Identity a přístupy

    Monitoring Active Directory: kdo má k čemu přístup a co je v doméně špatně

    FlowPro NG se připojí k řadičům domény přes LDAPS, pravidelně načítá uživatele, počítače, skupiny a organizační jednotky a sám hledá rizikové účty. Počítače z AD propojí s evidencí zařízení.
    Vyzkoušet 14 dní zdarmaOnline demo
    flowpro.local/assets
    Evidence zařízení ve FlowPro NG

    Útočník v síti hledá nejdřív účty. Zapomenuté účty v AD mu práci usnadní.

    Účet bývalého zaměstnance, který nikdo nevypnul, heslo bez vypršení platnosti nebo servisní účet zranitelný vůči Kerberoastingu. Takové věci se v doméně za roky nahromadí a v nástrojích pro správu AD je nikdo nevidí, dokud je nezneužije útočník.

    Řízení přístupů a správa účtů jsou také součástí požadavků NIS2. FlowPro NG vám dá pravidelný přehled o stavu domény vedle logů, toků a zranitelností, na vlastním serveru a bez instalace čehokoli na řadiče domény.

    Co získáte

    Monitoring Active Directory ve FlowPro NG

    Synchronizace přes LDAPS

    Připojení k AD výhradně šifrovaně přes LDAPS (port 636) s účtem jen pro čtení. Podporuje více domén, každé připojení má vlastní interval synchronizace. Heslo k účtu je uložené šifrovaně.

    Uživatelé, počítače, skupiny a OU

    Přehledný inventář domény: kdy se kdo naposledy přihlásil, kdy měnil heslo, ve kterých skupinách je a ve které organizační jednotce leží. Hledání a filtry místo ručního procházení konzole.

    10 kontrol rizik

    Po každé synchronizaci se vyhodnotí neaktivní účty a počítače, stará hesla, hesla bez vypršení platnosti, účty bez povinného hesla, vratné šifrování hesla, účty zranitelné vůči Kerberoastingu a nesrovnalosti v privilegovaných skupinách.

    Privilegované skupiny pod dohledem

    Kontroly upozorní na neočekávané členy administrátorských skupin, na zakázané účty, které v nich zůstaly, i na účty s příznakem adminCount mimo tyto skupiny.

    Počítače z AD v evidenci zařízení

    Počítače z domény se propojí se zařízeními ve FlowPro NG. U zařízení pak vidíte jeho logy, toky, zranitelnosti i stav v AD na jednom místě.

    Události zabezpečení Windows (beta)

    Jako beta je k dispozici analýza událostí Windows: přihlášení, změny účtů a skupin, použití oprávnění a Kerberos. Šablony detekcí pokrývají například útok hrubou silou, Kerberoasting nebo smazání auditního logu.

    • Active Directory
    • LDAPS
    • Kerberos
    • Kerberoasting
    • AS-REP Roasting
    • Windows Security Log
    • Elastic Agent
    • NIS2

    Jak to funguje

    Zprovoznění v několika krocích

    1. 01

      Připravte účet pro čtení

      V doméně stačí běžný účet s právem čtení adresáře. Řadič domény musí přijímat LDAPS na portu 636 a být dostupný ze serveru FlowPro NG.

    2. 02

      Přidejte připojení

      V modulu Active Directory zadejte řadič domény, Bind DN, Base DN a heslo. Připojení si nejdřív otestujete, pak nastavíte interval synchronizace.

    3. 03

      Projděte nálezy

      Po první synchronizaci uvidíte inventář domény a výsledky kontrol seřazené podle závažnosti. Opravy děláte v AD jako obvykle, FlowPro NG je při další synchronizaci ověří.

    FAQ

    Časté otázky

    Jak zjistit neaktivní účty v AD?

    Ručně třeba přes PowerShell a atribut lastLogonTimestamp. FlowPro NG to dělá automaticky po každé synchronizaci: povolené účty, které se nepřihlásily déle než 90 dní, označí jako nález. Stejně kontroluje i počítače.

    Co je Kerberoasting?

    Útok, při kterém si přihlášený uživatel vyžádá servisní tiket Kerberos pro účet s nastaveným SPN a jeho heslo pak láme offline. Ohrožené jsou hlavně servisní účty se slabým heslem. FlowPro NG takové účty v doméně vyhledá.

    Musím na řadiče domény něco instalovat?

    Pro inventář a kontroly ne, FlowPro NG čte adresář přes LDAPS. Agenta Elastic potřebujete jen tehdy, když chcete sbírat i události zabezpečení Windows.

    Mění FlowPro NG něco v Active Directory?

    Ne. Modul adresář jen čte a stačí mu účet bez administrátorských práv. Nálezy opravujete sami v nástrojích pro správu AD.

    Zvládne FlowPro NG více domén?

    Ano. Pro každou doménu přidáte samostatné připojení s vlastním intervalem synchronizace. Výsledky kontrol vidíte pro každou doménu zvlášť.

    Související řešení

    SIEM a správa logůLogy ze serverů, stanic a síťových prvků na jednom místě. Vyhledávání, detekční pravidla a upozornění na vlastním serveru.Správa zranitelnostíZnámé zranitelnosti z NVD propojené s vašimi zařízeními. Priorita podle katalogu CISA KEV, skóre EPSS a CVSS, ne podle délky seznamu.Detekce síťových anomálií17 detekcí nad síťovými toky každou minutu: skenování portů, flood útoky, únik dat, beaconing, laterální pohyb, tunely.
    Jak si FlowPro NG stojí proti Wazuh, Elastic, Splunk a Flowmonu

    Vyzkoušejte to na vlastní síti

    Zkušební verze Enterprise na 14 dní odemyká všechny moduly. Nainstalujete ji na vlastní server a platební kartu nepotřebujete.

    Spustit zkušební verziOnline demo