La password DSRM (Directory Services Restore Mode) è una credenziale locale associata a ciascun Domain Controller e viene utilizzata negli scenari di ripristino e manutenzione di Active Directory Domain Services. Proprio perché non è una normale password di dominio, può essere trascurata per anni e diventare una credenziale ad alto rischio se è debole, riutilizzata o nota a persone che non ne hanno più necessità.
La sua gestione deve quindi rientrare nel processo di hardening dei Domain Controller: password unica per ciascun DC, accesso strettamente controllato, verifica delle modalità di logon DSRM e, negli ambienti compatibili, gestione centralizzata tramite Windows LAPS.
La password DSRM è solo uno dei controlli Tier 0
Verifica credenziali privilegiate, protocolli legacy, GPO, deleghe, ACL e percorsi di attacco con un Assessment & Hardening Active Directory.
Scopri l'Assessment Active DirectoryChe cos’è la password DSRM
DSRM significa Directory Services Restore Mode. È una modalità di avvio utilizzata per attività di riparazione o recovery di Active Directory Domain Services quando il normale servizio AD DS non è disponibile oppure quando è necessario intervenire sul database della directory.
Ogni Domain Controller dispone di una propria password DSRM. La credenziale viene impostata durante la promozione del server a Domain Controller e non segue automaticamente il ciclo di vita delle password degli account di dominio.
Questo dettaglio è importante: cambiare la password di un Domain Admin, modificare le password policy del dominio o eseguire la rotazione di KRBTGT non modifica la password DSRM.
Approfondimento: Active Directory: cos’è e come funziona.
Perché una password DSRM debole è un rischio
La password DSRM protegge un account locale privilegiato sul Domain Controller. Se questa credenziale viene riutilizzata, condivisa tra più DC, conservata in modo insicuro o lasciata invariata per periodi molto lunghi, aumenta il rischio che un attaccante possa sfruttarla come meccanismo di persistenza o come accesso privilegiato in scenari di compromissione.
Il rischio diventa maggiore quando viene modificato il comportamento di accesso DSRM rispetto alla configurazione standard. In particolare, configurazioni che consentono l’utilizzo dell’account DSRM anche fuori dalla modalità di recovery ampliano inutilmente la superficie di attacco.
- Password DSRM identica su più Domain Controller.
- Password conosciuta da più amministratori o mai ruotata dopo cambi di personale.
- Credenziale conservata in documenti, script o password manager senza controllo degli accessi adeguato.
- Impostazioni DSRMAdminLogonBehavior modificate senza una necessità operativa documentata.
- Assenza di inventario e processo di recovery testato per i Domain Controller.
DSRMAdminLogonBehavior: perché va controllato
Sui Domain Controller è possibile modificare tramite registro il comportamento di accesso dell’amministratore DSRM. La configurazione predefinita è quella più restrittiva e dovrebbe essere mantenuta salvo esigenze tecniche specifiche, temporanee e documentate.
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\DSRMAdminLogonBehavior
Come controllo di hardening, verificare che non siano presenti configurazioni persistenti che rendano l’account DSRM utilizzabile durante il normale funzionamento del Domain Controller. Se la chiave è stata creata per troubleshooting o recovery, la configurazione va riesaminata al termine dell’attività.
Per una verifica più ampia delle configurazioni AD: 8 vulnerabilità Active Directory comuni nel 2026.
Come cambiare la password DSRM con ntdsutil
Microsoft supporta la reimpostazione della password DSRM tramite ntdsutil da un prompt dei comandi eseguito con privilegi amministrativi. La password può essere reimpostata sul Domain Controller locale oppure su un altro Domain Controller specificato per nome.
Reset della password sul Domain Controller locale
ntdsutil
set dsrm password
reset password on server null
quit
quit
Quando richiesto, digitare la nuova password due volte. Durante l’immissione i caratteri non vengono visualizzati.
Reset della password su un altro Domain Controller
ntdsutil
set dsrm password
reset password on server NOME-DC
quit
quit
Sostituire NOME-DC con il nome DNS del Domain Controller interessato. La procedura va eseguita in modo controllato e documentato, mantenendo la disponibilità della credenziale per gli scenari di disaster recovery.
Riferimento tecnico Microsoft: Reimpostare la password dell’amministratore DSRM.
Meglio una password DSRM diversa per ogni Domain Controller
L’approccio più sicuro è evitare una password DSRM condivisa tra tutti i Domain Controller. Una credenziale unica aumenta il blast radius: se viene esposta, tutti i DC che la condividono diventano potenzialmente interessati.
La password deve quindi essere casuale, sufficientemente lunga, distinta per ogni Domain Controller e accessibile esclusivamente agli amministratori autorizzati per attività di recovery. Il processo deve includere la verifica periodica della recuperabilità della credenziale, non soltanto la sua rotazione.
Windows LAPS può gestire anche la password DSRM
Negli ambienti moderni, Windows LAPS è il metodo preferibile per ridurre la gestione manuale. Oltre alle password degli amministratori locali, Windows LAPS supporta il backup della password DSRM dei Domain Controller in Active Directory.
Per la password DSRM il backup è supportato verso Windows Server Active Directory e richiede la cifratura della password. Il backup della password DSRM verso Microsoft Entra ID non è supportato.
- Password DSRM diversa e gestita automaticamente per ciascun Domain Controller.
- Backup della credenziale nell’oggetto computer del DC in Active Directory.
- Protezione tramite cifratura quando sono soddisfatti i prerequisiti.
- Recupero tramite strumenti Windows LAPS e cmdlet PowerShell da parte di soggetti autorizzati.
- Riduzione del rischio legato a password statiche o condivise tra amministratori.
Guida Nexsys: Windows LAPS: implementazione e configurazione.
Impostazione Windows LAPS da verificare
La policy Windows LAPS include l’impostazione ADBackupDSRMPassword, che abilita il backup della password DSRM sui Domain Controller. L’impostazione viene applicata soltanto quando è abilitata la cifratura delle password in Active Directory e sono soddisfatti gli altri prerequisiti del deployment LAPS.
ADBackupDSRMPassword = Enabled
ADPasswordEncryptionEnabled = Enabled
Riferimenti Microsoft: Windows LAPS architecture — Windows LAPS policy settings.
Non sincronizzare una singola password DSRM su tutti i DC come standard
ntdsutil include anche una funzione di sincronizzazione one-shot della password DSRM da un account di dominio. La funzionalità può avere casi d’uso specifici, ma non dovrebbe tradursi nella scelta di una password DSRM comune a tutti i Domain Controller come modello ordinario di sicurezza.
Una password condivisa elimina la separazione tra i DC e aumenta l’impatto di un’eventuale compromissione. Dove possibile, Windows LAPS consente invece di mantenere credenziali individuali, gestite e recuperabili in modo controllato.
Quando cambiare la password DSRM
Non è utile affidarsi a una periodicità arbitraria senza considerare il modello di gestione. La priorità è impedire che la password rimanga statica, condivisa o non governata. Con Windows LAPS la rotazione può essere gestita tramite policy; con gestione manuale, la frequenza va definita nel processo di sicurezza e recovery dell’organizzazione.
- Dopo un sospetto incidente o una compromissione di credenziali amministrative.
- Dopo l’uscita o il cambio di ruolo di personale che conosceva la password.
- Dopo attività di recovery o troubleshooting in cui la credenziale è stata utilizzata o condivisa.
- Quando si rileva che più Domain Controller utilizzano la stessa password.
- Come parte di un programma periodico di hardening e verifica Tier 0.
Come verificare la gestione DSRM durante un assessment Active Directory
La password DSRM non va verificata isolatamente. Un assessment AD dovrebbe inserirla nel controllo complessivo della sicurezza dei Domain Controller e degli asset Tier 0.
- Inventario di tutti i Domain Controller e relativo sistema operativo.
- Verifica dell’utilizzo di Windows LAPS e della gestione DSRM sui DC supportati.
- Controllo delle ACL che consentono di recuperare le password LAPS/DSRM.
- Verifica della cifratura delle password LAPS in Active Directory.
- Controllo della configurazione DSRMAdminLogonBehavior.
- Analisi di privilegi, sessioni amministrative, GPO e protocolli legacy sui DC.
- Validazione delle procedure di backup e disaster recovery di Active Directory.
Verifica la sicurezza dei Domain Controller
DSRM, LAPS, Kerberos, NTLM, privilegi, ACL e GPO vanno analizzati come un unico perimetro Tier 0.
Richiedi un Assessment ADFormazione Active Directory e sicurezza delle identità
La gestione della password DSRM è una delle attività che distinguono l’amministrazione ordinaria dall’hardening reale di Active Directory. Per chi gestisce Domain Controller, backup, Group Policy, autenticazione e recovery è utile conoscere sia il funzionamento di AD DS sia le tecniche con cui le credenziali privilegiate vengono sfruttate durante un attacco.
Per la gestione operativa consulta il Corso Active Directory. Per gli aspetti offensivi e difensivi consulta il Corso Red Teaming: Active Directory Attack and Defense.
FAQ password DSRM
Che cos’è la password DSRM?
È la password dell’account amministratore locale utilizzato in Directory Services Restore Mode sui Domain Controller. Serve negli scenari di manutenzione, riparazione e recovery di Active Directory Domain Services.
La password DSRM è la stessa del Domain Administrator?
No. La password DSRM è una credenziale locale del singolo Domain Controller e non viene modificata automaticamente quando cambia la password di un account Domain Admin o la password policy del dominio.
Come si cambia la password DSRM?
Microsoft supporta la reimpostazione tramite ntdsutil. Dal prompt elevato si eseguono “set dsrm password” e “reset password on server null” per il DC locale, oppure si specifica il nome di un altro Domain Controller.
Conviene usare la stessa password DSRM su tutti i Domain Controller?
No. Una password condivisa aumenta il blast radius in caso di esposizione. È preferibile utilizzare credenziali diverse per ogni DC e gestirle in modo controllato.
Windows LAPS può gestire la password DSRM?
Sì. Windows LAPS può gestire e salvare in Windows Server Active Directory la password DSRM dei Domain Controller supportati. Per questo scenario la cifratura della password deve essere abilitata e devono essere rispettati i prerequisiti previsti da Microsoft.
La password DSRM può essere salvata in Microsoft Entra ID?
No. Microsoft specifica che il backup della password DSRM è supportato verso Windows Server Active Directory, non verso Microsoft Entra ID.
Ogni quanto va cambiata la password DSRM?
La frequenza dipende dal modello di gestione e dalle policy aziendali. La password deve comunque essere ruotata dopo eventi che possono averne causato l’esposizione e non dovrebbe rimanere statica o condivisa. Negli ambienti compatibili Windows LAPS consente una gestione automatizzata.
Cosa controllare oltre alla password DSRM?
La sicurezza dei Domain Controller richiede anche controllo di privilegi Tier 0, LAPS, Kerberos e NTLM, ACL, GPO, account di servizio, backup, logging e procedure di disaster recovery.