Безопасность Active Directory: руководство по защите идентификации

By Mirko Peters · 2025-11-23 · Updated 2026-07-18

Изучите безопасность Active Directory с практическими рекомендациями по архитектуре, внедрению, защите и управлению.

Automatically translated with AI from the original post. Read the English original

Active Directory имеет огромное значение для атакующих в каждой компании. Если кто-то получает контроль над ним, вы теряете контроль над людьми, файлами, почтой и облачными сервисами. Специальные навыки взлома атакующим не нужны. Им достаточно мелких ошибок, чтобы получить полный доступ. Действовать нужно быстро и предпринимать четкие шаги, чтобы защитить то, что важно.

Главное

• Active Directory помогает контролировать, кто может использовать вашу сеть. Его защита не даёт атакующим получить доступ к важным данным и системам.

• Регулярно проверяйте административные учетные записи и удаляйте те, что вам не нужны. Так атакующим будет сложнее использовать учетные записи с широкими полномочиями.

• Настройте многоуровневую модель доступа и сегментацию сети. Это мешает атакующим свободно перемещаться по сети и помогает предотвращать масштабные инциденты.

• Включите многофакторную аутентификацию (MFA) для всех административных учетных записей. Это дополнительная защита от тех, кому не следует получать доступ.

• Ведите журналы и используйте средства безопасности для выявления подозрительных действий. Обнаружение проблем на раннем этапе позволяет быстро реагировать и останавливать угрозы.

Почему атакующие выбирают Active Directory

Центральная роль в аутентификации

Active Directory помогает определять, кто может использовать вашу сеть, файлы и приложения. Для большинства компаний это главный механизм защиты. Атакующим это известно. Если они получают контроль над Active Directory, они могут контролировать почти всё.

Ниже таблица, которая объясняет, почему атакующие нацелены на Active Directory:

Active Directory позволяет управлять всеми пользователями, компьютерами и правилами из одного места. Можно задавать групповые политики, чтобы определять правила для всех. Это упрощает работу. Но если атакующие проникнут внутрь, они смогут получить доступ ко всему из одной точки.

Последствия компрометации

Если кто-то получает контроль над Active Directory, могут начаться серьезные проблемы. Вы можете потерять доступ к файлам или сервисам. Атакующие могут заблокировать вам доступ, украсть данные или остановить ваш бизнес.

Вот что может произойти:

• Пользователи не могут получить доступ к ресурсам или сервисам.

• ИT-системы могут выйти из строя и перестать работать.

• Бизнес-процессы могут остановиться, а вы можете потерять деньги и время.

Совет: защита Active Directory — это не только борьба с хакерами. Она также помогает сохранить работоспособность бизнеса и безопасность данных.

Понимая риски, вы видите, почему атакующие стремятся попасть в Active Directory. Нужно искать слабые места и устранять их раньше, чем это сделают атакующие.

Пути атаки на Active Directory

Атакующим не нужны сложные инструменты, чтобы проникнуть внутрь. Они начинают с малого и постепенно пытаются получить больше контроля. Важно знать каждый шаг, чтобы остановить их на раннем этапе.

Первичный доступ и боковое перемещение

Атакующие часто начинают с простых приемов. Они рассылают поддельные письма, чтобы украсть пароли. Иногда используются пароли, которые никогда не меняли. Они могут пробовать распространенные пароли на множестве учетных записей. Если в сети есть слабые места, атакующие находят их с помощью специальных инструментов.

После проникновения в систему злоумышленники переходят на другие компьютеры. Они используют pass-the-hash, чтобы украсть хеши паролей. Затем они используют эти хеши для входа в другие системы. Kerberoasting атакует сервисные учетные записи со слабыми паролями. Злоумышленники используют BloodHound, чтобы изучить вашу сеть и найти способы получить больше полномочий.

К распространенным путям атаки относятся:

• Kerberoasting для подбора паролей сервисных учетных записей.

• Отравление LLMNR/NBT-NS для перехвата хешей паролей.

• Использование жестко заданных паролей в скриптах.

• LDAP-разведка для получения сведений о пользователях и компьютерах.

Примечание: большинство этих действий выглядят как обычная работа администратора. Нужно замечать мелкие признаки того, что что-то идет не так.

Методы повышения привилегий

После проникновения в систему злоумышленникам нужны более широкие полномочия. Они используют разные способы получить повышенные привилегии. Вот таблица с некоторыми распространенными методами:

Методы достижения полного доминирования в домене

Получив высокие привилегии, злоумышленники стремятся к полному контролю. Они могут создать поддельные билеты, так называемые golden tickets. Такие билеты позволяют долго получать доступ к чему угодно. Некоторые используют атаки DCSync, чтобы скопировать все хеши паролей с контроллеров домена. Другие крадут файл NTDS.dit, в котором хранятся все пароли вашей сети.

Признаки полного доминирования в домене включают:

• Программа-шифровальщик, удаляющая каждый контроллер домена.

• Резервные копии, которые при восстановлении возвращают вредоносное ПО.

• Отсутствие чистой резервной копии для восстановления.

• Злоумышленники остаются в системе даже после попыток всё исправить.

• Серьезные ошибки, из-за которых все пользователи теряют доступ.

Если злоумышленники дошли до этого этапа, они контролируют всю вашу сеть. Остановить их нужно до того, как они достигнут этой стадии.

Уязвимость: радиус поражения административного доступа

Риски избыточных привилегий

Если слишком много учетных записей имеют высокий уровень доступа, это опасно. Злоумышленники ищут именно такие учетные записи. Одна ошибка может дать им контроль. Иногда учетные записи сохраняют доступ, который им уже не нужен. Такие старые учетные записи легко найти злоумышленникам. Теневые администраторы (Shadow Admins) могут скрываться в вашей системе. Они могут появиться из-за быстрых временных решений или сервисных учетных записей. Такие учетные записи входят в состав мощных групп, и вы можете их не замечать. Вложенность групп в Active Directory делает их трудноразличимыми.

• Злоумышленники используют учетные записи с расширенными правами, чтобы добраться до важных ресурсов.

• Если одна учетная запись администратора взломана, злоумышленники могут изменить настройки, украсть данные или установить вредоносное ПО.

• Старые учетные записи администраторов, за которыми никто не следит, помогают злоумышленникам оставаться незамеченными.

Совет: регулярно проверяйте учетные записи администраторов и удаляйте те, что вам не нужны.

Сегментация и многоуровневая модель

Снизить риски можно, разделив сеть на уровни. Это называется многоуровневой моделью и сегментацией. Она помогает контролировать, кто может получить доступ к важным ресурсам. Когда вы создаете отдельные сегменты, злоумышленники не могут свободно перемещаться по сети. Сегментация также замедляет распространение вредоносного ПО.

• Разделение частей сети ограничивает то, насколько далеко могут продвинуться злоумышленники.

• Сегментация контролирует, кто получает доступ к ключевым системам.

• Грамотная сегментация замедляет распространение программ-шифровальщиков и других угроз.

Быстрые победы в управлении административным доступом

Чтобы повысить безопасность, можно сделать несколько простых шагов. Начните с поиска и удаления старых учетных записей администраторов. Их часто упускают из виду, и злоумышленники могут ими воспользоваться. Отключите глобальные учетные записи администраторов, созданные для старых проектов или инструментов. Это быстро сделает вашу сеть безопаснее.

• Проверьте и удалите старые учётные записи администраторов.

• Отключите учётные записи глобальных администраторов для старых инструментов.

Примечание: небольшие изменения значительно помогают защитить вашу сеть.

Риски PKI и шаблонов сертификатов

Опасности неправильной конфигурации

Пароли — не единственное, о чём стоит беспокоиться. Шаблоны сертификатов могут позволить злоумышленникам проникнуть в систему. Слабые шаблоны помогают атакующим создавать сертификаты, которые работают как мастер-ключи. Такие сертификаты могут дать кому-то права администратора без пароля. Злоумышленники называют таких администраторов «невидимыми». Они не появляются в обычных журналах.

Ниже приведена таблица, в которой показаны распространённые опасности неправильной конфигурации:

Примечание: злоумышленники ищут слабые места. Они хотят получить права администратора так, чтобы никто этого не заметил.

Защита шаблонов сертификатов

Многие атаки можно предотвратить, сделав шаблоны сертификатов безопаснее. Для начала проверьте, кто может выполнять регистрацию по каждому шаблону. Удалите или отключите шаблоны, которые вы не используете. Ограничьте доступ к важным шаблонам, например к шаблонам для смарт-карт.

Ниже приведена таблица с шагами по защите шаблонов:

Совет: проверяйте свои шаблоны каждые несколько месяцев. Это поможет защитить систему от новых проблем.

Практические действия по PKI

Чтобы укрепить PKI, можно сделать несколько простых шагов. Используйте автономный корневой ЦС, чтобы сохранить надёжность якоря доверия. Используйте корпоративный ЦС, введённый в домен, чтобы выдавать сертификаты только доверенным пользователям. Настройте автоматическую регистрацию через групповую политику, чтобы удобно управлять сертификатами.

Ниже приведена таблица с практическими действиями по PKI:

Помните: надёжные настройки PKI не позволяют злоумышленникам создавать невидимые учётные записи администраторов. Регулярно проверяйте свои шаблоны и разрешения.

Гибридная синхронизация и облачные риски

Гибридные конфигурации удостоверений связывают ваш Active Directory с облачными службами. Это помогает управлять пользователями в обоих местах. Но это также создаёт новые риски. Если злоумышленники получат доступ к локальному AD, они смогут добраться до облачных учётных записей. Возможно и обратное: слабая облачная учётная запись может открыть злоумышленникам доступ к локальному AD.

Уязвимости Azure AD Connect

Azure AD Connect — это мост между локальным AD и облаком. Злоумышленники хотят контролировать этот мост, потому что у него есть учётные записи с широкими правами. Если кто-то получит доступ к учётной записи коннектора AD DS или к учётной записи компьютера Seamless SSO, он сможет менять пароли или разрешения в обоих местах.

Злоумышленники используют сетевые инструменты, чтобы атаковать всю вашу инфраструктуру. Они могут использовать учётную запись AZUREADSSOACC, чтобы перейти из AD в Entra ID. Если злоумышленники получат права администратора на сервере Entra Connect, они контролируют учётную запись синхронизации. Они могут менять удостоверения в обоих местах. Некоторые атакующие используют SyncJacking, чтобы получить облачные учётные записи с высокими привилегиями, изменяя учётные записи с низкими привилегиями.

Совет: используйте учётную запись синхронизации с минимальными привилегиями. Следите за Azure AD Connect на предмет необычной активности.

Условный доступ и MFA

Условный доступ и MFA помогают защищать гибридные инфраструктуры. Правила условного доступа заставляют пользователей выполнять дополнительные шаги, например MFA, прежде чем войти. Эти правила проверяют, например, кто вы, с какого устройства и из какого местоположения вы подключаетесь. На основании этого они решают, предоставить ли вам доступ.

• Условный доступ использует MFA, чтобы обеспечить безопасность.

• Правила используют сигналы, чтобы принимать обоснованные решения.

• Это соответствует модели Zero Trust и проверяет пользователей при каждом обращении.

Примечание: использование MFA для всех административных учетных записей блокирует многие атаки.

Единая безопасность идентификации

Относитесь к локальной и облачной идентификации как к единой системе. Единая безопасность помогает быстрее находить угрозы и оперативно на них реагировать. Чтобы укрепить защиту, выполните следующие шаги:

1. Установите сенсоры Defender for Identity на контроллерах домена.

2. Подключите Defender for Identity к Microsoft 365 Defender для мониторинга.

3. Включите условный доступ с учетом рисков в Entra для защиты в реальном времени.

4. Используйте Entra ID Governance, чтобы предоставлять всем учетным записям минимально необходимые разрешения.

5. Подключите оба решения к Microsoft Sentinel для более эффективного обнаружения угроз.

Помните: надежная защита гибридной идентификации не позволяет злоумышленникам перемещаться между локальными и облачными системами.

Контрольный список безопасности Active Directory

Надежный контрольный список помогает быстро защитить сеть. Используйте это руководство, чтобы находить и устранять самые серьезные риски в вашей среде. Начните с быстрых действий по первичной оценке, а затем поддерживайте защиту с помощью регулярного обслуживания.

Действия первичной оценки за 60 минут

За один час можно многое изменить. Выполните следующие шаги, чтобы быстро снизить риски:

1. Проверьте наличие срочных обновлений. Установите последнее обновление Microsoft для CVE-2025-59287 на каждом сервере WSUS. Это исправление закрывает серьезную брешь в безопасности.

2. Заблокируйте рискованные сетевые порты. Если немедленно установить обновление невозможно, заблокируйте входящие TCP 8530 и 8531 на межсетевых экранах. Это не позволит злоумышленникам добраться до серверов WSUS. Возможно, потребуется согласовать действия с ИT-отделом, так как обновления могут приостановиться.

3. Остановите и отключите службы WSUS. Если невозможно ни установить обновление, ни заблокировать порты, остановите службы WSUS до устранения проблемы.

4. Изолируйте серверы WSUS, доступные из интернета. Считайте эти серверы объектами высокого риска и держите их отдельно от основной сети.

5. Сохраните доказательства, если подозреваете атаку. Сохраните дампы памяти, образы дисков и журналы событий. Сообщите команде реагирования на инциденты.

6. Проверьте журналы событий на изменения в AdminSDHolder. Ищите событие с кодом 5136. Оно покажет, менял ли кто-то административные разрешения.

7. Определите, кто внес изменения. Найдите учетную запись пользователя, связанную с этими изменениями. Проверьте ее активность на предмет чего-либо необычного.

8. Сравните разрешения. Убедитесь, что объект AdminSDHolder соответствует вашему базовому уровню безопасности.

9. Найдите новые привилегированные учетные записи. Проверьте изменения в членстве в группах и разрешениях.

10. Согласуйте действия с группой безопасности. Уточните, были ли какие-либо изменения одобрены.

11. Изолируйте затронутые системы. Отключите их от сети, чтобы остановить распространение атаки.

12. Отмените неавторизованные изменения. Верните объект AdminSDHolder к состоянию до всех изменений, которые вы не одобряли.

13. Проверьте все привилегированные учетные записи. Убедитесь, что они соответствуют вашим правилам безопасности.

14. Сбросьте пароли для учетных записей в зоне риска. В первую очередь займитесь административными и служебными учетными записями.

15. Добавьте дополнительный мониторинг. Следите за AdminSDHolder и другими ключевыми объектами на предмет новых изменений.

16. Сообщите в центр управления безопасностью. Расскажите им о любой подозрительной активности.

17. Обновите политики управления доступом. Внесите изменения, которые помогут предотвратить аналогичные атаки в будущем.

Совет: распечатайте этот контрольный список и держите его рядом с рабочим местом. Используйте его, когда нужно действовать быстро.

Регулярное обслуживание

Защиту необходимо поддерживать на протяжении всего времени. Полезные привычки помогают вовремя замечать проблемы и быстро восстанавливаться.

• Регулярно устанавливайте обновления. Убедитесь, что каждый патч установлен корректно.

• Регулярно создавайте резервные копии данных. Проверяйте их, чтобы убедиться, что из них можно восстановить данные.

• Проверяйте состояние своего домена каждый день. Следите за признаками проблем, например неудачными входами или новыми учётными записями администраторов.

• Каждый месяц проверяйте учётные записи администраторов и членство в группах. Удаляйте все, которые вам не нужны.

• Каждый квартал проверяйте шаблоны сертификатов и настройки PKI. Удаляйте устаревшие шаблоны и ужесточайте разрешения.

• Следите за инструментами гибридной синхронизации, например Azure AD Connect. Обращайте внимание на необычную активность и новые разрешения.

• Обучайте свою команду распознавать фишинг и приёмы социальной инженерии.

• Регулярно проводите проверки безопасности. Используйте свой контрольный список, чтобы не сбиваться с пути.

Примечание: небольшие, но регулярные действия помогают защитить вашу сеть. Сделайте эти шаги частью своей повседневной рутины.

Следуя этому контрольному списку, вы создаёте надёжную защиту вокруг самых важных систем. Вам значительно сложнее станет для злоумышленников проникнуть внутрь или оставаться незамеченными.

Инструменты мониторинга и обнаружения

Ключевые идентификаторы событий и журналы

Внимательно следите за своим Active Directory. Злоумышленники стараются скрыть свои действия. Их можно обнаружить, если знать, что проверять. Начните с важных журналов и идентификаторов событий. Эти записи фиксируют изменения и помогают вовремя заметить проблемы.

• Изменения членства в группах: следите за подозрительными изменениями в группах администраторов. Идентификатор события 4728 означает, что пользователь был добавлен в группу. Идентификатор события 4729 означает, что пользователь был удалён из группы.

• Создание и удаление учётных записей: идентификатор события 4720 показывает, когда создаётся новый пользователь. Идентификатор события 4726 показывает, когда пользователь удаляется.

• Запросы репликации: идентификатор события 4662 может указывать на необычную активность репликации. Злоумышленники используют её, чтобы копировать данные паролей.

• События аутентификации: идентификатор события 4624 фиксирует успешные входы. Обращайте внимание на входы в необычное время или с новых устройств и адресов.

• Изменения групповых политик: идентификатор события 4739 отслеживает изменения групповых политик. Злоумышленники могут менять их, чтобы получить контроль.

Также следите за признаками атак Kerberoasting и Golden Ticket. Такие атаки оставляют следы в журналах, например необычные запросы билетов или новые учётные записи служб.

Совет: проверяйте журналы каждый день. Быстрые проверки помогут выявить проблемы до того, как они усугубятся.

Рекомендуемые инструменты безопасности

Для наблюдения за Active Directory и его защиты можно использовать специальные инструменты. Они упрощают отслеживание происходящего и помогают находить слабые места.

• Lepide Auditor for Active Directory: отслеживает изменения в режиме реального времени и предупреждает о подозрительных действиях.

• Netwrix Auditor: отправляет оперативные оповещения и долго хранит журналы.

• ManageEngine ADAudit Plus: отслеживает действия пользователей и позволяет настраивать собственные оповещения.

• SolarWinds Access Rights Manager (ARM): помогает управлять тем, кто к чему имеет доступ, и проверяет соответствие требованиям.

• Решение от Quest: отслеживает изменения и работает с SIEM-системами для более эффективного мониторинга.

• BloodHound: строит карту путей атак, чтобы вы видели, как злоумышленники могут перемещаться по сети.

• PingCastle: проверяет ваш AD на риски и выставляет оценку состояния.

• LAPS (Local Administrator Password Solution): гарантирует, что на каждом компьютере свой уникальный пароль администратора.

• Defender for Identity: отслеживает угрозы и подозрительное поведение на ваших контроллерах домена.

Многие из этих инструментов хорошо работают с SIEM-системами, например Splunk. Это помогает быстрее обнаруживать атаки и оперативно реагировать на них.

Примечание: правильные инструменты и наблюдение за нужными журналами обеспечивают надёжную защиту от злоумышленников.

Защита Active Directory помогает вашему бизнесу избежать серьёзных проблем. Вы защищаете сеть, ограничивая радиус действия административных учётных записей. Также закрываете лазейки в PKI и улучшаете гибридную синхронизацию. Злоумышленники быстро продвигаются, если вы пропускаете эти шаги.

• Проверяйте журналы с помощью SIEM-инструментов.

• Предоставляйте административный доступ меньшему числу людей и часто меняйте пароли.

• Используйте MFA и держите административные компьютеры отдельно.

• Регулярно проверяйте групповые политики и членство в группах.

Используйте свой чек-лист триажа и проверяйте безопасность каждый месяц. Начните с одного домена. Вносите небольшие изменения часто. Будьте внимательны, чтобы защитить свои главные ценности.

Часто задаваемые вопросы

Какой самый важный шаг для защиты Active Directory?

Сократите количество административных учётных записей. Убедитесь, что у каждого компьютера свой пароль. Регулярно проверяйте, кто состоит в административных группах. Это помогает остановить атакующих до того, как они причинят серьёзный ущерб.

Как часто нужно проверять административные учетные записи и разрешения?

Проверяйте административные учётные записи и разрешения каждый месяц. Удаляйте учётные записи, которыми не пользуетесь. Это делает вашу сеть безопаснее и помогает раньше выявлять проблемы.

Почему атакующие нацеливаются на шаблоны сертификатов?

Атакующие используют слабые шаблоны сертификатов. С их помощью они создают поддельный административный доступ. Такие сертификаты работают как секретные ключи. Закройте доступ к шаблонам и проверяйте, кто может их использовать.

Может ли взлом облачной среды затронуть локальный Active Directory?

Да. Если атакующие получат доступ к облачным учётным записям, они смогут добраться до вашего локального AD. Защищайте оба окружения и следите за подозрительной активностью.

Какие инструменты помогают отслеживать атаки на Active Directory?

Можно использовать BloodHound, PingCastle и Defender for Identity. Эти инструменты помогают находить слабые места и предупреждают об угрозах.

Также рекомендуем послушать

Если вы изучаете безопасность Active Directory, эти выпуски добавят практического контекста по архитектуре, эксплуатации, безопасности и управлению:

• Microsoft AI Agent Harness – Simply Explained — Разберитесь в оркестрации и защитных ограничениях.
• Azure AI Foundry – Simply Explained — Поймите, как организуется корпоративная доставка ИИ.
• Microsoft Defender XDR – Simply Explained — Добавьте контекст по безопасности.