Active Directory (AD) je adresárová služba spoločnosti Microsoft, ktorá v prostredí Windows centrálne eviduje používateľov, počítače, servery, skupiny a ich oprávnenia. Keď sa zamestnanec ráno prihlási do firemného počítača, overenie jeho mena a hesla zvyčajne vybaví práve doménový radič (domain controller), teda server so službou Active Directory Domain Services.

AD je v mnohých organizáciách základom identity už desiatky rokov. Okrem prihlasovania slúži na prideľovanie prístupov k súborom, tlačiarňam a aplikáciám a cez skupinové politiky (Group Policy) aj na jednotné nastavenie zariadení.

Ako Active Directory funguje

Objekty sú usporiadané do hierarchie: les (forest) obsahuje jednu alebo viac domén, domény sa delia na organizačné jednotky (OU). Doménové radiče si medzi sebou replikujú databázu, takže výpadok jedného servera prihlasovanie nezastaví. Na overovanie sa používajú protokoly Kerberos a staršie NTLM, na vyhľadávanie v adresári protokol LDAP.

  • Používatelia a skupiny – kto je kto a do akých rolí patrí.
  • Počítače a servery – zariadenia pripojené do domény.
  • Skupinové politiky – centrálne nastavenia bezpečnosti a konfigurácie.
  • Delegovanie práv – kto smie spravovať ktorú časť adresára.

Prečo je AD citlivým miestom bezpečnosti

Kto ovládne Active Directory, ovláda prakticky celú sieť. Útočníci preto po prieniku do jedného počítača hľadajú cestu k doménovým administrátorom, často cez zabudnuté privilegované účty, nadmerne delegované práva, slabé heslá servisných účtov alebo zastarané protokoly. Prostredie, ktoré rástlo roky bez pravidelnej revízie, obsahuje takýchto skratiek zvyčajne viac, než správcovia očakávajú.

Dnes AD často funguje spolu s cloudovou službou Entra ID v hybridnom režime, takže chyba v lokálnej doméne sa môže preniesť aj do cloudu.

Ako AD posúdiť a spevniť

  1. Zmapovať privilegované skupiny a účty a odstrániť nepotrebné členstvá.
  2. Skontrolovať delegovanie práv a trust vzťahy s inými doménami.
  3. Vypnúť alebo obmedziť staré protokoly a slabé šifrovanie.
  4. Oddeliť administrátorské účty od bežnej práce a zaviesť MFA tam, kde to prostredie umožňuje.
  5. Posúdenie pravidelne opakovať, nielen raz.

PosAm pri posúdení používa nástroje PingCastle a Purple Knight a výsledky dopĺňa manuálnou analýzou, ako opisuje článok o systematickom posilňovaní kybernetickej odolnosti.

Časté otázky

Nahrádza Entra ID klasické Active Directory?

Nie automaticky. Entra ID je cloudová identitná služba s iným modelom fungovania. Mnohé firmy prevádzkujú obe a synchronizujú medzi nimi identity, kým sa aplikácie a zariadenia postupne nepresunú do cloudu.

Ako často by sa mala robiť bezpečnostná kontrola AD?

Odporúča sa aspoň raz ročne a po každej väčšej zmene, napríklad pri fúzii firiem, migrácii alebo zmene správcu. Výsledky môžu slúžiť aj ako podklad pre audit podľa zákona o kybernetickej bezpečnosti.

Ak chcete vedieť, v akom stave je vaša doména, začnite jednorazovým posúdením Active Directory a Entra ID. Súvisiace služby nájdete v ponuke návrhu a správy IT infraštruktúry, prípadne nás kontaktujte priamo.