Поделиться через

Оценка безопасности: удаление прав доступа для подозрительных учетных записей с разрешением АДМИНИСТРАТОР SDHolder

  • Статья

В этой статье описано, как удалить права доступа для подозрительных учетных записей с помощью оценки безопасности разрешений SDHolder Администратор, в которой выделены рискованные права доступа для подозрительных учетных записей.

Почему разрешение АДМИНИСТРАТОР SDHolder может быть рискованным?

Наличие учетных записей без конфиденциальности с разрешениями Администратор SDHolder (владелец дескриптора безопасности) может иметь значительные последствия для безопасности, в том числе:

  • Приводит к несанкционированной эскалации привилегий, когда злоумышленники могут использовать эти учетные записи для получения административного доступа и компрометации конфиденциальных систем или данных.
  • Увеличение направлений атак, усложнение отслеживания и устранения инцидентов безопасности, что может привести к более большим рискам для организации.

Разделы справки использовать эту оценку безопасности для улучшения состояния безопасности организации?

  1. Ознакомьтесь с рекомендуемыми действиями в разделе https://security.microsoft.com/securescore?viewid=actionsУдаление прав доступа для подозрительных учетных записей с разрешением АДМИНИСТРАТОР SDHolder.

    Например:

    Снимок экрана: оценка безопасности Администратор SDHolder.

  2. Просмотрите список доступных сущностей, чтобы узнать, какие из ваших учетных записей, не являющихся конфиденциальными, имеют разрешение Администратор SDHolder.

  3. Выполните соответствующие действия с этими сущностями, удалив их привилегированные права доступа. Например:

    1. Используйте средство редактирования ADSI для подключения к контроллеру домена.
    2. Перейдите к контейнеру CN=System>CN=AdminSDHolder и откройте свойства контейнера CN=AdminSDHolder .
    3. Перейдите на вкладку >Безопасность Дополнительно и удалите все не конфиденциальные сущности. Это сущности, помеченные как предоставляемые в оценке безопасности.

    Дополнительные сведения см. в разделе Интерфейсы службы Active Directory и документация по редактированию ADSI .

Чтобы получить полную оценку, исправьте все предоставляемые сущности.

Примечание.

Хотя оценки обновляются практически в реальном времени, оценки и состояния обновляются каждые 24 часа. Хотя список затронутых сущностей обновляется в течение нескольких минут после реализации рекомендаций, состояние по-прежнему может занять некоторое время, пока он не помечается как Завершено.

Дальнейшие действия