Active Directory 帳戶可設定為逸出全域密碼更新原則。如此設定的帳戶可無限期使用，而無需變更密碼。使用者和系統管理員帳戶絕不應設定此屬性。

根據預設，此檢查會略過已停用的帳戶。若要同時檢查已停用的帳戶，請啟用徹底測試。

注意：此外掛程式是 Active Directory Starter Scan 範本的一部分，主要用於 AD 主機的初步分析。如需詳細瞭解 Active Directory Starter Scan 外掛程式發現的問題，請參閱此部落格文章- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

作為 Active Directory 安全性核心的通訊協定，Kerberos 允許特定伺服器取得使用者的憑證，並使用這些憑證來代表使用者進行驗證。

當使用者在受信任的委派伺服器上驗證時，網域控制站會將使用者的憑證複本傳送至伺服器。隨後，這些憑證可用來代表使用者進行驗證。

如果攻擊者能夠入侵這類伺服器，他們就能竊取並重複使用在此特定伺服器上驗證的所有使用者的憑證。如果系統管理員連線至遭入侵的計算機，攻擊者就可提升權限並成為系統管理員。因此，只應在受信任的伺服器 (例如網域控制站) 上允許受信任的委派內容。此機制稱為「無限制委派」。

注意：AD Starter Scan 及相關聯的外掛程式預定與小型 AD 部署搭配使用，以進行初步分析。對於多達 5,000 個使用者、群組或機器的 AD 部署，預期會有準確的初步分析，而且會針對 Nessus、Security Center 和 Vulnerability Management 的大型 AD 部署傳回不完整的結果。如需詳細瞭解 Active Directory Starter Scan 外掛程式發現的問題，請參閱此部落格文章- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

群組是在環境中提供資源存取權的標準方式。因此，應該極為謹慎地對待群組成員資格。Active Directory 有一項不大為人知的功能可用於相同目的：主要群組 ID。此機制是為了支援舊版 UNIX 應用程式而建立，其群組成員資格的儲存方式與 Windows 不同。檢查對資源的存取權限時，從 Active Directory 的角度來看，成為群組成員或為此群組設定主要群組 ID 是完全相同的。並非所有第三方工具和軟體都會考慮此使用案例。

使用主要群組 ID 機制被視為不良作法，且具有安全性風險。

注意：AD Starter Scan 及相關聯的外掛程式預定與小型 AD 部署搭配使用，以進行初步分析。對於多達 5,000 個使用者、群組或機器的 AD 部署，預期會有準確的初步分析，而且會針對 Nessus、Security Center 和 Vulnerability Management 的大型 AD 部署傳回不完整的結果。如需詳細瞭解 Active Directory Starter Scan 外掛程式發現的問題，請參閱此部落格文章- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

Active Directory 使用 Kerberos 通訊協定進行驗證。由於這是舊通訊協定，自建立以來已採取多種安全性增強措施。為確保適當的安全性狀態，必須停用某些舊版選項。

攻擊者可利用 AS-REP Roasting 攻擊來猜測使用者的密碼。AS-REP Roasting 攻擊的第一個部分是識別未設定 Kerberos 預先驗證的使用者 (DONT_REQ_PREAUTH)。這是 userAccountControl 屬性的一部分。

若沒有 Kerberos 預先驗證，攻擊者就可代表使用者將驗證要求 (AS-REQ) 傳送至 KDC。KDC 接著會以加密的 TGT (AS-REP) 回覆。部分 AS-REP 會使用衍生自其密碼的原始使用者金鑰加密。然後，攻擊者可使用離線暴力密碼破解來猜測密碼。此攻擊比線上暴力破解快很多 (例如，使用不同的密碼提出多個驗證要求)。

在 KDC 傳送回加密的 TGT 之前，預先驗證會強制攻擊者擁有密碼 (透過必須加密時間戳記)。

根據預設，此檢查會略過已停用的帳戶。若要同時檢查已停用的帳戶，請啟用徹底測試。

注意：AD Starter Scan 及相關聯的外掛程式預定與小型 AD 部署搭配使用，以進行初步分析。對於多達 5,000 個使用者、群組或機器的 AD 部署，預期會有準確的初步分析，而且會針對 Nessus、Security Center 和 Vulnerability Management 的大型 AD 部署傳回不完整的結果。如需詳細瞭解 Active Directory Starter Scan 外掛程式發現的問題，請參閱此部落格文章- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

使用 PASSWD_NOTREQD 選項的帳戶可指定空白密碼。此選項可透過帳戶的 UserAccountControl 屬性設定。在建立帳戶期間或系統管理員重設密碼時，可以這樣做。

「使用者必須在下次登入時變更密碼」選項不會受到此問題影響，這是因為當使用者連線並變更其密碼時，它會進行驗證，密碼不能為空白。

沒有密碼的帳戶非常容易遭受攻擊。這可讓攻擊者取得帳戶資源的完整存取權。

根據預設，此檢查會略過已停用的帳戶。若要同時檢查已停用的帳戶，請啟用徹底測試。

注意：AD Starter Scan 及相關聯的外掛程式預定與小型 AD 部署搭配使用，以進行初步分析。對於多達 5,000 個使用者、群組或機器的 AD 部署，預期會有準確的初步分析，而且會針對 Nessus、Security Center 和 Vulnerability Management 的大型 AD 部署傳回不完整的結果。如需詳細瞭解 Active Directory Starter Scan 外掛程式發現的問題，請參閱此部落格文章- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

透過 Kerberoast 攻擊，攻擊者可惡意利用 Kerberos 驗證通訊協定的內部，並普遍鎖定有權限的網域使用者帳戶。此攻擊的目標是搜尋有權限帳戶的純文字密碼，並由此取得相關權限。此攻擊可從 Active Directory 環境內部執行。攻擊者只需要一個無權限的簡單使用者帳戶。

在帳戶上設定服務主體名稱屬性時，此帳戶的基礎安全性會進一步受到影響。通常，密碼安全性原則會設定為在連續發生數次密碼失敗後鎖定帳戶。
不過，設定此屬性時，可以進行徹底的密碼猜測。

Kerberoasting 攻擊通常會以有權限的帳戶 (例如 Domain Admins 群組中的帳戶) 為目標。攻擊者取得這些帳戶的存取權後，可全面入侵網域。

根據預設，此檢查會略過已停用的帳戶。若要同時檢查有權限的已停用帳戶，請啟用徹底測試。

注意：AD Starter Scan 及相關聯的外掛程式預定與小型 AD 部署搭配使用，以進行初步分析。對於多達 5,000 個使用者、群組或機器的 AD 部署，預期會有準確的初步分析，而且會針對 Nessus、Security Center 和 Vulnerability Management 的大型 AD 部署傳回不完整的結果。如需詳細瞭解 Active Directory Starter Scan 外掛程式發現的問題，請參閱此部落格文章- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

Active Directory 使用 Kerberos 通訊協定進行驗證。由於這是舊通訊協定，自建立以來已採取多種安全性增強措施。為確保適當的安全性狀態，必須停用某些舊版選項。

Kerberos 5 網路驗證通訊協定 [RFC1510] 的原始規範僅支援 DES 加密。
密碼編譯社群認為 DES 不安全已有很多年，主要是因為其金鑰太小。因此，DES 現在是已過時的不安全編譯密碼。儘管 Active Directory 中的 Kerberos 可以使用 DES，也應將其停用。

根據預設，此檢查會略過已停用的帳戶。若要同時檢查已停用的帳戶，請啟用徹底測試。

注意：AD Starter Scan 及相關聯的外掛程式預定與小型 AD 部署搭配使用，以進行初步分析。對於多達 5,000 個使用者、群組或機器的 AD 部署，預期會有準確的初步分析，而且會針對 Nessus、Security Center 和 Vulnerability Management 的大型 AD 部署傳回不完整的結果。如需詳細瞭解 Active Directory Starter Scan 外掛程式發現的問題，請參閱此部落格文章- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

ID	名稱	產品	系列	已發布	已更新	嚴重性
150483	AD Starter Scan - 非到期帳戶密碼	Nessus	Windows	2021/7/29	2024/5/6	medium
150485	AD Starter Scan - 無限制的委派	Nessus	Windows	2021/7/29	2024/5/6	high
150487	AD Starter Scan - 主要群組 ID 完整性	Nessus	Windows	2021/7/29	2024/5/6	high
150482	AD Starter Scan - Kerberos 預先驗證校驗	Nessus	Windows	2021/7/29	2024/5/6	medium
150489	AD Starter Scan - 空白密碼	Nessus	Windows	2021/7/29	2024/5/6	medium
150480	AD Starter Scan - Kerberoasting 攻擊	Nessus	Windows	2021/7/29	2024/5/6	high
150481	AD Starter Scan - 弱式 Kerberos 加密	Nessus	Windows	2021/7/29	2024/5/6	medium

偵測

搜尋 Plugin

medium

high

high

medium

medium

high

medium