Como criar um relatório de avaliação de segurança do Active Directory

A Microsoft lançou o Active Directory em 1999 e ainda é usado por 90% das principais corporações do mundo. Embora seja muito popular, o problema é que recebe muitos ataques de segurança. Para reduzir drasticamente a superfície de ataque do AD, é bom executar uma avaliação de segurança do AD e corrigir os indicadores de segurança sinalizados. Neste artigo, você aprenderá como criar um relatório de avaliação de segurança do Active Directory.

O que é Cavaleiro Roxo?

As vulnerabilidades do Active Directory, Microsoft Entra ID e Okta podem fornecer aos invasores acesso praticamente irrestrito à rede e aos recursos da sua organização.Semprecriou o Purple Knight, uma ferramenta gratuita de avaliação de segurança que ajuda a descobrir indicadores de exposição (IoEs) e indicadores de comprometimento (IoCs) para os seguintes ambientes:

Okta
Microsoft Entra ID
Diretório Ativo

Esta ferramenta GRATUITA verifica e relata o seguinteindicadores de segurança.

Purple Knight não é um software de código aberto. É um wrapper criado em torno de scripts do PowerShell executados no Active Directory. Todos os scripts do PowerShell usados pelo software Purple Knight podem ser encontrados na pasta e abertos assim que você baixar o software, para que você possa examinar o que ele faz.

Não há instalador e é um executável portátil, o que é fantástico.

Para criar um relatório de avaliação de segurança do Active Directory, siga estas etapas:

Etapa 1. Baixe o Cavaleiro Roxo

Faça login em um cliente ingressado no domínio com um usuário normal sem privilégios (usuário do domínio)
Baixar Cavaleiro Roxono cliente ingressado no domínio

Observação:É recomendado que você baixe o software em um cliente associado ao domínio, em vez do Controlador de Domínio. Executá-lo em um cliente associado a um domínio com um usuário normal mostra exatamente como os invasores veem o ambiente quando entram nele.

Extraia a pasta noArquivo zipe salve-o emC: Instalar

Passo 2. Desbloquear arquivos com PowerShell

É essencial desbloquear os arquivos extraídos do Purple Knight antes de iniciar o aplicativo:

Inicie o Windows PowerShell
Execute o comando abaixo para desbloquear todos os arquivos noComunidade PK 4.2diretório

Get-ChildItem -Path "C:InstallPurpleKnight-CommunityPK Community 4.2" -Recurse | Unblock-File

Se você não fizer isso, receberá o erro abaixo ao iniciar o aplicativo Purple Knight.

Etapa 3. Execute o aplicativo Purple Knight

Clique duas vezes emPurpleKnight.exepara executar o aplicativo Purple Knight

Aceitaro contrato de licença
CliquePróximo

Clique notrês pontosno topo
SelecioneVerifique se há atualizações

CliqueAtualizar

As atualizações dos indicadores de segurança estão sendo baixadas

Verifique se tanto oVersão PKeIndicadores de segurançaestão atualizados

Observação:Certifique-se de que a versão PK (Purple Knight) e os indicadores de segurança estejam sempre atualizados antes de prosseguir.

O Cavaleiro Roxoroteirosas pastas serão atualizadas com os indicadores de segurança mais recentes

Agora também é um bom momento para examinar os scripts, se você achar isso interessante. Assim, você pode ver exatamente o que ele faz ao executar o relatório.

Selecione a caixa de seleçãoDiretório Ativo
CliqueSelecione

CliquePróximo

Clique noSegurança de infraestrutura ADexpandir ícone

Encontre a caixa de seleção desmarcadaVulnerabilidade de logon zero

Observação:Por padrão, apenas uma caixa de seleção está desmarcada, e essa é aVulnerabilidade de logon zeroindicador de segurança. Isso ocorre porque leva várias horas para ser executado em um ambiente de produção típico. Execute o relatório com essa opção desmarcada e, assim que conseguir passar pelo relatório, retorne e ative a vulnerabilidade Zerologon para uma nova verificação.

CliqueExecutar testes

Mostra o status do progresso, o tempo decorrido e quantos indicadores de segurança são processados

A verificação termina e o resumo mostra oPontuação total do Active Directory, incluindo quantosIOEs (Indicadores de Exposição)são encontrados
CliqueSalvar comoe salve umRelatório completo em PDF
CliqueVer relatório

Ele salvará automaticamente um relatório HTML e uma lista de verificação do Excel com todos os resultados do indicador no Cavaleiro Roxosaídapasta (em nosso exemplo, executamos o relatório duas vezes)

Abra a pasta para verificar os arquivos do relatório de avaliação de segurança do Active Directory

Etapa 4. Examine o relatório de avaliação de segurança do Active Directory

A saída HTML aparece e mostra o relatório de avaliação de segurança do Active Directory. Não tenha pressa e veja o que você pode melhorar em sua organização.

É assim que fica em nosso ambiente do Active Directory.

Um exemplo de um dos quatorze IOEs encontrados no Active Directory e que aparece no relatório é:O serviço de spooler de impressão está habilitado em um DC.

Imediatamente tomamos medidas para remediar o indicador de segurança. Feito isso, executamos novamente o Purple Knight para criar uma nova verificação e relatório de segurança.

Mais leitura:Como redefinir a senha esquecida do modo de restauração dos serviços de diretório no Active Directory

Leia mais no artigo Como desativar o spooler de impressão no controlador de domínio.

É isso!

Conclusão

Você aprendeu como realizar uma avaliação de segurança do Active Directory. O software Purple Knight é rápido na varredura do ambiente e na identificação dos indicadores de segurança. É fundamental saber que você deve executar esta ferramenta semanalmente, mensalmente ou trimestralmente, dependendo do seu ambiente. Além disso, a ferramenta é sempre atualizada com novos indicadores de segurança, e você sempre deseja que as alterações de segurança mais recentes sejam verificadas em sua organização.

É interessante que o Purple Knight identifique uma série de pontos de risco que os produtos de segurança adquiridos ignoram completamente. Eu absolutamente recomendaria esta ferramenta gratuita de avaliação do Active Directory.

Você gostou deste artigo? Você também pode gostar da verificação de integridade do Active Directory com script do PowerShell. Não se esqueça de nos seguir e compartilhar este artigo.