Active Directory 域服务的实用方法，第 7 部分：网络安全和 AD

 在本博客系列的前六部分中，我们为开始使用和管理 Active Directory (AD域) 奠定了基础。随着基础工作的完成，现在是探索网络安全与AD域之间关系的时候了。

让本系列更进一步，本博客概述了哪些设计注意事项对于保护您的AD域基础架构免受潜在安全漏洞的影响很重要。下面我们将探讨任何基于 AD域 的攻击的四个 W：根本原因分析的对象、内容、时间和地点。

如果您认识到监控 AD域 并确保其安全性的重要性，那么这就是您的博客。

有助于组织安全态势的 AD域设计元素和配置

AD域环境的每个方面都容易受到安全风险的影响。在以下三种情况下，暴露给攻击者的风险最大：

AD域环境配置错误时。

当组策略应用不正确时。

当 AD域 域连接的端点管理不善时。

通过关注上面突出显示的三个问题领域来加强您的AD域安全性。

在本系列博客的前六部分中，我们从理论的角度研究了AD域 的各个方面。但是，现在我们可以查看相同的主题列表并从安全角度进一步讨论它们。与上述三种情况相关的风险将在我们下面的讨论中发挥作用：

AD域与域名系统 (DNS) 的集成

AD域中的用户和计算机

AD域组和OU

AD域复制

AD域 中的 FSMO 角色

AD域 与域名系统 (DNS) 的集成

AD域服务对DNS的依赖是不可避免的。虽然 DNS 对于任何互连网络都至关重要，但如果与 DNS 的集成错误，您的 AD域 设置将停止运行。

您将需要考虑以下方面来确保 AD域 攻击面的安全强化：

监控 DNS 基础设施和 DNS 协议，通过 DNS 安全扩展 (DNSSEC)、DNS 加密和 DNS 防火墙等措施确保内置安全性。

定期审核 AD域-DNS 区域文件及其关联的资源记录。

仔细配置区域传输请求。确保密切监视并定期审核区域传输访问控制列表 (ACL)。

实施安全的 LDAP。这将保证在用户或客户端与目录服务通信时，在 LDAP 身份验证绑定过程中对 LDAP 数据进行加密。

AD域用户和计算机

如果您还没有这样做，请开始使用AD域监控系统来帮助您及时了解生态系统中的所有 AD域活动。通过精心设计的日志监控系统进行自动跟踪和监控至关重要。

虽然了解 AD域 用户和计算机的管理很重要，但您必须应用这些知识来保护 AD域 基础架构。

Microsoft 建议将强大的审核策略作为AD域管理的一个组成部分，其中包括AD域活动的审核、警报和报告。

您将需要为登录事件安排警报和自定义报告，包括在任何 AD域 域上经过身份验证的用户帐户和计算机帐户。

安排和执行用户帐户管理审计以监控用户创建和用户修改事件，例如重命名、密码更新或更改帐户状态（例如启用或禁用，或帐户是否被锁定）以及用户删除。

内置和自定义特权用户帐户如果遭到破坏，则会受到 AD域攻击的最不利影响。因此，您必须监视特权帐户以查找与帐户锁定、登录失败或异常登录和注销有关的事件。

您还需要进行计算机帐户管理审计，以监控计算机帐户的创建、修改和删除事件。

AD域组和 OU

与用户和计算机一样，您必须管理和审核有关组和 OU 的报告，以确保纠正任何错误配置并立即解决来自这些 AD域 对象的任何异常事件日志。

考虑以下几点：

应设置和监视AD域组管理报告以创建、修改和删除安全组和通讯组。

与内置和自定义特权用户类似，监控特权和敏感 AD域 组中的用户活动。

您需要仔细研究 AD域架构模型的物理层和逻辑层。检查AD域组设计以了解嵌套的实现情况，并针对 GPO 和组成员身份的更改设置警报。任何偏离标准的活动都应该提醒您。

安全 ACL 提供内置于 AD域 组设计以及组策略设置如何应用于 AD域 对象的安全性。您应该监控这些 ACL，作为保护 AD域 的强制性过程。

监控对组策略、用户权限、访问权限和用户权限的任何更改，尤其是在具有高权限访问的用户组的情况下。继续努力建立最低特权的环境。

确保并审核基于角色的委派，以保持对授予敏感组用户（例如域管理员）的权限和特权的精细控制。

AD域复制

AD域 复制模型的设计充分考虑了三个核心组件。第一个是源域控制器 (DC)，它授权 AD域 站点上的任何更改请求。第二个是所有其他复制伙伴，第三个是每个站点内的指定桥头服务器。这三个组件被认为对于设计您的 AD域 设置至关重要，并被置于最重要的位置以使复制无错误。

AD域 环境的复制拓扑的配置和设计在确保弹性 AD域 基础架构中的 AD域 安全方面发挥着重要作用。为确保这一点，您必须研究以下领域：

隔离和保护您的 DC，包括物理服务器和虚拟服务器。

确保您的 DC 在最新的操作系统版本上运行，以获得最新的功能和安全补丁。

限制 DC 上的 Internet 访问和 Web 浏览功能的可用性，以提供另一层隐式和内置的安全性来抵御外部攻击向量。

仔细审核和监控 DC 组成员，特别是监控域管理员，以及对具有升级权限的帐户的任何异常成员修改。

考虑域连接网络资源的端点管理在保护 AD域 复制方面所起的重要作用。您的职责是维护一份安全和合规清单，该清单专注于实时风险评估并考虑到整个 AD域 日志。

AD域 中的 FSMO 角色

建立 AD域 环境中所有活动的基线可以帮助您检测任何偏差或异常行为。由于 FSMO 角色具有特权访问权限，因此这尤其必要。

在这方面，您应该监控任何无根据的 FSMO 角色转移、对 AD域 方案的意外更改、帐户锁定实例、超活跃帐户、高百分比的登录失败以及其他异常活动。

请注意以下有关 FSMO 角色的设计注意事项：

密切监视并持续审核与任何 AD域 域中的 DC 之间的 FSMO 角色转移有关的任何事件。

记录由于 DC 不工作或死亡而导致 FSMO 角色何时被占用的日志。

为 DC 降级或 DC 遇到故障或关闭时设置警报。

研究对 AD域 架构所做的任何更改。

在实时 AD域 监控和审计控制台上建立规则和策略警报，以跟踪和分析您的整体 AD域 安全状况。

考虑将您的 AD域 日志收集与 SIEM 解决方案集成以转发 AD域 日志，从而使您的监控更加全面。

现在，您知道在开始监控 AD域 服务时应该注意什么，以确保设计的最大安全性。

考虑到这些概念，在本博客系列的下一部分中，我们将着眼于通过用例和一些常见的 AD域 攻击暴露一些 AD域 最关键的安全漏洞。

所有 AD域 管理员的最终目标应该是实现网络弹性和无懈可击的活动目录环境。真正的挑战是要实现这一点，尽管 AD域 具有动态性，而且我们不要忘记当今网络犯罪分子的复杂攻击者思维方式。