Active Directory

Простыми словами

Active Directory хранит сведения о пользователях, компьютерах, группах и их правах. Компрометация привилегированных учётных записей или контроллера домена способна затронуть значительную часть инфраструктуры.

Как применяется

Защита AD включает разделение административных ролей, минимальные привилегии, контроль изменений, безопасную конфигурацию протоколов, мониторинг событий и восстановление. Особое внимание уделяют привилегированным группам и доверительным отношениям.

Пример применения

Компания создаёт отдельные административные учётные записи, ограничивает вход администраторов на рабочие станции и отслеживает изменения в группах Domain Admins.

Не путать с

  • LDAPLDAP — протокол доступа к каталогу, а Kerberos — протокол аутентификации
  • KerberosНи один из них отдельно не равен AD

Как это работает

  1. КаталогAD хранит объекты пользователей, компьютеров, групп и параметры домена.
  2. АутентификацияКонтроллер домена проверяет пользователя и поддерживает Kerberos или NTLM.
  3. АвторизацияГруппы, списки доступа и политики определяют доступ к ресурсам.
  4. АдминистрированиеИзменения привилегий, политик и критичных объектов контролируются и журналируются.

Продолжить изучение

Связанные термины

Частые вопросы

Что хранится в Active Directory?

Это служба каталогов Microsoft для централизованного управления объектами домена, аутентификацией, политиками и доступом.

Чем домен отличается от леса AD?

Типичные риски связаны с избыточными привилегиями, слабыми настройками делегирования, устаревшими протоколами, компрометацией контроллеров домена и учётных данных.

Почему Active Directory является критичным объектом защиты?

AD использует LDAP для работы с каталогом и Kerberos для аутентификации, но включает значительно больше служб и механизмов.

Active Directory Domain Services — служба каталогов Microsoft для централизованного хранения объектов домена, аутентификации, авторизации и применения политик в корпоративной инфраструктуре Windows.