active-directory-security：强化AD安全性的全面指南

active-directory-security：强化AD安全性的全面指南

active-directory-security The "Monash Enterprise Access Model" (MEAM) is a model for tiering Active Directory that builds heavily on the Microsoft Enterprise Access Model. 项目地址: https://gitcode.com/gh_mirrors/ac/active-directory-security

项目介绍

Active Directory Security Guide 是一个开源项目，旨在通过一系列内置和第三方安全控制措施，帮助用户提升Active Directory（AD）的安全性。该项目由澳大利亚莫纳什大学的Enterprise Engineering团队开发，主要基于Microsoft Enterprise Access Model，并对AD进行了分层管理，引入了微分段（microsegmentation）的概念。

项目技术分析

Active Directory Security Guide 的核心是"Monash Enterprise Access Model"（MEAM），它包括三个主要组成部分：

1. 管理层（administrative tier）：基于权限和控制级别对AD进行宏观分区。
2. 区域（zone）：在分层的基础上进行横向切割，将服务放置在隔离的 silos 中，防止横向移动。
3. 服务（service）：在区域内定义的委派目标，包含计算机和组。

此外，项目还介绍了一系列内置和第三方AD安全控制措施，包括但不限于：

• 受保护用户（Protected Users）：一个全球安全组，提供针对凭据窃取攻击的保护。
• 智能卡认证（Smartcard Authentication）：使用智能卡进行密码less登录，增强安全性。
• 认证隔离（Authentication Silos）：锁定特定账户到特定机器，或反之，防止未授权访问。
• 组管理服务账户（gMSAs）：一种特殊账户，自动旋转密码，适用于服务或后台任务。
• Lithnet AD密码保护：强制用户设置强密码，防止使用弱密码。
• LAPS（Local Administrator Password Solution）：自动管理和备份本地管理员密码，防止横向移动攻击。
• Lithnet Access Manager：提供Web界面，安全委派管理权限，与LAPS兼容，并支持Azure AD和其他操作系统。

项目技术应用场景

Active Directory Security Guide 适用于任何使用Active Directory进行用户和资源管理的组织。以下是一些典型的应用场景：

1. 企业内部网络安全：通过实施项目中的建议，企业可以增强内部网络的安全性，防止横向移动和凭据窃取攻击。
2. 特权账户管理：为特权用户如域管理员提供额外的保护措施，确保他们的凭据不会泄露。
3. 服务账户管理：通过使用gMSAs，企业可以安全地管理服务账户，减少被攻击的风险。
4. 密码策略强化：通过集成Lithnet AD密码保护，企业可以确保用户设置的密码足够强大，不易被猜测。

项目特点

Active Directory Security Guide 的主要特点如下：

1. 基于内置功能：项目主要利用AD的内置功能，无需额外安装复杂的第三方软件。
2. 易于实施：提供的指南和工具易于理解和使用，使得即使是非技术用户也能快速部署。
3. 强化安全性：通过实施一系列控制措施，项目能够显著提升AD环境的安全性。
4. 灵活性和兼容性：项目与多种操作系统和网络环境兼容，提供了灵活的安全解决方案。

Active Directory Security Guide 是一个值得推荐的开源项目，它不仅能够帮助企业提升AD的安全性，还提供了易于理解和实施的安全控制措施。无论你是AD管理员还是安全专家，这个项目都能为你提供宝贵的资源和工具，帮助你更好地保护你的组织的安全。

active-directory-security The "Monash Enterprise Access Model" (MEAM) is a model for tiering Active Directory that builds heavily on the Microsoft Enterprise Access Model. 项目地址: https://gitcode.com/gh_mirrors/ac/active-directory-security