მთავარი დასკვნა
ჯერ პრივილეგირებული ანგარიშები და კრიტიკული ობიექტები აღრიცხეთ. ადმინისტრირებისთვის ცალკე ანგარიშები და დაცული სადგურები გამოიყენეთ, ცვლილებებს დააკვირდით და აღდგენა გამოსცადეთ.
აკონტროლეთ პრივილეგირებული წვდომა
Domain Admins-სა და სხვა პრივილეგირებულ ჯგუფებში წევრობა სამუშაოსთვის საჭირო პირებით შეზღუდეთ. ადმინისტრატორებს ცალკე ანგარიშები მიეცით და პრივილეგირებულ სესიებში ელფოსტა და ვებდათვალიერება არ დაუშვათ. დროებითი ამაღლების ხელმისაწვდომობისას მოითხოვეთ თანხმობა, განსაზღვრეთ ვადა და აღრიცხეთ აქტივობა. გამოუყენებელი ანგარიშები და ნებართვები მფლობელობის დადასტურების შემდეგ ამოიღეთ.
დაიცავით ადმინისტრაციული სამუშაო სადგურები და შესვლები
დომენის კონტროლერებსა და სხვა კრიტიკულ სისტემებს მხოლოდ გამოყოფილი, განახლებული და შეზღუდული ადმინისტრაციული სადგურებიდან დაუკავშირდით. მხარდაჭერილ ადმინისტრაციულ და დისტანციური წვდომის გზებზე ძლიერი MFA მოითხოვეთ; მეთოდი რეალური AD DS და ჰიბრიდული არქიტექტურისთვის შეარჩიეთ. FIDO2 ან სერტიფიკატის მხარდაჭერა კონკრეტული შესვლის გზისთვის გადაამოწმეთ; მეთოდის ასამუშავებლად პრივილეგირებული ანგარიშებისთვის Entra Kerberos შეზღუდვები არ შეასუსტოთ. სერვისულ ანგარიშებს ინტერაქტიული შესვლა შეუზღუდეთ, საიდუმლოებები კოდში არ შეინახოთ და პაროლები, გასაღებები, gMSA‑ები და SPN‑ები რეგულარულად განიხილეთ.
დააკვირდით კატალოგის ცვლილებებს და გამოსცადეთ აღდგენა
ცენტრალიზებულად შეაგროვეთ ჯგუფის წევრობის, პრივილეგიების მინიჭების, GPO‑ების, რეპლიკაციისა და დომენის კონტროლერის კონფიგურაციის ცვლილებების ჟურნალები. განსაზღვრეთ დაფარვა, შენახვა, გაფრთხილების მფლობელი და მოულოდნელი ცვლილებების გამოძიების პროცესი. ობიექტისა და ტყის აღდგენას სხვადასხვა პროცედურა სჭირდება; სავარჯიშოს ფარგლები შესაბამისად განსაზღვრეთ.
განსაზღვრეთ აღდგენის ფარგლები
განსაზღვრეთ ობიექტის, დომენის ან ტყის სამიზნე და მისი DNS, ავტორიზაციის მონაცემთა და აპლიკაციის დამოკიდებულებები.
შექმენით დაცული სარეზერვო ასლები
აირჩიეთ მხარდაჭერილი მეთოდი; გრაფიკი და ასლის ვარგისობა გარემოს შენახვისა და ობიექტთა სიცოცხლის ვადებს შეუსაბამეთ. ასლები ცალკე დაიცავით.
გამოსცადეთ იზოლირებული აღდგენა
არჩეული დომენის ან ტყის აღდგენა საწარმოო გარემოს გარეთ გამოსცადეთ, აღდგენის ავტორიზაციის მონაცემებისა და DNS დამოკიდებულებების ჩათვლით.
აღრიცხეთ შედეგები
აღწერეთ აღდგენის შედეგები, გამორჩენილი დამოკიდებულებები და მფლობელები; ხარვეზები გამოასწორეთ და შესაბამისი სავარჯიშო გაიმეორეთ.
კატალოგი სუფთა და გამყარებული შეინარჩუნეთ
არააქტიური მომხმარებლისა და კომპიუტერის ანგარიშები მათ მფლობელებთან და ბიზნესსაჭიროებასთან ერთად განიხილეთ; საჭიროებისას ჯერ წვდომა გამორთეთ და დამტკიცებული პროცესით ამოიღეთ. აღრიცხეთ ძველი პროტოკოლები, სუსტი პარამეტრები და არასაჭირო სერვისები. გამორთვამდე თავსებადობა გამოსცადეთ, რადგან მათზე აპლიკაციები და ძველი სისტემები შეიძლება იყოს დამოკიდებული. Windows Server-ის თქვენი ვერსიისთვის Microsoft-ის მითითებები ცვლილების ტესტირებით გამოიყენეთ.
გაიგეთ კატალოგის ობიექტები და ნდობის საზღვრები
Active Directory Domain Services ინახავს მომხმარებლისა და კომპიუტერის ანგარიშებს, ჯგუფებს, ორგანიზაციულ ერთეულებსა და GPO‑ებს; დომენის კონტროლერები ავთენტიფიკაციასა და კატალოგის სერვისებს უზრუნველყოფს. ამიტომ მცდარმა ჯგუფის წევრობამ ან დელეგირებამ ბევრ აპლიკაციაზე შეიძლება იმოქმედოს. აღწერეთ დომენთაშორისი ნდობის, DNS‑ის, რეპლიკაციის, სერვისული ანგარიშებისა და დელეგირებული ადმინისტრირების მფლობელები. განახლებები და კონფიგურაციის ცვლილებები ჯერ სატესტო დომენში გადაამოწმეთ.