Assessor_2.0/reports/management-dummy-2026-09-29...

171 lines
21 KiB
HTML

<!doctype html>
<html lang="de">
<head>
<meta charset="utf-8">
<meta name="viewport" content="width=device-width, initial-scale=1">
<title>Management Report · Dummy</title>
<style>
@font-face{font-family:"Inter";src:url("assets/inter-latin.woff2") format("woff2");font-weight:100 900;font-style:normal}
:root{
--surface-app:#F1F1F4;--paper:#FFFFFF;--tile-surface:#F5F5F7;--tile-border:#DCDDE3;--tile-divider:#E2E2E8;
--text-primary:#17171C;--text-secondary:#55555F;--text-muted:#74747F;--marking-color:#E9A63C;
--outcome-fail:#C60F3E;--outcome-pass:#187447;--neutral:#B9BEC7;--donut-track:#B9BEC7;--donut-value:#1C70C9;
--panel-inset:20px;--marker-width:3px;
}
@media (prefers-color-scheme:dark){:root{
--surface-app:#242426;--paper:#2A2A2E;--tile-surface:#323238;--tile-border:transparent;--tile-divider:rgba(255,255,255,.14);
--text-primary:#E2DFE6;--text-secondary:#B7BAC0;--text-muted:#9A9DA4;
--outcome-fail:#F2607F;--outcome-pass:#63D69A;--neutral:#555B65;--donut-track:#555B65;--donut-value:#348CF2;}}
*{box-sizing:border-box}
html,body{background:var(--surface-app)}
body{margin:0;font-family:"Inter",system-ui,"Segoe UI",sans-serif;font-size:16px;line-height:1.55;color:var(--text-primary)}
.doc{max-width:960px;margin:32px auto;background:var(--paper);padding:48px 56px}
h1{font-size:32px;font-weight:600;line-height:1.2;margin:0 0 4px}
h2{font-size:24px;font-weight:600;margin:0 0 16px}
h3{font-size:18px;font-weight:600;margin:0}
p{margin:0 0 12px}
section{margin-top:48px}
.brand{display:flex;align-items:center;gap:12px;font-size:12px;font-weight:700;letter-spacing:.08em;text-transform:uppercase;color:var(--text-secondary)}
.brand img{width:28px;height:28px} .brand .sep{flex:1}
.badge{font-size:11px;font-weight:600;letter-spacing:.06em;text-transform:uppercase;padding:2px 8px;border:1px solid var(--tile-border);background:var(--tile-surface)}
.badge--draft{border-color:var(--marking-color)}
.titleblock{margin:36px 0 24px} .titleblock p{font-size:18px;color:var(--text-secondary);margin:0}
.facts{display:grid;grid-template-columns:repeat(3,minmax(0,1fr));border:1px solid var(--tile-border);background:var(--tile-surface);margin:0}
.facts div{padding:12px 16px;border-right:1px solid var(--tile-divider);border-bottom:1px solid var(--tile-divider)}
.facts div:nth-child(3n){border-right:0} .facts div:nth-last-child(-n+3){border-bottom:0}
.facts dt{font-size:14px;color:var(--text-secondary)} .facts dd{margin:2px 0 0}
.kpis{display:grid;grid-template-columns:auto repeat(3,minmax(0,1fr));gap:16px;margin:0 0 24px}
.kpi{background:var(--tile-surface);border:1px solid var(--tile-border);padding:var(--panel-inset);display:flex;flex-direction:column;justify-content:center}
.kpi .v{font-size:32px;font-weight:600;line-height:1.1;font-variant-numeric:tabular-nums}
.kpi .l{font-size:14px;color:var(--text-secondary);margin-top:6px}
.donut{position:relative;width:132px;height:132px;margin:0}
.donut svg{width:100%;height:100%;display:block}
.donut circle{fill:none;stroke-width:12px;stroke-linecap:butt}
.donut .track{stroke:var(--donut-track)} .donut .value{stroke:var(--donut-value)}
.donut figcaption{position:absolute;inset:0;display:flex;flex-direction:column;align-items:center;justify-content:center}
.donut .num{font-size:28px;font-weight:600;line-height:1} .donut .num span{font-size:14px;font-weight:400;color:var(--text-secondary)}
.donut .cap{font-size:12px;color:var(--text-secondary);margin-top:4px}
.chart{margin:0 0 20px;background:var(--tile-surface);border:1px solid var(--tile-border);padding:var(--panel-inset)}
.chart svg{width:100%;height:auto;display:block}
.chart figcaption{font-size:14px;color:var(--text-secondary);margin-top:14px}
.chart figcaption b{color:var(--text-primary);font-weight:600}
svg text{font-family:inherit;fill:var(--text-primary);font-size:14px;white-space:pre}
svg .ax{font-size:12px;fill:var(--text-secondary)} svg .val{fill:var(--text-secondary)} svg .strong{fill:var(--text-primary);font-weight:600}
svg .grid{stroke:var(--paper);stroke-width:1.5}
svg .pass{fill:var(--outcome-pass)} svg .fail{fill:var(--outcome-fail)} svg .na{fill:var(--neutral)}
.focus{list-style:none;padding:0;margin:0}
.focus li{padding:4px 0 4px 14px;border-left:var(--marker-width) solid var(--tile-border);margin:0 0 6px}
.finding{border:1px solid var(--tile-border);background:var(--tile-surface);padding:var(--panel-inset);margin:0 0 16px;break-inside:avoid}
.finding header{display:flex;justify-content:space-between;align-items:baseline;gap:16px;margin-bottom:12px}
.finding .domain{font-size:12px;color:var(--text-secondary);text-align:right}
.block{padding-left:14px;border-left:var(--marker-width) solid var(--tile-border);margin:0 0 12px}
.block:last-child{margin-bottom:0} .block p:last-child{margin:0}
.block--fact{border-left-color:var(--outcome-fail)}
.label{font-size:14px;font-weight:600;color:var(--text-secondary);margin:0 0 2px}
table{width:100%;border-collapse:collapse;font-size:14px}
td{padding:10px;border-bottom:1px solid var(--tile-divider);vertical-align:top}
td b{font-weight:600}
footer{margin-top:48px;padding-top:12px;border-top:1px solid var(--tile-divider);font-size:12px;color:var(--text-muted);display:flex;justify-content:space-between;gap:16px}
@media (max-width:760px){
.doc{margin:0;padding:24px 16px}
.facts{grid-template-columns:1fr 1fr} .facts div{border-right:1px solid var(--tile-divider)!important;border-bottom:1px solid var(--tile-divider)!important}
.kpis{grid-template-columns:1fr 1fr}
.finding header{flex-direction:column;gap:4px} .finding .domain{text-align:left}
}
@page{size:A4;margin:18mm 16mm}
@media print{html,body{background:#fff} .doc{margin:0;padding:0;max-width:none} section.pb{break-before:page} h2,h3{break-after:avoid} .chart,.kpi{break-inside:avoid}}
</style>
</head>
<body>
<main class="doc">
<div class="brand"><img src="assets/assessor-icon-light-128.png" alt=""><span>ASSESSOR · Management Report</span><span class="sep"></span><span class="badge badge--draft">Entwurf</span><span class="badge">Vertraulich</span></div>
<div class="titleblock"><h1>Security Assessment Dummy</h1><p>Active Directory, Entra ID und Gruppenrichtlinien</p></div>
<dl class="facts">
<div><dt>Auftraggeber</dt><dd>Dummy</dd></div>
<div><dt>Domäne</dt><dd>sevenkingdoms.local</dd></div>
<div><dt>Domain Controller</dt><dd>1</dd></div>
<div><dt>Erhebungszeitraum</dt><dd>—</dd></div>
<div><dt>Berichtsdatum</dt><dd>29.09.2026</dd></div>
<div><dt>Version</dt><dd>Entwurf 0.3</dd></div>
</dl>
<section>
<h2>1 Zusammenfassung</h2>
<div class="kpis">
<div class="kpi" style="align-items:center"><figure class="donut" aria-label="Gesamtbewertung 37 von 100">
<svg viewBox="0 0 128 128" aria-hidden="true"><circle class="track" cx="64" cy="64" r="52"/><circle class="value" cx="64" cy="64" r="52" stroke-dasharray="120.89 326.73" transform="rotate(-90 64 64)"/></svg>
<figcaption><span class="num">37<span>/100</span></span></figcaption></figure><span class="l">Gesamtbewertung</span></div>
<div class="kpi"><span class="v">998</span><span class="l">auswertbare Prüfungen</span></div>
<div class="kpi"><span class="v">579</span><span class="l">Abweichungen (58 %)</span></div>
<div class="kpi"><span class="v">7 von 8</span><span class="l">Security Domains mit Pass Rate unter 50 %</span></div>
</div>
<p>Die Gesamtbewertung der Umgebung beträgt 37 von 100 Punkten. Von 998 auswertbaren Prüfungen weichen 579 von der jeweiligen Vorgabe ab. Die Abweichungen konzentrieren sich auf folgende Bereiche:</p>
<ul class="focus">
<li>Privilegierte Konten und Berechtigungen</li>
<li>Zertifikatsdienste</li>
<li>Veraltete Authentisierungsverfahren</li>
<li>Anmeldeschutz der Cloud-Identitäten</li>
<li>Härtung des Domain Controllers</li>
<li>Verfügbarkeit, Sicherung und Protokollierung</li>
</ul>
<p style="margin-top:16px">In den Bereichen privilegierte Konten und Zertifikatsdienste bestehen Konfigurationen, über die administrative Rechte in der Domäne erlangt werden können. Für einen Teil der festgestellten Berechtigungsänderungen ist offen, ob sie autorisiert sind.</p>
</section>
<section class="pb">
<h2>2 Gesamtbewertung</h2>
<figure class="chart"><svg viewBox="0 0 800 56" role="img" aria-labelledby="f1t"><title id="f1t">Ergebnis der auswertbaren Prüfungen</title><rect class="pass" x="0.0" y="0" width="335.9" height="18"/><rect class="fail" x="335.9" y="0" width="464.1" height="18"/><rect class="pass" x="0" y="37" width="12" height="12"/><text class="val" x="18" y="48"><tspan class="strong">419</tspan> Bestanden (42 %)</text><rect class="fail" x="300" y="37" width="12" height="12"/><text class="val" x="318" y="48"><tspan class="strong">579</tspan> Abweichung (58 %)</text></svg>
<figcaption><b>Abbildung 1</b> · Ergebnis der 998 auswertbaren Prüfungen. 175 weitere Prüfungen wurden nicht ausgeführt, waren nicht anwendbar oder fehlerhaft und gehen nicht in die Bewertung ein.</figcaption></figure>
<figure class="chart"><svg viewBox="0 0 800 358" role="img" aria-labelledby="f2t"><title id="f2t">Pass Rate je Security Domain</title><text class="ax" x="250" y="14">0 %</text><text class="ax" x="450.0" y="14" text-anchor="middle">50 %</text><text class="ax" x="650" y="14" text-anchor="end">100 %</text><text class="lbl" x="0" y="43">Identity &amp; Account Hygiene</text><rect class="pass" x="250" y="32" width="192.0" height="14"/><rect class="fail" x="442.0" y="32" width="208.0" height="14"/><text class="val" x="664" y="43"><tspan class="strong">48 %</tspan> · 221 von 425</text><text class="lbl" x="0" y="77">Privilege &amp; Attack Paths</text><rect class="pass" x="250" y="66" width="240.0" height="14"/><rect class="fail" x="490.0" y="66" width="160.0" height="14"/><text class="val" x="664" y="77"><tspan class="strong">60 %</tspan> · 10 von 25</text><text class="lbl" x="0" y="111">Authentication &amp; Access</text><rect class="pass" x="250" y="100" width="104.8" height="14"/><rect class="fail" x="354.8" y="100" width="295.2" height="14"/><text class="val" x="664" y="111"><tspan class="strong">26 %</tspan> · 31 von 42</text><text class="lbl" x="0" y="145">AD Infrastructure &amp; PKI</text><rect class="pass" x="250" y="134" width="137.5" height="14"/><rect class="fail" x="387.5" y="134" width="262.5" height="14"/><text class="val" x="664" y="145"><tspan class="strong">34 %</tspan> · 21 von 32</text><text class="lbl" x="0" y="179">System Hardening</text><rect class="pass" x="250" y="168" width="12.7" height="14"/><rect class="fail" x="262.7" y="168" width="387.3" height="14"/><text class="val" x="664" y="179"><tspan class="strong">3 %</tspan> · 61 von 63</text><text class="lbl" x="0" y="213">GPO &amp; Baseline</text><rect class="pass" x="250" y="202" width="173.0" height="14"/><rect class="fail" x="423.0" y="202" width="227.0" height="14"/><text class="val" x="664" y="213"><tspan class="strong">43 %</tspan> · 223 von 393</text><text class="lbl" x="0" y="247">Cloud &amp; Applications</text><rect class="pass" x="250" y="236" width="44.4" height="14"/><rect class="fail" x="294.4" y="236" width="355.6" height="14"/><text class="val" x="664" y="247"><tspan class="strong">11 %</tspan> · 8 von 9</text><text class="lbl" x="0" y="281">Monitoring &amp; Recovery</text><rect class="pass" x="250" y="270" width="80.0" height="14"/><rect class="fail" x="330.0" y="270" width="320.0" height="14"/><text class="val" x="664" y="281"><tspan class="strong">20 %</tspan> · 4 von 5</text><text class="lbl" x="0" y="315">Nicht zugeordnet</text><rect class="pass" x="250" y="304" width="400.0" height="14"/><text class="val" x="664" y="315"><tspan class="strong">100 %</tspan> · 0 von 4</text><line class="grid" x1="450.0" y1="24" x2="450.0" y2="328"/><rect class="pass" x="250" y="341" width="12" height="12"/><text class="val" x="268" y="352">Bestanden</text><rect class="fail" x="370" y="341" width="12" height="12"/><text class="val" x="388" y="352">Abweichung</text></svg>
<figcaption><b>Abbildung 2</b> · Pass Rate je Security Domain; Anzahl der Abweichungen von den auswertbaren Prüfungen.</figcaption></figure>
<figure class="chart"><svg viewBox="0 0 800 272" role="img" aria-labelledby="f3t"><title id="f3t">Abweichungen je Security Domain</title><text class="lbl" x="0" y="15">Identity &amp; Account Hygiene</text><rect class="fail" x="250" y="4" width="396.4" height="14"/><text class="val strong" x="656.4" y="15">221</text><text class="lbl" x="0" y="49">Privilege &amp; Attack Paths</text><rect class="fail" x="250" y="38" width="17.9" height="14"/><text class="val strong" x="277.9" y="49">10</text><text class="lbl" x="0" y="83">Authentication &amp; Access</text><rect class="fail" x="250" y="72" width="55.6" height="14"/><text class="val strong" x="315.6" y="83">31</text><text class="lbl" x="0" y="117">AD Infrastructure &amp; PKI</text><rect class="fail" x="250" y="106" width="37.7" height="14"/><text class="val strong" x="297.7" y="117">21</text><text class="lbl" x="0" y="151">System Hardening</text><rect class="fail" x="250" y="140" width="109.4" height="14"/><text class="val strong" x="369.4" y="151">61</text><text class="lbl" x="0" y="185">GPO &amp; Baseline</text><rect class="fail" x="250" y="174" width="400.0" height="14"/><text class="val strong" x="660.0" y="185">223</text><text class="lbl" x="0" y="219">Cloud &amp; Applications</text><rect class="fail" x="250" y="208" width="14.3" height="14"/><text class="val strong" x="274.3" y="219">8</text><text class="lbl" x="0" y="253">Monitoring &amp; Recovery</text><rect class="fail" x="250" y="242" width="7.2" height="14"/><text class="val strong" x="267.2" y="253">4</text></svg>
<figcaption><b>Abbildung 3</b> · Anzahl der Abweichungen je Security Domain.</figcaption></figure>
</section>
<section class="pb">
<h2>3 Wesentliche Feststellungen</h2>
<article class="finding"><header><h3>3.1 Privilegierte Konten und Berechtigungen</h3><span class="domain">Privilege &amp; Attack Paths · Identity &amp; Account Hygiene</span></header>
<div class="block block--fact"><p class="label">Sachverhalt</p><p>Die Berechtigungen des AdminSDHolder-Objekts, das die Zugriffsrechte aller administrativen Konten vorgibt, wurden verändert. Auf dem Domain Controller und dem Kerberos-Dienstkonto krbtgt bestehen Schreibrechte für ressourcenbasierte Delegation; an privilegierten Objekten sind zusätzliche Anmeldeschlüssel (Shadow Credentials) hinterlegt. Vier administrative Konten sind nicht gegen Delegation geschützt, drei Mitglieder der Gruppe Domain Admins besitzen Kennwörter ohne Ablaufdatum. Das integrierte Administratorkonto wird aktiv verwendet; für ein Konto wurden auffällige administrative Aktivitäten erfasst.</p></div>
<div class="block"><p class="label">Einordnung</p><p>Diese Konstellation erlaubt es, ausgehend von nicht privilegierten Konten administrative Rechte in der Domäne zu erlangen. Ob die veränderten Berechtigungen und die erfassten Aktivitäten autorisiert sind, lässt sich aus den erhobenen Daten nicht bestimmen.</p></div></article>
<article class="finding"><header><h3>3.2 Zertifikatsdienste</h3><span class="domain">AD Infrastructure &amp; PKI · Authentication &amp; Access</span></header>
<div class="block block--fact"><p class="label">Sachverhalt</p><p>Mehrere Zertifikatsvorlagen erlauben dem Antragsteller, die im Zertifikat bestätigte Identität selbst anzugeben. Eine Vorlage weist mindestens drei unsichere Einstellungen auf. Die Web-Registrierung der Zertifizierungsstelle ist nicht gegen die Weiterleitung von Anmeldungen (NTLM Relay) geschützt.</p></div>
<div class="block"><p class="label">Einordnung</p><p>Über diese Konfiguration können Zertifikate für fremde Identitäten, einschließlich administrativer Konten, ausgestellt und zur Anmeldung genutzt werden.</p></div></article>
<article class="finding"><header><h3>3.3 Authentisierungsverfahren</h3><span class="domain">Authentication &amp; Access</span></header>
<div class="block block--fact"><p class="label">Sachverhalt</p><p>Die Domain Controller akzeptieren NTLMv1 und LM, unterstützen für Kerberos die Verschlüsselungsverfahren RC4 und DES und bieten TLS 1.0 und 1.1 an. Die Namensauflösung per LLMNR ist nicht deaktiviert.</p></div>
<div class="block"><p class="label">Einordnung</p><p>Die Verfahren gelten als veraltet und weisen bekannte Schwächen auf. Sie erleichtern das Abgreifen und Entschlüsseln von Anmeldedaten im internen Netz.</p></div></article>
<article class="finding"><header><h3>3.4 Cloud-Identitäten</h3><span class="domain">Identity &amp; Account Hygiene · Cloud &amp; Applications</span></header>
<div class="block block--fact"><p class="label">Sachverhalt</p><p>In Entra ID ist phishing-resistente Mehrfaktor-Authentisierung nicht durchgesetzt, und nicht alle Benutzer sind für Mehrfaktor-Authentisierung registriert. Risikobasierte Anmelderichtlinien bestehen nicht; Anmeldungen mit hohem Risiko werden nicht blockiert. Administrative Rollen sind teilweise synchronisierten Konten zugewiesen, ein externer Benutzer hält eine dauerhafte privilegierte Rolle, und die Zahl der globalen Administratoren liegt außerhalb des empfohlenen Bereichs.</p></div>
<div class="block"><p class="label">Einordnung</p><p>Der Anmeldeschutz stützt sich überwiegend auf Kennwörter. Über synchronisierte administrative Konten wirkt eine Kompromittierung des lokalen Verzeichnisses auf den Cloud-Tenant fort.</p></div></article>
<article class="finding"><header><h3>3.5 Härtung des Domain Controllers</h3><span class="domain">System Hardening · AD Infrastructure &amp; PKI</span></header>
<div class="block block--fact"><p class="label">Sachverhalt</p><p>Auf dem Domain Controller ist die Druckwarteschlange aktiv und aus dem Netz erreichbar. Die Windows-Firewall ist nicht wie vorgesehen aktiviert und protokolliert nicht. Eine Verwaltung lokaler Administratorkennwörter (LAPS) wurde nicht festgestellt. Einstellungen der Benutzerkontensteuerung weichen von der Vorgabe ab. Von 63 Prüfungen zur Systemhärtung weichen 61 ab.</p></div>
<div class="block"><p class="label">Einordnung</p><p>Die Angriffsfläche des zentralen Systems der Umgebung ist größer als erforderlich.</p></div></article>
<article class="finding"><header><h3>3.6 Verfügbarkeit, Sicherung und Protokollierung</h3><span class="domain">Monitoring &amp; Recovery · AD Infrastructure &amp; PKI</span></header>
<div class="block block--fact"><p class="label">Sachverhalt</p><p>Die Domäne wird von einem einzelnen Domain Controller getragen. Die letzte erfasste Sicherung des Verzeichnisses datiert vom 27.05.2026 und liegt am Berichtsdatum 125 Tage zurück. Die Überwachungsrichtlinie der Domain Controller erfasst zentrale Ereignisse nicht; die PowerShell-Protokollierung ist unvollständig.</p></div>
<div class="block"><p class="label">Einordnung</p><p>Für Anmeldung und Namensauflösung besteht kein Ausfallschutz. Wiederherstellbarkeit und Nachvollziehbarkeit sicherheitsrelevanter Vorgänge sind eingeschränkt.</p></div></article>
<article class="finding"><header><h3>3.7 Gruppenrichtlinien</h3><span class="domain">GPO &amp; Baseline</span></header>
<div class="block block--fact"><p class="label">Sachverhalt</p><p>In den zwei analysierten GPO-Backups weichen 25 Policy Settings (100 Vergleiche) von der Microsoft Security Baseline ab; 100 Vergleiche stimmen überein. Betroffen sind unter anderem Kennwortrichtlinie und Benutzerrechte. Vier Einstellungen sind mehrfach konfiguriert (Duplicates); widersprüchliche Konfigurationen (Conflicts) bestehen nicht.</p></div>
<div class="block"><p class="label">Einordnung</p><p>Die Abweichungen betreffen dieselben Schutzziele wie 3.1 und 3.5. Die Aussage beschränkt sich auf die konfigurierten Einstellungen der analysierten Backups.</p></div></article>
</section>
<section class="pb">
<h2>4 Bewertungsgrundlage und Aussagebereich</h2>
<table>
<tbody>
<tr><td style="width:30%"><b>Gegenstand</b></td><td>Active Directory der Domäne sevenkingdoms.local, Konfiguration des Domain Controllers, Entra-ID-Tenant sowie zwei GPO-Backups im Abgleich mit der Microsoft Security Baseline.</td></tr>
<tr><td><b>Erhebung</b></td><td>Automatisierte Prüfung aus fünf Datenquellen mit insgesamt 4.757 Einzelergebnissen, davon 998 auswertbar. Maßgeblich ist der jeweilige Erhebungszeitpunkt.</td></tr>
<tr><td><b>Gesamtbewertung</b></td><td>Mixed-Method-Index auf einer Skala von 0 bis 100. Je Datenquelle geht deren eigener Gesamtwert ein, andernfalls die Pass Rate der auswertbaren Prüfungen. Die Werte der Security Domains sind Pass Rates und keine Zerlegung dieses Index.</td></tr>
<tr><td><b>Gruppenrichtlinien</b></td><td>Bewertet wird die Konformität der konfigurierten, vergleichbaren Einstellungen im Scope. Die Bewertung bezieht sich ausschließlich auf die analysierten GPO-Backups, nicht auf die gesamte Domäne oder den wirksamen Zustand der Systeme. 1.305 Vergleiche erfordern eine fachliche Prüfung und sind nicht in der Bewertung enthalten; 3.516 nicht konfigurierte Baseline-Empfehlungen sind bewertungsneutral.</td></tr>
<tr><td><b>Cloud-Identitäten</b></td><td>147 von 318 vorgesehenen Prüfungen waren auswertbar; 169 wurden nicht ausgeführt.</td></tr>
<tr><td><b>Nicht Gegenstand</b></td><td>Geschäftsprozesse, Schutzbedarf der Daten, organisatorische Regelungen und bestehende kompensierende Maßnahmen.</td></tr>
<tr><td><b>Risikoentscheidungen</b></td><td>Eine Abweichung ist als Accepted Risk dokumentiert.</td></tr>
</tbody>
</table>
</section>
<footer><span>ASSESSOR · Management Report · Dummy · Entwurf 0.3 · 29.09.2026</span><span>Vertraulich</span></footer>
</main>
</body>
</html>