Come rendere operative le baseline di Active Directory Domain Services su tutti i clienti

Allo stesso modo di una baseline di sicurezza di Azure AD, una solida baseline per Active Directory Domain Services (AD DS) definisce le policy e le pratiche negli ambienti on-prem. Definirla migliora la tua postura di sicurezza, ma applicarla a tutti i domini on-prem richiede un approccio strutturato.

Costruisci un framework scalabile per la sicurezza di AD DS. Questo articolo spiega come distribuire in sicurezza le baseline di Active Directory (AD) su larga scala con funzionalità di monitoraggio e gestione da remoto (RMM).

Per una guida visiva passo passo sull’argomento, guarda il nostro video: Come rendere operative le baseline di Active Directory Domain Services su tutti i clienti.

Costruisci un framework scalabile per la sicurezza di AD DS

La tua baseline AD DS definisce come devono essere configurati password, accessi utente, protocolli e permessi elevati in Active Directory on-prem. Ecco come distribuire e mantenere le baseline AD DS con il supporto di un RMM:

📌 Prerequisiti:

• Accesso amministrativo al dominio o ai domini, oppure a UO delegate
• Windows 11 Pro, Education o Enterprise
• PowerShell (5.1+) con i moduli AD e GPO, strumenti RSAT
• Una baseline definita (ad esempio le impostazioni predefinite consigliate da Microsoft, i benchmark CIS o una baseline personalizzata ibrida)
• Raccolta centralizzata di log ed eventi (Windows Event Forwarding, SIEM, RMM)
• Piattaforma di automazione o di distribuzione degli script (ad esempio NinjaOne o equivalente)

Passaggio 1: definire un framework di baseline

Parti da una baseline di sicurezza AD DS ben definita e basata su fonti autorevoli (ad esempio Microsoft Security Compliance Toolkit, benchmark CISA per AD DS e così via). Deve delineare le policy relative alla creazione delle password, agli accessi, ai GPO, all’auditing e al controllo degli accessi privilegiati.

Microsoft consiglia baseline di sicurezza che allineino i tuoi criteri ai rischi interni e agli standard esterni, come CIS (Center for Internet Security) e NIST (National Institute of Standards and Technology).

La tua baseline deve regolare:

• Password e blocco degli account
• Policy Kerberos
• Restrizioni sui protocolli legacy
• Modello di accesso privilegiati
• Auditing di AD DS
• Hardening dei domain controller

Inoltre, rilevare le deviazioni dalla conformità e registrare lo stato canonico della baseline è altrettanto fondamentale per una gestione proattiva. NinjaOne RMM consente entrambe le cose grazie alla dashboard centralizzata e alla documentazione IT sicura, il tutto in un’unica visualizzazione centralizzata.

Passaggio 2: automatizzare l’applicazione della baseline

Dopo aver definito la baseline di sicurezza, dovrai applicare le configurazioni a tutti i domini dei clienti e verificarle costantemente. Di solito questo avviene in due modi: con script modulari o con modifiche ai criteri di gruppo.

Moduli PowerShell per l’applicazione

Ecco alcuni esempi di come applicare la tua baseline di sicurezza AD DS tramite PowerShell.

📌 Casi d’uso: distribuire la baseline di sicurezza di Active Directory on-prem su più sistemi.

📌 Prerequisiti: privilegi amministrativi, diritti di amministratore di dominio, PowerShell 5.1 o versioni successive, modulo Active Directory.

1. Premi Win + R, digita PowerShell e premi Ctrl + Maiusc + Invio.
2. Per impostare le soglie di blocco delle password, esegui quanto segue:

Set-ADDefaultDomainPasswordPolicy -MinPasswordLength 14 -LockoutThreshold 5 -MaxPasswordAge (New-TimeSpan -Days 60)

3. Per disabilitare il protocollo legacy SMBv1, esegui quanto segue:

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

4. Per disabilitare l’accesso anonimo e proteggere i dati sensibili, esegui quanto segue:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RestrictAnonymous" -Value 1

5. Per creare gruppi di amministratori su più livelli e applicare il privilegio minimo, esegui quanto segue:

New-ADGroup -Name "Tier0-Admins" -GroupScope Global -Path "OU=Privileged,DC=domain,DC=com"

🥷🏻| Usa script personalizzati e predefiniti per semplificare i flussi di lavoro relativi alle baseline delle policy di sicurezza. Scopri l’hub degli script di NinjaOne qui.

Usa gli oggetti Criteri di gruppo per controlli persistenti

Gli oggetti Criteri di gruppo (GPO) sono strumenti essenziali per applicare una baseline di sicurezza rigorosa, dai singoli sistemi agli interi ambienti dei clienti. A differenza degli script PowerShell, i GPO garantiscono che le configurazioni rimangano invariate dopo i riavvii o gli aggiornamenti dei criteri.

Ecco come distribuire centralmente le baseline di sicurezza AD DS negli ambienti on-prem tramite i GPO:

1. Premi Win + R, digita gpmc.msc e premi Ctrl + Maiusc + Invio.
2. Crea un nuovo oggetto Criteri di gruppo per la tua baseline di sicurezza AD DS.
3. Collega il nuovo GPO all’unità organizzativa (UO) del domain controller.
4. Configura le policy degli account, disabilita i protocolli legacy e scegli policy di auditing che diano priorità al privilegio minimo.
   1. I dispositivi che dipendono da quel DC ereditano gerarchicamente le configurazioni della tua baseline.

🥷🏻| Usa i flussi di lavoro di automazione basati su policy di NinjaOne per migliorare i protocolli dimezzando il rischio. Scopri come le policy di NinjaOne semplificano le attività qui.

Passaggio 3: verifica continua e rilevamento delle deviazioni

Verificare continuamente le impostazioni è fondamentale per evitare qualsiasi deviazione dalla baseline di sicurezza AD DS. Questa deviazione può verificarsi quando le patch vengono applicate in modo errato o quando le impostazioni vengono modificate manualmente, il che rende necessario un monitoraggio continuo.

Audit dello stato di salute con PowerShell

Ecco come confrontare la baseline di sicurezza AD DS con quella attuale per individuare possibili deviazioni:

📌 Casi d’uso: usalo per confrontare la baseline di sicurezza attuale con le configurazioni previste.

📌 Prerequisiti: PowerShell 5.1 o versioni successive, privilegi amministrativi.

1. Premi Win + R, digita PowerShell e premi Ctrl + Maiusc + Invio.
2. Annota il percorso completo del file di testo della tua baseline canonica (ad esempio C:\Baseline\expected-config.txt).
3. Per confrontare le baseline e rilevare le deviazioni, esegui quanto segue:

$baseline = Get-Content “<expectedConfigFilepath>“

$liveConfig = Get-Content “<actualConfigFilepath>“

Compare-Object -ReferenceObject $baseline -DifferenceObject $liveConfig

Sostituisci <expectedConfigFilepath> con il percorso del file della tua baseline di riferimento.

Sostituisci <actualConfigFilepath> con il percorso del file della tua baseline attuale.

4. Segnala quanto segue:
   1. Modifiche ai GPO
   2. Modifiche al registro di sistema
   3. Deviazioni nei gruppi privilegiati
   4. Modifiche alla configurazione del dominio

5. Usa l’Utilità di pianificazione per eseguire questo script su larga scala con cadenza settimanale o mensile.

Reporting periodico e su richiesta

Le deviazioni dalla conformità rilevate e le modifiche alla baseline devono essere affrontate durante le revisioni di governance. Includi quanto segue nei tuoi report per mantenere un dialogo aperto tra il tuo team e i clienti:

• Percentuale di copertura: quante delle impostazioni attuali corrispondono alla baseline.
• Evoluzione: monitoraggio delle tendenze rispetto all’audit precedente.
• Prossimi passi: interventi di remediation sui sistemi non conformi.

Passaggio 4: controlli della baseline attivati da eventi

In caso di eventi di sistema sospetti e modifiche ad alto rischio, le baseline devono essere verificate nuovamente in tempo reale per mantenere la conformità. Per farlo in modo efficiente, imposta trigger che avviino gli audit ogni volta che i ruoli vengono elevati troppo rapidamente o vengono rilevati troppi errori di password in tempo reale.

📌 Casi d’uso: usalo per implementare controlli basati sugli eventi.

📌 Prerequisiti: Console Gestione Criteri di gruppo, privilegi amministrativi.

1. Premi Win + R, digita PowerShell e premi Ctrl + Maiusc + Invio.
2. Apri l’Utilità di pianificazione.
3. Imposta uno script PowerShell che venga eseguito quando nel registro di sicurezza viene rilevato un determinato ID evento.
   1. Trigger: ID evento 4625.
   2. Azione: esegui uno script che verifichi la conformità alla baseline.
4. Usa questo script per verificare la conformità di AD DS:

$baseline = Get-Content “<expectedConfigFilepath>“

$liveConfig = Get-Content “<actualConfigFilepath>“

Compare-Object -ReferenceObject $baseline -DifferenceObject $liveConfig

Sostituisci <expectedConfigFilepath> con il percorso del file della tua baseline di riferimento.

Sostituisci <actualConfigFilepath> con il percorso del file della tua baseline attuale.

Esegui automaticamente i controlli sulla tua baseline di sicurezza AD DS in caso di:

• ID evento 4625 – Accesso non riuscito
• ID evento 4672 – Accesso amministrativo
• ID evento 4728–4729 – Modifica dell’appartenenza a un gruppo
• ID evento 1102 – Cancellazione del registro di controllo

Passaggio 5: controllo delle modifiche e documentazione

L’hardening della sicurezza di AD DS è un processo iterativo che richiede un’ottimizzazione costante. L’automazione può semplificare il tuo flusso di lavoro, ma registrare gli eventi di deviazione garantisce che gli stessi errori non si ripetano.

Registra ogni deviazione dalla baseline, le modifiche intervenute dall’ultimo audit, chi sono i responsabili della remediation e la data e l’ora di risoluzione degli eventi. Assegna nomi coerenti ai tuoi record (ad esempio ADDS-Hardening-[NomeCliente]-[AAAAMMGG]-v1) e conserva i report di verifica per monitorare le tendenze nel tempo.

Infine, collega la documentazione ai ticket importanti sulle piattaforme RMM per ridurre i tempi di risoluzione: queste piattaforme integrano servizi PSA (Professional Services Automation) che semplificano ulteriormente la gestione di AD DS.

Come l’integrazione con NinjaOne migliora la sicurezza di AD DS

Oltre ad avere un proprio motore di pianificazione, NinjaOne automatizza anche report e grafici nella sua dashboard all-in-one per accelerare i progetti più importanti. Ecco come l’integrazione di NinjaOne semplifica lo sviluppo della baseline di sicurezza AD DS:

Potenzia la tua baseline AD DS con un RMM

Rendere operativa la sicurezza di AD DS significa definire criteri di sicurezza rafforzati, piani di automazione e un monitoraggio a lungo termine. Così puoi concentrarti su una protezione sostenibile dei clienti, che garantisce il rispetto degli SLA e una remediation immediata delle deviazioni, soprattutto se usi soluzioni di gestione degli endpoint molto apprezzate che offrono un controllo senza interventi manuali.

Argomenti correlati:

• Scripting per l’hardening degli endpoint per gli MSP: benchmark CIS con PowerShell
• Come gli MSP possono creare e applicare checklist di hardening degli endpoint specifiche per OS
• Che cos’è il Criterio di gruppo in Active Directory?