En test af Active Directory handler grundlæggende om ét spørgsmål: hvor langt kan en almindelig konto nå, og hvad står mellem den og kontrol over hele kataloget? Svaret hviler på de rettigheder, konti og tillidsforhold, der har bygget sig op gennem årene, og ikke på en enkelt svaghed i software. For IT-afdelingen betyder det, at forberedelsen handler om overblik og driftssikkerhed, og at fundene kan pege på opgaver, der tager længere tid end en opdatering.
Køberens beslutninger om AD i testen, herunder spørgsmål og udgangspunkt, er beskrevet på penetrationtest.dk. Her er driftens side: hvad testeren ser på, hvad I skal have klar, og hvordan I modtager resultatet.
Hvorfor AD bliver testet indefra
AD er bygget til at være tilgængeligt for alle medarbejdere. Enhver gyldig konto kan som udgangspunkt slå op i kataloget og se meget af dets struktur. Det er en forudsætning for, at det virker, men det betyder også, at en test fra en almindelig konto kan danne sig et detaljeret billede af grupper, rettigheder og konti.
Microsoft beskriver i sine anbefalinger for at sikre AD, hvordan tyveri af loginoplysninger typisk retter sig mod konti med vedvarende høje rettigheder, og hvordan for mange brugere i privilegerede grupper og samme lokale administratoradgangskode på mange maskiner øger risikoen. Testen undersøger, om de forhold findes hos jer.
Det, testen ser på
Testens områder kan beskrives uden at gå ind i fremgangsmåden. De falder i nogle få grupper.
- Privilegerede grupper · hvem der er medlem af de mest betroede grupper, direkte eller gennem andre grupper. → Privilegerede grupper i Active Directory
- Tjenestekonti · konti, som programmer bruger, deres rettigheder og hvordan de er beskyttet. → Tjenestekonti
- Delegering og arvede rettigheder · rettigheder, der er givet til grupper eller konti over dele af kataloget, og som giver mere magt end forventet. → Delegerede og arvede rettigheder
- Domænecontrollerne · hvem der kan logge på dem, og hvordan de er opdateret og beskyttet. → Domænecontrollere
- Adgangskoder og politikker · om politikkerne faktisk gælder alle, og om der er konti, der falder udenfor.
- Tilknyttede tjenester · certifikattjenester, synkronisering til skyen og andre systemer, der har høje rettigheder i kataloget.
Resultatet kan være en beskrivelse af veje: en række forhold, der hver for sig ser uskyldige ud, men som tilsammen fører fra en almindelig konto til en betroet. Det er vejene, ikke de enkelte forhold, der giver testen sin værdi.
Det, IT skal have klar
Forberedelsen til en AD-test er mindre teknisk, end man kunne tro. Den handler om konti, mennesker og en klar aftale om, hvad testeren må.
- Testkonti · en almindelig brugerkonto, der ligner en medarbejders, og eventuelt en konto med en bestemt rolle, hvis det er aftalt. Ingen administratorkonti fra start.
- Maskine eller udgangspunkt · en klient på nettet, en testenhed eller adgang via VPN, efter aftale.
- Kontaktperson · en person, der kender AD og kan nås under hele testen.
- Oversigt · en kort beskrivelse af domæner, tillidsforhold og koblingen til Entra ID.
- Grænser · en skriftlig aftale om, hvad testeren må gøre, hvis der opnås høje rettigheder, og hvornår der skal stoppes og gives besked.
Aftal også, hvad der må ændres. En test kan påvise en vej uden at ændre noget i kataloget, og det er normalt det, I ønsker. Hvis noget alligevel bliver oprettet eller ændret, skal det stå på testerens liste over spor.
Tænk også over, hvem i IT der skal kende til testen. Den eller de personer, der administrerer AD til daglig, skal vide, at den finder sted, så en uventet hændelse ikke bliver håndteret som et angreb med nulstilling af konti og afbrudte forbindelser. Er driften af AD lagt ud til en leverandør, skal leverandøren orienteres på samme måde og have en kontaktperson, der kan nås i testperioden.
Drift under testen
AD er en fælles tjeneste, og forstyrrelser mærkes bredt. Det mest almindelige er låste konti, hvis en test af adgangskoder rammer politikken for antal forsøg. Aftal, om den del indgår, og hvordan den i så fald holdes under grænsen. → Låste konti under testen
Hold øje med domænecontrollerne i testperioden, og sørg for, at overvågningen kan skelne testens aktivitet fra andet, hvis den er orienteret. Hvis AD er synkroniseret med Entra ID, kan en ændring eller låsning lokalt få betydning i skyen. → Hybrid identitet
Undgå at rydde op i AD lige op til testen, medmindre det er en bevidst beslutning. En nyligt ryddet opsætning siger noget om den nye tilstand og ikke om den, der har været i drift.
Når resultatet lander
Fund fra en AD-test kan kræve arbejde over tid. En bred gruppe kan skæres ned på en dag, men at indføre adskilte administratorkonti eller at rydde op i delegeringer er et projekt. Bed om, at rapporten samler fund, der hænger sammen, og peger på de led, der bryder flest veje på én gang.
Prioritér først det, der giver direkte adgang til de mest betroede konti. Derefter kommer de forhold, der gør det let at bevæge sig mellem maskiner, fx genbrugte lokale administratoradgangskoder. Saml resten i en plan, der gennemføres i trin. → Oprydning i Active Directory efter testen
Loginoplysninger, testeren har haft adgang til, skal betragtes som kendte. Tag stilling til, hvilke adgangskoder der skal skiftes, også for konti, der ikke direkte står i et fund.
Det skal I lade være med
- At give testeren en administratorkonto fra start. Så viser testen ikke vejen fra en almindelig konto.
- At rydde op i hast lige før testen. Resultatet beskriver så en tilstand, der ikke har været i drift.
- At rette enkeltfund uden at se vejene. Det rigtige led kan bryde flere veje på én gang.
- At glemme koblingen til Entra ID. Fund i det lokale katalog kan have betydning i skyen.
- At lade loginoplysninger, testeren har set, være uændrede. De skal betragtes som kendte.
Hvad kan og ikke kan konkluderes
En AD-test viser, hvilke veje testeren fandt fra de aftalte konti og udgangspunkter i testperioden. Den kan ikke garantere, at alle veje er fundet, og AD ændrer sig, hver gang konti, grupper og rettigheder ændres. Et resultat uden en vej til de mest betroede konti er mest værd, når rapporten viser, hvilke områder der blev undersøgt.
Tjekliste før AD-testen
- ☐ Er testkonti oprettet uden administratorrettigheder?
- ☐ Er udgangspunktet aftalt og klargjort?
- ☐ Er der en kontaktperson, der kender AD?
- ☐ Er grænserne for, hvad testeren må gøre med høje rettigheder, skrevet ned?
- ☐ Er det aftalt, hvordan låste konti undgås eller håndteres?
- ☐ Er koblingen til Entra ID beskrevet for testeren?
Kilder
- Microsoft Learn: Best practices for securing Active Directory: konti, der typisk er mål for tyveri af loginoplysninger, og risikable opsætninger som for mange medlemmer i privilegerede grupper.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Tjenestekonti · Domænecontrollere
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
