活動(dòng)目錄（AD）中保存著能夠?qū)D進(jìn)行訪(fǎng)問(wèn)的重要密鑰，如果不能恰當(dāng)?shù)卦鰪?qiáng)AD的安全性，那么它很容易受到攻擊。坦率地講，增強(qiáng)AD的安全性并不簡(jiǎn)單，但是通過(guò)一些基本的步驟，您確實(shí)可以提高它的安全性。請(qǐng)注意我這里所說(shuō)的是"基本"步驟。安全無(wú)止境，您總是可以找到提高安全性的方法，但是這些方法往往需要付出相應(yīng)的代價(jià)。這些代價(jià)可表現(xiàn)為實(shí)際的花費(fèi)，或者靈活性或功能性方面的損失。讓我在這里向您展示5個(gè)步驟，實(shí)施這些步驟的代價(jià)并不算高，但它們卻可以幫助您切實(shí)增強(qiáng)AD基礎(chǔ)設(shè)施的安全性。
步驟1. 遵循管理員方面的做法您可以通過(guò)將手工操作（例如，安裝域控制器）自動(dòng)化的方法來(lái)增強(qiáng)AD的安全性，但是目前還沒(méi)有出現(xiàn)能夠?qū)⑷祟?lèi)行為自動(dòng)化的程序設(shè)計(jì)語(yǔ)言。因此，這就是您需要為管理員如何管理AD建立指南的原因。您需要確信您的管理員遵循了如下的做法：區(qū)分管理賬號(hào)（administrative accounts）的使用。區(qū) 分管理賬號(hào)的使用已經(jīng)成為許多組織的一個(gè)標(biāo)準(zhǔn)做法，但它仍然值得一提。如果管理員的機(jī)器不小心感染了病毒，那么潛在的威脅將會(huì)非常大，因?yàn)楂@得管理權(quán)限 （right）后，病毒可運(yùn)行程序或腳本。因此，對(duì)于日常操作，管理員應(yīng)使用非特權(quán)賬號(hào)（例如，用戶(hù)賬號(hào)）；對(duì)于和AD有關(guān)的操作，管理員應(yīng)使用一個(gè)獨(dú)立 的管理賬號(hào)。當(dāng)您通過(guò)一個(gè)非管理賬號(hào)登錄后，您可以使用Runas命令這類(lèi)工具以管理員的身份打開(kāi)程序。如需了解有關(guān)如何使用Runas命令的信息，請(qǐng)參 閱Windows的幫助文件。
確保管理員機(jī)器的安全性。雖然要求您的管理 員以非管理賬號(hào)登錄和使用Runas命令打開(kāi)AD管理程序能夠帶來(lái)很多益處，但是如果運(yùn)行這些工具的硬件系統(tǒng)不安全的話(huà)，您仍然處于危險(xiǎn)之中。如果您不能 確保管理員機(jī)器的安全性，那么您需要建立一個(gè)獨(dú)立并且安全的管理員機(jī)器，并讓管理員使用終端服務(wù)來(lái)訪(fǎng)問(wèn)它。為了確保該機(jī)器的安全，您可以將它放在一個(gè)特定 的組織單元中，并在組織單元上使用嚴(yán)格的組策略設(shè)置。您還需要注意機(jī)器的物理安全性。如果管理員的機(jī)器被盜，那么機(jī)器上的所有東西都將受到威脅。
定期檢查管理組（administrative group）的成員。攻 擊者獲得更高特權(quán)（privilege）的手段之一就是將它們的賬號(hào)添加到AD的管理組當(dāng)中，例如Domain Admins、Administrators或Enterprise Admins。因此，您需要密切關(guān)注AD管理組中的成員。遺憾的是AD不具備當(dāng)某個(gè)組的成員發(fā)生改變時(shí)發(fā)送提示信息的內(nèi)建機(jī)制，但是編寫(xiě)一個(gè)遍歷組成員的 腳本并使腳本每天至少運(yùn)行一次并不復(fù)雜。在這些組上面啟用審核（Enabling Auditing）也是一個(gè)很好的主意，因?yàn)槊看胃淖兌紩?huì)在事件日志中有一條對(duì)應(yīng)的記錄。
限制可以訪(fǎng)問(wèn)管理員賬號(hào)（Administrator account）密碼的人員。如 果某個(gè)攻擊者獲得了管理員賬號(hào)的密碼，他將獲得森林中的巨大特權(quán)，并且很難對(duì)他的操作進(jìn)行跟蹤。因此，您通常不應(yīng)使用管理員賬號(hào)來(lái)執(zhí)行管理AD的任務(wù)。相 反，您應(yīng)該創(chuàng)建可替代的管理賬號(hào)（alternative administrative accounts），將這些賬號(hào)添加到Domain Admins或Enterprise Admins組中，然后再使用這些賬號(hào)來(lái)分別執(zhí)行每個(gè)管理功能。管理員賬號(hào)僅應(yīng)作為最后一個(gè)可選擇的手段。因?yàn)樗氖褂脩?yīng)該受到嚴(yán)格的限制，同時(shí)知道管理 員密碼的用戶(hù)數(shù)量也應(yīng)受到限制。另外，由于任何管理員均可修改管理員賬號(hào)的密碼，您或許還需要對(duì)該賬號(hào)的所有登錄請(qǐng)求進(jìn)行監(jiān)視。
準(zhǔn)備一個(gè)快速修改管理員賬號(hào)密碼的方法。即 使當(dāng)您限制了可以訪(fǎng)問(wèn)管理員賬號(hào)的人數(shù)，您仍然需要準(zhǔn)備一個(gè)快速修改該賬號(hào)密碼的方法。每月對(duì)密碼進(jìn)行一次修改是一個(gè)很好的方法，但是如果某個(gè)知道密碼 （或具有修改密碼權(quán)限）的管理員離開(kāi)了組織，您需要迅速對(duì)密碼進(jìn)行修改。該指南同樣適用于當(dāng)您在升級(jí)域控制器時(shí)設(shè)置的目錄服務(wù)恢復(fù)模式 （Directory Service Restore Mode，以下簡(jiǎn)稱(chēng)DSRM）密碼和任何具有管理權(quán)力的服務(wù)賬號(hào)。DSRM密碼是以恢復(fù)模式啟動(dòng)時(shí)用來(lái)進(jìn)行登錄的密碼。您可以使用Windows Server 2003中的Ntdsutil命令行工具來(lái)修改這個(gè)密碼。
當(dāng)修改密碼時(shí)，您應(yīng)該使用盡量長(zhǎng)的（超過(guò)20個(gè)字符）隨機(jī)密碼。對(duì)于管理員而言這種密碼很難記憶。設(shè)置完密碼后，您可將它交給某個(gè)管理人員，并由他來(lái)決定誰(shuí)可以使用該密碼。
準(zhǔn)備一個(gè)快速禁用管理員賬號(hào)的方法。對(duì)于絕大多數(shù)使用AD的組織，的安全威脅來(lái)自于管理員，尤其是那些對(duì)雇主懷恨在心的前管理員。即使您和那些自愿或不自愿離開(kāi)公司的管理員是好朋友，您仍然需要迅速禁用賬號(hào)上的管理訪(fǎng)問(wèn)權(quán)限。
步驟2. 遵循域控制器方面的做法在確信遵循了與管理員有關(guān)的做法后，我們將注意力轉(zhuǎn)移到域控制器（Domain Controller，以下簡(jiǎn)稱(chēng)DC）上面來(lái)，因?yàn)樗鼈兪窃S多AD實(shí)現(xiàn)中最容易受到攻擊的目標(biāo)。如果某個(gè)攻擊者成功進(jìn)入DC，那么整個(gè)森林將受到威脅。因 此，您需要遵循如下做法：確保DC的物理安全性。DC的物理安全性是 部署AD時(shí)需要考慮的最重要問(wèn)題之一。如果某個(gè)攻擊者獲得了DC的物理訪(fǎng)問(wèn)權(quán)，他將有可能對(duì)幾乎所有其它的安全措施進(jìn)行破壞。當(dāng)您將DC放置在數(shù)據(jù)中心 時(shí)，DC的安全性并不存在問(wèn)題；當(dāng)在分支機(jī)構(gòu)部署DC時(shí)，DC的物理安全性很可能存在問(wèn)題。在分支機(jī)構(gòu)中，DC經(jīng)常存放在可以被非IT人員訪(fǎng)問(wèn)的帶鎖房間 內(nèi)。在一些情況下，這種方式不可避免，但是不管情況如何，只有被充分信任的人員才能夠?qū)C進(jìn)行訪(fǎng)問(wèn)。
自動(dòng)化安裝的過(guò)程。通常自動(dòng)化任務(wù)的執(zhí)行要 比手工執(zhí)行的安全性高。當(dāng)安裝或升級(jí)DC時(shí)尤其如此。安裝和配置操作系統(tǒng)過(guò)程的自動(dòng)化程度越高，DC的不確定因素就越少。當(dāng)手工安裝服務(wù)器時(shí)，對(duì)每臺(tái)服務(wù) 器人們的操作均存在細(xì)微的差別。即使完整地記錄下所有過(guò)程，每臺(tái)服務(wù)器的配置仍然會(huì)有所區(qū)別。通過(guò)安裝和配置過(guò)程的自動(dòng)化，您有理由確信所有DC均以同樣 的方式被配置并設(shè)置安全性。對(duì)于已經(jīng)安裝好的DC，您可以使用組策略這類(lèi)工具來(lái)確保它們之間配置的一致性。
迅速安裝重要的更新。在Windows NT時(shí)代，除非絕對(duì)需要，絕大多數(shù)管理員不會(huì)安裝熱修復(fù)程序（hotfix）或安全更新。更新經(jīng)常存在缺陷并會(huì)導(dǎo)致進(jìn)一步的問(wèn)題。今天，我們就沒(méi)有那么奢 侈了。幸運(yùn)的是微軟提供的更新程序質(zhì)量有了很大提高。因?yàn)镈C是非常顯眼的目標(biāo)，所以您需要密切關(guān)注出現(xiàn)的每一個(gè)安全更新。您可以通過(guò)自動(dòng)更新（Automatic Updates）迅速地對(duì)安全更新進(jìn)行安裝，或者通過(guò)微軟的Software Update Services（SUS）在測(cè)試后有選擇地對(duì)其進(jìn)行安裝。
創(chuàng)建一個(gè)保留文件。在Windows Server 2003以前的操作系統(tǒng)中，如果用戶(hù)具備在某個(gè)容器中創(chuàng)建對(duì)象的權(quán)限，那么將無(wú)法限制用戶(hù)創(chuàng)建對(duì)象的數(shù)量。缺乏限制可以導(dǎo)致攻擊者不斷地創(chuàng)建對(duì)象以至耗盡 DC硬盤(pán)空間。您可以通過(guò)在每個(gè)DC的硬盤(pán)上創(chuàng)建一個(gè)10M至20M的保留文件，以便在某種程度上降低這類(lèi)風(fēng)險(xiǎn)的發(fā)生。如果DC的空間用完了，您可以刪除 上述保留文件，并在找到解決方案前留下一些解決問(wèn)題的空間。
運(yùn)行病毒掃描軟件。在DC上運(yùn)行病毒掃描軟 件比在大多數(shù)服務(wù)器上運(yùn)行該軟件更為迫切，因?yàn)镈C間不僅要復(fù)制目錄信息，還要通過(guò)文件復(fù)制服務(wù)（File Replication Service，以下簡(jiǎn)稱(chēng)FRS）復(fù)制文件內(nèi)容。不幸的是FRS為病毒提供了在一組服務(wù)器之間進(jìn)行傳播的簡(jiǎn)單途徑。并且FRS通常還會(huì)對(duì)登錄腳本進(jìn)行復(fù) 制，因此還會(huì)潛在地威脅到客戶(hù)端的安全。運(yùn)行病毒掃描軟件可以大幅降低病毒復(fù)制到服務(wù)器和客戶(hù)端的威脅。
步驟1. 遵循管理員方面的做法您可以通過(guò)將手工操作（例如，安裝域控制器）自動(dòng)化的方法來(lái)增強(qiáng)AD的安全性，但是目前還沒(méi)有出現(xiàn)能夠?qū)⑷祟?lèi)行為自動(dòng)化的程序設(shè)計(jì)語(yǔ)言。因此，這就是您需要為管理員如何管理AD建立指南的原因。您需要確信您的管理員遵循了如下的做法：區(qū)分管理賬號(hào)（administrative accounts）的使用。區(qū) 分管理賬號(hào)的使用已經(jīng)成為許多組織的一個(gè)標(biāo)準(zhǔn)做法，但它仍然值得一提。如果管理員的機(jī)器不小心感染了病毒，那么潛在的威脅將會(huì)非常大，因?yàn)楂@得管理權(quán)限 （right）后，病毒可運(yùn)行程序或腳本。因此，對(duì)于日常操作，管理員應(yīng)使用非特權(quán)賬號(hào)（例如，用戶(hù)賬號(hào)）；對(duì)于和AD有關(guān)的操作，管理員應(yīng)使用一個(gè)獨(dú)立 的管理賬號(hào)。當(dāng)您通過(guò)一個(gè)非管理賬號(hào)登錄后，您可以使用Runas命令這類(lèi)工具以管理員的身份打開(kāi)程序。如需了解有關(guān)如何使用Runas命令的信息，請(qǐng)參 閱Windows的幫助文件。
確保管理員機(jī)器的安全性。雖然要求您的管理 員以非管理賬號(hào)登錄和使用Runas命令打開(kāi)AD管理程序能夠帶來(lái)很多益處，但是如果運(yùn)行這些工具的硬件系統(tǒng)不安全的話(huà)，您仍然處于危險(xiǎn)之中。如果您不能 確保管理員機(jī)器的安全性，那么您需要建立一個(gè)獨(dú)立并且安全的管理員機(jī)器，并讓管理員使用終端服務(wù)來(lái)訪(fǎng)問(wèn)它。為了確保該機(jī)器的安全，您可以將它放在一個(gè)特定 的組織單元中，并在組織單元上使用嚴(yán)格的組策略設(shè)置。您還需要注意機(jī)器的物理安全性。如果管理員的機(jī)器被盜，那么機(jī)器上的所有東西都將受到威脅。
定期檢查管理組（administrative group）的成員。攻 擊者獲得更高特權(quán)（privilege）的手段之一就是將它們的賬號(hào)添加到AD的管理組當(dāng)中，例如Domain Admins、Administrators或Enterprise Admins。因此，您需要密切關(guān)注AD管理組中的成員。遺憾的是AD不具備當(dāng)某個(gè)組的成員發(fā)生改變時(shí)發(fā)送提示信息的內(nèi)建機(jī)制，但是編寫(xiě)一個(gè)遍歷組成員的 腳本并使腳本每天至少運(yùn)行一次并不復(fù)雜。在這些組上面啟用審核（Enabling Auditing）也是一個(gè)很好的主意，因?yàn)槊看胃淖兌紩?huì)在事件日志中有一條對(duì)應(yīng)的記錄。
限制可以訪(fǎng)問(wèn)管理員賬號(hào)（Administrator account）密碼的人員。如 果某個(gè)攻擊者獲得了管理員賬號(hào)的密碼，他將獲得森林中的巨大特權(quán)，并且很難對(duì)他的操作進(jìn)行跟蹤。因此，您通常不應(yīng)使用管理員賬號(hào)來(lái)執(zhí)行管理AD的任務(wù)。相 反，您應(yīng)該創(chuàng)建可替代的管理賬號(hào)（alternative administrative accounts），將這些賬號(hào)添加到Domain Admins或Enterprise Admins組中，然后再使用這些賬號(hào)來(lái)分別執(zhí)行每個(gè)管理功能。管理員賬號(hào)僅應(yīng)作為最后一個(gè)可選擇的手段。因?yàn)樗氖褂脩?yīng)該受到嚴(yán)格的限制，同時(shí)知道管理 員密碼的用戶(hù)數(shù)量也應(yīng)受到限制。另外，由于任何管理員均可修改管理員賬號(hào)的密碼，您或許還需要對(duì)該賬號(hào)的所有登錄請(qǐng)求進(jìn)行監(jiān)視。
準(zhǔn)備一個(gè)快速修改管理員賬號(hào)密碼的方法。即 使當(dāng)您限制了可以訪(fǎng)問(wèn)管理員賬號(hào)的人數(shù)，您仍然需要準(zhǔn)備一個(gè)快速修改該賬號(hào)密碼的方法。每月對(duì)密碼進(jìn)行一次修改是一個(gè)很好的方法，但是如果某個(gè)知道密碼 （或具有修改密碼權(quán)限）的管理員離開(kāi)了組織，您需要迅速對(duì)密碼進(jìn)行修改。該指南同樣適用于當(dāng)您在升級(jí)域控制器時(shí)設(shè)置的目錄服務(wù)恢復(fù)模式 （Directory Service Restore Mode，以下簡(jiǎn)稱(chēng)DSRM）密碼和任何具有管理權(quán)力的服務(wù)賬號(hào)。DSRM密碼是以恢復(fù)模式啟動(dòng)時(shí)用來(lái)進(jìn)行登錄的密碼。您可以使用Windows Server 2003中的Ntdsutil命令行工具來(lái)修改這個(gè)密碼。
當(dāng)修改密碼時(shí)，您應(yīng)該使用盡量長(zhǎng)的（超過(guò)20個(gè)字符）隨機(jī)密碼。對(duì)于管理員而言這種密碼很難記憶。設(shè)置完密碼后，您可將它交給某個(gè)管理人員，并由他來(lái)決定誰(shuí)可以使用該密碼。
準(zhǔn)備一個(gè)快速禁用管理員賬號(hào)的方法。對(duì)于絕大多數(shù)使用AD的組織，的安全威脅來(lái)自于管理員，尤其是那些對(duì)雇主懷恨在心的前管理員。即使您和那些自愿或不自愿離開(kāi)公司的管理員是好朋友，您仍然需要迅速禁用賬號(hào)上的管理訪(fǎng)問(wèn)權(quán)限。
步驟2. 遵循域控制器方面的做法在確信遵循了與管理員有關(guān)的做法后，我們將注意力轉(zhuǎn)移到域控制器（Domain Controller，以下簡(jiǎn)稱(chēng)DC）上面來(lái)，因?yàn)樗鼈兪窃S多AD實(shí)現(xiàn)中最容易受到攻擊的目標(biāo)。如果某個(gè)攻擊者成功進(jìn)入DC，那么整個(gè)森林將受到威脅。因 此，您需要遵循如下做法：確保DC的物理安全性。DC的物理安全性是 部署AD時(shí)需要考慮的最重要問(wèn)題之一。如果某個(gè)攻擊者獲得了DC的物理訪(fǎng)問(wèn)權(quán)，他將有可能對(duì)幾乎所有其它的安全措施進(jìn)行破壞。當(dāng)您將DC放置在數(shù)據(jù)中心 時(shí)，DC的安全性并不存在問(wèn)題；當(dāng)在分支機(jī)構(gòu)部署DC時(shí)，DC的物理安全性很可能存在問(wèn)題。在分支機(jī)構(gòu)中，DC經(jīng)常存放在可以被非IT人員訪(fǎng)問(wèn)的帶鎖房間 內(nèi)。在一些情況下，這種方式不可避免，但是不管情況如何，只有被充分信任的人員才能夠?qū)C進(jìn)行訪(fǎng)問(wèn)。
自動(dòng)化安裝的過(guò)程。通常自動(dòng)化任務(wù)的執(zhí)行要 比手工執(zhí)行的安全性高。當(dāng)安裝或升級(jí)DC時(shí)尤其如此。安裝和配置操作系統(tǒng)過(guò)程的自動(dòng)化程度越高，DC的不確定因素就越少。當(dāng)手工安裝服務(wù)器時(shí)，對(duì)每臺(tái)服務(wù) 器人們的操作均存在細(xì)微的差別。即使完整地記錄下所有過(guò)程，每臺(tái)服務(wù)器的配置仍然會(huì)有所區(qū)別。通過(guò)安裝和配置過(guò)程的自動(dòng)化，您有理由確信所有DC均以同樣 的方式被配置并設(shè)置安全性。對(duì)于已經(jīng)安裝好的DC，您可以使用組策略這類(lèi)工具來(lái)確保它們之間配置的一致性。
迅速安裝重要的更新。在Windows NT時(shí)代，除非絕對(duì)需要，絕大多數(shù)管理員不會(huì)安裝熱修復(fù)程序（hotfix）或安全更新。更新經(jīng)常存在缺陷并會(huì)導(dǎo)致進(jìn)一步的問(wèn)題。今天，我們就沒(méi)有那么奢 侈了。幸運(yùn)的是微軟提供的更新程序質(zhì)量有了很大提高。因?yàn)镈C是非常顯眼的目標(biāo)，所以您需要密切關(guān)注出現(xiàn)的每一個(gè)安全更新。您可以通過(guò)自動(dòng)更新（Automatic Updates）迅速地對(duì)安全更新進(jìn)行安裝，或者通過(guò)微軟的Software Update Services（SUS）在測(cè)試后有選擇地對(duì)其進(jìn)行安裝。
創(chuàng)建一個(gè)保留文件。在Windows Server 2003以前的操作系統(tǒng)中，如果用戶(hù)具備在某個(gè)容器中創(chuàng)建對(duì)象的權(quán)限，那么將無(wú)法限制用戶(hù)創(chuàng)建對(duì)象的數(shù)量。缺乏限制可以導(dǎo)致攻擊者不斷地創(chuàng)建對(duì)象以至耗盡 DC硬盤(pán)空間。您可以通過(guò)在每個(gè)DC的硬盤(pán)上創(chuàng)建一個(gè)10M至20M的保留文件，以便在某種程度上降低這類(lèi)風(fēng)險(xiǎn)的發(fā)生。如果DC的空間用完了，您可以刪除 上述保留文件，并在找到解決方案前留下一些解決問(wèn)題的空間。
運(yùn)行病毒掃描軟件。在DC上運(yùn)行病毒掃描軟 件比在大多數(shù)服務(wù)器上運(yùn)行該軟件更為迫切，因?yàn)镈C間不僅要復(fù)制目錄信息，還要通過(guò)文件復(fù)制服務(wù)（File Replication Service，以下簡(jiǎn)稱(chēng)FRS）復(fù)制文件內(nèi)容。不幸的是FRS為病毒提供了在一組服務(wù)器之間進(jìn)行傳播的簡(jiǎn)單途徑。并且FRS通常還會(huì)對(duì)登錄腳本進(jìn)行復(fù) 制，因此還會(huì)潛在地威脅到客戶(hù)端的安全。運(yùn)行病毒掃描軟件可以大幅降低病毒復(fù)制到服務(wù)器和客戶(hù)端的威脅。