Megosztás a következőn keresztül:

Biztonsági értékelés: Nem biztonságos SID-előzményattribútumok

Mi az a nem biztonságos SID History attribútum?

A SID-előzmények olyan attribútumok, amelyek támogatják a migrálási forgatókönyveket. Minden felhasználói fiókhoz tartozik egy biztonsági azonosító (SID), amellyel nyomon követhető a rendszerbiztonsági tag és a fiók hozzáférése az erőforrásokhoz való csatlakozáskor. A biztonsági azonosítók előzményei lehetővé teszik egy másik fiók hozzáférésének hatékony klónozását egy másikba, és rendkívül hasznos annak biztosítása érdekében, hogy a felhasználók megőrizhessék a hozzáférést, amikor áthelyezik (áttelepítik) az egyik tartományból a másikba.

Az értékelés ellenőrzi, hogy az sid history attribútumokkal rendelkező fiókok kockázatosnak Microsoft Defender for Identity-e a profilokat.

Milyen kockázatot jelent a nem biztonságos SID History attribútum?

Azok a szervezetek, amelyek nem tudják biztonságossá tenni a fiókattribútumaikat, nyitva hagyják az ajtót a rosszindulatú szereplők számára.

A rosszindulatú szereplők, hasonlóan a tolvajokhoz, gyakran a legegyszerűbb és legcsendesebb utat keresik bármilyen környezetben. A nem biztonságos SID History attribútummal konfigurált fiókok a támadók lehetőségeinek ablakai, és kockázatot jelenthetnek.

Egy tartomány nem bizalmas fiókja például az Active Directory-erdő egy másik tartományából a vállalati Rendszergazda SID-t is tartalmazhatja a biztonsági azonosító előzményei között, így "emeli" a felhasználói fiók hozzáférését az erdő összes tartományában érvényes Tartomány Rendszergazda. Emellett ha engedélyezve van egy erdőszintű megbízhatósági kapcsolat sid-szűrés (más néven karantén) használata nélkül, akkor egy másik erdőből is beszúrhat egy biztonsági azonosítót, és a hitelesítéskor és a hozzáférési értékelésekhez való használatkor hozzáadódik a felhasználói jogkivonathoz.

Hogyan használja ezt a biztonsági értékelést?

  1. Tekintse át a következő helyen javasolt műveletet https://security.microsoft.com/securescore?viewid=actions : annak kiderítése, hogy melyik fiók rendelkezik nem biztonságos SID History attribútummal.

    Tekintse át a legfontosabb érintett entitásokat, és hozzon létre egy cselekvési tervet.

  2. A következő lépések végrehajtásával távolítsa el a fiók sid history attribútumát a PowerShell használatával:

    1. Azonosítsa a SID-t a fiók SIDHistory attribútumában.

      Get-ADUser -Identity <account> -Properties SidHistory | Select-Object -ExpandProperty SIDHistory

    2. Távolítsa el a SIDHistory attribútumot a korábban azonosított SID használatával.

      Set-ADUser -Identity <account> -Remove @{SIDHistory='S-1-5-21-...'}

Megjegyzés:

Bár az értékelések közel valós időben frissülnek, a pontszámok és az állapotok 24 óránként frissülnek. Bár az érintett entitások listája a javaslatok implementálásától számított néhány percen belül frissül, az állapot továbbra is eltarthat, amíg befejezettként nem lesz megjelölve.

Lásd még