Správa serveru Windows
Active Directory: Adresář Každé přihlášení do systému Windows závisí na
Active Directory je páteří identity systémů Windows: řadiče domény, ověřování Kerberos, zásady skupiny a DNS jako jedna služba. Téměř každá konverzace týkající se zabezpečení Windows se k němu vrací, protože kdokoli ovládá adresář, ovládá majetek a útočníci to vědí. Tento vyhrazený článek popisuje, co AD vlastně je, jaké jsou jeho administrační disciplíny a kde se překrývá jeho cloudový nástupce (Entra ID).
Klíčové body
- Mentální model: řadiče domény ukládají a replikují adresář, Kerberos vydává krátkodobé lístky pro autentizaci a skupinová politika předává nastavení počítačům a uživatelům; zacházejte se změnami schématu opatrně, protože schéma adresáře je obtížné vrátit zpět.
- Zásady skupiny jsou nástrojem pro flotilové ovladače: mapování disků, základní úrovně zabezpečení (hesla místního správce spravovaná LAPS, ochrana pověření), nasazení softwaru a uzamčení spořičů obrazovky; Priorita GPO je deterministická, ale komplexní, takže dokumentace a postupné propojení GPO šetří mnohem více času, než kolik stojí.
- O přežití majetku rozhoduje pozice zabezpečení: privilegované vrstvení (samostatné účty správců, které se nikdy nedotýkají e-mailu nebo webu), časově omezené zvýšené skupiny a blokování starších protokolů (NTLM, kde je to možné, SMBv1 absolutně) odstraňují cesty eskalace privilegií, které jsou veřejně využívány po deset let.
- DNS je součástí výhodné nabídky a je to služba na ochranu: zón integrovaných do AD, disciplíny TTL a hygieny duplicitních jmen; nefunkční AD DNS vytváří příznaky, které všude jinde vypadají jako selhání aplikace.
- Hybridní realita: Entra ID (cloud) a AD se společně synchronizují prostřednictvím Entra Connect; synchronizace hash hesel vs. průchozí ověření, zásady podmíněného přístupu na straně cloudu a stavy zařízení hybridního připojení; staré a nové mechanismy potřebují explicitní bezpečnostní model, nikoli výchozí důvěru všude.
- Operační disciplína: Synchronizace času DC je vlastnost správnosti (Kerberos se přeruší se zkreslením > 5 min), zdokumentovány role FSMO, zálohy testované na obnovení (autoritativní obnovení se liší) a monitorování selhání replikace a podezřelých ID událostí, s kolekcí protokolů událostí a háky SIEM třídy Sentinel nebo Wazuh uzavírající smyčku.
Poznámka z terénu
Incident AD, který utvářel naši praxi: jeden účet správce, který denně kontroloval e-maily, phishing a jediným kliknutím dal útočníkům správce domény. Následné vrstvení administrátorských účtů a Windows LAPS zabralo měsíc trpělivé práce; od té doby se zachránilo dvakrát se ospravedlnit pokusy o boční pohyby, které nikam nevedly.
Časté dotazy
Je AD stále relevantní, když se vše přesune do Entra ID?
Absolutně pro on-premis infrastrukturu, starší aplikace (souborové servery, tiskárny, starší aplikace s Kerberos) a hybridní sady; Entra je přístupová rovina pro cloudové služby, nikoli plán migrace pro on-prem důvěru. Plánujte spíše koexistenci než lineární náhradu.
Proč je vrstvení účtů správců tak důležité?
Protože pracovní stanice jsou kompromitovány rutinně a pověření správce, která se dotkla kompromitovaného boxu, zdědí kompromitaci tohoto boxu; vrstvení omezuje vystavení pověření na hranici důvěryhodnosti a je nejblíže očkovacímu plánu, který adresář má.
Co je LAPS a proč na tom záleží?
Windows LAPS spravuje jedinečná hesla místního správce pro každý počítač, otočená a uložená v AD nebo Entra, čímž eliminuje noční můru se sdíleným heslem; jedno zastaralé sdílené heslo místního správce je klasickou cestou bočního pohybu.
Jaké jsou základy monitorování AD?
Stav replikace, protokoly událostí zabezpečení (vstupenky třídy 4624/4625, 4768/4769), změny členství v privilegovaných skupinách a synchronizace času; brzy nakonfigurujte kolektor tříd SIEM nebo Wazuh (náš článek o wazuh se zabývá možností open-source).
Jak Kinetikatech pomáhá s správa serveru windows
Nabídka je jednoduchá: Již brzy: monitorování, opravy a ochrana pro Windows Server hrubou silou, stejná disciplína 24/7, nativní nástroje. Svěřte to naší službě Monitoring Windows Server a Správa serverů a získáte kompletní pokrytí: seriózní posouzení, čisté nasazení, nepřetržitý monitoring.