Active Directory مشخص می‌کند چه کسی می‌تواند به کدام رایانه، پوشه و سیستم دسترسی داشته باشد. به همین دلیل هدف اصلی مهاجمان است؛ کسی که کنترل دامین را بگیرد، کنترل کل سازمان را گرفته است. این ده کار، پایه یک دامین سالم و امن است.
۱. دست‌کم دو کنترلر دامین
اگر فقط یک کنترلر دامین دارید و از کار بیفتد، ورود کاربران، دسترسی به فایل‌ها و بسیاری از سرویس‌ها مختل می‌شود. دست‌کم دو کنترلر دامین روی دو میزبان یا سرور فیزیکی متفاوت داشته باشید و سلامت همگام‌سازی (Replication) بین آن‌ها را به‌صورت دوره‌ای بررسی کنید.
۲. بکاپ از Active Directory
از کنترلرهای دامین بکاپ System State یا بکاپ کامل ماشین بگیرید و بازیابی آن را تست کنید. بازیابی دامین سناریویی است که بهتر است پیش از بحران تمرین شده باشد.
۳. حساب‌های مدیر کم و جدا
- تعداد اعضای گروه‌های Domain Admins و Enterprise Admins را به حداقل برسانید.
- مدیران برای کارهای روزمره از حساب عادی استفاده کنند و حساب مدیر جدا داشته باشند.
- با حساب Domain Admin روی رایانه‌های کاربران وارد نشوید؛ رمز آن در حافظه آن رایانه می‌ماند و قابل سرقت است.
۴. رمز یکتای مدیر محلی با Windows LAPS
اگر رمز Administrator محلی روی همه رایانه‌ها یکی باشد، نفوذ به یک رایانه یعنی دسترسی به همه. Windows LAPS که در نسخه‌های جدید ویندوز و ویندوز سرور به‌صورت داخلی وجود دارد، برای هر رایانه رمز یکتا و دوره‌ای می‌سازد و آن را امن در دامین نگه می‌دارد.
۵. سیاست رمز و قفل حساب
سیاست رمز را با تمرکز بر طول مناسب تنظیم کنید و برای جلوگیری از حدس رمز، قفل موقت حساب پس از چند تلاش ناموفق را فعال کنید. برای حساب‌های حساس می‌توانید با Fine-Grained Password Policy سیاست سخت‌گیرانه‌تری بگذارید.
۶. حساب‌های بلااستفاده را غیرفعال کنید
حساب کارمندان جداشده و رایانه‌هایی که ماه‌هاست به دامین وصل نشده‌اند، درهای بازی هستند که کسی مراقبشان نیست. یک روند مشخص برای غیرفعال‌سازی حساب هنگام خروج کارکنان داشته باشید و هر چند ماه حساب‌های بی‌فعالیت را بررسی کنید.
۷. ساختار OU و Group Policy مرتب
کاربران و رایانه‌ها را در OUهای منطقی (مثلاً بر اساس واحد یا شعبه) قرار دهید تا Group Policyها دقیق و قابل‌پیش‌بینی اعمال شوند. GPOهای بلااستفاده یا تکراری را حذف کنید و برای هر GPO توضیح بنویسید.
۸. دسترسی پوشه‌ها بر اساس گروه
دسترسی به پوشه‌های اشتراکی را به گروه‌ها بدهید، نه به تک‌تک کاربران. با جابه‌جایی یک کارمند بین واحدها، فقط عضویت گروهش عوض می‌شود و دسترسی‌ها خودبه‌خود درست می‌شوند.
۹. DNS سالم
بسیاری از مشکلات عجیب دامین در واقع مشکل DNS هستند. رایانه‌ها و سرورها فقط از DNS کنترلرهای دامین استفاده کنند (نه DNS اینترنتی)، رکوردهای قدیمی با Scavenging پاک شوند و Forwarderهای اینترنتی درست تنظیم شده باشند.
۱۰. به‌روزرسانی و پایش رویدادها
کنترلرهای دامین را به‌روز نگه دارید؛ آسیب‌پذیری‌های دامین از پرخطرترین‌ها هستند. رویدادهای مهم مثل ورودهای ناموفق مکرر، تغییر عضویت گروه‌های مدیر و ساخت حساب جدید را پایش کنید تا تغییر مشکوک دیده شود.
اگر ویندوز سرور شما از دوره پشتیبانی مایکروسافت خارج شده، دیگر به‌روزرسانی امنیتی دریافت نمی‌کند. مهاجرت به نسخه پشتیبانی‌شده را در برنامه قرار دهید.
جمع‌بندی
یک دامین سالم بی‌صدا کار می‌کند و یک دامین نامرتب، منشأ مشکلات روزمره و ریسک‌های امنیتی بزرگ است. کارشناسان ما می‌توانند سلامت Active Directory شما را بررسی کنند، گزارش مشکلات را ارائه دهند و دامین را مرتب و امن کنند.