Alapvető biztonsági kontrollok a vállalati identitásinfrastruktúrához — 10 terület, amelyet minden Active Directory-t üzemeltető szervezetnek meg kell erősítenie.

‍

‍

1. Rétegzett adminisztrációs modell

• 0. szint: tartományvezérlők, AD FS, PKI
• 1. szint: szerverek és alkalmazások
• 2. szint: munkaállomások és végfelhasználói eszközök
• Soha ne használja újra a 0. szintű hitelesítő adatokat alacsonyabb szinteken

2. Kiemelt jogosultságú fiókok védelme

• Érvényesítse a legkisebb jogosultság elvét
• Használjon dedikált admin fiókokat
• Vezessen be PAM-ot / JIT-hozzáférést
• Korlátozza a Domain Admins tagságát; negyedévente vizsgálja felül

3. Jelszó és hitelesítés

• Írjon elő legalább 14 karakteres jelszót/jelmondatot
• Alkalmazzon finomhangolt jelszószabályzatokat (FGPP)
• Vezessen be többfaktoros hitelesítést (MFA)
• Évente kétszer cserélje a KRBTGT jelszavát

4. Tartomány- és erdőszintű megerősítés

• Tartsa naprakészen a tartomány-/erdő-funkcionalitási szinteket
• Védje a bizalmi kapcsolatokat SID-szűréssel és szelektív hitelesítéssel
• Írja elő az LDAP-aláírást és a csatornakötést
• Korlátozza a külvilág felé exponált tartományvezérlőket

5. Csoportházirend megerősítése

• Korlátozza a GPO-szerkesztési jogot a 0. szintű adminokra
• Alkalmazza a Microsoft biztonsági megfelelőségi alapkonfigurációit
• Tiltsa le az elavult protokollokat (SMBv1, LLMNR, NetBIOS)
• Kapcsolja be a Windows Defender Credential Guardot

6. Kerberos-támadási felület csökkentése

• Figyelje a Kerberoasting-ot (SPN-nel való visszaélés)
• Észlelje az AS-REP Roasting próbálkozásokat
• Írjon elő AES-titkosítást RC4 helyett
• Használjon erős, 25+ karakteres szolgáltatásfiók-jelszavakat

7. Monitorozás, auditálás és naplózás

• Kapcsolja be a részletes auditálási házirendet
• Továbbítsa a naplókat egy központi SIEM-be
• Riasszon szokatlan bejelentkezésekre és oldalirányú mozgásra
• Valós időben kövesse a kiemelt csoportok változásait

8. Mentés és helyreállítás

• Tartson fenn offline, izolált AD-mentéseket
• Rendszeresen tesztelje az erdő-helyreállítási tervet
• Kapcsolja be az AD lomtárat (Recycle Bin)
• Dokumentálja a katasztrófa-helyreállítási eljárásokat

9. Patch- és konfigurációkezelés

• Telepítse haladéktalanul a biztonsági frissítéseket a tartományvezérlőkre
• Végezzen rendszeres felméréseket (pl. PingCastle, Purple Knight)
• Távolítsa el az elavult felhasználói/számítógép-objektumokat
• Szigorítsa az alapértelmezett tartományi biztonsági házirendet

10. Hálózati és hozzáférés-szegmentálás

• Izolálja a tartományvezérlőket dedikált VLAN-on
• Korlátozza az RDP/WinRM-hozzáférést kizárólag ugrópontokra
• Alkalmazzon szigorú tűzfalszabályokat a tartományvezérlőkön
• Használja a "Protected Users" biztonsági csoportot

A tartományvezérlők a szervezet legértékesebb célpontjai — megerősítésük nem választás, hanem alapkövetelmény.

Kérje szakértőink segítségét Active Directory környezete megerősítéséhez:

hungary@gillandmurry.com · www.gillandmurry.com · +36 1 445 13 14

‍