Безпека Active Directory: посібник із захисту ідентичності

By Mirko Peters · 2025-11-23 · Updated 2026-07-18

Вивчіть безпеку Active Directory з практичними порадами щодо архітектури, впровадження, захисту та управління.

Automatically translated with AI from the original post. Read the English original

Active Directory дуже важливий для зловмисників у кожній компанії. Якщо хтось отримує контроль, ви втрачаєте контроль над людьми, файлами, поштою та хмарними сервісами. Зловмисникам не потрібні особливі хакерські навички. Вони використовують дрібні помилки, щоб отримати повний доступ. Діяти потрібно швидко й робити чіткі кроки, щоб захистити те, що важливо.

Головне

• Active Directory допомагає контролювати, хто може користуватися вашою мережею. Його захист не дає зловмисникам отримати доступ до важливих даних і систем.

• Регулярно перевіряйте облікові записи адміністраторів і видаляйте ті, які вам не потрібні. Так зловмисникам буде важче використати потужні облікові записи.

• Налаштуйте розмежування рівнів (tiering) і сегментацію у вашій мережі. Це не дасть зловмисникам легко переміщатися мережею та допоможе зупинити масштабні проблеми.

• Увімкніть багатофакторну автентифікацію (MFA) для всіх облікових записів адміністраторів. Це додатковий захист від тих, хто не має права входити.

• Переглядайте журнали та використовуйте засоби безпеки, щоб виявляти незвичні дії. Раннє виявлення проблем дає змогу швидко діяти та зупиняти загрози.

Чому зловмисники атакують Active Directory

Центральна роль в автентифікації

Active Directory допомагає визначати, хто може користуватися вашою мережею, файлами та застосунками. Для більшості компаній це головний охоронець. Зловмисники це знають. Якщо вони отримають контроль над Active Directory, майже все інше теж опиниться під їхнім контролем.

Ось таблиця, яка пояснює, чому зловмисники хочуть отримати доступ до Active Directory:

Active Directory дозволяє керувати всіма користувачами, комп'ютерами та правилами в одному місці. Ви можете налаштовувати групові політики, щоб задавати правила для всіх. Це спрощує роботу. Але якщо зловмисники проникнуть всередину, вони можуть отримати доступ до всього з однієї точки.

Наслідки компрометації

Якщо хтось захоплює Active Directory, можуть статися погані речі. Ви можете втратити доступ до файлів або сервісів. Зловмисники можуть заблокувати вас, викрасти ваші дані або зупинити ваш бізнес.

Ось що може статися:

• Користувачі не можуть отримати доступ до ресурсів або сервісів.

• ІТ-системи можуть вийти з ладу й перестати працювати.

• Робочі процеси можуть зупинитися, а ви можете втратити гроші й час.

Порада: захист Active Directory — це не лише зупинка хакерів. Це також підтримка роботи бізнесу й безпеки ваших даних.

Розуміючи ризики, ви бачите, чому зловмисники прагнуть проникнути в Active Directory. Потрібно шукати слабкі місця і усувати їх раніше, ніж це зроблять зловмисники.

Шляхи атак на Active Directory

Зловмисникам не потрібні складні інструменти, щоб проникнути всередину. Вони починають з малого і намагаються отримати більше контролю. Потрібно знати кожен крок, щоб зупинити їх на ранньому етапі.

Початковий доступ і бічне переміщення

Зловмисники часто починають із простих прийомів. Вони надсилають фейкові листи, щоб викрасти паролі. Іноді використовують паролі, які ніколи не змінювалися. Вони можуть пробувати поширені паролі на багатьох облікових записах. Якщо у вашій мережі є слабкі місця, зловмисники можуть знайти їх за допомогою інструментів.

Після входу зловмисники переміщуються на інші комп'ютери. Вони використовують pass-the-hash, щоб викрасти хеші паролів. Потім використовують ці хеші, щоб увійти в інші системи. Kerberoasting атакує облікові записи служб зі слабкими паролями. Зловмисники використовують BloodHound, щоб побачити вашу мережу та знайти способи отримати більше повноважень.

Типові шляхи атак включають:

• Kerberoasting для підбору паролів облікових записів служб.

• Отруєння LLMNR/NBT-NS для перехоплення хешів паролів.

• Використання жорстко закодованих паролів у скриптах.

• LDAP-розвідка для збору даних про користувачів і комп'ютери.

Примітка: більшість із цих дій схожі на звичайну роботу адміністратора. Потрібно помічати невеликі ознаки того, що щось не так.

Техніки підвищення привілеїв

Після проникнення зловмисники прагнуть отримати більше повноважень. Вони використовують різні способи здобути вищі привілеї. Ось таблиця з поширеними методами:

Методи домінування в домені

Маючи високі привілеї, зловмисники прагнуть повного контролю. Вони можуть створювати фальшиві квитки, так звані golden tickets. Вони дають змогу необмежено довго отримувати доступ до будь-чого. Деякі використовують атаки DCSync, щоб скопіювати всі хеші паролів із контролерів домену. Інші викрадають файл NTDS.dit, у якому зберігаються всі паролі вашої мережі.

Ознаки домінування в домені включають:

• Програма-вимагач, що знищує кожен контролер домену.

• Резервні копії, які під час відновлення повертають шкідливе ПЗ.

• Відсутність чистої резервної копії для відновлення.

• Зловмисники залишаються навіть після спроб виправити ситуацію.

• Серйозні помилки, через які всі втрачають доступ.

Якщо зловмисники зайшли так далеко, вони контролюють всю вашу мережу. Їх потрібно зупинити до того, як вони досягнуть цього етапу.

Слабкість через радіус ураження адміністративних облікових записів

Ризики надмірних привілеїв

Якщо занадто багато облікових записів мають високий доступ, це ризиковано. Зловмисники шукають саме такі облікові записи. Достатньо однієї помилки, щоб вони отримали контроль. Іноді облікові записи зберігають доступ, який уже не потрібен. Такі застарілі облікові записи легко знайти зловмисникам. Тіньові адміністратори можуть ховатися у вашій системі. Вони можуть з'являтися внаслідок швидких виправлень або через облікові записи служб. Такі облікові записи потрапляють до потужних груп, і ви можете їх не помітити. Вкладеність груп в Active Directory ускладнює їх виявлення.

• Зловмисники використовують потужні облікові записи, щоб дістатися до важливих ресурсів.

• Якщо один адміністративний обліковий запис зламано, зловмисники можуть змінити налаштування, викрасти дані або встановити шкідливе ПЗ.

• Старі адміністративні облікові записи, за якими ніхто не стежить, допомагають зловмисникам залишатися непоміченими.

Порада: регулярно перевіряйте адміністративні облікові записи й видаляйте ті, що вам не потрібні.

Розмежування рівнів і сегментація

Ви можете знизити ризики, розділивши мережу на рівні. Це називається розмежуванням рівнів і сегментацією. Це допомагає контролювати, хто може мати доступ до важливих ресурсів. Коли ви створюєте окремі сегменти, зловмисникам важче переміщуватися. Сегментація також стримує швидке поширення шкідливого ПЗ.

• Розділення частин мережі обмежує те, як далеко можуть просунутися зловмисники.

• Сегментація контролює, хто має доступ до ключових систем.

• Хороша сегментація уповільнює роботу програм-вимагачів та інших загроз.

Швидкі кроки для контролю адміністраторів

Можна зробити прості речі, щоб бути безпечнішими. Почніть із пошуку та видалення старих адміністративних облікових записів. Їх часто пропускають, і зловмисники можуть ними скористатися. Вимкніть облікові записи глобальних адміністраторів, створені для старих проєктів або інструментів. Це швидко підвищить безпеку вашої мережі.

• Перевірте та видаліть старі адміністративні облікові записи.

• Вимкніть облікові записи глобального адміністратора для старих інструментів.

Примітка: невеликі зміни значно допомагають захистити вашу мережу.

Ризики шаблонів PKI та сертифікатів

Небезпеки неправильної конфігурації

Паролі — не єдине, про що варто турбуватися. Шаблони сертифікатів можуть дозволити зловмисникам проникнути всередину. Слабкі шаблони допомагають атакувальникам створювати сертифікати, які працюють як майстер-ключі. Такі сертифікати можуть надати комусь права адміністратора без пароля. Атакувальники називають таких адміністраторів «невидимими». Вони не з'являються у звичайних журналах.

Ось таблиця, у якій наведено поширені небезпеки неправильної конфігурації:

Примітка: атакувальники шукають слабкі місця. Вони хочуть отримати права адміністратора так, щоб ніхто не помітив.

Захист шаблонів сертифікатів

Можна заблокувати багато атак, зробивши шаблони сертифікатів безпечнішими. Спочатку перевірте, хто може реєструватися в кожному шаблоні. Видаліть або вимкніть шаблони, які не використовуєте. Обмежте доступ до важливих шаблонів, наприклад тих, що призначені для смарт-карток.

Ось таблиця із кроками для захисту шаблонів:

Порада: переглядайте свої шаблони кожні кілька місяців. Це допоможе захистити систему від нових проблем.

Практичні дії для PKI

Можна зробити прості речі, щоб зміцнити свій PKI. Використовуйте автономний кореневий ЦС, щоб зберегти якір довіри в безпеці. Використовуйте корпоративний ЦС, приєднаний до домену, щоб видавати сертифікати лише довіреним користувачам. Налаштуйте автореєстрацію через групову політику, щоб легко керувати сертифікатами.

Ось таблиця з практичними діями для PKI:

Пам'ятайте: суворі налаштування PKI не дозволяють атакувальникам створювати невидимі облікові записи адміністраторів. Регулярно перевіряйте свої шаблони та дозволи.

Синхронізація гібридної ідентичності та ризики в хмарі

Гібридні конфігурації ідентичності пов'язують вашу Active Directory з хмарними службами. Це допомагає керувати користувачами в обох середовищах. Але це також створює нові ризики. Якщо зловмисники отримають доступ до локальної AD, вони зможуть дістатися до хмарних облікових записів. Так само може бути й навпаки: слабкий хмарний обліковий запис може відкрити зловмисникам доступ до локальної AD.

Уразливості Azure AD Connect

Azure AD Connect є мостом між вашою локальною AD і хмарою. Атакувальники хочуть контролювати цей micт, адже він має облікові записи з потужними правами. Якщо хтось отримає обліковий запис комп'ютера AD DS Connector або Seamless SSO, він зможе змінювати паролі чи дозволи в обох місцях.

Атакувальники використовують мережеві інструменти, щоб атакувати все ваше середовище. Вони можуть використати обліковий запис AZUREADSSOACC, щоб перейти з AD до Entra ID. Якщо атакувальники отримають права адміністратора на сервері Entra Connect, вони контролюють обліковий запис синхронізації. Вони можуть змінювати ідентичності в обох місцях. Деякі атакувальники використовують SyncJacking, щоб отримати хмарні облікові записи з високими привілеями, змінюючи облікові записи з низькими привілеями.

Порада: використовуйте обліковий запис синхронізації з найнижчими привілеями. Відстежуйте Azure AD Connect на предмет незвичайної активності.

Умовний доступ і MFA

Conditional Access і MFA допомагають захистити гібридні інфраструктури. Правила Conditional Access змушують користувачів виконувати додаткові кроки, наприклад MFA, перш ніж дати доступ. Ці правила перевіряють, хто ви, з якого пристрою працюєте та де перебуваєте. На основі цього вирішується, чи варто надавати доступ.

• Conditional Access використовує MFA, щоб забезпечити безпеку.

• Правила використовують сигнали, щоб приймати розумні рішення.

• Це відповідає моделі Zero Trust і перевіряє користувачів щоразу.

Примітка: використання MFA для всіх облікових записів адміністраторів зупиняє багато атак.

Єдина безпека ідентифікації

Ставтеся до локальної та хмарної ідентифікації як до однієї системи. Єдина безпека допомагає швидше виявляти загрози та оперативно реагувати на них. Виконайте ці кроки, щоб посилити захист:

1. Встановіть сенсори Defender for Identity на контролерах домену.

2. Підключіть Defender for Identity до Microsoft 365 Defender для моніторингу.

3. Увімкніть Conditional Access з урахуванням ризиків у Entra для захисту в реальному часі.

4. Використовуйте Entra ID Governance, щоб надавати всім обліковим записам мінімально необхідні привілеї.

5. Під'єднайте обидва компоненти до Microsoft Sentinel для кращого виявлення загроз.

Пам'ятайте: надійна безпека гібридної ідентифікації не дає зловмисникам переміщатися між локальними та хмарними системами.

Контрольний список безпеки Active Directory

Надійний контрольний список допомагає швидко захистити мережу. За цим посібником можна знайти та усунути найбільші ризики у вашому середовищі. Почніть із швидкої первинної оцінки, а потім підтримуйте захист за допомогою регулярного обслуговування.

Кроки первинної оцінки за 60 хвилин

За одну годину можна суттєво змінити ситуацію. Виконайте ці кроки, щоб швидко знизити ризик:

1. Перевірте наявність термінових оновлень. Встановіть останнє оновлення Microsoft для CVE-2025-59287 на кожному сервері WSUS. Це оновлення закриває серйозну вразливість.

2. Блокуйте небезпечні мережеві порти. Якщо одразу встановити оновлення неможливо, заблокуйте вхідні TCP 8530 і 8531 на межових брандмауерах. Так зловмисники не зможуть дістатися до серверів WSUS. Можливо, доведеться узгодити це з ІТ-командою, оскільки оновлення можуть призупинитися.

3. Зупиніть і вимкніть служби WSUS. Якщо неможливо ні встановити оновлення, ні заблокувати порти, зупиніть служби WSUS, доки проблему не буде усунено.

4. Ізолюйте сервери WSUS, доступні з інтернету. Вважайте ці сервери системами високого ризику. Тримайте їх окремо від основної мережі.

5. Збережіть докази, якщо підозрюєте атаку. Збережіть дані оперативної пам'яті, образи дисків і журнали подій. Зверніться до команди реагування на інциденти.

6. Перегляньте журнали подій на наявність змін в AdminSDHolder. Шукайте код події 5136. Він показує, чи хтось змінював дозволи адміністраторів.

7. Перевірте, хто вніс зміни. Знайдіть обліковий запис користувача, пов'язаний із цими змінами. Перегляньте його активність на предмет будь-чого підозрілого.

8. Порівняйте дозволи. Переконайтеся, що об'єкт AdminSDHolder відповідає вашому базовому рівню безпеки.

9. Шукайте нові привілейовані облікові записи. Перевірте зміни в членстві в групах або дозволах.

10. Працюйте з командою безпеки. Підтвердьте, чи були схвалені будь-які зміни.

11. Ізолюйте уражені системи. Відключіть їх від мережі, щоб зупинити поширення зловмисників.

12. Скасуйте несанкціоновані зміни. Відкотіть будь-які зміни в AdminSDHolder, які ви не схвалювали.

13. Перегляньте всі привілейовані облікові записи. Переконайтеся, що вони відповідають вашим правилам безпеки.

14. Скиньте паролі для облікових записів під ризиком. Зосередьтеся на облікових записах адміністраторів і служб.

15. Додайте посилений моніторинг. Стежте за AdminSDHolder та іншими ключовими об'єктами на предмет нових змін.

16. Повідомте центр операцій безпеки. Розкажіть їм про будь-яку підозрілу активність.

17. Оновіть політики контролю доступу. Внесіть зміни, щоб запобігти подібним атакам у майбутньому.

Порада: можна надрукувати цей контрольний список і тримати його біля робочого місця. Користуйтеся ним, коли потрібно діяти швидко.

Регулярне обслуговування

Захист потрібно постійно підтримувати. Добрі звички допомагають вчасно виявляти проблеми та швидко відновлюватися.

• Регулярно встановлюйте оновлення. Переконайтеся, що кожне оновлення встановлюється коректно.

• Регулярно створюйте резервні копії даних за графіком. Перевіряйте їх, щоб упевнитися, що дані можна відновити.

• Щодня перевіряйте стан свого домену. Звертайте увагу на ознаки проблем, наприклад на невдалі входи або нові облікові записи адміністраторів.

• Щомісяця переглядайте облікові записи адміністраторів і членство в групах. Видаляйте все, що вам не потрібно.

• Щокварталу перевіряйте шаблони сертифікатів і параметри PKI. Видаляйте застарілі шаблони та обмежуйте дозволи.

• Стежте за інструментами гібридної синхронізації, наприклад Azure AD Connect. Шукайте незвичну активність або нові дозволи.

• Навчайте свою команду розпізнавати фішинг і методи соціальної інженерії.

• Плануйте регулярні перевірки безпеки. Використовуйте свій контрольний список, щоб не збиватися з графіка.

Примітка: невеликі, але постійні дії тримають вашу мережу в безпеці. Зробіть ці кроки частиною своєї щоденної рутини.

Дотримуючись цього контрольного списку, ви створюєте надійний захист навколо найважливіших систем. Вам значно важче зламати систему або залишитися в ній непоміченим для зловмисників.

Інструменти моніторингу та виявлення

Ключові ідентифікатори подій і журнали

Вам потрібно уважно стежити за своїм Active Directory. Зловмисники намагаються приховати свої дії. Їх можна знайти, якщо знати, що перевіряти. Почніть із важливих журналів і ідентифікаторів подій. Ці записи показують зміни та допомагають вчасно помітити проблему.

• Зміни членства в групах: стежте за незвичними змінами в групах адміністраторів. Ідентифікатор події 4728 означає, що хтось додав користувача до групи. Ідентифікатор події 4729 означає, що хтось видалив користувача.

• Створення та видалення облікових записів: ідентифікатор події 4720 показує, коли створено нового користувача. Ідентифікатор події 4726 показує, коли користувача видалено.

• Запити на реплікацію: ідентифікатор події 4662 може показати незвичну активність реплікації. Зловмисники використовують це, щоб копіювати дані про паролі.

• Події автентифікації: ідентифікатор події 4624 фіксує успішні входи. Шукайте входи у незвичний час або з нових місць.

• Зміни групових політик: ідентифікатор події 4739 відстежує зміни групових політик. Зловмисники можуть змінювати їх, щоб отримати контроль.

Також стежте за ознаками атак Kerberoasting або Golden Ticket. Ці атаки залишають сліди в журналах, наприклад незвичні запити квитків або нові облікові записи служб.

Порада: перевіряйте журнали щодня. Швидка перевірка допомагає виявити проблеми, поки вони не стали серйознішими.

Рекомендовані засоби безпеки

Для моніторингу та захисту Active Directory можна використовувати спеціальні інструменти. Вони допомагають краще бачити, що відбувається, і знаходити слабкі місця.

• Lepide Auditor for Active Directory: відстежує зміни в реальному часі та сповіщає про підозрілі дії.

• Netwrix Auditor: миттєво надсилає сповіщення та зберігає журнали протягом тривалого часу.

• ManageEngine ADAudit Plus: стежить за активністю користувачів і дозволяє налаштовувати власні сповіщення.

• SolarWinds Access Rights Manager (ARM): допомагає керувати тим, хто і до чого має доступ, та перевіряє відповідність вимогам.

• Рішення від Quest: відстежує зміни та працює із SIEM-системами для кращого моніторингу.

• BloodHound: будує карту шляхів атаки, щоб ви бачили, як зловмисники можуть рухатися мережею.

• PingCastle: перевіряє ваш AD на ризики та присвоює оцінку стану.

• LAPS (Local Administrator Password Solution): гарантує, що кожен комп’ютер має унікальний пароль адміністратора.

• Defender for Identity: стежить за загрозами та незвичною поведінкою на ваших контролерах домену.

Багато з цих інструментів добре працюють із SIEM-системами, наприклад Splunk. Це допомагає швидше виявляти атаки та оперативно реагувати.

Примітка: правильні інструменти та уважний моніторинг журналів дають вам надійний захист від зловмисників.

Захист Active Directory допомагає вашому бізнесу уникнути серйозних проблем. Ви захищаєте мережу, обмежуючи радіус ураження через адміністраторів. Також закриваєте лазівки PKI і покращуєте гібридну синхронізацію. Зловмисники діють швидко, якщо ви пропускаєте ці кроки.

• Переглядайте журнали за допомогою SIEM-інструментів.

• Надавайте доступ адміністратора меншій кількості людей і часто змінюйте паролі.

• Використовуйте MFA і тримайте комп’ютери адміністраторів окремо.

• Регулярно перевіряйте групові політики та членство в групах.

Використовуйте свій контрольний список для триажу та перевіряйте безпеку щомісяця. Почніть з одного домену. Робіть невеликі зміни часто. Будьте уважні, щоб захистити свій найцінніший актив.

Поширені запитання

Який найважливіший крок для захисту Active Directory?

Потрібно мати менше облікових записів адміністратора. Переконайтеся, що кожен комп’ютер має власний пароль. Часто перевіряйте, хто входить до груп адміністраторів. Це допомагає запобігти серйозним проблемам, які можуть спричинити зловмисники.

Як часто слід переглядати облікові записи адміністраторів і дозволи?

Переглядайте облікові записи адміністраторів і дозволи щомісяця. Видаляйте облікові записи, якими не користуєтеся. Це робить мережу безпечнішою та допомагає раніше виявляти проблеми.

Чому зловмисники атакують шаблони сертифікатів?

Зловмисники полюють на слабкі шаблони сертифікатів. Вони використовують їх, щоб створити фальшивий адміністративний доступ. Такі сертифікати працюють як секретні ключі. Обмежте доступ до шаблонів і перевіряйте, хто може їх використовувати.

Чи може витік у хмарі вплинути на локальний Active Directory?

Так. Якщо зловмисники отримають доступ до хмарних облікових записів, вони зможуть дістатися до вашого локального AD. Захищайте обидва середовища та стежте за підозрілою активністю.

Які інструменти допомагають відстежувати атаки на Active Directory?

Можна використовувати BloodHound, PingCastle та Defender for Identity. Ці інструменти допомагають знаходити слабкі місця та попереджають про загрози.

Також варто послухати

Якщо ви досліджуєте безпеку Active Directory, ці випуски додадуть практичного контексту щодо архітектури, експлуатації, безпеки та управління:

• Microsoft AI Agent Harness – Simply Explained — Дізнайтеся про оркестрацію та захисні обмеження.
• Azure AI Foundry – Simply Explained — Зрозумійте, як корпоративні організації впроваджують ШІ.
• Microsoft Defender XDR – Simply Explained — Додайте контекст безпеки.