Active Directory Security Checklist: 12 controlli essenziali per valutare la sicurezza del dominio
Individua le configurazioni deboli e i privilegi eccessivi prima che lo faccia un attaccante.
Un primo livello strutturato di verifica per proteggere il cuore della tua infrastruttura.
Perché un assessment di Active Directory non è più opzionale
In un ecosistema Windows, Active Directory (AD) rappresenta il centro nevralgico: se un attaccante compromette il dominio, compromette tutto. Utenti, file server, database e servizi cloud collegati diventano vulnerabili in pochi minuti attraverso movimenti laterali ed escalation di privilegi.
Troppo spesso la sicurezza di AD viene trascurata a favore del perimetro (firewall, endpoint), ma le minacce più pericolose oggi nascono da configurazioni legacy, permessi eccessivi ereditati negli anni e protocolli obsoleti mai disabilitati. Questa checklist nasce dall'esperienza sul campo dei consulenti Nexsys per offrirti una metodologia chiara: identificare le debolezze prima che diventino punti di ingresso per un attacco.
7 Aree Critiche sotto la tua lente d'ingrandimento
Identity & Authentication:
Password Policy, Fine-Grained Password Policy, account lockout, autenticazione forte degli account privilegiati.
Privileged Access:
Analisi dei Domain Admins, Enterprise Admins, deleghe, account amministrativi separati, gMSA, applicazione del principio del "least privilege".
AD Configuration:
Valutazione della sicurezza LDAP (signing e channel binding), disabilitazione dei protocolli Legacy (NTLMv1, SMBv1); abilitazione SMB signing ed analisi della sicurezza Kerberos.
Kerberos Security:
AES/RC4, SPN, Kerberoasting, AS-REP Roasting, deleghe nconstrained/constrained/RBCD, KRBTGT.
AD Certificate Services (AD CS):
CA, Certificate Templates, enrollment permissions, ESC1–ESC16, certificate-based privilege escalation.
Monitoring & Detection:
Advanced Audit Policy, Windows Event Forwarding/SIEM, DCSync detection, backup System State, restore test, forest recovery.
Resilience & Attack Path:
Analisi della segmentazione di rete dei Domain Controller e studio dei percorsi d'attacco (Attack Path Analysis) per mitigare le catene di privilegi critiche.
Non tutte le vulnerabilità sono uguali: impara a dare priorità
Una volta completata la checklist, avrai davanti una mappa delle tue vulnerabilità. Ma da dove iniziare? La guida ti insegna a focalizzarti sulle "criticità a impatto totale":
- Escalation di privilegi: Tutto ciò che riguarda ACL e deleghe.
- Persistenza: Meccanismi che permettono a un attaccante di restare nel sistema anche dopo un riavvio o un cambio password.
- Visibilità: Se non hai log centralizzati e alert su attività come il DC-Sync, sei cieco di fronte a un attacco in corso.
Active Directory Security Checklist: i 12 controlli essenziali
1. Verifica dei gruppi privilegiati
Controllare Domain Admins, Enterprise Admins, Schema Admins e membership annidate non necessarie.
2. Account amministrativi separati
Verificare che gli account privilegiati non vengano utilizzati per attività quotidiane.
3. Account di servizio
Individuare service account con password obsolete, privilegi eccessivi e possibilità di migrazione a gMSA.
4. Kerberos
Controllare RC4, SPN, Kerberoasting, AS-REP Roasting e configurazioni di delegazione.
5. LDAP
Verificare LDAP Signing, Channel Binding e utilizzo di connessioni LDAP non protette.
6. NTLM e protocolli legacy
Individuare NTLMv1, SMBv1, LLMNR e NBT-NS e verificare SMB signing.
7. Group Policy
Analizzare configurazioni e soprattutto ACL/deleghe sulle GPO.
8. AD Certificate Services
Verificare CA e certificate template per configurazioni che consentano privilege escalation.
9. ACL e deleghe
Controllare GenericAll, GenericWrite, WriteDACL, WriteOwner e DCSync rights.
10. Logging e detection
Verificare Advanced Audit Policy, raccolta centralizzata degli eventi e alert sugli eventi ad alto rischio.
11. Backup e recovery
Verificare System State backup, protezione dei backup e test periodici di restore/forest recovery.
12. Attack Path
Mappare i percorsi che consentono a utenti o sistemi compromessi di raggiungere account Tier 0 o Domain Admin.
Quando la Checklist non basta: l'Assessment Professionale Nexsys
La sicurezza è un bersaglio mobile. Questa checklist è un eccellente strumento di self-assessment per identificare le macro-vulnerabilità, ma la bonifica di un ambiente di produzione richiede una precisione chirurgica.
Un errore in una GPO o una modifica errata ai permessi di uno schema possono causare downtime critici. Per questo, Nexsys affianca le aziende con un Servizio di Assessment & Hardening AD che va oltre il controllo manuale: utilizziamo tool di analisi avanzata dei percorsi di attacco (Attack Path Analysis), verifichiamo l'integrità del database NTDS e progettiamo una roadmap di rimedio che garantisce la business continuity.
Non fermarti alla checklist: diventa un esperto della sicurezza di AD
Vuoi imparare a configurare e gestire Active Directory con sicurezza ed efficienza? Nexsys offre percorsi di formazione avanzata:
Corso Active Directory: Attack & Defense → Tecniche offensive e difensive per professionisti.
Scopri il corso Active Directory - Attack & Defense
Corso Gestione Active Directory → Per un'amministrazione sicura e completa.
Preferisci compilare il modulo? Scrivi i tuoi dati qui sotto
Il servizio telefonico è attivo dal lunedì al venerdì dalle 8:00 alle 18:00 al numero 0452456669. Puoi anche compilare il modulo sottostante: