3 Melhores práticas para o gerenciamento completo e seguro do Active Directory

Hoje o Active Directory é essencial para um gerenciamento centralizado de usuários, computadores, departamentos, entre outros. Devido a esta grande massa de informações e privilégios podem ocorrer dificuldades durante o gerenciamento e principalmente à segurança do AD. Quem, onde, quando? Por que este usuário tem acesso a esta pasta privilegiada? Quem está realizando alterações em massa fora do horário comercial?

Isso sem contar as inúmeras solicitações para criações e modificações de usuários. O que toma tempo e consequentemente prestamos menos atenção aos pontos críticos de cibersegurança.

Abaixo você encontrará 3 passos para um Active Directory mais seguro e eficiente.

Gerenciamento de identidade e privilégios

Quanto tempo é gasto com criação e modificações de usuários? Essa é uma tarefa constante em um ciclo sem fim. Nestes casos, podemos conceder um acesso mínimo de privilégios para a equipe de RH apenas para a criação de usuários com base em templates. Desta forma, basta preencher os dados e não são criadas solicitações diretamente para a equipe de TI.

Podemos ver abaixo um exemplo de template onde já deixamos definidos todos os campos a serem preenchidos:

Além disso, podemos gerir as férias limitando os acessos com base em automações já pré-definidas:

Gerenciamento de senhas self-service para o usuário final

Uma vez que configuramos a gestão de usuários e privilégios é normal que a TI tenha uma grande carga com chamados para reset de senha, desbloqueio de contas, entre outros. Uma forma de automatizar e criar independência do usuário final para estas ações é um caminho fácil e seguro com o ADSelfService Plus.

Com ele é possível criar políticas específicas para OUs ou grupos específicos. Habilite as perguntas de segurança e múltiplos fatores de autenticação com o Google Authenticator, Microsoft, perguntas do AD, SMS, entre outros:

Após definir a política e instalar o agente Gina nas workstations, os usuários poderão realizar ações como troca de senha, reset e desbloqueio de contas pela própria console do Windows:

Auditoria do Active Directory, File Servers e Servidores Membros

Chegou a hora de auditar todas as ações que configuramos acima. Seja para o usuário final, administradores, file servers e até servidores membros. Com o ADAudit Plus conseguimos rastrear todas as ações feitas pelo Active Directory criando alertas com scripts para obter uma ação imediata.

Exemplo:

Um alerta é disparado para um comportamento suspeito em alterações de arquivos (Ataque Ransomware):

Ao disparar o alerta podemos executar um script automático para desabilitar o computador/usuário evitando maiores danos:

Com essas mitigações a ameaças e tratativas rápidas dos incidentes, obtemos uma segurança ainda maior no nosso ambiente, além de estar em compliance com diversas conformidades inclusive a LGPD.