Active Directory: la directory da cui ogni accesso a Windows dipende

Punti chiave

1. Il modello mentale: i controller di dominio archiviano e replicano la directory, Kerberos emette ticket di breve durata per l'autenticazione e i criteri di gruppo inviano le impostazioni alle macchine e agli utenti; trattare le modifiche allo schema con cura, perché lo schema della directory è difficile da invertire.
2. Criteri di gruppo è lo strumento per gli autisti della flotta: mappature delle unità, linee di base di sicurezza (password dell'amministratore locale gestite da LAPS, protezioni delle credenziali), distribuzione del software e blocchi dello screensaver; La precedenza degli oggetti Criteri di gruppo è deterministica ma complessa, pertanto la documentazione e il collegamento graduale degli oggetti Criteri di gruppo consentono di risparmiare molto più tempo di quanto costano.
3. Il livello di sicurezza decide la sopravvivenza del patrimonio: livelli privilegiati (account amministratore separati che non toccano mai e-mail o Web), gruppi con privilegi elevati limitati nel tempo e blocchi di protocolli legacy (NTLM ove possibile, SMBv1 assolutamente) rimuovono i percorsi di escalation dei privilegi sfruttati pubblicamente per un decennio.
4. DNS fa parte dell'accordo ed è un servizio per proteggere: zone integrate in AD, disciplina TTL e igiene dei nomi duplicati; Il DNS AD danneggiato produce sintomi che assomigliano a errori delle applicazioni ovunque.
5. Realtà ibrida: Entra ID (cloud) e AD si sincronizzano insieme tramite Entra Connect; sincronizzazione dell'hash delle password rispetto all'autenticazione pass-through, policy di accesso condizionato sul lato cloud e stati dei dispositivi di unione ibrida; i vecchi e i nuovi meccanismi necessitano di un modello di sicurezza esplicito, non di una fiducia predefinita ovunque.
6. Disciplina delle operazioni: la sincronizzazione dell'ora DC è una proprietà di correttezza (Kerberos si interrompe con uno scostamento >5 minuti), ruoli FSMO documentati, backup testati per il ripristino (il ripristino autorevole è diverso) e monitoraggio degli errori di replica e degli ID di eventi sospetti, con raccolta di registri eventi più hook SIEM di classe Sentinel o Wazuh che chiudono il ciclo.

Nota dal campo

L'incidente di AD che ha plasmato la nostra pratica: un account amministratore che controllava quotidianamente la posta elettronica, effettuava phishing e forniva agli aggressori l'amministratore del dominio con un clic. Il successivo livellamento degli account amministratore e dei LAPS di Windows ha richiesto un mese di paziente lavoro; da allora si è risparmiato giustificandosi due volte con tentativi di movimenti laterali inutili.

Domande frequenti