Every Active Directory domain includes a special account called KRBTGT. This account holds the Kerberos master key, protecting all other secrets in the domain. Hence, it must be protected at all costs and renewed regularly. This plugin checks if the master key is set to be renewed at least once every two years.

Note: The AD Starter Scan and associated plugins are intended to be used with smaller AD deployments for purposes of preliminary analysis. Accurate preliminary analysis can be expected for AD deployments with up to 5000 users, groups or machines and incomplete results will be returned for larger AD deployments with Nessus, Security Center and Vulnerability Management. For more information on the issues discovered by the Active Directory Starter Scan plugins, please refer to this blog post - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

No security mechanism has been activated on a trust relationship, allowing lateral movement across AD domains. Two attack scenarios are checked in this plugin:

  - SID history injection (by checking the SID filter quarantining configuration)
  - Exploitability of the 'printer bug' (by checking if selective authentication or TGT delegation is correctly configured)

Note: The AD Starter Scan and associated plugins are intended to be used with smaller AD deployments for purposes of preliminary analysis. Accurate preliminary analysis can be expected for AD deployments with up to 5000 users, groups or machines and incomplete results will be returned for larger AD deployments with Nessus, Security Center and Vulnerability Management. For more information on the issues discovered by the Active Directory Starter Scan plugins, please refer to this blog post - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

When Microsoft released the first version of Active Directory, an option was added to enable compatibility with older systems. This was done by adding a Pre-Windows 2000 Compatible Access group, with read permissions on the majority of the domain objects and configuration data. When compatibility with legacy systems is allowed, this group is populated with the Everyone identity, which contains the Anonymous user. This allows unauthenticated users to read all the configuration data in the domain. An attacker can use this feature to discover targets or carry out brute-force attacks.

Note: The AD Starter Scan and associated plugins are intended to be used with smaller AD deployments for purposes of preliminary analysis. Accurate preliminary analysis can be expected for AD deployments with up to 5000 users, groups or machines and incomplete results will be returned for larger AD deployments with Nessus, Security Center and Vulnerability Management. For more information on the issues discovered by the Active Directory Starter Scan plugins, please refer to this blog post - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

信頼関係上でアクティブ化されているセキュリティメカニズムがなく、ADドメイン間でのラテラルムーブメントが可能になります。このプラグインでは、2つの攻撃シナリオがチェックされています: 

  - SID 履歴インジェクション (SID フィルター隔離構成をチェック)
  -「printer bug」の悪用される可能性 (選択的認証または TGT 委任が正しく構成されているかどうかをチェックする)

注意:  AD Starter Scan および関連するプラグインは、予備的な分析を目的とした小規模の AD デプロイメントでの使用を意図しています。ユーザー、グループ、マシンが最大 5000 の AD デプロイメントでは正確な予備分析が期待できますが、Nessus、Security Center、Vulnerability Management を使用した大規模な AD デプロイメントでは不完全な結果が返されます。Active Directory Starter Scan プラグインによって発見された問題の詳細については、このブログの投稿を参照してください- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

すべてのActive Directoryドメインには、KRBTGTと呼ばれる特別なアカウントが含まれています。このアカウントはKerberosマスターキーを保持し、ドメインの他のすべての機密を保護します。したがって、何としても保護し、定期的に更新する必要があります。このプラグインは、マスターキーが少なくとも2年に1回更新されるように設定されているかどうかをチェックします。

注意:  AD Starter Scan および関連するプラグインは、予備的な分析を目的とした小規模の AD デプロイメントでの使用を意図しています。ユーザー、グループ、マシンが最大 5000 の AD デプロイメントでは正確な予備分析が期待できますが、Nessus、Security Center、Vulnerability Management を使用した大規模な AD デプロイメントでは不完全な結果が返されます。Active Directory Starter Scan プラグインによって発見された問題の詳細については、このブログの投稿を参照してください- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

MicrosoftがActive Directoryの最初のバージョンをリリースしたとき、古いシステムとの互換性を有効にするオプションが追加されました。これは、Pre-Windows 2000 Compatible Accessグループを追加することで行われ、大半のドメインオブジェクトと構成データの読み取り権限が付与されています。レガシーシステムとの互換性が許可されている場合、このグループには、匿名ユーザーを含む、EveryoneのIDが入力されます。これにより、認証されていないユーザーがドメイン内のすべての構成データを読み取る可能性があります。攻撃者がこの機能を使用して、ターゲットを発見したり、ブルートフォース攻撃を実行したりする可能性があります。

注意:  AD Starter Scan および関連するプラグインは、予備的な分析を目的とした小規模の AD デプロイメントでの使用を意図しています。ユーザー、グループ、マシンが最大 5000 の AD デプロイメントでは正確な予備分析が期待できますが、Nessus、Security Center、Vulnerability Management を使用した大規模な AD デプロイメントでは不完全な結果が返されます。Active Directory Starter Scan プラグインによって発見された問題の詳細については、このブログの投稿を参照してください- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

每個 Active Directory 網域都有一個稱為 KRBTGT 的特殊帳戶。此帳戶會保留 Kerberos 主要金鑰，以保護網域中所有其他密碼。因此，必須不遺餘力地保護它，並定期更新。此外掛程式會檢查主要金鑰是否設定為至少每兩年更新一次。

注意：AD Starter Scan 及相關聯的外掛程式預定與小型 AD 部署搭配使用，以進行初步分析。對於多達 5,000 個使用者、群組或機器的 AD 部署，預期會有準確的初步分析，而且會針對 Nessus、Security Center 和 Vulnerability Management 的大型 AD 部署傳回不完整的結果。如需詳細瞭解 Active Directory Starter Scan 外掛程式發現的問題，請參閱此部落格文章- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

未針對信任關係啟用安全性機制，這可允許跨 AD 網域橫向移動。已在此外掛程式中發現兩類攻擊情境：

  - SID 歷程記錄插入 (透過檢查 SID 篩選隔離配置)
  -「印表機錯誤」的可利用性 (透過檢查是否正確設定選擇性驗證或 TGT 委派)

注意：AD Starter Scan 及相關聯的外掛程式預定與小型 AD 部署搭配使用，以進行初步分析。對於多達 5,000 個使用者、群組或機器的 AD 部署，預期會有準確的初步分析，而且會針對 Nessus、Security Center 和 Vulnerability Management 的大型 AD 部署傳回不完整的結果。如需詳細瞭解 Active Directory Starter Scan 外掛程式發現的問題，請參閱此部落格文章- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

未针对信任关系激活任何安全机制，这可允许跨 AD 域横向移动。此插件会检查两种攻击场景：

  - SID 历史记录注入（通过检查 SID 过滤器隔离配置）
  - “打印机缺陷”的可利用性（通过检查选择性认证或 TGT 委派是否正确配置）

注意：AD Starter Scan 和相关插件旨在与较小的 AD 部署一起使用，以进行初步分析。对于最多 5,000 个用户、组或计算机的 AD 部署，预计可以获得准确的初步分析，而对于包含 Nessus、安全中心和漏洞管理的大型 AD 部署，将返回不完整的结果。如需进一步了解 Active Directory Starter Scan 插件发现的问题，请参阅此博客文章 - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

每个 Active Directory 域都包含一个名为 KRBTGT 的特殊帐户。此帐户具有 Kerberos 主密钥，用于保护域中的所有其他密码。因此，必须不遗余力地保护该主密钥，并定期更新。此插件会检查主密钥是否设置为至少每两年更新一次。

注意：AD Starter Scan 和相关插件旨在与较小的 AD 部署一起使用，以进行初步分析。对于最多 5,000 个用户、组或计算机的 AD 部署，预计可以获得准确的初步分析，而对于包含 Nessus、安全中心和漏洞管理的大型 AD 部署，将返回不完整的结果。如需进一步了解 Active Directory Starter Scan 插件发现的问题，请参阅此博客文章 - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

Microsoft 在發布首版 Active Directory 時，新增了一個選項，以實現與舊版系統的相容性。這是透過新增一個「Windows 2000 之前版本相容性存取」來完成的，此群組具有對多數網域物件和組態資料的讀取權限。當允許與舊版系統相容時，此群組會填入包含匿名使用者的「所有人」身分。這讓未經驗證的使用者可以讀取網域中的所有組態資料。攻擊者可利用此功能搜尋目標或發動暴力密碼破解攻擊。

注意：AD Starter Scan 及相關聯的外掛程式預定與小型 AD 部署搭配使用，以進行初步分析。對於多達 5,000 個使用者、群組或機器的 AD 部署，預期會有準確的初步分析，而且會針對 Nessus、Security Center 和 Vulnerability Management 的大型 AD 部署傳回不完整的結果。如需詳細瞭解 Active Directory Starter Scan 外掛程式發現的問題，請參閱此部落格文章- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

Microsoft 在发布首版 Active Directory 时，添加了启用与旧版系统兼容的选项。这可通过添加 Windows 2000 之前版本兼容访问群组来实现，该群组对大部分域对象和配置数据具有读取权限。允许与旧系统兼容时，此群组将使用“所有人”名称填充，其中包含“匿名”用户。这允许未经认证的用户读取域中的所有配置数据。攻击者可利用此功能发现目标或执行暴力攻击。

注意：AD Starter Scan 和相关插件旨在与较小的 AD 部署一起使用，以进行初步分析。对于最多 5,000 个用户、组或计算机的 AD 部署，预计可以获得准确的初步分析，而对于包含 Nessus、安全中心和漏洞管理的大型 AD 部署，将返回不完整的结果。如需进一步了解 Active Directory Starter Scan 插件发现的问题，请参阅此博客文章 - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

ID	名稱	產品	系列	已發布	已更新	嚴重性
150484	AD Starter Scan - Kerberos Krbtgt	Nessus	Windows	2021/7/29	2024/7/24	medium
150486	AD Starter Scan - Dangerous Trust Relationship	Nessus	Windows	2021/7/29	2024/7/24	medium
150488	AD Starter Scan - Null sessions	Nessus	Windows	2021/7/29	2024/7/24	medium
150486	AD Starter Scan-危険な信頼関係	Nessus	Windows	2021/7/29	2024/7/24	medium
150484	AD Starter Scan - Kerberos Krbtgt	Nessus	Windows	2021/7/29	2024/7/24	medium
150488	AD Starter Scan-NULLセッション	Nessus	Windows	2021/7/29	2024/7/24	medium
150484	AD Starter Scan - Kerberos Krbtgt	Nessus	Windows	2021/7/29	2024/7/24	medium
150486	AD Starter Scan - 危險的信任關係	Nessus	Windows	2021/7/29	2024/7/24	medium
150486	AD Starter Scan - 危险的信任关系	Nessus	Windows	2021/7/29	2024/7/24	medium
150484	AD Starter Scan - Kerberos Krbtgt	Nessus	Windows	2021/7/29	2024/7/24	medium
150488	AD Starter Scan - Null 工作階段	Nessus	Windows	2021/7/29	2024/7/24	medium
150488	AD Starter Scan - 空会话	Nessus	Windows	2021/7/29	2024/7/24	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium