Ein Penetrationstest hat gezeigt, dass Domänenadministratorkonten anfällig für Pass-the-Hash-Angriffe waren. Welche der folgenden Strategien wäre die beste gewesen, um zu verhindern, dass der Bedrohungsakteur Domänenadministratorkonten verwendet?

Eine Lösung für privilegiertes Zugriffsmanagement (PAM) ist die beste Strategie, da sie speziell darauf ausgelegt ist, die Verwendung privilegierter Konten zu kontrollieren, zu überwachen und zu sichern. PAM-Systeme können Techniken wie Just-in-Time-Zugriff, Sitzungsaufzeichnung und die Rotation von Passwörtern verwenden, um Pass-the-Hash-Angriffe zu verhindern, indem sie die Verfügbarkeit von Hashes im Speicher minimieren und den direkten Zugriff auf privilegierte Anmeldeinformationen einschränken. Das wöchentliche Prüfen von Passwörtern auf Konformität verbessert die Passwortstärke, verhindert aber nicht direkt Pass-the-Hash, da der Hash auch bei einem komplexen Passwort gestohlen werden kann. IDS-Richtlinien zur Überwachung des Domänencontroller-Zugriffs sind reaktiv; sie erkennen Angriffe, verhindern sie aber nicht proaktiv. Das Erzwingen des Ablaufs von Passwörtern durch Gruppenrichtlinien ist eine grundlegende Sicherheitspraxis, aber ein abgelaufenes Passwort kann immer noch für Pass-the-Hash-Angriffe verwendet werden, wenn der Hash gültig ist.