保护内网安全之提高Windows AD安全性（三）
导语： 在今年夏天的BlackHat USA大会上，我非常专业的提到了AD的安全，并提供了关于如何能够最好程度上保护Active Directory安全的一些提示。
Active Directory的安全始于能确保安全地配置域控制器（DC）。 在今年夏天的BlackHat USA大会上，我非常专业的提到了AD的安全，并提供了关于如何能够最好程度上保护Active Directory安全的一些提示。 这篇文章主要关注域控制器的安全性和一些跨越Active Directory的安全性。毕竟我的博客被称为“ADSecurity” ...
本文将会涵盖一些通过保护域控制器（简称“域控”）来保护Active Directory安全性的最佳方法，包括以下几个部分：
默认域和域控制器策略 创建域和域控制器安全基线GPO 修补域控制器 保护域控制器 域控制器推荐的组策略设置 配置域控制器审查模式（事件日志） 需要监控的域控制器事件（事件日志） 关键域控制器安全项
与基础架构的任何重大更改一样，请在部署更改之前进行测试。以免发生意外。
配置域控制器审查模式（事件日志）
保护域控制器只是Active Directory安全性的一部分。 另一个是根据日志记录来检测异常活动。
在Windows Server 2008之前，Windows审查模式仅限于下图中的9个项目。
从Windows Vista和Windows Server 2008开始，Windows审查模式扩展到57个项目。
请注意，在经常需要配置的常规审查设置时，“审查模式：强制审查策略子类别设置”应设置为“已启用”以强制执行这些设置。
使用AuditPol验证审查模式设置：auditpol.exe / get / category：*
Microsoft为审查模式提供了以下指导：
需要监控的域控制器事件（事件日志）
可以在
https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventid=事件码
查询具体的事件说明。
以下是需要监视的域控制器事件的大列表：
4610 - 本地安全机构加载了身份验证包。 4611 - 已向本地安全机构注册了受信任的登录进程。 4616 - 系统时间已更改。 4624 - 帐户已成功登录。 4625 - 帐户无法登录。 4634 - 帐户已注销。 4648 - 尝试使用显式凭据进行登录 4649 - 检测到重放攻击。 4672 - 分配给新登录的特殊权限。 4673 - 调用了特权服务。 4674 - 尝试对特权对象执行操作。 4688 - 创建了一个新进程。 4689 - 进程已退出。 4692 - 尝试备份数据保护主密钥。 4693 - 尝试恢复数据保护主密钥。 4695 - 尝试取消保护可审查的受保护数据。 4697 - 服务已安装在系统中。 4698 - 创建了计划任务。 4699 - 已调度的任务已删除。 4702 - 已更新计划任务。 4706 - 为域创建了一个新的信任。 4707 - 已删除对域的信任。 4713 - Kerberos策略已更改。 4716 - 已修改受信任的域信息。 4717 - 系统安全访问已授予帐户。 4718 - 系统安全访问已从帐户中删除。 4719 - 系统审查策略已更改。 4720 - 创建了用户帐户。 4722 - 启用了用户帐户。 4723 - 尝试更改帐户的密码。 4724 - 尝试重置帐户的密码。 4725 - 用户帐户已禁用。 4726 - 用户帐户已删除。 4727 - 创建了启用安全功能的全局组。 4728 - 已将一个成员添加到启用了安全功能的全局组。 4729 - 已从启用安全性的全局组中删除了成员。 4730 - 已启用安全性的全局组已删除。 4731 - 已创建启用安全功能的本地组。 4732 - 已将一个成员添加到启用了安全功能的本地组。 4733 - 已从启用安全功能的本地组中删除了成员。 4734 - 已启用安全性的本地组已删除。 4735 - 启用了安全功能的本地组已更改。 4737 - 已启用安全性的全局组已更改。 4738 - 用户帐户已更改。 4739 - 域策略已更改。 4740 - 用户帐户被锁定。 4741 - 创建了计算机帐户。 4742 - 计算机帐户已更改。 4743 - 计算机帐户已删除。 4754 - 创建了启用安全功能的通用组。 4755 - 启用了安全功能的通用组已更改。 4756 - 已将成员添加到启用了安全功能的通用组。 4757 - 已从启用安全功能的通用组中删除了成员。 4758 - 已启用安全性的通用组已删除。 4759 - 创建了一个安全禁用的通用组。 4760 - 一个安全禁用的通用组已更改。 4764 - 组的类型已更改。 4765 - SID历史记录已添加到帐户。 4766 - 尝试向帐户添加SID历史失败。 4767 - 用户帐户已解锁。 4768 - 请求了Kerberos身份验证票证（TGT） 4769 - 请求了Kerberos服务票证 4770 - 更新Kerberos服务票证 4771 - Kerberos预身份验证失败 4772 - Kerberos身份验证票证请求失败 4774 - 映射了用于登录的帐户。 4775 - 无法映射帐户以进行登录。 4776 - 域控制器尝试验证帐户的凭据 4777 - 域控制器无法验证帐户的凭据 4780 - 在作为管理员组成员的帐户上设置ACL。 4782 - 访问了帐户的密码哈希。 4793 - 调用了密码策略检查API。 4794 - 尝试设置目录服务还原模式。 4800 - 工作站被锁定。 4801 - 工作站已解锁。 4816 - RPC在解密传入邮件时检测到完整性冲突。 4817 - 对象的审查设置已更改。 4865 - 添加了受信任的林信息条目。 4866 - 已删除受信任的林信息条目。 4867 - 已修改受信任的林信息条目。 4904 - 尝试注册安全事件源。 4905 - 尝试取消注册安全事件源。 4907 - 对象的审查设置已更改。 4908 - 特殊组登录表修改。 4944 - 以下策略在Windows防火墙启动时处于活动状态。 4964 - 已将特殊组分配给新登录。 5024 - Windows防火墙服务已成功启动。 5025 - Windows防火墙服务已停止。 5030 - Windows防火墙服务无法启动。 5031 - Windows防火墙服务阻止应用程序接受网络上的传入连接。 5033 - Windows防火墙驱动程序已成功启动。 5034 - Windows防火墙驱动程序已停止。 5035 - Windows防火墙驱动程序无法启动。 5038 - 代码完整性确定文件的图像散列无效。该文件可能会由于未经授权的修改而损坏，或者无效的哈希值可能指示潜在的磁盘设备错误。 5148 - Windows筛选平台检测到DoS攻击并进入防御模式;与此攻击相关的数据包将被丢弃。 5149 - DoS攻击已经消退，正在恢复正常处理。 5150 - Windows筛选平台阻止了数据包。 5151 - 更严格的Windows筛选平台筛选器已阻止数据包。 5152 - Windows筛选平台阻止数据包。 5153 - 更严格的Windows筛选平台筛选器已阻止数据包。 5154 - Windows筛选平台已允许应用程序或服务在端口上侦听传入连接。 5155 - Windows筛选平台已阻止应用程序或服务侦听端口上的传入连接。 5168 - SMB / SMB2的SPN检查失败。 5378 - 请求的凭据委派已被策略禁止。 6144 - 已成功应用组策略对象中的安全策略。
有关这些事件的扩展信息可从这里下载（DC-Events.xlsx或DC-Events.csv）。
csv / xlsx文件中的信息包括：
事件ID 已记录的活动 审查类别 审查子类别 操作系统支持 事件卷
注意，其中许多都是高容量，因此在集成到你所选择的SIEM之前最好先进行一次评估。
关键的域控制器安全项配置
1. 成员服务器应该在升级为DC之前完全修补（像MS14-068这样的问题就非常关键）。
2. 你可能会希望将域控制器导出默认的域控制器OU，但最好不要这样做。其他OU中的域控制器可以接收不同的自定义委派和GPO设置。
3. 为域控制器安全性创建新的GPO（并链接到域控制器OU）。
4. 最好每年运行一次Active Directory最佳实践分析器，以确保Doamin和域控制器配置一致。在运行时执行的许多最佳实践检查可以识别出潜在的问题。
5. DC的所有修补和更新应该与工作站和服务器分开进行 - 这意味着要有不同的更新架构。许多组织使用WSUS来对DC和SCCM打补丁并对所有的设置进行补丁。
6. 确保定期并安全地更改相关的管理密码（DSRM密码）。
7. 配置子类别审查并设置为通过GPO强制执行（“审查：强制审查策略子类别设置（Windows Vista或更高版本）以覆盖审查策略类别设置”）。这样做，你就可以拥有跟踪更改和AD活动所需的安全事件。在服务器上运行“auditpol.exe / get / category：*”，确认启用了正确的审查模式。
8. 限制DC代理的使用，最好是没有，因为添加到DC的每个代理都为AD提供了入侵AD的另一个途径。如果代理是必要的，管理该产品的任何人都应被视为域管理员。
9. 如果你部署了虚拟DC，将虚拟管理员视为域管理员。
10. 配置PDC通过GPO自动同步时间
（https://blogs.technet.microsoft.com/nepapfe/2013/03/01/its-simple-time-configuration-in-active-directory/）。
11. 具有DC管理员/登录权限的最小组（＆用户）。
12. 将默认域管理员帐户更改为至少1x /年，最好是2x。
13. 更改KRBTGT帐户密码至少1x /年，最好是2x。每次，密码都应该更改一次，等待复制（或第二天）完毕，然后再次更改
（https://blogs.microsoft.com/microsoftsecure/2015/02/11/krbtgt-account-password-reset -scripts-now-available-for-customers /）。
14. 在DC上配置AppLocker仅允许授权的应用程序运行。不应该在DC上运行太多的程序，所以这应该相对容易一些。
15. 将所有管理员帐户设置为“敏感且无法委派”。
16. 使用DC管理员/登录权限最小化组（和用户）。
17. 减少/删除域管理员中的帐户和组，特别是服务帐户。
18. 利用管理工作站和管理员层级保护管理员帐户
（https://technet.microsoft.com/en-us/windows-server-docs/security/securing-privileged-access/securing-privileged-access-reference-material）
19. 只运行软件和服务以支持AD。
20. 验证计划任务和脚本。
21. 将管理员帐户添加到“受保护的用户”组（需要Windows Server 2012 R2域控制器，2012R2 DFL用于域保护）。
22. 默认域管理员和KRBTGT密码应该在每年以及有AD管理员辞职离开时更改一次。
23. 删除不再需要信任的SID并根据需要启用SID筛选。
24. 所有域认证应该设置（如果可能）为：“仅发送NTLMv2响应拒绝LM和NTLM。
25. 阻止DC，服务器和所有管理系统的互联网访问。
26. 监视敏感系统（DC等）上的计划任务。
参考文献：
1. Microsoft安全文档：
https://technet.microsoft.com/en-us/security/dn785092
2. 保护Active Directory的最佳做法：
3. 保护Active Directory：最佳实践概述（Word文档下载）
https://www.microsoft.com/en-us/download/details.aspx?id=38815
4. 从“保护Active Directory的最佳实践”文档，保护域控制器：
5. Microsoft虚拟学院：防御Active Directory免受网络攻击
6. 推荐审查策略：
7. 美国政府花费大量时间为不同的操作系统建立安全基线。我把他们推荐的安全设置作为起点，但他们推荐的有些设置会降低安全性（取决于客户的要求）
https://www.stigviewer.com/stig/windows_server_2012_2012_r2_domain_controller/
8. 还有一个用于Active Directory的STIG（2008只适用于StigViewer.com）：
https://www.stigviewer.com/stig/active_directory_domain/
发表评论
提供云计算服务