Udostępnij za pośrednictwem

Odzyskiwanie lasu usługi Active Directory — identyfikowanie problemu

Gdy pojawiają się objawy awarii całego lasu, takie jak w dziennikach zdarzeń lub innych rozwiązaniach do monitorowania, skontaktuj się z pomocą techniczną firmy Microsoft, aby określić przyczynę awarii i ocenić wszelkie możliwe środki zaradcze.

Ważny

Ten przewodnik nie obejmuje zaleceń dotyczących zabezpieczeń dotyczących odzyskiwania lasu, który został zhakowany lub naruszony. Ogólnie rzecz biorąc, zaleca się stosowanie najlepszych praktyk dotyczących zabezpieczania usługi Active Directory oraz technik ograniczania ryzyka ataków Pass-the-Hash w celu zabezpieczenia środowiska. Aby uzyskać więcej informacji, zobacz Zwalczanie ataków typu Pass-the-Hash (PtH) i inne techniki kradzieży poświadczeń.

Przykłady błędów dotyczących całego lasu

  • Wszystkie kontrolery domeny są logicznie uszkodzone lub fizycznie zniszczone do takiego stopnia, że ciągłość działalności biznesowej jest niemożliwa; na przykład wszystkie aplikacje biznesowe, które zależą od AD DS, nie działają.
  • Nieautoryzowany administrator naruszył środowisko usługi Active Directory.
  • Osoba atakująca celowo — lub administrator przypadkowo — uruchamia skrypt, który rozprzestrzenia uszkodzenie danych w lesie.
  • Osoba atakująca celowo — lub administrator przypadkowo — rozszerza schemat usługi Active Directory o złośliwe lub powodujące konflikty zmiany.
  • Zawartość kontrolera domeny lub jego kopia zapasowa została udostępniona osobie zewnętrznej, ale wyciekłe poświadczenia nie zostały użyte do modyfikowania danych AD. W takim przypadku może nie być konieczne przywrócenie bazy danych AD z kopii zapasowej i ponowne zainstalowanie wszystkich kontrolerów domeny. Może być konieczne zresetowanie wszystkich haseł użytkowników, komputerów, relacji zaufania i kont (g)MSA.
  • Osoba atakująca zainstalowała złośliwe oprogramowanie na kontrolerach domeny i została poinformowana przez pomoc techniczną firmy Microsoft o odzyskaniu lasu z kopii zapasowej.
  • Żaden z kontrolerów domeny nie może replikować z ich partnerami replikacji.
  • Nie można wprowadzać zmian w usługach AD DS na żadnym kontrolerze domeny.
  • Nie można zainstalować nowych kontrolerów domeny w żadnej domenie.

Następne kroki