Трёхуровневая модель администрирования Active Directory

В большинстве компаний администраторы используют одну и ту же учётную запись для управления контроллерами домена, серверами и рабочими станциями. Это создаёт критическую уязвимость: компрометация рабочей станции пользователя через фишинг даёт злоумышленнику доступ к кешированным учётным данным администратора домена.

Трёхуровневая модель (Tiered Administrative Model) от Microsoft разделяет инфраструктуру на три уровня доверия:

• Tier 0 — контроллеры домена, PKI, ADFS, SCCM, SCOM. Полный контроль над Active Directory
• Tier 1 — серверы приложений, файловые серверы, SQL, Exchange. Серверная инфраструктура
• Tier 2 — рабочие станции пользователей, принтеры, мобильные устройства

Ключевой принцип: учётные записи более высокого уровня никогда не используются на ресурсах более низкого уровня. Администратор Tier 0 не должен входить на рабочую станцию (Tier 2), иначе его учётные данные могут быть перехвачены инструментами типа Mimikatz.

Для каждого уровня создаётся отдельный набор учётных записей и групп. Один и тот же человек может иметь до четырёх аккаунтов: обычный пользовательский и по одному на каждый Tier.

# Создание OU-структуры для Tiered Model
New-ADOrganizationalUnit -Name "Tier 0" -Path "OU=Admin,DC=domain,DC=local"
New-ADOrganizationalUnit -Name "Accounts" -Path "OU=Tier 0,OU=Admin,DC=domain,DC=local"
New-ADOrganizationalUnit -Name "Groups" -Path "OU=Tier 0,OU=Admin,DC=domain,DC=local"
New-ADOrganizationalUnit -Name "Devices" -Path "OU=Tier 0,OU=Admin,DC=domain,DC=local"

New-ADOrganizationalUnit -Name "Tier 1" -Path "OU=Admin,DC=domain,DC=local"
New-ADOrganizationalUnit -Name "Accounts" -Path "OU=Tier 1,OU=Admin,DC=domain,DC=local"
New-ADOrganizationalUnit -Name "Groups" -Path "OU=Tier 1,OU=Admin,DC=domain,DC=local"

New-ADOrganizationalUnit -Name "Tier 2" -Path "OU=Admin,DC=domain,DC=local"
New-ADOrganizationalUnit -Name "Accounts" -Path "OU=Tier 2,OU=Admin,DC=domain,DC=local"
New-ADOrganizationalUnit -Name "Groups" -Path "OU=Tier 2,OU=Admin,DC=domain,DC=local"

Именование учётных записей должно чётко отражать принадлежность к уровню, например: t0-ivanov, t1-ivanov, t2-ivanov. Обычная учётная запись ivanov используется только для повседневной работы без привилегий.

Самый важный элемент модели — запрет входа привилегированных учёток на ресурсы нижних уровней. Это реализуется через групповые политики «Deny log on» и «Allow log on».

Создайте три GPO и привяжите их к соответствующим OU:

# GPO: Tier 0 — Restrict Logon
# Привязка: OU с рабочими станциями (Tier 2) и серверами (Tier 1)
# Computer Configuration → Policies → Windows Settings → 
# Security Settings → Local Policies → User Rights Assignment

# Deny log on locally: T0-Admins, Domain Admins, Enterprise Admins
# Deny log on through Remote Desktop Services: T0-Admins, Domain Admins
# Deny access to this computer from the network: T0-Admins

# GPO: Tier 1 — Restrict Logon  
# Привязка: OU с рабочими станциями (Tier 2)
# Deny log on locally: T1-ServerAdmins
# Deny log on through Remote Desktop Services: T1-ServerAdmins

Эти политики гарантируют, что даже если злоумышленник получит учётные данные T0-администратора, он не сможет использовать их на скомпрометированной рабочей станции.

PAW — специализированные рабочие станции для администрирования. Администратор Tier 0 выполняет все операции с домен-контроллерами только с PAW, никогда с обычного компьютера.

Требования к PAW:

• Чистая установка Windows, не из корпоративного образа
• BitLocker с TPM + PIN
• Device Guard / WDAC (Windows Defender Application Control)
• Credential Guard для защиты от Mimikatz
• Запрет доступа в интернет (кроме Windows Update)
• Минимум установленного ПО — только средства администрирования

# Включение Credential Guard через GPO
# Computer Configuration → Admin Templates → System → Device Guard
# Turn On Virtualization Based Security: Enabled
# Credential Guard Configuration: Enabled with UEFI lock

# Проверка статуса Credential Guard
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard |
  Select-Object SecurityServicesRunning

PAW размещаются в отдельном OU (OU=Devices,OU=Tier 0,OU=Admin) с собственными GPO, запрещающими любые небезопасные операции.

Сервисные учётные записи (для SQL, Exchange, бэкапов) — частая мишень. Их пароли редко меняются и часто хранятся в открытом виде в скриптах. Решение — Group Managed Service Accounts (gMSA).

# Создание корневого ключа KDS (один раз на домен)
Add-KdsRootKey -EffectiveImmediately
# В продуктиве: Add-KdsRootKey -EffectiveTime ((Get-Date).AddHours(-10))

# Создание gMSA для SQL Server
New-ADServiceAccount -Name "gMSA-SQL" `
  -DNSHostName "gmsa-sql.domain.local" `
  -PrincipalsAllowedToRetrieveManagedPassword "T1-SQLServers" `
  -KerberosEncryptionType AES128,AES256

# Установка на сервере SQL
Install-ADServiceAccount -Identity "gMSA-SQL"
Test-ADServiceAccount -Identity "gMSA-SQL"  # Должен вернуть True

Пароль gMSA автоматически меняется каждые 30 дней и составляет 240 случайных символов. Его невозможно извлечь с устройства, не входящего в группу T1-SQLServers.

Модель бесполезна без контроля её соблюдения. Настройте расширенный аудит для отслеживания нарушений:

# Включение аудита через GPO на контроллерах домена
# Computer Configuration → Policies → Windows Settings → 
# Security Settings → Advanced Audit Policy Configuration

# Audit Logon Events: Success, Failure
# Audit Account Logon Events: Success, Failure  
# Audit Privilege Use: Success, Failure

# PowerShell: поиск входов T0-аккаунтов на не-T0 устройства
$t0Users = Get-ADGroupMember -Identity "T0-Admins" -Recursive | Select-Object -ExpandProperty SamAccountName

Get-WinEvent -FilterHashtable @{
  LogName = 'Security'
  Id = 4624  # Successful logon
  StartTime = (Get-Date).AddDays(-1)
} | Where-Object {
  $t0Users -contains $_.Properties[5].Value
} | Select-Object TimeCreated, 
  @{N='User';E={$_.Properties[5].Value}},
  @{N='Computer';E={$_.Properties[11].Value}},
  @{N='LogonType';E={$_.Properties[8].Value}}

Настройте алерты в SIEM-системе при обнаружении входа учётной записи Tier 0 на устройство, не принадлежащее Tier 0. Это немедленный инцидент безопасности, требующий расследования.

Внедрять модель следует поэтапно, начиная с самого критичного уровня:

Этап 1 (неделя 1-2): Защита Tier 0

• Создать отдельные учётные записи Tier 0 для всех доменных администраторов
• Настроить GPO запрета входа T0-аккаунтов на серверы и рабочие станции
• Развернуть минимум одну PAW
• Удалить лишних членов из групп Domain Admins и Enterprise Admins

Этап 2 (неделя 3-4): Защита Tier 1

• Создать T1-учётные записи для серверных администраторов
• Настроить GPO запрета входа T1-аккаунтов на рабочие станции
• Начать миграцию сервисных аккаунтов на gMSA

Этап 3 (неделя 5-8): Защита Tier 2 и мониторинг

• Создать T2-учётные записи для техподдержки
• Настроить LAPS для паролей локальных администраторов
• Внедрить мониторинг нарушений модели в SIEM
• Документировать процедуры и провести обучение