การตรวจสอบรหัสผ่านที่อ่อนแอใน Active Directory

จากนั้นใช้ Get-ADReplAccount cmdlet รับรายชื่อผู้ใช้ใน AD (เช่น Get-ADUser) นอกจากนี้ cmdlet นี้ส่งคืนแฮช NT และ LM รวมถึงประวัติแฮช จากนั้น สำหรับผู้ใช้แต่ละราย ให้เปรียบเทียบแฮชของรหัสผ่านกับแฮชจากไฟล์พจนานุกรม (การตรวจสอบจะดำเนินการสำหรับบัญชีผู้ใช้ที่ถูกปิดใช้งานด้วย):

รับ-ADReplAccount -ทั้งหมด -เซิร์ฟเวอร์ $DC -NamingContext $Domain | ทดสอบ-คุณภาพรหัสผ่าน -WeakPasswordsFile $DictFile -IncludeDisabledAccounts

ผลลัพธ์ของการรันสคริปต์อาจมีลักษณะดังนี้:

Active Directory Password Quality Report
----------------------------------------
Passwords of these accounts are stored using reversible encryption:
LM hashes of passwords of these accounts are present:
These accounts have no password set:
TEST\DefaultAccount
TEST\Guest
Passwords of these accounts have been found in the dictionary:
TEST\a.adams
TEST\jbrion
TEST\jsanti
These groups of accounts have the same passwords:
Group 1:
TEST\a.novak
TEST\Administrator
TEST\amuller
TEST\k.brown
Group 2:
TEST\a.adams
TEST\jbrion
TEST\jsanti
These computer accounts have default passwords:
Kerberos AES keys are missing from these accounts:
Kerberos pre-authentication is not required for these accounts:
Only DES encryption is allowed to be used with these accounts:
These administrative accounts are allowed to be delegated to a service:
TEST\a.adams
TEST\a.novak
TEST\Administrator
TEST\jbrion
TEST\jsanti
TEST\k.brown
TEST\krbtgt
Passwords of these accounts will never expire:
TEST\a.adams
TEST\Administrator
TEST\DefaultAccount
TEST\Guest
TEST\k.brown
TEST\krbtgt
TEST\web
These accounts are not required to have a password:
TEST\ADFS1$
TEST\DefaultAccount
TEST\Guest
These accounts that require smart card authentication have a password:

ติดตั้ง-โมดูล -ชื่อ DSInternals -RequiredVersion 2.23

ดำเนินการค้นหาแฮชรวมถึงประวัติรหัสผ่านของผู้ใช้ที่เก็บไว้ใน AD อย่างที่คุณเห็น พบผู้ใช้ AD ที่มีรหัสผ่านง่าย ๆ สำเร็จ (รหัสผ่านตรงกับพจนานุกรม) นอกจากนี้ยังพบผู้ใช้หลายคนที่มีรหัสผ่านเหมือนกัน สคริปต์นี้จะช่วยคุณค้นหาบัญชีที่มีรหัสผ่านอย่างง่ายซึ่งอยู่ภายใต้นโยบายรหัสผ่านแบบละเอียดที่กำหนดเอง

คุณยังสามารถทำการสแกนไฟล์ฐานข้อมูล Active Directory (ntds.dit) แบบออฟไลน์ได้ คุณสามารถรับสำเนาของไฟล์ ntds.dit จากสำเนาเงาหรือจากข้อมูลสำรองของตัวควบคุมโดเมน

หากต้องการตรวจสอบแฮชของผู้ใช้แบบออฟไลน์ในไฟล์ ntds.dit ให้ใช้คำสั่งต่อไปนี้:

$keyboot=Get-BootKey -SystemHiveFilePath 'C:\ADBackup\registry\SYSTEM'
Get-ADDBAccount -All -DatabasePath 'C:\ADBackup\ntds.dit -BootKey $keyboot | ทดสอบ-คุณภาพรหัสผ่าน -WeakPasswordsFile $DictFile

คุณยังสามารถส่งออกรายการแฮชทั้งหมดไปยังไฟล์ข้อความ:

รับ-ADDBAccount -ทั้งหมด -DBPath 'C:\ADBackup\ntds.dit' -Bootkey $keyboot | รูปแบบ-กำหนดเอง -ดู HashcatNT | ออกไฟล์ c:\ps\ad_hashes.txt -Encoding ASCII

ดังนั้น เมื่อใช้สถานการณ์นี้ คุณจะสามารถวิเคราะห์คุณภาพของรหัสผ่านผู้ใช้ AD การต่อต้านการโจมตีด้วยกำลังดุร้าย สรุปความซับซ้อนของนโยบายรหัสผ่านของโดเมนในปัจจุบัน และทำการสรุปที่จำเป็น ผู้ดูแลระบบ Active Directory สามารถ (และควร) ดำเนินการตรวจสอบนี้เป็นประจำ