Wprowadzenie do ocen na żądanie usługi Active Directory Security — portal Microsoft Engage Center

Ocena zabezpieczeń Active Directory została zaprojektowana w celu zapewnienia konkretnych wskazówek, aby ograniczyć zagrożenia bezpieczeństwa dla Active Directory i organizacji. To rozwiązanie zapewnia również stan postępu w stosunku do zalecanego planu firmy Microsoft dotyczącego zabezpieczania dostępu uprzywilejowanego (SPA), z którego Active Directory jest krytycznym składnikiem.

Ocena zabezpieczeń Active Directory koncentruje się na kilku kluczowych filarach

• Przegląd procesów operacyjnych
• Przegląd członkostwa w uprzywilejowanych kontach/grupach oraz standardowych procedur higieny kont
• Przegląd zaufania domen i lasów
• Przegląd konfiguracji systemu operacyjnego, poprawek zabezpieczeń i poziomów aktualizacji
• Przegląd domen i konfiguracji kontrolerów domeny z uwzględnieniem wytycznych firmy Microsoft
• Przegląd delegowania uprawnień kluczowych obiektów Active Directory

Uruchamianie oceny zabezpieczeń Active Directory

Wymagania wstępne

Aby w pełni skorzystać z On-Demand Assessments dostępnych za pośrednictwem Engage Center, musisz:

1. Masz aktywną subskrypcję Azure z wdrożonym łącznikiem Engage Center, obszarem roboczym Log Analytics, serwerem zbierającym oraz dodanym rozszerzeniem oceny Active Directory Security. Aby uzyskać więcej informacji, zobacz Wprowadzenie do ocen na żądanie.

2. Musi istnieć konto domeny (Konto użytkownika lub Zarządzane konto usługi) z następującymi uprawnieniami:

   • Członkostwo w grupie Administratorzy Przedsiębiorstwa LUB
   • Członkostwo we wbudowanej grupie Administratorzy w każdej domenie w lesie
   • Członkostwo w grupie lokalnych administratorów na maszynie do zbierania danych
   • Dostęp administracyjny do wszystkich serwerów DNS firmy Microsoft, z którymi są powiązane kontrolery domeny

Uwaga: Pierwsze skonfigurowanie środowiska w celu przeprowadzenia oceny na żądanie trwa średnio 2 godziny. Po uruchomieniu oceny możesz przejrzeć dane w Azure Log Analytics. Jest to uszeregowana według priorytetu lista zaleceń podzielonych na sześć głównych kategorii. Pozwala ona szybko oszacować poziomy zagrożeń i kondycję środowisk, a także podjąć działania mające na celu zminimalizowanie ryzyka i poprawę stanu infrastruktury IT.

Konfiguracja oceny zabezpieczeń usługi AD

1. Na komputerze zbierającym dane utwórz na przykład następujący folder: C:\Assessments (lub dowolny inny folder oprócz C:\ODA tego, który jest zarezerwowany przez system).

Warning

Upewnij się, że nazwa folderu jest zgodna z nazwą podanego katalogu duiring Engage Center Connector setup

2. Otwórz program PowerShell w zwykłej wersji (nie w wersji ISE) w trybie administratora i uruchom następujące polecenie cmdlet:

   Add-ADSecurityAssessmentTask -WorkingDirectory <workingdirectorypath> - LogAnalyticsWorkspaceId <WorkspaceId> command,

   WorkingDirectory is a path to an existing directory used to store the files created while collecting and analyzing the data from the environment

   LogAnalyticsWorkspaceId – provide Id for the Log Analytics workspace that will be used to store the uploaded data.

3. Podaj wymagane poświadczenia konta użytkownika, które spełniają wymagania wymienione wcześniej w tym artykule.

4. Zbieranie danych zostanie uruchomione przez zaplanowane zadanie o nazwie ADSecurityAssessment w ciągu godziny od uruchomienia poprzedniego skryptu, a następnie co 7 dni. Zadanie można zmodyfikować tak, aby było uruchamiane w innym dniu/o innej godzinie, a nawet wymusić jego natychmiastowe uruchomienie z biblioteki harmonogramu zadań — Microsoft —>> Operations Management Suite > AOI*** > Assessments > ADSecurityAssessment.

5. Podczas zbierania i analizowania dane są tymczasowo przechowywane w katalogu roboczym skonfigurowanym podczas instalacji.

6. Po kilku godzinach wyniki oceny będą dostępne na Log Analytics i pulpicie nawigacyjnym Centrum zaangażowania firmy Microsoft. Aby wyświetlić wyniki, przejdź do portalu Microsoft Engage Center > Zdrowie > Oceny, a następnie wybierz opcję „Wyświetl wszystkie rekomendacje” dotyczącą aktywnej oceny.

7. Jeśli chcesz, aby akredytowany inżynier firmy Microsoft przejrzał razem z Tobą problemy dotyczące środowiska usługi AD, możesz skontaktować się z przedstawicielem firmy Microsoft i zapytać go o zdalne lub lokalne usługi dostarczane przez CE.

umowa	Inżynier zdalny	Inżynier lokalny
Premier	Zdalny arkusz danych ADS	Karta danych lokalnych ADS
Zunifikowany	Zdalny arkusz danych ADS	Karta danych lokalnych ADS