Главная мысль
Сначала составьте перечень привилегированных учётных записей и критичных объектов. Для повседневного администрирования используйте отдельную учётную запись и защищённую рабочую станцию, отслеживайте изменения и проверяйте восстановление.
Контролируйте привилегированный доступ
Ограничьте членство в Domain Admins и других привилегированных группах реальными обязанностями. Создайте администраторам отдельные учётные записи и не используйте их для почты или веб-сёрфинга. Если доступ можно повышать временно, требуйте подтверждение, задавайте срок и регистрируйте действия. Удаляйте неиспользуемые учётные записи и права после проверки с владельцем.
Защитите административные устройства и вход
Подключайтесь к контроллерам домена и другим критичным системам только с выделенных, обновляемых и ограниченных административных устройств. Требуйте сильную MFA на поддерживаемых административных путях и при удалённом доступе; выбирайте метод для фактической архитектуры AD DS и гибридной среды. Проверьте поддержку конкретного пути для FIDO2 и сертификатов; не ослабляйте ограничения Entra Kerberos для привилегированных аккаунтов ради совместимости. Ограничьте интерактивный вход сервисных учётных записей, не храните секреты в коде и регулярно проверяйте пароли, ключи, gMSA и SPN.
Отслеживайте изменения домена и проверяйте восстановление
Передавайте в централизованные журналы изменения членства в группах, назначения привилегий, GPO, репликации и конфигурации контроллеров домена. Определите охват и срок хранения журналов, владельца оповещений и порядок расследования неожиданных изменений. Восстановление отдельного объекта и всего леса требует разных процедур; определяйте охват испытания соответственно.
Определите охват восстановления
Укажите цель для объекта, домена или леса, зависимости DNS, учётных данных и приложений.
Создавайте защищённые резервные копии
Выберите поддерживаемый метод; согласуйте расписание и пригодность копий со сроками хранения и жизни объектов в среде. Защитите копии отдельно.
Отработайте изолированное восстановление
Проверьте выбранное восстановление домена или леса отдельно от production, включая учётные данные восстановления и зависимости DNS.
Зафиксируйте результаты
Документируйте результаты, недостающие зависимости и ответственных; устраните пробелы и повторите проверку.
Регулярно очищайте и укрепляйте среду
Сверяйте неактивные учётные записи пользователей и компьютеров с владельцем и деловой необходимостью; при необходимости сначала отключите доступ, затем удаляйте по утверждённой процедуре. Инвентаризируйте устаревшие протоколы, слабые параметры и ненужные службы. Не отключайте их резко без проверки совместимости: от них могут зависеть приложения и старые системы. Применяйте рекомендации Microsoft для вашей версии Windows Server с предварительной проверкой изменений.
Понимайте объекты и границы Active Directory
Active Directory Domain Services хранит объекты пользователей и компьютеров, группы, подразделения и GPO; контроллеры домена обеспечивают аутентификацию и работу каталога. Поэтому ошибочное членство в группе или делегирование может затронуть сразу несколько приложений. Документируйте владельцев доверительных связей между доменами, DNS, репликации, сервисных аккаунтов и делегированного администрирования. Обновления и изменения сначала проверяйте в тестовом домене.