Trust vzťah (forest trust alebo domain trust) je dôverný vzťah medzi dvoma doménami alebo lesmi Active Directory. Doména, ktorá dôveruje, akceptuje overenie používateľov z druhej domény a umožní im pristupovať k svojim prostriedkom, ak im na ne pridelí oprávnenia. Používateľ tak nepotrebuje druhý účet.

Trusty vznikajú pri fúziách a akvizíciách, v skupinách firiem so samostatnými IT oddeleniami, pri spolupráci s partnermi alebo počas migrácie z jednej domény do druhej. Často však pretrvajú aj dávno po tom, čo dôvod ich vzniku pominul.

Typy trust vzťahov

  • Parent-child a tree-root – vznikajú automaticky medzi doménami v rámci jedného lesa, sú obojsmerné a tranzitívne.
  • Forest trust – prepája dva samostatné lesy, môže byť jednosmerný alebo obojsmerný.
  • External trust – prepája konkrétnu doménu s doménou v inom lese, nie je tranzitívny.
  • Shortcut trust – skracuje cestu overovania medzi doménami v rozsiahlom lese.
  • Realm trust – prepojenie s prostredím Kerberos mimo Windows.

Dôležité sú dve vlastnosti: smer (kto komu dôveruje) a tranzitívnosť (či sa dôvera prenáša ďalej na tretie domény).

Prečo sú trusty bezpečnostnou témou

Trust funguje ako dvere medzi dvoma budovami. Ak útočník ovládne slabšie zabezpečenú doménu, môže cez trust hľadať cestu do tej dôležitejšej. Bezpečnostnou hranicou je v Active Directory les, nie doména: domény v rámci jedného lesa sa navzájom pred správcom lesa neochránia. Riziko zvyšujú zabudnuté trusty s firmami, ktoré už nie sú súčasťou skupiny, vypnuté filtrovanie SID (SID filtering) či široké oprávnenia pre celé cudzie domény. Takéto prepojenia sa objavujú pri analýze útočných ciest a umožňujú laterálny pohyb naprieč organizáciou.

Ako trusty skontrolovať a spravovať

  1. Zmapujte všetky trusty, ich smer, typ a tranzitívnosť.
  2. Ku každému priraďte vlastníka a obchodný dôvod; nepotrebné zrušte.
  3. Ponechajte zapnuté filtrovanie SID a zvážte selektívne overovanie (selective authentication).
  4. Oprávnenia z cudzej domény prideľujte konkrétnym skupinám, nie všetkým overeným používateľom.
  5. Kontrolu opakujte po každej organizačnej zmene.

Posúdenie trust vzťahov medzi doménami a lesmi je súčasťou analýzy AD, ktorú PosAm robí nástrojmi PingCastle a Purple Knight; postup opisuje článok o systematickom posilňovaní kybernetickej odolnosti.

Časté otázky

Dá sa trust bezpečne zrušiť?

Áno, ale až po overení, že ho nepoužíva žiadna aplikácia ani skupina používateľov. Odporúča sa najprv sledovať overovanie cez trust a zrušenie naplánovať ako riadenú zmenu.

Týka sa to aj Entra ID?

Klasické trusty sú pojmom lokálneho AD. V Entra ID sa podobná spolupráca rieši inak, napríklad hosťovskými účtami či nastaveniami prístupu medzi tenantmi.

Ak plánujete konsolidáciu domén alebo chcete vedieť, aké trusty vo vašom prostredí existujú, pozrite si služby návrhu a správy IT infraštruktúry alebo nás kontaktujte.