Data/Locales/checks/it/ADStaleObjectChecks.json
|
{ "_family": "ADStaleObjectChecks.json", "ADSTALE-001": { "name": { "value": "Account utente inattivi", "status": "machine-draft" }, "description": { "value": "Gli account utente non utilizzati per un periodo prolungato rappresentano una superficie di attacco non necessaria. Gli account inattivi possono ancora avere credenziali e appartenenze a gruppi valide, il che li rende bersagli interessanti per gli aggressori in grado di compromettere credenziali dimenticate o condivise senza attivare gli avvisi legati agli utenti attivi. Gli account inattivi da più di 90 giorni dovrebbero essere esaminati e disabilitati", "status": "machine-draft" }, "recommendedValue": { "value": "Nessun account utente abilitato inattivo da più di 90 giorni; account inattivi disabilitati o rimossi", "status": "machine-draft" }, "remediationSteps": { "value": "Interroga gli account utente il cui lastLogonTimestamp è più vecchio di 90 giorni e che sono abilitati usando Search-ADAccount -AccountInactive -TimeSpan 90 -UsersOnly. Verifica con i proprietari o i responsabili degli account prima di intervenire. Disabilita prima gli account inattivi, quindi eliminali dopo un periodo di grazia di 30 giorni se non rivendicati. Rimuovi gli account disabilitati da tutti i gruppi di sicurezza. Implementa una gestione automatizzata del ciclo di vita", "status": "machine-draft" } }, "ADSTALE-002": { "name": { "value": "Account computer inattivi", "status": "machine-draft" }, "description": { "value": "Gli account computer che non si autenticano al dominio da un periodo prolungato indicano sistemi dismessi, reinstallati o offline. Questi account computer inattivi conservano le credenziali della macchina e le appartenenze ai gruppi, e un aggressore che recupera o reimposta la password dell'account macchina può autenticarsi come il computer, accedendo potenzialmente alle risorse o eseguendo attacchi di delega Kerberos", "status": "machine-draft" }, "recommendedValue": { "value": "Nessun account computer abilitato inattivo da più di 90 giorni; account inattivi disabilitati o rimossi", "status": "machine-draft" }, "remediationSteps": { "value": "Interroga gli account computer il cui lastLogonTimestamp è più vecchio di 90 giorni usando Search-ADAccount -AccountInactive -TimeSpan 90 -ComputersOnly. Effettua un confronto incrociato con i sistemi di gestione degli asset per verificare lo stato di dismissione. Disabilita gli account computer inattivi e spostali in una OU Disabled Computers. Eliminali dopo un periodo di grazia di 60 giorni se il sistema non si riconnette. Rimuovili dai gruppi di sicurezza al momento della disabilitazione", "status": "machine-draft" } }, "ADSTALE-003": { "name": { "value": "Account disabilitati con appartenenze a gruppi", "status": "machine-draft" }, "description": { "value": "Gli account utente e computer disabilitati che conservano l'appartenenza ai gruppi di sicurezza continuano a comparire nelle valutazioni di controllo degli accessi basate sui gruppi e possono creare confusione nelle revisioni degli accessi. Sebbene gli account disabilitati non possano autenticarsi, le loro appartenenze ai gruppi possono essere ripristinate se l'account viene riabilitato, e le appartenenze conservate gonfiano le dimensioni dei gruppi e complicano l'analisi del privilegio minimo", "status": "machine-draft" }, "recommendedValue": { "value": "Tutti gli account disabilitati rimossi da tutti i gruppi di sicurezza, ad eccezione di Domain Users", "status": "machine-draft" }, "remediationSteps": { "value": "Individua gli account disabilitati con appartenenze a gruppi non predefinite usando Get-ADUser -Filter {Enabled -eq $false} -Properties MemberOf. Rimuovi tutte le appartenenze ai gruppi di sicurezza (ad eccezione del gruppo primario) dagli account disabilitati. Implementa un flusso di lavoro automatizzato che rimuova le appartenenze ai gruppi quando gli account vengono disabilitati. Includi la pulizia delle appartenenze ai gruppi nel processo di deprovisioning degli account", "status": "machine-draft" } }, "ADSTALE-004": { "name": { "value": "Password scadute non disabilitate", "status": "machine-draft" }, "description": { "value": "Gli account con password che hanno superato la validità massima ma che restano abilitati possono indicare account non gestiti attivamente. Questi account potrebbero essere stati compromessi con credenziali ottenute da violazioni storiche o dump di credenziali, e le password non modificate da tempo aumentano la finestra per gli attacchi di forza bruta offline", "status": "machine-draft" }, "recommendedValue": { "value": "Nessun account con password più vecchie del criterio di validità massima della password, salvo se esplicitamente esentato in quanto account di servizio documentato", "status": "machine-draft" }, "remediationSteps": { "value": "Interroga gli account il cui PasswordLastSet è più vecchio della validità massima della password usando Get-ADUser -Filter * -Properties PasswordLastSet,PasswordNeverExpires. Escludi gli account con PasswordNeverExpires che sono account di servizio documentati. Forza la reimpostazione della password al successivo accesso per gli account con password scadute. Disabilita gli account non rivendicati dopo la notifica. Rivedi annualmente le esenzioni PasswordNeverExpires", "status": "machine-draft" } }, "ADSTALE-005": { "name": { "value": "Computer con sistemi operativi obsoleti", "status": "machine-draft" }, "description": { "value": "I computer aggiunti al dominio che eseguono sistemi operativi obsoleti (Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008) che non ricevono più alcun aggiornamento di sicurezza rappresentano asset ad alto rischio. Questi sistemi contengono vulnerabilità note e non corrette che vengono attivamente sfruttate dagli aggressori e non possono supportare controlli di sicurezza moderni come Credential Guard o LAPS", "status": "machine-draft" }, "recommendedValue": { "value": "Nessun computer che esegue Windows XP, Server 2003, Vista o Server 2008 aggiunto al dominio", "status": "machine-draft" }, "remediationSteps": { "value": "Interroga gli account computer in base all'attributo operatingSystem per individuare le versioni obsolete del SO. Verifica che i sistemi individuati siano ancora attivi usando lastLogonTimestamp e test ping. Crea un piano di migrazione per aggiornare o sostituire i sistemi obsoleti. Per i sistemi che non possono essere aggiornati immediatamente, implementa l'isolamento di rete tramite VLAN e regole firewall. Disabilita gli account computer dei sistemi dismessi confermati", "status": "machine-draft" } }, "ADSTALE-006": { "name": { "value": "Versioni di SO non supportate", "status": "machine-draft" }, "description": { "value": "I computer aggiunti al dominio che eseguono sistemi operativi oltre la loro data di fine supporto (Windows 7, Windows 8.1, Windows Server 2008 R2, Windows Server 2012/R2) non ricevono più patch di sicurezza regolari. Sebbene per alcuni possano essere disponibili gli Extended Security Update, questi sistemi presentano un rischio elevato e dovrebbero essere individuati, tracciati e prioritizzati per la migrazione a piattaforme supportate", "status": "machine-draft" }, "recommendedValue": { "value": "Nessun computer che esegue sistemi operativi in fine supporto, salvo se coperto da Extended Security Update con un piano di migrazione documentato", "status": "machine-draft" }, "remediationSteps": { "value": "Interroga gli account computer in base all'attributo operatingSystem per individuare le versioni di SO in fine supporto. Determina quali sistemi sono coperti dagli Extended Security Update (ESU). Crea tempistiche di migrazione per tutti i sistemi non supportati. Implementa controlli compensativi per i sistemi che non possono essere aggiornati immediatamente: segmentazione di rete, monitoraggio potenziato, accesso ai servizi limitato. Traccia l'avanzamento rispetto alle tempistiche di migrazione", "status": "machine-draft" } }, "ADSTALE-007": { "name": { "value": "Foreign Security Principal orfani", "status": "machine-draft" }, "description": { "value": "I Foreign Security Principal (FSP) sono oggetti segnaposto creati nel contenitore ForeignSecurityPrincipals quando utenti o gruppi di domini esterni vengono aggiunti a gruppi del dominio locale tramite trust. Gli FSP orfani referenziano SID di domini attendibili che non esistono più o account che sono stati eliminati, con conseguenti SID non risolvibili nelle appartenenze ai gruppi che ingombrano il controllo degli accessi e complicano l'audit", "status": "machine-draft" }, "recommendedValue": { "value": "Nessun Foreign Security Principal orfano con SID non risolvibili nel dominio", "status": "machine-draft" }, "remediationSteps": { "value": "Enumera tutti gli oggetti in CN=ForeignSecurityPrincipals e tenta di risolvere ogni SID in un nome usando il trust corrispondente. Individua gli FSP il cui SID non può essere risolto (trust rimosso o account eliminato). Rimuovi gli FSP orfani da eventuali appartenenze ai gruppi. Elimina gli oggetti FSP orfani. Esamina gli FSP rimanenti per verificare che la relazione di trust e gli account referenziati siano ancora validi", "status": "machine-draft" } }, "ADSTALE-008": { "name": { "value": "SID History orfana", "status": "machine-draft" }, "description": { "value": "La SID History viene usata durante le migrazioni di dominio per preservare l'accesso alle risorse nel dominio di origine. Al termine della migrazione, le voci di SID History dovrebbero essere rimosse, poiché possono essere abusate per l'escalation dei privilegi. Le voci di SID History orfane che referenziano domini inesistenti o account eliminati non offrono alcun beneficio legittimo e aumentano il rischio di attacchi di iniezione di SID attraverso i confini di trust", "status": "machine-draft" }, "recommendedValue": { "value": "Nessuna voce di SID History che referenzia domini inesistenti. SID History ripulita dopo il completamento della migrazione", "status": "machine-draft" }, "remediationSteps": { "value": "Interroga tutti gli account utente e di gruppo con SID History usando Get-ADUser -Filter {SIDHistory -like '*'} -Properties SIDHistory. Effettua un confronto incrociato tra il componente di dominio di ogni voce di SID History e i trust esistenti per individuare le voci orfane. Rimuovi le voci di SID History delle migrazioni completate usando Remove-ADUser con il parametro -Remove oppure Netdom trust /CleanupSIDHistory. Monitora le nuove aggiunte di SID History con l'Event ID 4765", "status": "machine-draft" } }, "ADSTALE-009": { "name": { "value": "OU abbandonate", "status": "machine-draft" }, "description": { "value": "Le unità organizzative vuote o quasi vuote che non servono più a uno scopo aggiungono complessità alla struttura AD, complicano l'analisi dei Criteri di gruppo e possono avere autorizzazioni delegate che non sono più monitorate. Le OU abbandonate derivanti da ristrutturazioni organizzative passate o progetti dismessi possono confondere gli amministratori e creare potenziali bersagli per attacchi di collegamento GPO", "status": "machine-draft" }, "recommendedValue": { "value": "Nessuna OU vuota priva di uno scopo documentato; la struttura delle OU riflette i requisiti organizzativi attuali", "status": "machine-draft" }, "remediationSteps": { "value": "Enumera tutte le OU e conta i loro oggetti figlio. Individua le OU con zero o pochissimi oggetti. Esamina le descrizioni delle OU e la documentazione associata per stabilire se la OU è destinata a un uso futuro. Rimuovi le autorizzazioni delegate dalle OU abbandonate. Elimina le OU vuote prive di uno scopo documentato dopo aver verificato che non siano referenziate da collegamenti GPO, script o automazioni. Aggiorna la documentazione della struttura delle OU", "status": "machine-draft" } }, "ADSTALE-010": { "name": { "value": "Oggetti stampante", "status": "machine-draft" }, "description": { "value": "Gli oggetti stampante pubblicati in Active Directory espongono i percorsi delle condivisioni stampante e i nomi dei server, utilizzabili per la ricognizione. La famiglia di vulnerabilità PrintNightmare (CVE-2021-34527 e correlate) ha dimostrato che gli oggetti e le configurazioni relativi alle stampanti possono essere sfruttati per l'esecuzione di codice remoto. Gli oggetti stampante non aggiornati che referenziano server di stampa dismessi forniscono informazioni fuorvianti e una superficie di attacco non necessaria", "status": "machine-draft" }, "recommendedValue": { "value": "Solo oggetti stampante attivi e gestiti pubblicati in AD; oggetti stampante non aggiornati rimossi", "status": "machine-draft" }, "remediationSteps": { "value": "Enumera tutti gli oggetti printQueue in AD usando Get-ADObject -Filter {objectClass -eq 'printQueue'}. Verifica che ogni oggetto stampante referenzi un server di stampa e una stampante attivi e accessibili. Rimuovi gli oggetti stampante per le stampanti o i server di stampa dismessi. Valuta se la pubblicazione delle stampanti in AD è necessaria per l'ambiente. Assicurati che i server di stampa siano corretti contro le vulnerabilità PrintNightmare", "status": "machine-draft" } }, "ADSTALE-011": { "name": { "value": "Obsolescenza dei record DNS", "status": "machine-draft" }, "description": { "value": "I record DNS non aggiornati nelle zone DNS integrate in Active Directory puntano a indirizzi IP non più assegnati agli host originali. Gli aggressori possono rivendicare questi indirizzi IP abbandonati e intercettare il traffico destinato agli host originali, abilitando attacchi man-in-the-middle, raccolta di credenziali e impersonificazione di servizi. Lo scavenging DNS dovrebbe essere abilitato per pulire automaticamente i record non aggiornati", "status": "machine-draft" }, "recommendedValue": { "value": "Scavenging DNS abilitato con intervalli di no-refresh e refresh appropriati; nessun record DNS non aggiornato più vecchio di 30 giorni", "status": "machine-draft" }, "remediationSteps": { "value": "Abilita lo scavenging DNS nelle proprietà del server DNS e su ogni zona DNS integrata in AD. Configura l'intervallo di no-refresh a 7 giorni e l'intervallo di refresh a 7 giorni. Imposta il periodo di scavenging su almeno un server DNS. Esamina manualmente i record DNS invecchiati prima della prima esecuzione dello scavenging per individuare i record statici critici da escludere. Contrassegna come statici i record che non devono essere sottoposti a scavenging", "status": "machine-draft" } } } |