Əsas fikir
Əvvəlcə imtiyazlı hesabları və kritik obyektləri inventarlaşdırın. Gündəlik idarəetməni ayrıca hesab və qorunan iş stansiyası ilə aparın, dəyişiklikləri izləyin və bərpanı sınaqdan keçirin.
İmtiyazlı girişə nəzarət edin
Domain Admins və digər yüksək imtiyazlı qruplardakı üzvləri iş və məsuliyyət əsasında məhdudlaşdırın. Administratorlar üçün gündəlik istifadəçi hesabından ayrı hesab yaradın; e-poçt və veb-brauzer kimi gündəlik işləri həmin imtiyazlı hesabla görməyin. Müvəqqəti yüksəltmə imkanı varsa, onu təsdiq, vaxt limiti və qeydiyyatla tətbiq edin. İstifadə olunmayan hesab və hüquqları sahib ilə birlikdə ləğv edin.
İdarəetmə cihazlarını və autentifikasiyanı qoruyun
Domain controller və digər kritik sistemlərə yalnız idarəetmə üçün ayrılmış, yenilənən və məhdudlaşdırılmış cihazlardan qoşulun. Dəstəklənən inzibati və uzaqdan giriş yollarında güclü MFA tələb edin; üsulu faktiki AD DS və hibrid arxitekturaya uyğun seçin. FIDO2 və sertifikat əsaslı üsulların həmin giriş yolunu dəstəklədiyini yoxlayın; uyğunluq üçün imtiyazlı hesablara aid Entra Kerberos məhdudiyyətlərini zəiflətməyin. Xidmət hesablarının interaktiv girişini məhdudlaşdırın, sirrləri kodda saxlamayın və parol, açar, gMSA və SPN istifadəsini mütəmadi nəzərdən keçirin.
Domen dəyişikliklərini görün və bərpanı yoxlayın
Qrup üzvlüyü, imtiyaz təyinatı, GPO, replikasiya və domain controller konfiqurasiyasındakı dəyişiklikləri mərkəzi jurnallara göndərin. Jurnal əhatəsini, saxlanma müddətini və xəbərdarlıq sahibini müəyyən edin; gözlənilməz dəyişiklik üçün araşdırma prosesi qurun. Ayrıca obyektin bərpası və bütün forest-in bərpası fərqli prosedurlar tələb edir; sınağın əhatəsini buna uyğun müəyyən edin.
Bərpa əhatəsini müəyyən edin
Obyekt, domen və ya forest üçün hədəfi, DNS, etimadnamə və tətbiq asılılıqlarını qeyd edin.
Qorunan ehtiyat nüsxələr yaradın
Dəstəklənən metodu seçin; cədvəli və nüsxənin etibarlılığını mühitin saxlanma və obyekt ömrünə uyğunlaşdırın. Nüsxələri ayrıca qoruyun.
Təcrid olunmuş bərpanı məşq edin
Seçilmiş domen və ya forest bərpasını işlək mühitdən ayrılmış sınaq mühitində, bərpa etimadnamələri və DNS asılılıqları ilə yoxlayın.
Nəticələri qeyd edin
Bərpa nəticələrini, çatışmayan asılılıqları və məsul sahibləri sənədləşdirin; boşluqları düzəldin və yenidən sınaqdan keçirin.
Təmizləmə və möhkəmləndirməni davamlı edin
Qeyri-aktiv istifadəçi və kompüter hesablarını sahib və biznes ehtiyacı ilə tutuşdurun; zəruri olduqda əvvəlcə girişini dayandırın, sonra təsdiqlənmiş proseslə silin. Köhnə protokolları, zəif parametrləri və lazımsız xidmətləri inventarlaşdırın; uyğunluğu yoxlamadan kəskin söndürmə etməyin, çünki tətbiqlər və köhnə sistemlər asılı ola bilər. Microsoft-un Windows Server buraxılışına aid tövsiyələrini dəyişiklik sınağı ilə tətbiq edin.
Active Directory obyektlərini və sərhədlərini anlayın
Active Directory Domain Services istifadəçi və kompüter hesabları, qruplar, təşkilati vahidlər və GPO kimi obyektləri saxlayır; domain controller-lər bu kataloqun autentifikasiya və kataloq xidmətlərini təmin edir. Bu səbəbdən bir səhv qrup üzvlüyü və ya delegasiya bir çox tətbiqə təsir edə bilər. Domenlərarası trust, DNS, replikasiya, xidmət hesabları və delegasiya edilmiş idarəetmənin sahiblərini sənədləşdirin. Yeniləmə və dəyişiklikləri əvvəlcə sınaq domainində yoxlayın.