В обезличенном отчёте первичной проверки домена итоговый уровень риска достиг 100 из 100. Это максимальное значение шкалы PingCastle, но не «100% вероятность взлома» и не доказательство того, что злоумышленник уже находится в сети. Итоговый балл показывает, что хотя бы один из четырёх индикаторов достиг верхней границы; чем он ниже, тем лучше состояние домена.
Ценность такого результата — не в красной цифре, а в перечне конкретных путей атаки. В данном случае они складывались в опасную цепочку: устаревшая серверная платформа, старые протоколы, недостаточно защищённые привилегированные учётные записи и слабая регистрация событий.
Что именно было проверено
На первом этапе мы выполнили health check Active Directory: собрали сведения о контроллерах домена, групповых политиках, протоколах аутентификации, привилегированных группах, устаревших объектах и механизмах восстановления. Отчёт выявил 31 правило риска с ненулевым баллом.
Это ещё не полноценный пентест. Проверка не подтверждает эксплуатацию уязвимостей и не охватывает весь внешний периметр, сетевую сегментацию, VPN, веб-приложения, рабочие станции и возможность восстановления из резервной копии. Поэтому корректная формулировка результата — первичный аудит безопасности Active Directory.
Основные находки и их риски
| Находка | Подтверждено отчётом | Возможное последствие |
|---|---|---|
| Устаревшие контроллеры домена | Оба контроллера относятся к семейству Windows Server 2012/2012 R2; сканер отметил признаки отсутствия защиты от MS17-010 и MS14-068 | Захват контроллера домена, повышение привилегий, распространение атаки по сети |
| Устаревшие протоколы | На контроллерах доступен SMBv1; политика допускает LM или NTLMv1 | Перехват или подбор учётных данных, совместимость с давно неподдерживаемыми сценариями атаки |
| Слабая защита администраторов | Использовалась встроенная учётная запись администратора; обнаружены старые бессрочные пароли, лишние постоянные членства и разрешённая делегация | Компрометация одной учётной записи может дать контроль над доменом |
| Нет централизованной ротации локальных паролей | Windows LAPS не обнаружен | При повторном использовании локального пароля компрометация одного компьютера облегчает боковое перемещение |
| Лишняя поверхность атаки на контроллерах | Print Spooler доступен удалённо, разрешены неподписанные LDAP-подключения, найдены RPC-интерфейсы для принудительной аутентификации | Перехват или перенаправление аутентификации, движение от обычного узла к привилегированному |
| Недостаточные аудит и восстановление | Не собираются ключевые события на контроллерах, корзина Active Directory отключена | Инцидент позже обнаруживается и сложнее расследуется; ошибочно удалённые объекты труднее восстановить |
Автоматический отчёт также зафиксировал полезные защитные меры: в домене несколько контроллеров, для SMB2/SMB3 требуется подпись, а сведения о резервном копировании были актуальными на момент сбора данных. Это не отменяет критические находки, но показывает, что инфраструктуру следует последовательно укреплять, а не объявлять безнадёжной.
Почему нельзя просто «выключить всё небезопасное»
SMBv1, NTLMv1 или неподписанный LDAP часто сохраняются не по осознанному решению, а ради старого оборудования и приложений. Их резкое отключение может остановить сканирование, печать, обмен файлами или интеграцию с учётной системой.
Поэтому сначала нужно включить аудит обращений, определить зависимые устройства и приложения, подготовить замену, а затем менять политики. Microsoft также рекомендует выявлять клиентов, использующих NTLMv1 и неподписанный LDAP, до запрета этих протоколов. Аналогично результат по MS17-010 и MS14-068 следует подтвердить по точной версии ОС, установленным накопительным обновлениям и статусу Extended Security Updates: сканер формирует вывод по доступным признакам, а не проводит эксплуатацию.
Последовательность устранения рисков
1. Подтвердить исходное состояние
Перед изменениями проверяют репликацию и DNS, состояние контроллеров, версии ОС и обновлений, журналы ошибок, резервное копирование System State и возможность восстановления. Для каждой находки фиксируют доказательство, владельца системы, риск простоя и критерий успешной проверки.
2. Защитить контроллеры домена
Первый приоритет — обновление либо миграция контроллеров с Windows Server 2012/2012 R2 на поддерживаемую версию. Расширенная поддержка этих систем завершилась в 2023 году; Extended Security Updates дают только временный мост до миграции. Параллельно проверяют зависимость от SMBv1 и LM/NTLMv1, ограничивают Print Spooler и закрывают подтверждённые векторы принудительной аутентификации.
3. Сократить привилегии и защитить пароли
Администраторские учётные записи отделяют от повседневных, удаляют ненужные постоянные членства в привилегированных группах, запрещают делегацию для чувствительных аккаунтов и пересматривают бессрочные пароли. Windows LAPS внедряют для автоматической ротации уникальных локальных паролей. Пароль krbtgt, который в отчёте не менялся более четырёх лет, обновляют только по утверждённой процедуре и после проверки репликации: Microsoft предусматривает два сброса с безопасным интервалом.
4. Усилить обнаружение и восстановление
На контроллерах включают расширенный аудит, журналирование PowerShell и централизованный сбор событий. Корзину Active Directory активируют после проверки предварительных условий и резервного копирования: операция необратима, зато последующее восстановление случайно удалённых объектов становится значительно проще.
5. Повторить проверку
После каждого этапа нужны техническая проверка, контроль работы бизнес-сервисов и новый отчёт. Снижение балла полезно как показатель динамики, но конечный критерий — устранение подтверждённых путей компрометации без нарушения работы инфраструктуры.
Что получает руководитель после аудита
Хороший отчёт не заканчивается перечнем из десятков предупреждений. Руководителю нужны понятные приоритеты: возможный сценарий атаки, затронутые системы, вероятность простоя при исправлении, ответственный, срок и способ проверки.
Первичный health check даёт карту рисков. Решение появляется только после ручной проверки, плана изменений, тестирования совместимости и повторного контроля. Именно так максимальный балл превращается не в повод для паники, а в управляемую программу укрепления Active Directory.