Active Directoryに対するRBCD攻撃の対策の話 - ラック・セキュリティごった煮ブログ
デジタルペンテスト部でペネトレーションテストを担当している小松奈央です。 Active Directoryに対する攻撃手法に、Resource-based Constrained Delegation（以下、RBCD）攻撃というものがあります。 この攻撃手法は原理が分かりづらく、私自身対策方法について勘違いしている部分がありました。 「机上で考えていたRBCD攻撃の対策方法が、実際に案件でRBCD攻撃を行う中で不十分であると気づいた」といったことがあったので、その内容を踏まえてRBCD攻撃の対策方法について本記事で解説します。 （解説は必要ないからRBCD攻撃の対策だけ完結に知りたい！という方はこちらをご確認ください。） RBCD攻撃の原理を正しく理解している技術者からすると当たり前の内容ではありますが、情シス担当者など実際にセキュリティ対策を実施する方の参考になれば幸いです。 （なお、本
Azure AD Connect導入がオンプレAD廃止の足掛かりになるって、どういうこと？
こんにちは、IDチームのすかんくです。 今回は「Azure AD Connect」と「オンプレ AD の廃止」について考えてみました。 執筆の背景 日々お客様と会話する中でこんな悩みが多くあるということに気付きました。 「将来的にはオンプレ AD を廃止して、Azure AD（またはその他 IDaaS）に寄せたいと思ってる」 「一方で、現状はオンプレ AD でユーザーやデバイス管理しているので、Azure AD Connect の導入を検討している」 「しかし Azure AD Connect を導入したら、オンプレ AD の廃止に逆行していそうで躊躇している」 オンプレ AD に関連するコンポーネントを追加することで、よりオンプレ AD 依存度が高まるのでは？という疑問は至極当然のものだと思います。 しかしながら Azure AD Connect に関しては寧ろその逆で、周辺機能も含め上
Active Directory: LDAP Syntax Filters
LDAP syntax filters can be used in many situations to query Active Directory. They can be used in VBScript and PowerShell scripts. Many utilities, like adfind and dsquery *, accept LDAP filters. Many PowerShell Active Directory module cmdlets, like Get-ADUser, Get-ADGroup, Get-ADComputer, and Get-ADObject, accept LDAP filters with the LDAPFilter parameter. LDAP Clauses A filter specifies the condi
Windowsでのパスワードを完全撤廃し、Active Directoryも抹殺した | ロードバランスすだちくん
シンジです。社内インフラを見直してみると、Active Directoryの闇に加えて、パスワードポリシーを含むGPOの地獄に絶望する管理者は多いと思います。シングルサインオンの技術を使って、なるべくシンプルにそして簡素化しつつもセキュアな構成にしようと試みます。今回はそれら全てをすっ飛ばして、そもそもActive Directoryを使わずに、Windows端末のパスワードも抹殺して、シングルサインオンを実現したというお話です。 概要 通常だとユーザーが利用するパスワードは、基本的には端末のローカルに存在するか、Active Directoryなどのディレクトリサービスに保管されてて、それらを利用します。最近だとDirectory as a Serviceと言われるものを利用して、SaaSを利用するケースもあります。ちなみに有名どころはJumpCloudです。これほんと便利。でもエージェ
RHEL VM を Microsoft Entra Domain Services に参加させる - Microsoft Entra ID
Red Hat Enterprise Linux 仮想マシンを Microsoft Entra Domain Services のマネージド ドメインに参加させる ユーザーが 1 セットの資格情報を使用して Azure の仮想マシン (VM) にサインインできるようにするには、Microsoft Entra Domain Services のマネージド ドメインに VM を参加させます。 VM を Domain Services のマネージド ドメインに参加させると、ドメインのユーザー アカウントと資格情報を使用して、サーバーにサインインして管理することができます。 マネージド ドメインのグループ メンバーシップも適用され、VM 上のファイルまたはサービスへのアクセスを制御できるようになります。 この記事では、Red Hat Enterprise Linux (RHEL) VM をマネージ
Active Directory 内のコンピューター、ドメイン、サイト、および OU の名前付け規則
この記事では、Active Directory Domain Services (AD DS) で定義されている Windows、NetBIOS ドメイン名、DNS ドメイン名、Active Directory サイト、組織単位 (OU) 内のコンピューター アカウントの名前付け規則について説明します。 元の KB 番号: 909264 概要 この資料では、以下の項目について説明します。 名前に使用できる有効な文字 名前の長さの最小値と最大値 予約された名前 推奨されない名前 小規模、中規模、大規模の展開で AD DS をサポートするための一般的な推奨事項 AD DS、Active Directory アプリケーション モード (ADAM)、または Active Directory ライトウェイト ディレクトリ サービス (AD LDS) 内で名前が付けられているすべてのオブジェクトは、次
OpenLDAPでLDAP cache&anonymous proxy
OpenLDAPをcache兼anonymous proxyとして使う方法 基本的には、 OpenLDAP documentation の The Proxy Cache Engine で説明されている設定に加えて、anonymous proxyとなるように設定するだけです。 slapdの設定 (slapd.conf) # moduleload back_ldap moduleload pcache include /etc/openldap/schema/core.schema include /etc/openldap/schema/cosine.schema include /etc/openldap/schema/inetorgperson.schema include /etc/openldap/schema/nis.schema # schema for MS ActiveDi
ForensiT Free Downloads
Domain Migration User Profile Wizard Release 24 User Profile Wizard Release 24 is the latest version of ForensiT's powerful workstation domain migration tool. User Profile Wizard will migrate your current user profile to your new domain, Azure AD, or local, user account so that you can keep all your existing data and settings. Read our User Profile Wizard Feature Comparison to find out what additi
AD設計の基礎から読み解くIaaS On AD
2. 今日のお話は・・・ レプリケーション 2 ドメインコントローラー オンプレミス ドメインコントローラー Azure AD Office 365 Google Apps Salesforce Windows Intune VPN Microsoft Azure Windows Server AD Azure AD 4. ドメインとは? ドメインに登録するアカウント ・ユーザーアカウント ・グループアカウント ・コンピュータアカウント ユーザーアカウント グループアカウント コンピュータ アカウント ドメインは、 アカウントを登録して、 管理する単位 ドメイン 1 つのドメインに、 何万個ものアカウントを登録可能 Active Directory データベース
Samba4を用いたWindows/Linux認証統合とネットワークホームディレクトリ - Qiita
Samba4でWindows/Linuxの認証統合をしてみた。 次のような要件が背景にある WindowsとGNU/Linuxで共通のユーザー認証データベースを用いる Windowsホストはいろんなバージョンがある LinuxホストはUbuntu Trusty Tahr 予算がないのでWindows Serverをドメインコントローラーにするのは却下 ホームディレクトリはネットワーク上に置いて各マシンで共通して用いる (本稿では扱わないが)できればSolarisとHP-UXとAIXとIrixとFreeBSDも統合したい いろんなOSで依存性を解決してSambaをビルドして回りたくないのでwinbind認証は却下 SSOできるに越したことはない 要件を鑑みて、次のような構成にしてみた Samba4でActive Directoryドメインを構成する Windowsマシンはドメインメンバーにす
Ad設計
2. ドメインとは? ドメインに登録するアカウント ・ユーザーアカウント ・グループアカウント ・コンピュータアカウント ユーザーアカウント グループアカウント コンピュータ アカウント ドメインは、 アカウントを登録して、 管理する単位 ドメイン 1 つのドメインに、 何万個ものアカウントを登録可能 Active Directory データベース 3. フォレストとは? ドメイン フォレスト 1つ以上のドメインで構成 1番大きな管理範囲 フォレスト内は推移的信頼関係 によりシングルサインインが可能 1番大きな認証範囲 4. AD設計指針 シングルフォレスト シングルドメイン シングルフォレストの特徴 全体を管別ドメインのリソースを利用者が検索・利 用可能 ADの制御情報（スキーマ、構成）の共有 フォレスト理可能な管理者が存在する 要件似合わない場合 マルチフォレスト 5.
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Anonymous LDAP operations in Windows 2003 AD - Petri IT Knowledgebase
Training
Training
[MS-SAMR]: supplementalCredentials
Windowsで無線LANのトラブルシューティング方法 | Kung Noi Blog - Part 1210
Understanding Winbind – Andreas Schneider
Download Active Directory Replication Status Tool from Official Microsoft Download Center