Su Internet circolano numerose domande su quali software debbano essere installati su un controller di dominio (DC). Quali ruoli devono essere implementati? Quali applicazioni sono necessarie? Per rispondere a queste domande, occorre innanzitutto considerare quali siano le funzioni di un DC.
Quali ruoli di Windows Server è consigliabile eseguire su un DC?
In definitiva, un controller di dominio dovrebbe avere un unico scopo: controllare un dominio. Ospita i servizi di dominio Active Directory (ADDS) e, solitamente, il sistema di denominazione dei domini (DNS). È davvero tutto ciò di cui ha bisogno.
Qualsiasi ruolo di server che vada oltre quanto sopra indicato dovrebbe essere ospitato su server separati. Poiché i DC ospitano Active Directory, custodiscono le chiavi del regno. I DC sono in genere i gioielli della corona del vostro ambiente di identità e devono essere protetti a tutti i costi.
Noi di Semperis riteniamo che il numero dei data center debba essere ridotto al minimo indispensabile. In questo modo, se dovesse verificarsi un problema in un data center, basterà semplicemente crearne un altro per sostituirlo. Ecco la regola generale da seguire quando si tratta di data center: utilizzare sempre lo stesso sistema operativo di base, gli stessi livelli di patch, lo stesso software e gli stessi ruoli.
Quale software è consigliabile installare su un DC?
E per quanto riguarda il software installato sui vostri DC? Questo argomento è un po’ più complesso e dipende in gran parte dai requisiti di sicurezza della vostra organizzazione.
Ricorda che un DC dovrebbe essere facilmente sostituibile. Come minimo indispensabile (dal punto di vista della sicurezza), dovresti utilizzare un software antivirus e una soluzione EDR o XDR. Questi potrebbero essere integrati nel sistema operativo (ad esempio, Microsoft Defender), oppure potresti utilizzare uno strumento di terze parti. Inoltre, potrebbe esserti utile uno strumento per la raccolta dei log. Questo è il minimo che ti consigliamo.
Ogni singolo software installato su un DC rappresenta un’ulteriore via di attacco. Ciò vale in particolare per tutto ciò che richiede l’installazione di un agente (di intelligenza artificiale o di altro tipo). Un agente può consentire il comando e il controllo diretti del sistema su cui è installato.
Ecco perché, nel corso di qualsiasi intervento di Identity Forensics and Incident Response (IFIR), Semperis configura i data center con un’installazione ridotta al minimo indispensabile. Solo una volta che la situazione si è stabilizzata, consentiamo ai clienti di iniziare a implementare software aggiuntivo… a condizione che accettino il rischio che ciò comporta.
Cosa potrebbe andare storto?
Purtroppo, molti ambienti non seguono queste linee guida, implementando invece ruoli aggiuntivi e ogni tipo di software (browser, applicazioni, condivisioni di file e così via) sui propri controller di dominio. Questo approccio non solo aumenta la complessità durante le operazioni di ripristino, ma amplia anche la superficie di attacco dei controller di dominio. L’ultima cosa che si vorrebbe fare è offrire a un attore malintenzionato ulteriori possibilità di compromettere il Livello 0.
Ecco un esempio. Supponiamo che qualcuno decida che sarebbe una buona idea installare Google Chrome su un controller di dominio per poter navigare in Internet. Si spinge addirittura oltre e installa alcune estensioni di Chrome… ma una di queste estensioni contiene codice C2 incorporato che consente a un malintenzionato di infiltrarsi e assumere il controllo del controller di dominio. A quel punto, l’aggressore può semplicemente copiare ed estrarre il file NTDS.DIT, lasciando al malintenzionato tutto il tempo del mondo per violare ogni account utente e password.
Un altro esempio: la vostra organizzazione sta cercando di stare al passo con gli agenti di IA, ma l’IA agentica che avete scelto non è stata ancora completamente verificata. Ciononostante, qualcuno fornisce accesso agentico a un account con privilegi eccessivi. E l’IA, essendo lo strumento utile che è, quando un aggressore cerca di manipolarla per ottenere informazioni o accesso da quell’account, l’IA obbedisce volentieri. Inutile dire che a quel punto si scatena il finimondo. Stiamo già iniziando a riscontrare questo problema in contesti reali.
In sintesi: proteggete i vostri controller di dominio
Quindi, ricapitolando: sui tuoi DC sono necessari ADDS e DNS (insieme ai relativi strumenti di gestione). Tutto qui. Distribuisci ruoli come DHCP, File Server e qualsiasi altro su server separati.
Quando si tratta di controller di dominio, basta mantenere le cose il più semplici possibile e migliorerete automaticamente il vostro livello di sicurezza delle identità.
Ulteriori risorse per la sicurezza DC e la protezione dell’identità
