保护您的 Active Directory 免受安全配置漂移的影响

当随着时间的推移逐渐发生变化时，就会发生配置漂移。配置漂移的概念通常与软件开发或桌面操作系统配置相关，但该概念同样与 Active Directory 相关。在 Active Directory 环境中，配置偏差可能会导致对象配置方式不一致，甚至导致未记录的设置。 Active Directory 设置随着时间的推移而演变是正常的，但这种演变需要以严格控制的方式进行，以防止配置漂移。

尽管组织尽了最大努力，Active Directory 内的配置漂移仍然可能发生，而且确实经常发生。例如，管理员可能忘记记录新设置。同样，管理员可能会将新的安全设置应用于某个域，却忘记将该设置应用于组织的其他域，从而导致一个域与下一个域之间的不一致。

尽管Windows Server 中内置的工具可用于检测Active Directory 中的配置偏差，但评估过程需要大量人力，并且检测不会实时进行。希望保护 Active Directory 环境免受配置偏差影响的 IT 专业人员最好使用第三方解决方案，例如 Lepide Active Directory Auditor。

保护组织的 Active Directory 免受配置偏差的影响有三个关键。 Lepide 的 Active Directory 审核软件能够满足所有这些要求。

保护 Active Directory 免受配置偏差的第一个要求是有意义的审核。 Windows 操作系统本身就能够执行广泛的审核。但是，在 Windows 审核日志中查找特定事件可能非常困难。如果组织想要监控其 Active Directory，那么理想情况下应该使用审核机制来编译简单但有意义的 Active Directory 设置修改列表。管理员应该能够轻松找到任何修改的日志条目，并查看是谁以及何时进行了更改。

第二个要求是实时警报。鉴于 Active Directory 在组织整体安全中发挥的作用，管理人员了解何时进行更改至关重要。管理员决不应该在 Active Directory 修改发生数周后才发现该修改。 Active Directory 设置的更改应实时引起管理员的注意，以便管理员可以确定这些更改是否获得授权。

保护 Active Directory 免受配置偏差的第三个要求是回滚机制。假设 IT 人员中的某人对 Active Directory 进行了不当修改。管理员最好能够回滚更改，然后手动撤消更改。与手动修改相比，回滚的劳动密集度较低，并且不太容易出现人为错误。

由于组织的整个安全基础设施通常基于 Active Directory，因此准确了解 Active Directory 的配置方式非常重要。第三方审核系统（例如 Lepide 的 Active Directory 审核员）可以帮助管理员检测 Active Directory 设置的更改，以便可以记录或回滚这些更改。

关于作者 - Brien Posey 是一位自由作家、技术演讲者和 Microsoft MVP。