[AD域安全] - Active Directory IT Audit Checklist

izy 收录于类别信息安全和系列

2024-09-13 2024-09-13 约 1345 字预计阅读 6 分钟

系列 - Information Security

冲浪过程中，看到了大神总结的关于《Active Directory IT Audit Checklist》，做了下翻译，希望对大家有所帮助。

1 原文链接

《Active Directory IT Audit Checklist》

2 文档介绍

此增强的检查表提供了用于审核 Active Directory 环境的详细框架，重点关注安全性、合规性和运营效率。定期执行此类审核可以显着降低安全风险，并有助于维护稳健、安全和高效的 AD 基础设施。

3 高级安全设置

• 启用高级审核策略配置以确保对最重要的事件进行详细审核。 • 检查安全权限中是否存在可能允许匿名访问的空SID。 • 审核服务帐户的使用情况，以确保它们按照最小权限原则进行配置，并设置适当的服务主体名称(SPN)。 • 实施LDAP 签名和LDAPS（基于SSL 的LDAP）以防止中间人攻击。

4 特权访问管理

• 审查并实施Just Enough Administration (JEA) 策略，以根据角色限制powershell 命令的使用。 • 审核特权访问工作站(PAW) 处理敏感任务的使用情况，以减少攻击面。 • 确保实施管理层级模型，根据管理范围分隔管理帐户。

5 账户安全实践

• 强制执行用户帐户控制(UAC) 设置以减轻恶意软件攻击的影响。 • 为所有管理和敏感用户帐户实施多重身份验证(MFA)。 • 查看并应用帐户锁定策略以防止暴力攻击。

6 细粒度的密码策略

• 检查并实施细粒度密码策略(FGPP)，以在同一域内应用不同的密码策略，特别是对于高权限用户帐户。

7 DNS 和网络保护

• 审核DNS 区域和设置的安全配置，并确保动态DNS 更新受到保护。 • 通过应用访问控制列表(ACL) 限制来审查和保护AD 集成的DNS 区域。 • 确保域控制器在网络中正确隔离，以防止未经授权的访问。 • 时间同步 • 验证所有域控制器和成员服务器是否与可靠的时间源同步，以防止出现 Kerberos 身份验证问题。

8 控制权委托

• 检查委派以确保仅授予必要的权限，并尽可能使用管理角色进行委派。 • 审核自定义委派权限是否存在潜在的过度特权，并确保职责分离。

9 组策略对象 (GPO) 管理

• 检查并清理未使用的GPO 和未链接的GPO。 • 审核GPO 权限设置以确保只有授权用户才能修改高影响力的GPO。 • 实施GPO 版本控制和变更管理实践以跟踪变更及其影响。

10 关键系统和对象保护

• 使用管理SDHolder 和安全描述符传播器保护关键AD 对象，以防止未经授权的更改。 • 启用AD 中的回收站功能以恢复已删除的对象。 • 通过检查默认域策略和默认域控制器策略的设置并确保正确应用它们来审核和保护默认域策略和默认域控制器策略。 • 验证是否定期执行AD 备份并测试恢复程序以确保其有效。 • 查看Active Directory 的灾难恢复计划(DRP)，以确保其最新且全面。

11 日志记录、监控和审计

• 确保针对帐户创建、删除和修改等关键事件启用AD 审核。 • 检查安全日志中是否有可疑活动或违反策略的行为。 • 实施集中式日志记录解决方案，以便更好地分析和监控AD 相关事件。

12 备份与恢复

• 验证是否定期执行AD 备份并测试恢复程序以确保其有效。 • 查看Active Directory 的灾难恢复计划(DRP)，以确保其最新且全面。

13 复制和站点拓扑

• 使用REPADMIN 或AD 复制状态工具等工具检查AD 复制是否存在错误或问题。 • 检查站点拓扑以确保其反映当前网络基础设施并优化复制流量。

14 模式管理

• 审核对AD 架构的更改，以确保它们得到授权并记录在案。 • 检查架构版本并将其与当前AD DS 版本进行比较以确保兼容性。