Active Directory 使用 Kerberos 协议进行验证。由于它是旧协议，自创建以来已采取大量安全增强措施，同时为确保正确的安全状态，必须禁用某些旧选项。

Kerberos 5 网络认证协议 [RFC1510] 的原始规范仅支持使用 DES 加密。
多年以来，加密字符社区一直认为 DES 不安全，这主要是因为 DES 的密钥大小较小。因此，DES 现在是已弃用的不安全加密密码。即使 Active Directory 中的 Kerberos 可以使用它，也应将其禁用。

默认情况下，此检查会跳过已禁用的帐户。若要同时检查已禁用的帐户，请启用全面测试。

注意：AD Starter Scan 和相关插件旨在与较小的 AD 部署一起使用，以进行初步分析。对于最多 5,000 个用户、组或计算机的 AD 部署，预计可以获得准确的初步分析，而对于包含 Nessus、安全中心和漏洞管理的大型 AD 部署，将返回不完整的结果。如需进一步了解 Active Directory Starter Scan 插件发现的问题，请参阅此博客文章 - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

Active Directory 帐户可配置为避开全局密码更新策略。如此设置的帐户可无限使用，无需更改密码。用户和管理员帐户不得设置此属性。

默认情况下，此检查会跳过已禁用的帐户。若要同时检查已禁用的帐户，请启用全面测试。

注意：此插件是 Active Directory Starter Scan 模板的一部分，用于对 AD 主机进行初步分析。如需进一步了解 Active Directory Starter Scan 插件发现的问题，请参阅此博客文章 - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

作为 Active Directory 安全核心层的协议，Kerberos 允许某些服务器获取用户凭据，并使用这些凭据代表用户进行认证。

当用户在受信任委派的服务器上进行认证时，域控制器会将用户凭据的副本发送到服务器。这些凭据随后可用于代表用户进行认证。

如果攻击者能够入侵此类服务器，则能够窃取并重新使用在此特定服务器上认证的所有用户的凭据。如果管理员连接到受影响的计算机，攻击者将能够提升自身权限，也成为管理员。因此，应仅在域控制器等受信任的服务器上允许“受信任的委派”属性。此机制称为“无约束委派”。

注意：AD Starter Scan 和相关插件旨在与较小的 AD 部署一起使用，以进行初步分析。对于最多 5,000 个用户、组或计算机的 AD 部署，预计可以获得准确的初步分析，而对于包含 Nessus、安全中心和漏洞管理的大型 AD 部署，将返回不完整的结果。如需进一步了解 Active Directory Starter Scan 插件发现的问题，请参阅此博客文章 - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

群组是提供对环境中资源访问权限的标准方式。因此，应当极为谨慎地处理群组成员身份。Active Directory 有一项不大为人所知的功能可用于相同用途：主要群组 ID。这是为支持旧版 UNIX 应用程序而创建的机制，其中群组成员资格的存储方式与 Windows 相同。从 Active Directory 的角度来看，当检查资源的访问权限时，成为群组成员或为此群组设置主要群组 ID 完全相同。并非所有的第三方工具和软件都考虑此用例。

使用主群组 ID 机制会被视为不良做法，并且存在安全风险。

注意：AD Starter Scan 和相关插件旨在与较小的 AD 部署一起使用，以进行初步分析。对于最多 5,000 个用户、组或计算机的 AD 部署，预计可以获得准确的初步分析，而对于包含 Nessus、安全中心和漏洞管理的大型 AD 部署，将返回不完整的结果。如需进一步了解 Active Directory Starter Scan 插件发现的问题，请参阅此博客文章 - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

通过 Kerberoast，攻击者可利用 Kerberos 认证协议的内部结构，并且通常会以具有特权的域用户帐户为目标。此攻击的目标是发现特权帐户的明文密码，并因此获得相关的权限。此攻击可从 Active Directory 环境内执行。攻击者只需要一个简单的非特权用户帐户即可。

如果为帐户设置了服务主体名称属性，则该帐户的基础安全性会受到进一步影响。通常，密码安全策略被配置为在连续发生几次密码失败后锁定帐户。
但是，设置此属性后，可以进行详尽的密码猜测。

特权帐户（例如 Domain Admins 群组中的帐户）通常是 Kerberoasting 攻击中的目标帐户。取得这些帐户的访问权限后可以入侵整个网域。

默认情况下，此检查会跳过已禁用的特权帐户。若要同时检查已禁用的特权帐户，请启用全面测试。

注意：AD Starter Scan 和相关插件旨在与较小的 AD 部署一起使用，以进行初步分析。对于最多 5,000 个用户、组或计算机的 AD 部署，预计可以获得准确的初步分析，而对于包含 Nessus、安全中心和漏洞管理的大型 AD 部署，将返回不完整的结果。如需进一步了解 Active Directory Starter Scan 插件发现的问题，请参阅此博客文章 - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

Active Directory 使用 Kerberos 协议进行验证。由于它是旧协议，自创建以来已采取大量安全增强措施，同时为确保正确的安全状态，必须禁用某些旧选项。

攻击者可利用 AS-REP Roasting 攻击来猜测用户的密码。AS-REP Roasting 攻击的第一部分是识别未设置 Kerberos 预认证 (DONT_REQ_PREAUTH) 的用户。这是 userAccountControl 属性的一部分。

如果没有 Kerberos 预认证，攻击者就可以代表用户向 KDC 发送认证请求 (AS-REQ)。KDC 然后会回复加密的 TGT (AS-REP)。部分 AS-REP 已使用源自其密码的原始用户密钥加密。然后，攻击者可使用离线暴力破解来猜测密码。此攻击比在线暴力攻击要快得多（例如通过使用不同密码提出大量认证请求）。

在 KDC 发回加密的 TGT 之前，预认证强制要求攻击者拥有密码（通过必须加密时间戳）。

默认情况下，此检查会跳过已禁用的帐户。若要同时检查已禁用的帐户，请启用全面测试。

注意：AD Starter Scan 和相关插件旨在与较小的 AD 部署一起使用，以进行初步分析。对于最多 5,000 个用户、组或计算机的 AD 部署，预计可以获得准确的初步分析，而对于包含 Nessus、安全中心和漏洞管理的大型 AD 部署，将返回不完整的结果。如需进一步了解 Active Directory Starter Scan 插件发现的问题，请参阅此博客文章 - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

可通过 PASSWD_NOTREQD 选项为帐户指定空白密码。此选项通过帐户的 UserAccountControl 属性设置。在帐户创建期间或管理员重置密码时可能发生此问题。

“用户在下次登录时必须更改密码”选项不受此问题的影响，这是因为当用户连接并更改密码时，它会验证，密码不能为空。

没有密码的帐户极易受攻击。攻击者可以获取对帐户资源的完整访问权限。

默认情况下，此检查会跳过已禁用的帐户。若要同时检查已禁用的帐户，请启用全面测试。

注意：AD Starter Scan 和相关插件旨在与较小的 AD 部署一起使用，以进行初步分析。对于最多 5,000 个用户、组或计算机的 AD 部署，预计可以获得准确的初步分析，而对于包含 Nessus、安全中心和漏洞管理的大型 AD 部署，将返回不完整的结果。如需进一步了解 Active Directory Starter Scan 插件发现的问题，请参阅此博客文章 - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
150481	AD Starter Scan - 弱 Kerberos 加密	Nessus	Windows	2021/7/29	2024/5/6	medium
150483	AD Starter Scan - 非过期帐户密码	Nessus	Windows	2021/7/29	2024/5/6	medium
150485	AD Starter Scan - 无约束委派	Nessus	Windows	2021/7/29	2024/5/6	high
150487	AD Starter Scan - 主要群组 ID 完整性	Nessus	Windows	2021/7/29	2024/5/6	high
150480	AD Starter Scan - Kerberoasting 攻击	Nessus	Windows	2021/7/29	2024/5/6	high
150482	AD Starter Scan - Kerberos 预认证验证	Nessus	Windows	2021/7/29	2024/5/6	medium
150489	AD Starter Scan - 空白密码	Nessus	Windows	2021/7/29	2024/5/6	medium

检测

插件搜索

medium

medium

high

high

high

medium

medium