Domænecontrollerne er de servere, hvor kataloget bor. Den, der har fuld adgang til én af dem, har i praksis adgang til alle konti og maskiner i domænet. Svaret på, hvad en test ser efter, hviler derfor på et spørgsmål, der er enkelt at stille og svært at svare på: hvem og hvad kan i dag nå domænecontrollerne med rettigheder, og er det kun dem, der skal?
Microsoft skriver i sin vejledning om at beskytte domænecontrollere, at et kompromitteret katalog ikke kan betragtes som troværdigt igen, medmindre det gendannes fra en kendt god sikkerhedskopi, og de huller, der blev brugt, lukkes. Det er baggrunden for, at fund omkring domænecontrollerne altid står højt i rapporten.
Hvorfor de er særlige
En domænecontroller er ikke bare en vigtig server. Den kan læse og skrive alt i kataloget, og alle andre systemer, der bruger kataloget, stoler på den. Microsoft anbefaler derfor, at domænecontrollere sikres for sig og strengere end den øvrige infrastruktur.
I praksis kan de stå side om side med andre servere: på samme virtualiseringsplatform, i samme opdateringsgruppe, administreret med de samme værktøjer og med samme driftsrutiner. Hver af de fællesskaber er en mulig vej ind, og ingen af dem ses, hvis testen kun ser på domænecontrollerne isoleret.
Det, testen ser på
Testen ser ikke kun på domænecontrollerne selv, men på alt, der kan styre dem. Fundene beskriver forhold, ikke fremgangsmåder.
- Hvem kan logge på · hvilke konti og grupper der har ret til at logge på domænecontrollerne lokalt eller via fjernskrivebord, og fra hvilke maskiner. → Privilegerede grupper i Active Directory
- Opdateringer og version · om styresystemet er understøttet og opdateret, og om der står ældre domænecontrollere tilbage. → Servere og styresystemer uden support
- Ekstra roller og software · om domænecontrollerne også kører andre tjenester, programmer eller agenter, som udvider, hvad der kan nå dem.
- Platformen under dem · hvem der kan styre virtualiseringsplatformen, lageret eller backupsystemet, som domænecontrollerne er afhængige af. → Virtualiseringsplatformen som testområde
- Internetadgang · om der browses eller hentes filer direkte fra domænecontrollerne.
- Fysisk placering · om domænecontrollere på filialer og fjernkontorer står, hvor uvedkommende kan komme til dem. → Intern test på flere lokationer
Rapporten bør beskrive hvert forhold som et led: hvad giver det adgang til, og hvem kan bruge det i dag?
Det, IT skal have klar
Domænecontrollerne er ikke steder, hvor testeren skal afprøve noget, der kan forstyrre. Forberedelsen handler derfor om overblik og aftaler.
- Liste over domænecontrollere · navne, placering, version og hvilke af dem der er virtuelle.
- Afhængigheder · hvilke platforme, backupsystemer og driftsværktøjer der kan styre dem.
- Grænser · en klar aftale om, at test mod domænecontrollerne ikke må belaste dem, og hvornår testeren skal stoppe og give besked.
- Overvågning · hvem der holder øje med domænecontrollerne i testperioden, og hvordan en uventet hændelse håndteres. → Beredskab under testen
Hvem der bør logge på
Svaret på titlens spørgsmål er kort: så få som muligt, og kun til administration af kataloget. Microsoft anbefaler, at fjernskrivebord til domænecontrollere kun tillades for autoriserede brugere og fra bestemte systemer, fx dedikerede maskiner til administration, og at reglerne håndhæves med politikker, så de vender tilbage, hvis nogen ændrer dem.
Det udelukker en række vaner, der er almindelige i driften:
- Servicedesken · har ingen grund til at logge på en domænecontroller.
- Serveradministratorer generelt · administrerer andre servere og bør ikke have adgang her.
- Leverandører · logger kun på, hvis det er aftalt, og med personlige konti beregnet til netop det niveau. → Lagdelt administration
- Programmer · tjenestekonti til backup, overvågning og inventar bør have så smalle rettigheder som muligt på domænecontrollerne.
Microsoft fraråder desuden udtrykkeligt brug af browser på domænecontrollere og anbefaler at begrænse deres adgang til internettet. En domænecontroller er ikke et sted at hente en opdatering eller slå noget op.
Sådan prioriterer I fundene
Fund omkring domænecontrollerne deles naturligt i tre grupper.
- Adgang, der ikke burde være der · konti, grupper eller systemer med rettigheder til domænecontrollerne uden et klart formål. De fjernes først.
- Fællesskaber med andre systemer · domænecontrollere på samme platform, med samme opdateringsværktøj eller samme backupkonti som resten. Microsoft anbefaler at holde opdatering og styring af domænecontrollerne adskilt fra den øvrige infrastruktur. Det er et projekt, der planlægges.
- Opsætning og version · ældre styresystemer, unødvendige roller og manglende hærdning. Microsoft anbefaler at køre domænecontrollere på den nyeste version af Windows Server, organisationen understøtter, og at udfase ældre domænecontrollere. → Servere som testområde
Domænecontrollerne er også de første, der skal have styr på backup. Kan I ikke gendanne kataloget fra en kendt god kopi, har I ingen vej tilbage, hvis noget går galt.
Når testen nåede helt ind
Nogle rapporter konkluderer, at testeren opnåede rettigheder, der gav kontrol over domænecontrollerne. Det er et resultat, der kræver mere end almindelig oprydning, selv om alt foregik efter aftalen.
Bed testeren om en præcis liste over, hvad der blev gjort med de høje rettigheder: hvilke konti der blev brugt, om noget blev oprettet eller ændret, og hvilke loginoplysninger testeren havde adgang til. Gennemgå listen sammen med den, der administrerer kataloget, og fjern alt, der er efterladt. → Spor efter testeren
Tag derefter stilling til, hvilke adgangskoder der skal skiftes. Konti, testeren har haft adgang til, skal betragtes som kendte, også dem med de højeste rettigheder og de konti, som kataloget selv bruger internt. Den slags skift kan påvirke driften og bør planlægges med samme omhu som andre ændringer på domænecontrollerne. Et resultat af den type er også et godt tidspunkt at afprøve, om gendannelse af kataloget faktisk virker.
Det skal I lade være med
- At behandle domænecontrollerne som almindelige servere. De skal sikres for sig.
- At give servicedesken og alle serveradministratorer adgang. Kun dem, der administrerer kataloget, skal kunne logge på.
- At browse eller hente filer fra en domænecontroller.
- At lade domænecontrollere dele platform og værktøjer med resten uden at vurdere det.
- At glemme filialerne. En domænecontroller i et ulåst rum er et fysisk fund.
Hvad kan og ikke kan konkluderes
Testen viser, hvem og hvad der kunne nå domænecontrollerne med rettigheder i testperioden, og hvilke forhold der gjorde det muligt. Den kan ikke garantere, at der ikke findes andre veje, og den viser ikke, om I kan gendanne kataloget efter en hændelse. Det skal afprøves for sig.
Tjekliste til domænecontrollerne
- ☐ Er det kun administratorer af kataloget, der kan logge på domænecontrollerne?
- ☐ Er fjernskrivebord begrænset til bestemte systemer?
- ☐ Kører alle domænecontrollere en understøttet og opdateret version?
- ☐ Er platform, backup og driftsværktøjer, der kan styre dem, vurderet?
- ☐ Er browsing og internetadgang fra domænecontrollerne begrænset?
- ☐ Er domænecontrollere på filialer fysisk sikret?
Kilder
- Microsoft Learn: Securing domain controllers against attack: kompromitteret katalog ikke troværdigt uden gendannelse fra kendt god kopi, sikring for sig og strengere end resten, fysisk sikring, nyeste understøttede version, fjernskrivebord kun for autoriserede brugere og systemer, separat opdatering og styring samt ingen browser og begrænset internetadgang.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Certifikattjenester i Active Directory · Backupsystemet som mål
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
