林
Active Directory (AD) 林是共享通用方案、配置和信任关系的域的集合。该林提供用于管理和组织资源的分层结构,可跨组织内的多个域实现集中管理和安全的身份验证。
管理林
-
在 Tenable Identity Exposure 中,点击“系统”>“林管理”。
-
点击右侧的“添加林”。
此时会出现“添加林”窗格。
-
在“名称”框中,输入林的名称。
- 在“帐户”部分,为 Tenable Identity Exposure 使用的服务帐户提供以下内容:
- 登录:输入服务帐户的名称。 格式:用户主体名称,例如“[email protected]”(推荐此格式,因为其与 Kerberos 身份验证 兼容);或 NetBIOS,例如“DomainNetBIOSName\SamAccountName”。
- 密码:输入服务帐户的密码。
-
单击“添加”。
此时会出现一条消息,确认已添加新的林。
-
在 Tenable Identity Exposure 中,点击“系统”>“林管理”。
-
在林列表中,将鼠标悬停在要修改的林上,然后点击右侧的 图标。
此时会出现“编辑林”窗格。
-
根据需要进行修改。
-
单击“编辑”。
此时会出现一条消息,确认 Tenable Identity Exposure 已更新林。
保护服务帐户
Tenable 建议保护服务帐户来维护安全性,方法是通过正确设置用户帐户控制 (UAC) 属性来防止委派、要求预身份验证、使用更强的加密、强制使密码过期和强制执行密码要求,以及允许经授权的密码更改。这些措施可降低未经授权访问和潜在安全漏洞的风险,从而确保组织系统和数据的完整性。
您可以借助适当的管理权限,使用 Windows 的本地安全策略编辑器或组策略编辑器来修改用户帐户控制设置。
-
在编辑器中,导航到“本地策略”->“安全选项”,找到并配置以下设置:(设置可能因 Windows 版本而有所不同。)
-
“网络访问:不允许存储密码和凭据以进行网络认证”:将其设置为“已启用”。
-
“帐户:不需要 Kerberos 预身份验证”:并将其设置为“已禁用”。
-
“网络安全:配置 Kerberos 允许的加密类型”:确保未选择“为此帐户使用 Kerberos DES 加密类型”选项。
-
“帐户:密码最长使用期限”:设置密码到期期限(例如 30 天、60 天或 90 天,以使“PasswordNeverExpires”属性为 FALSE)。
-
“帐户:将本地帐户使用空白密码限制为仅限控制台登录”:将其设置为“已禁用”。
-
“交互式登录:要缓存的以前登录的次数(以防域控制器不可用)”:设置所需值,例如“10”,以允许用户更改其密码。
-
-
在托管 AD 的计算机上,使用适当的管理权限打开 PowerShell 并运行以下命令:
复制Set-ADAccountControl -Identity <AD_ACCOUNT> -AccountNotDelegated $true -UseDESKeyOnly $false -DoesNotRequirePreAuth $false -PasswordNeverExpires $false -PasswordNotRequired $false -CannotChangePassword $false
“<AD_ACCOUNT>”是您想要修改的 Active Directory 帐户的名称。