Windows サーバー管理
Active Directory: すべての Windows ログインが依存するディレクトリ
Active Directory は、Windows 資産の ID バックボーンです。ドメイン コントローラー、Kerberos 認証、グループ ポリシー、および DNS が 1 つのサービスとして機能します。ディレクトリを管理する人は資産を管理し、攻撃者はそれを知っているため、ほとんどすべての Windows セキュリティ会話はディレクトリにループバックします。この専用記事では、AD とは実際には何なのか、その管理規律は何なのか、そのクラウド後継者 (Entra ID) と重複する部分について説明します。
要点
- メンタル モデル: ドメイン コントローラーはディレクトリを保存および複製し、Kerberos は認証用の有効期間の短いチケットを発行し、グループ ポリシーは設定をマシンとユーザーにプッシュします。ディレクトリ スキーマを元に戻すのは難しいため、スキーマの変更は慎重に扱ってください。
- グループ ポリシーはフリート ドライバー ツールです。ドライブ マッピング、セキュリティ ベースライン (LAPS で管理されるローカル管理者パスワード、資格情報ガード)、ソフトウェア展開、スクリーンセーバー ロックアウトなどです。 GPO の優先順位は決定的ですが複雑であるため、文書化と段階的な GPO リンクにより、コストよりもはるかに多くの時間を節約できます。
- セキュリティ体制が資産の存続可能性を決定します。特権階層化 (電子メールや Web に決してアクセスしない個別の管理者アカウント)、期限付きの昇格グループ、レガシー プロトコルのブロック (可能な場合は NTLM、絶対に SMBv1) により、10 年間公に悪用されていた特権昇格パスが排除されます。
- DNS は取引の一部であり、AD 統合ゾーン、TTL 規律、重複名の衛生管理を保護するサービスです。 AD DNS が壊れると、他の場所でアプリケーション障害が発生したような症状が発生します。
- ハイブリッド リアリティ: Entra ID (クラウド) と AD は Entra Connect 経由で同期します。パスワード ハッシュ同期とパススルー認証、クラウド側の条件付きアクセス ポリシー、およびハイブリッド参加デバイスの状態。新旧のメカニズムには明示的なセキュリティ モデルが必要であり、どこでもデフォルトの信頼を必要とするわけではありません。
- 運用規律: DC 時刻同期は正確性のプロパティ (Kerberos は 5 分を超えるスキューで中断)、FSMO の役割は文書化され、バックアップはリストア用にテストされ (権限のあるリストアは異なります)、イベント ログの収集と Sentinel または Wazuh クラスの SIEM フックでループを閉じることにより、レプリケーションの失敗と疑わしいイベント ID を監視します。
現場ノート
私たちの実践を形作った AD インシデント。1 つの管理者アカウントが毎日電子メールをチェックし、フィッシングを行い、クリックひとつで攻撃者にドメイン管理者を与えました。その後、管理者アカウントと Windows LAPS を階層化するのに 1 か月かかりました。それ以来、横方向への動きを試みたが効果がなかったことで、自分自身を正当化することを2回回避できました。
よくある質問
AD は、Entra ID に移行するすべてのものと依然として関連していますか?
オンプレミス インフラストラクチャ、レガシー アプリ (ファイル サーバー、プリンター、Kerberos を備えたレガシー アプリ)、およびハイブリッド資産に最適です。 Entra はクラウド サービスのアクセス プレーンであり、オンプレミスの信頼のためのブループリント移行ではありません。線形的な置き換えではなく、共存を計画します。
管理者アカウントの階層化がそれほど重要なのはなぜですか?
ワークステーションは日常的に侵害されており、侵害されたボックスにアクセスした管理者の資格情報はそのボックスの侵害を継承するためです。階層化は、信頼境界ごとに資格情報の公開を制限し、ディレクトリが持つワクチン接種スケジュールに最も近いものです。
LAPS とは何ですか?なぜ重要ですか?
Windows LAPS は、マシンごとに一意のローカル管理者パスワードを管理し、AD または Entra にローテーションして保存することで、共有パスワードの悪夢を排除します。 1 つの古い共有ローカル管理者パスワードは、古典的な横方向の移動パスです。
AD 監視の基本は何ですか?
レプリケーションの健全性、セキュリティ イベント ログ (4624/4625、4768/4769 クラス チケット)、特権グループ メンバーシップの変更、および時刻同期。 SIEM または Wazuh クラス コレクターを早めに構成します (wazuh の記事ではオープンソース オプションについて説明しています)。
windows サーバー管理 に対するKinetikatechの支援
これは何百回と対応してきたケースです：近日提供予定: Windows Server の監視、パッチ適用、ブルート フォース保護、24 時間年中無休の同じ規律、ネイティブ ツール。 Windowsサーバー監視とサーバー管理で、評価、実装、24時間体制の監視、そして重要な時に30分以内の対応という、完全なサイクルを提供します。