Cloud (PTA oder PHS)

Erstellen einer virtuellen Netzwerkinfrastruktur in Azure

• Anlegen von mehreren virtuellen Netzwerken
• Erstellen von Subnetzen
• Konfiguration von Peering
• Service Endpoint vs. Private Endpoint
• Routing Tabellen erstellen
• Erstellen von Privaten DNS-Zonen
• Erstellung und Konfiguration eines Public Load Balancer

Erweiterung von On-Premises AD durch Site-to-Site VPN

• Aufbau eines Site-To-Site VPN
• Zugriff auf Azure VMs durch den VPN-Tunnel
• Zugriff auf Ressourcen (Storage Account, Azure VM, usw…)

DNS Private Resolvers

• Aufbau des DNS Private Resolvers
• Kreieren von Inbound & Outbound Endpoints
• Anlegen eines DNS forwarding rulesets
• DNS Conditional Forwarding
• Testen der Namensauflösung von On-Premises nach Azure und umgekehrt

Azure Virtual Machine

• Erstellen von Azure VMs
• Extensions (Skript & Azure AD Login)
• Managed Identity
• SMB over Quic

Azure Storage

• Erstellen von Azure Storage (Blob & File)
• Zugriff auf Azure Storage (SAK, SAS & SMB)
• Netzwerkzugriff über Service Endpoint und Private Endpoint

Azure File Hybrid

• Berechtigung NTFS und SMB-Share durch Azure RBAC Roles
• Create Private Endpoint
• Zugriff via SMB mit Kerberos Authentication auf Azure Files

Azure File Sync

• Aufbau von Azure File Sync
• Storage Sync Service
• Sync Group
• Storage Sync Agent
• Cloud Tiering

Azure Ressources und Resource Templates

• Ressource Groups
• Storage Accounts
• Automation Accounts (Runbooks)
• Azure Resource Manager Templates
• Deploy Azure Resoure Templates

Azure Automation Runbooks

• Anlegen eines Azure Automation Accounts für Runbooks
• Erstellen eines Runbooks (PowerShell & PowerShell Workflow)

Azure Automation Hybrid Runbook Worker

• On-Premises Verwaltung mit Azure Automation
• Runbooks (Parent & Child)
• Hybrid Runbook Worker – Run As Credentials
• Log Analytics Workspace
• Alert, Kusto language Query

Azure Desired State Configuration (DSC)

• Aufbau von Azure DSC
• Local Configuration Manager (LCM)
• Azure Guest Configuration

Azure Policies

• Azure Policies Scope
• Policy Defenitions (PD) vs. Initiative Defenitions (ID)
• Policy assignment

Azure App Service

• Erstellen eines App Services
• Migration einer SQL Datenbank
• Zugriff auf eine SQL Datenbank mit einer Managed Identity
• Scale Out/In Regeln

Dieser Kurs fokussiert sich auf den Aufbau eines Active Directory (AD) Forests, die Migration von älteren Versionen und die professionelle Verwaltung von Active Directory.

Zu Beginn werden die Grundlagen und die Struktur eines Forests vermittelt. Dabei werden die Aufgaben des Global Catalog Servers, die fünf FSMO-Rollen (Flexible Single Master Operation), die SYSVOL-Replikation innerhalb der Domäne und die Replikation von Domain Controllern (DC) zwischen verschiedenen AD-Sites behandelt. Die Verwaltung von Active Directory geht über die Basisverwaltung von Benutzern, Computern und Gruppen hinaus und beleuchtet tiefergehende Funktionen des Verzeichnisdienstes. Hierzu gehört das Verständnis der Berechtigungen im AD und deren Anpassung sowie die effiziente Nutzung von LDAP-Abfragen unter Berücksichtigung erweiterter Sicherheitsmechanismen. Zudem wird der Domain Controller Locator-Prozess erklärt, der zeigt, wie Memberserver und Workstations einen Domain Controller finden.

Ein weiterer Schwerpunkt des Kurses ist die Migration von Domain Controllern auf ein neues Betriebssystem. Nach einer erfolgreichen Migration wird erläutert, wie der Domain Functional Level (DFL) oder der Forest Functional Level (FFL) angehoben werden kann, sofern ein neuer Funktionslevel verfügbar ist.

Nach Abschluss des Kurses sind die Teilnehmer in der Lage, einen AD Forest fachgerecht zu verwalten. Sie sind für potenzielle Sicherheitslücken im AD sensibilisiert und können durch weiterführende Kurse ihre AD-Infrastruktur sicher gestalten.

Überblick – Active Directory

• AD Partitionen
• AD Functional Level
• AD Grundlagen
• AD Struktur

Domain Controller (Installation, Konfiguration, DC Locator)

• Domain / Forest Installation
• Domain Controller Einrichtung
• Domain Controller Ablösung / Transition
• DC Locator

Site und Replication

• AD Sites Konfiguration
• AD Replication, Verwaltung und Optimierung
• AD Subnets

DNS

• DNS Administration (A Record, CNAME, PTR etc.)
• DNS Partitionen (Domain / Forest DNS Partition)
• DNS Delegation
• DNS Zonen
• DNS Forwarding
• Conditional Forwarding

Verwaltung und Administration von Active Directory (Berechtigungen, Delegation)

• AD Konsolen, MMC, Anpassungen, RSAT
• AD Verwaltung über PowerShell
• AD Delegation von Benutzerrollen, Grafisch oder PowerShell (Helpdesk, etc.)
• AD Berechtigungen
• AD Trust, Richtungen, Verwaltung, Härtung

LDAP Security (Channel Binding, LDAPS, LDAP over TLS)

• LDAP Channel Binding
• LDAPS
• LDAP over TLS
• LDAP Abfragen über LDP.exe

Schema

• Schema Attribute und Klassen
• Schema Erweiterung
• Eigene Schema Attribute
• Eigene OID und Struktur
• Schema Attribute schützen

Kerberos & NTLM

• Kerberos Nachrichten (TGS, TGT, Session & Master Keys)
• Kerberos PAC Feld (Privilege Attribute Certificate)
• Kerberos Delegation
• Service Principal Names
• Kerberos Hardening
• NTLM Hardening

AD-Trusts

• Forest-Trust
• Domain-Trust
• Non-Transitive One-Way Trust
• Transitive Two-Way Trust
• Privilege Identity Management Trust (PIM-Trust)

Group Policy

• Group Policy Grundlagen
• DC Hardening
• Password Policies
• Kerberos und NTLM Policies
• BitLocker
• Advanced Audit Configuration

HealthCheck – Monitoring & Troubleshooting

• Domain und Domain Controller Diagnostik
• Kerberos Encryption Types
• KRBTGT-Reset
• AD Clean-Up
• Domain Controller Secure Channel

Dieser Intensivkurs ist für alle Administratoren gedacht, die eine moderne und starke Authentifizierung für ihre Benutzer bereitstellen wollen. Es werden die Themen Identity Management, Authentication Methods und Passwordless Deployment (Migration & Enrollment) behandelt.

In einer Hybridumgebung werden On-Premises AD und Entra ID mithilfe von Entra Connect verbunden. Entra Connect ermöglicht hierbei die Synchronisation von AD Benutzern, Geräten und Gruppen von On-Premises AD nach Entra. Standardmäßig ist On-Premises AD autoritativ, was bedeutet, dass sämtliche hier vorgenommenen Änderungen auch in Entra angewendet werden. Weiterhin wird über Entra Connect die Art der Authentifizierung, welche Benutzer in der Hybridumgebung verwenden, festgelegt. In der Zukunft wird Entra Connect vermutlich durch Entra Cloud Sync ersetzt. Über Entra Cloud Sync kann nur die Hybride-Authentifizierungsmethode „Password Hash Synchronisation“ (PHS) eingerichtet und keine Geräte-Identitäten synchronisiert werden.

Es gibt verschiedene Varianten wie sich ein Benutzer bei Entra ID oder Active Directory authentifizieren kann. Diese Varianten werden in Kategorien eingeteilt, um diese besser einschätzen zu können. Eine „schlechte“ Authentifizierung ist „Benutzername“ und „Passwort“. Dies kann verbessert werden, indem der Benutzer zusätzlich einen weiteren Faktor liefert, um sich zu authentifizieren. Dies könnte eine SMS oder ein Phone-Call sein. Zu den besseren zweiten Faktoren zählen u.a. der Microsoft Authenticator, Software- oder Hardware-Tokens (OATH). Die sicherste Methode einen Benutzer zu authentifizieren, ist statt der Verwendung eines Passworts, die Verwendung mehrerer Faktoren. Dies kann mittels den Methoden Windows Hello for Business (WHfB), Microsoft Authenticator mit Phone Sign-In, FIDO2 (Passkeys) Security Key oder zertifikatsbasiert (CBA) erfolgen. Bei den Methoden WHfB, FIDO2 (Passkeys) und CBA handelt es sich um Phishing-resistente Anmeldemethoden.

In einem Unternehmen soll nicht nur sichergestellt werden, dass die Benutzer eine Sichere Anmeldemethoden verwenden, sondern auch von wo diese zugreifen. Hier kommt die MDM-Lösung Intune ins Spiel. Mithilfe von Intune kann sichergestellt werden, dass der Zugriff nur von Geräten erfolgt die meinem Sicherheitsstandard (u.a. TPM 2.0, Secure Boot, BitLocker) entsprechen. Der TPM-Chip z.B. schützt den Private Key für die Anmeldung über Windows Hello for Business.

Nur durch starke Authentifizierungsmethoden kann sichergestellt werden, dass der Benutzer auch der Benutzer ist. Standardmäßig wird dieser nicht gezwungen diese starken Formen der Authentifizierung zu nutzen. An dieser Stelle kommt Entra ID Conditional Access zum Einsatz. Mit Conditional Access können die Zugriffe von Benutzern auf Applikationen oder Aktionen innerhalb Entra IDs eingeschränkt werden. Beispielsweise soll der Benutzer immer einen zweiten Faktor liefern, wenn er auf eine Applikation wie Exchange Online oder Microsoft Teams zugreifen möchte. Über Entra ID lassen sich On-Premises oder auch Software-as-a-Service Applikationen von außerhalb einbinden. Wenn die Applikation dies unterstützt, kann diese Single Sign-On (SSO) über Entra ID anbieten, sodass der Benutzer nicht mehrere Identitäten besitzt und sich somit nicht mehrmals authentifizieren muss. On-Premises Applikationen lassen sich über den Entra Applikation Proxy sicher ins Internet veröffentlichen. Auch wenn die On-Premises Applikation nur die Kerberos Authentifizierung unterstützt.

In diesem Kurs wird die Microsoft Mobile Device Management (MDM) Lösung Intune behandelt. Über Intune können Geräte mit Windows, iOS/iPadOS, MacOS oder auch Android zentral verwaltet werden, ganz gleich wo sie sich auf der Welt befinden. Damit Intune genutzt werden kann, muss das Unternehmen einen Tenant besitzen und Lizenzen für die Benutzer erwerben. Für Enterprise Kunden, die Intune und Micorsoft 365 Apps sowie diverse Security Features nutzen wollen, bietet sich die Microsoft 365 E3 oder noch besser Microsoft 365 E5 an. In der Microsoft 365 E5 wie auch in der E3 ist Intune Plan 1 enthalten. Zusätzlich kann Plan 2 oder die Intune Suite erworben werden für weitere Funktionen.
Ab dem 01.07.2026 integriert Microsoft die Funktionen der Intune Suite voll in Microsoft 365 E5 und E7 und teilweise in E3. Daher werden jetzt folgende Funktionen auch im Intune Kurs behandelt:

• Intune Remote Help
• Endpoint Privilege Management
• Intune Advanced Analytics
• Intune Enterprise App Management

Die Funktionen Intune Remote Help und Intune Advanced Analytics sind auch in Microsoft 365 E3 vorhanden.

Kursumgebung Hybrid + Intune:
Im Kurs nutzen wir eine hybride Umgebung. Das On-Premises Active Directory ist mit Entra ID über Entra-Connect verbunden, um Benutzer-, Gruppen- und Geräteobjekte von On-Premises AD zu Entra zu synchronisieren. Die Authentifizierung zwischen dem auf Kerberos basierenden On-Premises AD und dem auf Token basierenden Entra kann durch mehrere Möglichkeiten realisiert werden. Zur Verfügung stehen hier unter anderem die Federation durch ADFS (Active Directory Federation Services) und die in diesem Kurs angewandte  PHS (Password Hash Synchronisation) oder PTA (Pass-Through Authentication).

Device Registration:
Bevor Geräte über Intune voll verwaltet werden können, sollten diese in Entra ID registriert (Entra Registration) werden. Dabei gibt es folgende drei Methoden: Device Registration, Entra Join und Hybrid Entra Join. Damit können BYOD (Bring Your Own Device) und CYOD (Choose Your Own Device) Szenarien umgesetzt werden. Nur bei Windows Geräte können alle drei Registrierungsmethoden verwendet werden. Die Plattformen iOS/iPadOS, Android und MacOS können nur Registriert werden.
In den meisten Umgebungen werden Geräte Identitäten vom Typ Hybrid in Entra verwendet. Die Hybridgeräte waren einer der ersten Schritte in Richtung Cloud. Um auch zukünftig sicher aufgestellt zu sein, sollte aber auf Entra Only Geräte gesetzt werden, da Microsoft eine Cloud First Strategie verfolgt und neue Funktionen immer öfter nur noch für Entra Only Geräte veröffentlicht werden. Daher wird im Intune Kurs jetzt behandelt, wie Hybrid Entra Geräte zu Entra Only Geräten migriert werden können.

Device Enrollment:
Nach der Registration in Entra müssen die Geräte in Intune aufgenommen (enrolled) werden. Es gibt die manuelle und automatische Enrollment Methode. Das manuelle Windows Enrollment erfolgt über die Settings App von Windows. Für das Massenenrollment von Windows Geräten wird Windows Autopilot genutzt.
Bevor iOS/iPadOS Devices von Intune verwaltet, werden können, muss ein Apple MDM Push Zertifikat angefordert werden. Erst durch das Zertifikat werden Intune Konfiguration auf Apple Geräten vertrauenswürdig.
Auf dem iOS/iPadOS Gerät kann das manuelle Enrollment über die Unternehmensportal App aus dem App Store durchgeführt werden. Automatisiert kann dies über den Apple Business durchgeführt werden. Beim Automatic Device Enrollment (ADE) kann der „Supervised“ Status gesetzt werden. Dieser Status wird für die vollumfängliche Verwaltung von iOS/iPadOS benötigt. Weitere Enrollment Methoden sind „User- & Device Enrollment“.
Um Android Geräte verwalten zu können, muss ein Google Business Account mit Intune verbunden werden. Anschließend können zwischen verschiedenen Enrollment Methoden gewählt werden, z.B. Corporate-owned fully managed User Devices.

Device Configuration:
Von Intune verwaltete Geräte können über verschiedene Profil-Typen konfiguriert werden. Je nach vorgefertigtem Profil-Typ gibt es unterschiedliche Einstellungen, die durch die Configuration Service Provider (CSP) auf dem Windows Gerät umgesetzt werden. Ein CSP funktioniert vergleichsweise wie eine CSE (Client Side Extension) bei den Active Directory Gruppenrichtlinien. Die CSP sind nach dem Open Mobile Alliance (OMA) Standard definiert und können von anderen MDM Lösungen ebenfalls verwendet werden. Eine Migration von bestehenden Gruppenrichtlinien ist bedingt möglich. Bevorzug sollte bei Windows der Settings Catalog für die Konfiguration verwendet werden. Firmeneigene iOS/iPadOS Geräte können vollumfänglich verwaltet werden. Es kann z. B. die Kamera, der App Store blockiert und weitere Einschränkungen, sowie Sicherheitskonfigurationen angewandt werden. Basierend auf der Enrollment Variante sind verschiedene Konfigurationsmöglichkeiten verfügbar.

Device Security:
Die Einstellungen für die Gerätesicherheit wurde von Microsoft in den Bereich Endpoint Security ausgelagert, um alle Sicherheitseinstellungen zusammenzufassen. Unter Endpoint Security kann unter anderem die Windows Defender Firewall, BitLocker, Credential Guard konfiguriert werden. Über den Profiltyp „Endpoint Detection and Response“ (EDR) kann das Geräte in den „Microsoft Defender for Endpoint“ aufgenommen werden (onboarden), welches eine erweiterte Sicherheitsüberwachung von Geräten bietet. Das Ergebnis der Sicherheitsüberwachung vom Defender for Endpoint kann wiederum bei den Compliance Policy verwendet werden.

Endpoint Privilege Management (EPM):
EPM erlaubt es, dass Standardbenutzer einzelne Anwendungen oder Aktionen mit erhöhten Rechten ausführen können, wenn dies erforderlich ist. Dafür müssen die Benutzer zu keiner Zeit zu lokalen Administratoren ernannt werden. Es wird lediglich der Installationsprozess mit erhöhten Rechten gestartet. Hierbei können automatische Rechteerweiterungsregeln definiert werden, die den Benutzern ermöglichen, diverse Aufgaben, ohne den Eingriff eines Admins, zu erfüllen. Alternativ können Administratoren auch eine Authentifizierungsanfrage oder eine schriftliche Begründung vom Benutzer verlangen, die dann erst vom Admin genehmigt werden, muss.
EPM unterstützt das Erhöhen der Rechte bei diesen Dateitypen:

• Ausführbare Dateien mit einer .exe Erweiterung
• Windows Installer-Dateien mit einer .msi Erweiterung
• PowerShell-Skripte mit der .ps1 Erweiterung

Um die Steuerung der Dateien möglichst präzise gestalten zu können, werden die folgenden Attribute unterstützt:

• Publisher
• File Hash
• File Path
• Arguments

App Deployment:
Über Intune lassen sich verschieden Applikationstypen für Windows, iOS/iPadOS, MacOS & Android bereitstellen. Allgemein verfügbare Applikationstypen sind Store Apps, Line-of-Business und Web Links (Web Application). Verfügbare Bereitstellungsoptionen sind „Available“, „Required“ und „Uninstall“.
Für Windows Geräte steht zusätzlich der Win32 App Typ zur Verfügung. Mit diesem Typ lassen sich Abhängigkeiten (Dependency) und ersetzende (Supersedence) Bereitstellungen zu anderen Win32 Apps abbilden. Store Apps bei Windows werden über Microsoft Store und WinGet (Windows Package Manager) abgebildet. Bei iOS/iPadOS lassen sich Applikationen über den Apple Business Manager (VPP) erwerben und mit Intune synchronisieren. Über Intune können die Applikationen anschließend bereitgestellt werden.
Wenn die Applikationen für iOS/iPadOS und Andorid bereitgestellt wurden, sollten diese auch konfiguriert (App Configuration) und Unternehmensdaten geschützt (App Protection) werden.
Auf jeden Fall müssen App Protection Policies verwendet werden, wenn auf Privaten Geräten Unternehmens Applikation verwendet werden dürfen (MAM). Nur so lassen sich Unternehmens Daten auf privaten Geräten schützen.

Intune Enterprise App Management:
Wenn eine Anwendung als Win32 app (Win32) über Intune bereitgestellt wird, muss diese vorab paketiert werden. Dies bedeutet, dass alle installationsrelevanten Dateien in eine Intunewin-Datei gepackt werden müssen. Über das Enterprise App Management von Intune stellt Microsoft die Intunewin-Dateien bereit und die Installationsdetails sind vordefiniert. Somit kann die Anwendung im besten Fall direkt den Benutzern oder den Geräten zugewiesen werden.
Microsoft stellt diese Anwendungen über den Enterprise App Catalog bereit. Beim Inhalt des App Catalogs sind wir komplett davon abhängig, was Microsoft hinzufügt.
Wenn eine Anwendung über den Enterprise App Catalog bereitgestellt und installiert wurde, kann der Monitoring Bereich verwendet werden, um Aktualisierungen vorzunehmen. Die Aktualisierungen erfolgen anschließend über die „Ersetzen“ (Superseding) Funktion der Win32 App. 

OS Updates/Upgrades:
Genauso wichtig wie die Konfiguration eines Geräts ist das Update Management. Es ist möglich, Zeitpläne für die Installationen von Funktionsupdates oder Kumulativ Updates auf den Windows Geräte zu erstellen. Mit dem neuen Windows Feature Update kann die Version eines Windows Geräte bestimmt werden. Auch die Hotpatch Funktionalität kann für Intune verwaltet Windows 11 Clients verwendet werden.
Mit Windows Autopacht lässt sich die Update Verwaltung an Microsoft abgebenden.
Wenn die iOS/iPadOS Geräte über das ADE enrolled wurden, können Updaterichtlinien verwendet werden.

Device Compliance:
Mit Device Compliance kann der Zustand eines Devices überwacht werden. Dafür werden Device Compliance Policies konfiguriert, die bspw. Firewall, Virenscanner, BitLocker, Versionsstand, etc. überprüfen. Bei Windows wird der Zustand des Devices überprüft und so entschieden, ob es „Compliant“ ist. Wenn die zur Verfügung stehenden Policies nicht ausreichend sind, kann eine Custom Compliance Policy erstellt werden.
Bei iOS/iPadOS wird der Zustand überprüft und, falls dieser abweichend ist, korrigiert. Das Ergebnis von Device Compliance kann als Bedingung für Entra Conditional Access verwendet werden, um den Zugriff auf Unternehmens Ressourcen einzuschränken.

Windows Autopilot Enrollment:
Die empfohlene Variante Geräte in Intune aufzunehmen ist Windows Autopilot. Dies kann im User-Driven oder Self-Deploying Modus durchgeführt werden. Nach dem Enrollment von Windows Geräten werden auch alle adressierten Applikationen und Konfigurationen auf dem Gerät bereitgestellt, sodass die Windows Geräte für den Endbenutzer einsatzbereit und konfiguriert sind.
Es ist auch möglich über Windows Autopilot den Hybrid Entra ID Join durchzuführen. Die Voraussetzung hierfür ist ein Intune Connector für Active Directory, der im On-Premises AD eingerichtet werden muss. Im Home-Office kann dies mithilfe eines VPN Device Tunnel realisiert werden.
Es kann Windows Autopilot for pre-provisioned (früher White Glove) verwendet werden, um Windows Geräte für den Windows Autopilot vorzubereiten.
Mit Windows Autopilot device preparation hat Microsoft eine neue Methode eingeführt Windows Geräte auszurollen. Diese Methode erleichtert und beschleunigt die Bereitstellung von Windows 11 Clients. Es können aber nur Entra Only Geräte bereitgestellt werden.  

Intune Remote Help
Mit Intune Remote Help hat Microsoft eine cloudbasierte Supportlösung integriert, die es dem Help Desk Team ermöglicht, sich direkt über das Portal auf die Geräte der Endbenutzer zu verbinden, um Echtzeitunterstützung leisten zu können. Diese Funktionalität erfordert sowohl vom Helfer als auch vom Endbenutzer eine Anmeldung bei Microsoft Entra. Somit kann Remote Help nur innerhalb eines Tenants genutzt werden. Zusätzlich können RBAC-Regeln definiert werden, um den Umfang des Zugriffs der IT-Supportmitarbeiter festzulegen.

Intune Analytics:
Um Audit Informationen von Intune zentral zu sammeln, um diese auszuwerten, kann ein Log Analytic Workspace (LAW) verwendet werden.
Es ist auch möglich die Intune Geräte durch die Verbindung mit Azure Monitor zu überwachen. Die gelieferten Events werden im Log Analytics Workspace (LAW) gesammelt und ausgewertet, z. B. um einen Work Flow zu triggern. Für Azure Monitor bzw. Log Analytics wird eine Azure Subscription benötigt. Durch den LAW kann auch die Windows Update for Business report Funktionalität verwendet werden.
Durch Intune Advanced Analytics können Probleme von Endgeräten rechtzeitig erkannt werden. Es werden Daten vom Arbeitsspeicher, der CPU, dem Akkuzustand und von Anwendungen analysiert. Wenn Probleme aufgetreten sind, können diese über eine Zeitachse nachvollzogen werden.
Mit der Funktion Intune Advanced Analytics wurde auch Device Query integriert. Dadurch können selbständig Informationen von einem oder mehreren Geräten mit Hilfe der Kusto Query Language (KQL) abgefragt werden.  Es handelt sich hierbei um eine Hardwareinventarisierung der Intune Geräte. 

Microsoft has released Security Updates (SUs) for vulnerabilities found in:

• Exchange Server Subscription Edition (SE)
• Exchange Server 2019
• Exchange Server 2016

SUs are available for the following specific versions of Exchange Server:

• Exchange SE RTM
• Exchange Server 2019 CU14 and CU15 (to access, organization must be enrolled into the Period 2 ESU program)
• Exchange Server 2016 CU23 (to access, organization must be enrolled into the Period 2 ESU program)

The August 2026 SUs address vulnerabilities responsibly reported to Microsoft by security partners and found through Microsoft’s internal processes.

These vulnerabilities affect Exchange Server. Exchange Online customers are already protected from the vulnerabilities addressed by these SUs and do not need to take any action other than updating any Exchange servers or Exchange Management tools workstations in their environment.

More details about specific CVEs can be found in the Security Update Guide (filter on ‘Server Software’ under Product Family for Exchange SE and ‘ESU’ under Product Family for Exchange 2016 and 2019).

OWA Light is disabled starting with this update

As we announced several weeks ago, this update (and any subsequent updates) permanently disables the OWA Light client when update is installed on an Exchange server. See related CVE-2026-62914 for more information.

Customers who are not able to install August 2026 (or later) update should disable OWA Light on their servers to address this particular CVE.

Exchange 2016 and 2019 updates are available only under the Period 2 ESU program

Exchange Server 2016 and 2019 are out of support. Only customers who enrolled in the Period 2 Extended Security Update (ESU) program are eligible to receive Exchange Server 2016 and 2019 security updates released between May and October 2026.

If you are not part of the Period 2 ESU program, migrate to Exchange Server Subscription Edition (SE) to keep receiving the latest security updates.

If you have already purchased the Period 2 ESU and need information on accessing the latest Security Updates, please contact us by sending an email to ExchangeandSfBServerESUInquiry@service.microsoft.com.

Known issues with this release

• Wrapper messages appear in shared mailbox inbox in hybrid environments | Microsoft Support – to be addressed in an upcoming update.

Update installation

The following update paths are available:

• Inventory your Exchange Servers to determine which updates are needed using the Exchange Server Health Checker script. Running this script will tell you if any of your Exchange Servers are behind on updates (CUs, SUs, or manual actions).
• Install the latest CU. Use the Exchange Update Wizard to choose your current CU and your target CU to get directions.
• Re-run the Health Checker after you install an update to see if any further actions are needed.
• After setup is completed, please reboot the server and check that all Exchange services have started properly. If some services are in a disabled state, that indicates that something interrupted installation of the update. Please see the Workaround 1 in this article.
• If you encounter errors during or after installation of Exchange Server, run the SetupAssist script. If something does not work properly after updates, see Repair failed installations of Exchange Cumulative and Security updates. Also please see File version error when you try to install Exchange Server updates.

FAQs

Our organization is in Hybrid mode with Exchange Online. Do we need to do anything?
Exchange Online is already protected, but this SU needs to be installed on your Exchange servers, even if they are used only for management purposes. If you change the auth certificate after installing an SU, you should re-run the Hybrid Configuration Wizard.

The last SU/HU we installed is a few months old. Do we need to install all SUs in order to install the latest one?
SUs are cumulative. If you are running a CU supported by the SU, you do not need to install all SUs or HUs in sequential order; simply install the latest SU. Please see this blog post for more information.

Do we need to install SUs on all Exchange Servers within our organization? What about ‘Management Tools only’ machines?
Our recommendation is to install SUs on all Exchange Servers and all servers and workstations running the Exchange Management Tools to ensure compatibility between management tools clients and servers. If you are trying to update the Exchange Management Tools in the environment with no running Exchange servers, please see this.

Our organization does not have the Exchange 2016 and 2019 Period 2 ESU. How can we get current Exchange 2016 or 2019 updates?
Since Exchange 2016 and 2019 are now out of support, only customers who have enrolled into the Period 2 ESU program (which is valid between May and October 2026) can obtain Exchange 2016 or 2019 updates released after May 2026. For all other customers still running Exchange 2016 or 2019, we recommend that you upgrade your organization to Exchange SE as soon as possible.

Documentation may not be fully available at the time this post is published.

This post might receive future updates; they will be listed here (if available).

Kursaufbau

Der ASAI-Kurs besteht aus 6 Blöcken (Schwerpunkte):

Block 1

• Grundlage: Passwort NTLM-Hash, Cracken von LSA Cache, Schützen von LSA Cache durch Credential Guard.
• Grundlage Kerberos, Master Keys, Session Keys, TGT (Ticket Granting Ticket), TGS (Ticket Granting Service Ticket), SPN (Service Principal Name), Token Size.
• PAC-Validation der Signaturen (Krtbtgt, Server).
• Angriffsvektoren wie Golden Ticket & Silver Ticket, Offline Cracken von Ntds.dit, Skeleton Key etc. und die Gegenmaßnahmen.

Block 2

• PAW (Privileged Access Workstation) – Installation und Konfiguration
• Clean Source durch Hash-Vergleich
• SCM Baseline Security, Firewall-Konfiguration.
• Credential Guard, Restricted Admin, BitLocker, Smart Card.
• LAPS (Local Administrator Password Solution).
• Verschlüsselte Kommunikation via IPsec von PAW aus.

Block 3

• Szenario 1 – Arbeiten mit SCAMA (ohne Bastion Forest)
• Aufbau der ESAE OU-Struktur für die 3x Tiers und PAW.
• Identifizieren der privilegierten Gruppen, Delegation
• Entleeren der Built-In Admin-Gruppen z. B. „Domain Admins“ und durch stellvertretende Gruppen z. B. T0-DomAdmins ersetzen.
• Einrichten von SCAMA mit Issuance Policy für die privilegierte Tier-Gruppe
• Zuordnung Issuance Policy und Admin-Gruppe
• SCAMA Zertifikat anfordern. Dynamische Gruppenmitgliedschaft (Windows Access Token).
• Administration verschiedener Szenarien von PAW aus, z. B. Schemaerweiterung, Replikation DCs, Zugriff auf DCs etc.
• Arbeiten mit Exchange „Shared Permissions“, „RBAC Split Permissions“ und „AD Split Permissions“ Models.

Block 4

• Szenario 3 – Bastion Forest (mit SCAMA, jedoch ohne MIM)
• Anlegen der Universal Gruppen für Admninistratoren des jeweiligen Produktionsforests im Bastion Forest
• Einrichten von SCAMA für diese Gruppen
• Zuordnen der Gruppen mit den msDS-ShadowPrincipals
• Verwaltung des Produktionsforests nach Anmeldung via SCAMA an einer PAW

Block 5

• RBAC-basiertes SCOM und SCCM für den SCAMA Einsatz Konfigurieren

Block 6

• Security Auditing und Monitoring z. B. PSExec-Nutzung durch SCOM, PowerShell, XPATH-Filter