Ochrana Active Directory (AD) je kľúčová pre zachovanie bezpečnosti celkovej infraštruktúry organizácie. Nasledujúce kroky vám pomôžu zabezpečiť AD proti potenciálnym hrozbám a minimalizovať riziko narušenia bezpečnosti.
1. Výborové riadenie prístupu a hesiel
- Používaj Multi-Factor Authentication (MFA): MFA zablokuje viac ako 99,9 % útokov, pri ktorých útočníci kompromitujú účet pomocou hesla. Zapnutie MFA je jednou z najdôležitejších obrán proti prístupu útokníkov do siete. Tento krok je nevyhnutný na zabezpečenie účtov a zníženie rizika kompromitácie, pričom každý administrátor by mal aktívne zabezpečiť, aby všetci používatelia mali aktivovaný MFA.
- Zákaz slabých a používaných hesiel: Zablokuj heslá, ktoré sú často používané a opakované v iných častiach systémov. Zamedz používaniu rovnakých hesiel, ktoré by mohli byť súčasťou verejne dostupných databáz kompromitovaných hesiel. Pre zvýšenie bezpečnosti môžeš implementovať politiku na pravidelnú zmenu hesiel a používať sofistikované pravidlá na tvorbu silných hesiel.
- Zakáž legacy protokoly: Legacy protokoly, ako SMTP alebo staršie aplikácie, môžu byť vektorom útoku kvôli tomu, že nepodporujú moderné metódy autentifikácie, ako MFA. Blokovanie týchto protokolov je kritické, pretože ich nedostatočné zabezpečenie často predstavuje ľahký prístup pre útočníkov, ktorí môžu zneužívať zraniteľnosti na preniknutie do siete.
2. Správa a ochrana administrátorských účtov v Active Directory
- Používaj Least Privilege: Administrátorské účty by mali mať prístup iba k zdrojom, ktoré skutočne potrebujú. Pre bežnú prácu by sa mali používať neprivilegované účty. Týmto spôsobom sa minimalizuje riziko, že kompromitácia jedného účtu môže viesť k veľkým škodám v celej infraštruktúre.
- Privileged Identity Management (PIM): Tento nástroj v Azure Active Directory poskytuje dočasný prístup k rolám iba vtedy, keď je to potrebné, a zaznamenáva každú aktivitu. Takýmto spôsobom môžeš obmedziť čas, počas ktorého sú administrátorské práva aktívne, a zároveň zlepšiť prehľad o aktivitách s vysokým rizikom.
- Oddelenie kritických rolí: Rozdeľ administrátorské úlohy medzi viacerých používateľov, aby žiaden z nich nemal plný prístup ku všetkým kritickým zdrojom. Takto zabráníš útočníkom získať úplnú kontrolu, aj keď kompromitujú jeden z administrátorských účtov.
3. Riadenie prístupu s podmienečnými pravidlami
- Podmienečný prístup (Conditional Access): Implementuj pravidlá na základe rizikových faktorov, napríklad vyžaduj MFA, ak sa používateľ prihlasuje z neznámej alebo rizikovej lokality. Podmienečný prístup umožňuje prispôsobiť bezpečnostné pravidlá na základe správania používateľov a poskytuje lepšiu ochranu pri odhaľovaní a blokovaní podozrivých prístupov.
- Location-based Policies: Definuj pravidlá prístupu založené na geografickej polohe. Ak sa používateľ prihlasuje z neznámej alebo vysoko rizikovej lokality, môže byť prístup buď úplne zamietnutý, alebo môže byť vyžadovaná dodatočná verifikácia identity.
4. Ochrana proti útokom na autentifikáciu v Active Directory
- Zabezpeč oddelené autentifikačné servery: Pri externom prístupe sa uisti, že autentifikačné servery sú oddelené od vnútorných zdrojov organizácie. Servery vystavené externému svetu by nemali mať priamy prístup k interným databázam a zdrojom, čím sa znižuje riziko škôd pri úspešnom útoku.
- Azure AD Identity Protection: Toto riešenie poskytuje správy o pravdepodobne kompromitovaných účtoch a nastavuje automatizované reakcie na tieto udalosti. Azure AD Identity Protection sleduje správanie používateľov a vytvára rizikové skóre, ktoré umožňuje dynamicky nastaviť požiadavky na autentifikáciu podľa úrovne rizika.
5. Bezpečnosť replikačných procesov a čísiel USN
- VM-GenerationID: Pre virtualizované doménové riadiče používaj hypervisory podporujúce VM-GenerationID, aby sa zabránilo škodlivým efektom úloh založeným na rollbackoch snapshotov. Tento mechanizmus zaisťuje, že replikačné operácie zostanú konzistentné aj po prípadnom obnovení snapshotu.
- Predídenie USN rollbacku: Zabezpeč, aby VM neboli obnovené bez koordinácie reštaurovania, aby sa predišlo replikačným prerušeniam a nekonzistentnosti. USN rollback môže spôsobiť vážne problémy s replikáciou a nekonzistentné dáta medzi doménovými riadičmi, čo môže viesť k rozsiahlym infraštrukturálnym problémom.
- Kontrola USN hodnôt: Monitoruj USN hodnoty a nastav automatické alarmy na detekciu prípadných problémov s rollbackom, aby sa minimalizovalo riziko nesprávnej replikácie údajov.
6. Incident management a obnovovanie
- Monitorovanie Directory Services logov: Pravidelne sleduj Directory Services logy na detekciu známok rollbacku či zlyhania replikačných žiadaní. Logovanie zohráva kľúčovú úlohu pri zisťovaní anomálií a umožňuje rýchlu reakciu na bezpečnostné incidenty.
- Obnova po USN rollbacku: Odstráň doménový riadič z domény alebo obnov systémový stav z platnej zálohy. Zabezpeč, aby zálohovací systém bol pravidelne testovaný, a uisti sa, že zálohy obsahujú všetky potrebné dáta na obnovu bez straty údajov.
- Rýchla reakcia na incidenty: Maj pripravený incident response plán, ktorý obsahuje presné kroky, ako postupovať v prípade detekcie USN rollbacku alebo iných závažných chýb. Tieto plány by mali obsahovať kontakty na zodpovedné osoby a špecifické činnosti, ktoré treba vykonať.
7. Ochrana autentifikačných mechanizmov
- Používaj Windows Hello alebo FIDO2: Bezheslový prístup cez Windows Hello alebo iné FIDO2 zariadenia zaisťuje, že aj v prípade odcudzenia hesla nie je účet ohrozený. Táto metóda používa silnú kryptografiu a umožňuje autentifikáciu bez nutnosti používania hesiel, čo výrazne zvyšuje bezpečnosť.
- Implementácia Passwordless technológií: Používaj technológie, ako je biometrické overovanie, ktoré zvyšujú úroveň zabezpečenia a používateľom poskytujú pohodlie. Biometria zabezpečuje, že k účtu má prístup iba oprávnený používateľ, čo znižuje pravdepodobnosť neoprávneného prístupu.
Tieto body pokrývajú kľúčové oblasti ochrany Active Directory, od správy prístupu po ochranu pred replikačnými chybami a USN rollbackom. Je dôležité, aby každá organizácia neustále prehodnocovala svoje bezpečnostné opatrenia a prispôsobovala ich podľa aktuálnych rizík a zraniteľností. Ďalšie informácie o Active Directory nájdete napríklad na oficiálnej stránke Microsoftu
