AT&T發佈了一篇如何在 Windows Server 2019 上安全地實施 Active Directory
Active Directory (AD) 是一種用於管理網路資源和使用者身份的微軟技術。AD 可以提高網路的效率和安全性，但也需要適當的配置和保護，以防止被惡意攻擊或誤用。本文將介紹在 Windows Server 2019 上安全地實施 AD 的一些最佳實踐。
首先，建議使用最新版本的 Windows Server 2019，因為它包含了許多安全性和功能的改進，例如支援更強的加密演算法、更好的監控工具和更靈活的角色分配。此外，還應該定期更新系統和應用程式，以修補任何已知的漏洞。
其次，建議使用最小權限原則 (Principle of Least Privilege, PoLP) 來管理 AD 的存取權限。這意味著只賦予使用者或群組所需的最低權限，以完成其工作。這可以減少被駭客或內部人員濫用權限的風險，並降低資料洩露或破壞的可能性。例如，可以使用組織單位 (Organizational Unit, OU) 來將 AD 物件分類和隔離，並使用委派控制 (Delegation of Control) 來指派特定的管理任務。
第三，建議使用強健的驗證和加密機制來保護 AD 的通訊和資料。這包括使用多因素驗證 (Multi-Factor Authentication, MFA) 來增加登入的安全性，使用安全通訊協定 (Secure Communication Protocol) 如 Kerberos 或 LDAP over SSL/TLS 來加密 AD 的流量，以及使用 BitLocker 或 EFS 來加密 AD 的資料庫和備份。
最後，建議使用有效的監控和回復策略來偵測和應對 AD 的異常或攻擊。這包括使用事件記錄 (Event Log) 和稽核原則 (Audit Policy) 來記錄 AD 的活動和變更，並使用 SIEM 工具如 AT&T Cybersecurity USM Anywhere 來分析和報告任何可疑或惡意的事件。此外，還應該定期備份 AD 的資料庫和系統狀態，並測試還原程序，以確保在發生災難時能夠快速恢復服務。
AD 是一種強大而實用的技術，但也需要遵循一些最佳實踐，以確保其安全性和可靠性。包括使用最新版本的系統、採用最小權限原則、使用強健的驗證和加密機制、以及使用有效的監控和回復策略。
詳情請看：
Securely implementing Active Directory on Windows Server 2019