Active Directory (AD) je jedným z najdôležitejších komponentov v IT infraštruktúre, pretože spravuje identity, prístupy a oprávnenia v celej sieti. Ak nie je správne zabezpečené, môže sa stať terčom útokov, ktoré ohrozia celú organizáciu. Active Directory Hardening je preto nevyhnutným krokom na ochranu dát a prevádzky. Tu je 10 najlepších bodov na zvýšenie bezpečnosti Active Directory:
1. Implementácia least privilege (najnižšie potrebné oprávnenia)
- Minimalizuj oprávnenia používateľov, skupín a služieb. Žiadny používateľ alebo aplikácia by nemala mať viac práv, ako nevyhnutne potrebuje.
- Administrátorské účty by sa mali používať iba na špecifické administratívne úlohy, nikdy na bežnú prácu.
2. Oddelenie privilegovaných účtov
- Vytvor samostatné administrátorské účty pre správu AD, odlišné od bežných používateľských účtov.
- Používaj dedikované počítače na správu AD, ktoré sú izolované od ostatnej infraštruktúry.
3. Multi-Factor Authentication (MFA)
- Aktivuj MFA pre všetkých používateľov s privilegovanými účtami, ako sú administrátori a správcovia domén.
- Prihlasovanie k citlivým systémom a aplikáciám v AD by malo vyžadovať dvojfaktorové overenie.
4. Pravidlá pre heslá a zabezpečenie účtov
- Používaj silné a komplexné heslá s minimálne 12-16 znakmi.
- Nastav politiku zamknutia účtu po určitom počte neúspešných pokusov o prihlásenie.
- Implementuj Fine-Grained Password Policies pre rôzne skupiny používateľov.
5. Auditovanie a monitorovanie
- Zapni podrobný auditovací log pre všetky kritické akcie v AD (prihlásenia, zmeny skupín, zmeny oprávnení atď.).
- Používaj nástroje ako Microsoft Advanced Threat Analytics (ATA), Azure AD Identity Protection, alebo SIEM na detekciu anomálií a možných útokov.
6. Ochrana citlivých skupín
- Chráň privilegované skupiny ako Domain Admins, Enterprise Admins a Schema Admins pred neautorizovaným prístupom.
- Minimalizuj počet členov týchto skupín a pravidelne kontroluj ich členstvo.
7. Zabezpečenie prístupu k doménovým radičom (Domain Controllers)
- Doménové radiče (DCs) by mali byť izolované a prístup k nim obmedzený len na privilegovaných používateľov.
- Používaj Group Policy Object (GPO) na aplikovanie bezpečnostných pravidiel, napríklad blokovanie RDP z neautorizovaných zdrojov.
8. Minimalizácia a zabezpečenie služieb v AD
- Odstráň alebo deaktivuj nepoužívané služby, protokoly a účty (napríklad staré počítače a účty).
- Zabezpeč staršie protokoly, ako sú NTLM a SMBv1, alebo ich úplne deaktivuj.
9. Implementácia bezpečnostných zón
- Používaj tiered administration prístup, kde:
- Tier 0 je pre správu AD a doménových radičov.
- Tier 1 je pre správu serverov a aplikácií.
- Tier 2 je pre správu bežných pracovných staníc.
- Izoluj kritické systémy od zvyšku siete.
10. Aktualizácie a pravidelné kontroly
- Pravidelne aktualizuj operačné systémy a aplikácie spojené s AD, vrátane doménových radičov.
- Používaj nástroje ako Security Compliance Toolkit (SCT) na pravidelné skenovanie a hodnotenie nastavení bezpečnosti. Upozornenie: Pred aplikovaním akýchkoľvek zmien na „živom“ Active Directory alebo produkčných systémoch vždy testuj nastavenia v izolovanom prostredí, aby si predišiel neúmyselným výpadkom alebo problémom.
Bonus: Disaster Recovery plán
- Implementuj robustný plán zálohovania a obnovy AD, vrátane zálohovania systémových stavov a objektov AD.
- Testuj obnovu záloh pravidelne, aby si mal istotu, že AD môže byť obnovený v prípade incidentu.
Tieto kroky významne zvýšia bezpečnosť Active Directory a pomôžu minimalizovať riziká spojené s kybernetickými hrozbami.
