如今90%以上的只需《财富》1000强企业使用微软Active Directory用于身份和访问管理，因此它成为世界上最常见的分钟软件之一 。
遗憾的全问是，这种普遍性也使得Active Directory成为吸引网络攻击者的只需诱人目标 。由于Active Directory控制哪些用户可以访问网络上的分钟系统和软件 ，因此攻击者就会攻击它 ，全问为自己提供实现目标所需的只需访问级别 。此外 ，分钟获得Active Directory的全问控制权让攻击者可以部署勒索软件 、建站模板窃取敏感信息或从事其他非法勾当，只需防御者几乎不可能阻止它们 。分钟
不幸的全问是 ，大多数企业Active Directory（AD）环境存在无数的只需错误配置和漏洞 ，这让攻击者可以趁虚而入 。分钟AD的全问内置工具和用户界面使安全团队难以审查用户权限 ，这意味着久而久之，错误和错误配置会迅速越来越多 。
如果AD安全从来没有受到过重视 ，大多数组织会遭受“错误配置债务”（misconfiguration debt） ：随着时间的推移 ，服务器租用错误越来越多 。再加上Active Directory每天都会因用户 、用户组和软件的创建或删除而变化，很容易明白为什么拥有成百上千个AD用户的企业存在如此多的安全问题 。
这些安全问题来自一系列错误 。比如说 ，管理员可能无意中授予用户或用户组过大的权限 ，或者管理员可能使用其Domain Admin（域管理员）凭据 ，登录到凭据面临失窃风险的工作站 。
这些使企业面临一种名为身份攻击路径的攻击技术 。源码库在这种攻击技术中 ，攻击者先获得在网络中的单单一台机器上运行代码的能力 ，为此采用的手段可能是借助网络钓鱼电子邮件 ，或在另一起数据泄密事件的数据转储中找到用户的凭据 。然后 ，攻击者使用各种工具来利用这些错误和安全问题 ，窃取其他用户凭据。
接下来 ，他们使用这些新凭据获得的访问权限闯入其他系统 ，香港云服务器直至达到目标 。这些攻击可能难以检测 ，因为它们使用合法的工具和凭据 。
防御攻击路径需要修复攻击者钻空子的AD安全问题——正如所讨论的那样 ，这类问题可能有好多。好消息是，AD或身份和访问管理管理员只需更改默认配置 ，即可在短短几分钟内解决许多此类问题。
虽然其他问题需要时间更长 、难度更大的修复 ，比如重新培训全局和域管理员 ，亿华云教他们在登录高价值系统时使用哪些帐户 ，但这些快速修复方法可以大大降低组织的整体AD安全风险，不需要花大大的力气 。
下面介绍如何解决一个容易被盯上的特定问题 ，以增强AD安全 。
由于种种原因 ，Domain Controller（域控制器）对象经常最终归域管理员之外的安全负责人所有。大约75%的客户普遍存在这个问题 ，比如想象一下求助台用户在域中创建新服务器 。
几个月后，云计算这个系统的角色发生了变化，管理团队将系统提升为域控制器 。这个求助台用户现在拥有域控制器 ，并且拥有一条实际上全面控制环境的路径 。这极其危险 ，因为如果攻击者获得该求助台用户的凭据 ，他们就可以轻松闯入域控制器 。随着更多类似这样的情形出现 ，域控制器对象积累的所有者越来越多，风险也不断加大 。
幸好，这很容易解决 。为此 ，先生成一份列表，列出目标AD环境中的每个域控制器对象 。这些数据可以直接从AD收集 ，但使用免费开源的AD映射工具要容易得多 。然后执行以下操作 ：
1. 打开Active Directory 用户和计算机 。
2. 启用高级功能 。
3. 找到每个域控制器对象（使用列表） 。
4. 右击鼠标，并选择“属性” ，然后依次选择“安全” 、“高级”和“更改”。
5. 将每个域控制器对象的所有者更改为域管理员组 。
现在只有域管理员有权访问这些对象 ，这是我们所预期的。
为了继续进一步保护微软AD的安全，组织应考虑使用攻击路径管理等方法 ，以衡量组织的整体AD风险暴露面 。
它使团队能够分析所有可能的攻击路径，识别单一修复方法就能消除许多攻击路径的高价值“阻塞点” ，并根据风险优先解决这些问题 。AD安全工作很容易变得不堪重负 ，因此优先解决重要问题是真正取得进展的关键 。
然而，即使组织决定不将AD安全视作优先事项 ，上述快速修复方法也可以大幅降低身份攻击路径的风险 。
本文翻译自 ：https://www.itproportal.com/features/the-active-directory-security-issue-that-only-take-five-minutes-to-fix/如若转载 ，请注明原文地址
技术雷达站
