roccoammon/active-directory-health-checkأداة PowerShell بواجهة رسومية تُجري 54 فحصًا للصحة والأمان وفق أفضل الممارسات على Active Directory، وتُشير إلى Kerberoasting وDCSync والتفويض وثغرات التحصين في تقارير HTML/CSV ثنائية اللغة.
نص PowerShell شامل للفحص الآلي لسلامة وأمان بيئة Active Directory. مع تقييم أفضل الممارسات وتقرير HTML مرمّز بالألوان وتصدير CSV.
-OutputPathlocalhost بدلاً من FQDN)-Language de|enC:\ScriptLog)| # | الفحص | الوصف |
|---|---|---|
| 1 | معلومات نظام DC | نظام التشغيل، RAM، مدة التشغيل، العتاد |
| 2 | الخدمات | NTDS، DNS، Netlogon، KDC، W32Time، DFSR |
| 3 | اختبارات DCDiag | تحليل مفصّل لجميع اختبارات تشخيص DC |
| 4 | النسخ المتماثل (الشريك) | الحالة لكل شريك DC |
| 4b | أخطاء النسخ المتماثل (Forest) | مشاكل النسخ المتماثل على مستوى Forest |
| 5 | أدوار FSMO | جميع مالكي أدوار FSMO الخمسة |
| 6 | إعدادات DNS | المناطق، تكامل AD، التحديثات الديناميكية |
| 7 | SYSVOL و NETLOGON | قابلية الوصول |
| 8 | قاعدة بيانات NTDS | الحجم، المساحة الحرة على القرص |
| # | الفحص | الوصف |
|---|---|---|
| 9 | بروتوكولات TLS (SCHANNEL) | SSL 2.0/3.0، TLS 1.0/1.1/1.2/1.3 |
| 10 | Cipher والخوارزميات | RC4، DES، MD5 وغيرها من Cipher الضعيفة |
| 11 | SMB1 و SMB-Signing | حماية WannaCry، فرض Signing |
| 12 | NTLM / LAN-Manager Auth Level | LmCompatibilityLevel=5 أفضل ممارسة |
| 13 | LLMNR / NetBIOS / WPAD | حماية من هجمات Responder |
| 14 | أمان LDAP | Signing + Channel Binding (ADV190023) |
| 15 | جدار حماية Windows | هل جميع الملفات الشخصية الثلاثة نشطة؟ |
| # | الفحص | الوصف |
|---|---|---|
| 16 | الحسابات ذات الامتيازات | Domain/Enterprise/Schema Admins إلخ. |
| 17 | سياسة كلمات المرور | MinLen، History، MaxAge، Complexity، Lockout |
| 18 | Kerberos / krbtgt | عمر كلمة المرور (أفضل ممارسة: ≤180 يومًا) |
| 19 | Kerberos Unconstrained Delegation | كشف مخاطر الاستيلاء على النطاق |
| 20 | مخاطر Kerberoasting | تحليل حسابات المستخدمين التي تحتوي على SPN |
| 21 | حماية LSA (RunAsPPL) | حماية ضد استخراج بيانات الاعتماد (Mimikatz) |
| # | الفحص | الوصف |
|---|---|---|
| 22 | Print Spooler على وحدات DC | CVE-2021-34527 (PrintNightmare) |
| 23 | تحديث شهادة Secure Boot | حالة نشر Windows UEFI CA 2023 |
| 24 | الشهادات | مراقبة الانتهاء، فحص EKU |
| # | الفحص | الوصف |
|---|---|---|
| 25 | مواقع AD | نظرة عامة على المواقع |
| 26 | الشبكات الفرعية لـ AD | تعيين الشبكة الفرعية إلى الموقع |
| 27 | علاقات الثقة | Domain/Forest Trusts |
| 28 | سلة محذوفات AD | حالة تفعيل الميزة |
| 29 | Tombstone Lifetime | أفضل ممارسة ≥180 يومًا |
| 30 | مستوى Forest/Domain | Functional Level |
| 31 | سلامة GPO | عدم تطابق إصدار Sysvol/DS |
| # | الفحص | الوصف |
|---|---|---|
| 32a | المستخدمون غير النشطين | >90 يومًا بدون تسجيل دخول |
| 32b | أجهزة الكمبيوتر غير النشطة | >90 يومًا بدون تسجيل دخول |
| 32c | كلمة المرور لا تنتهي أبدًا | فحص العلامة |
| # | الفحص | الوصف |
|---|---|---|
| 33 | تحليل سجل الأحداث | System / Directory Service / DNS (آخر 24 ساعة) |
| 34 | مزامنة الوقت | PDC + Domain-DCs |
| 35 | حالة نسخ AD الاحتياطي | عبر repadmin /showbackup |
| 36 | البرامج المثبتة | جرد لكل DC |
| 37 | تحديثات Windows | آخر 20 تحديثًا، تقييم العمر |
| 45 | ميزات Windows المثبتة | الأدوار والميزات المثبتة لكل DC (ServerManager) |
| 46 | مشاركات SMB (Shares) | جميع المشاركات بما في ذلك المسارات والأذونات والتشفير |
| # | الفحص | الوصف |
|---|---|---|
| 38 | تكرارات SPN | كشف SPNs المخصصة بشكل متكرر (تعارضات Kerberos) |
| 39 | مخاطر AS-REP-Roasting | مستخدمون بدون Kerberos Pre-Authentication |
| 40 | AdminSDHolder / AdminCount-Drift | AdminCount=1 بدون عضوية حالية في مجموعات الحماية |
| 41 | سياسات كلمات المرور الدقيقة | تشديد FGPP، Lockout وتعيين المجموعات المستهدفة |
| 42 | نظافة DNS (Aging / Scavenging) | Aging/Scavenging، المناطق العكسية، مخاطر التحديث الديناميكي |
| 43 | إعدادات LAPS | Local Admin Password Solution - حالة التفعيل، تغطية الأجهزة (من Server 2019) |
| 44 | حسابات بدون AES | يجد الحسابات التي تستخدم RC4 فقط أو بدون تشفير AES (خطر أمني) |
| # | الفحص | الوصف |
|---|---|---|
| 47 | تدقيق الترحيل من RC4 إلى AES | الحسابات بدون AES قبل إيقاف RC4 في 2026 (CVE-2026-20833) + سجل KDC لوحدات DC |
| 48 | أذونات DCSync | حقوق النسخ المتماثل خارج وحدات DC (خطر استخراج تجزئة كلمة المرور) |
| 49 | RBCD و Constrained Delegation | msDS-AllowedToActOnBehalfOfOtherIdentity و msDS-AllowedToDelegateTo بما في ذلك تبديل البروتوكول |
| 50 | dMSA / BadSuccessor | Delegated Managed Service Accounts (Server 2025) وأنماط Superseding |
| 51 | MachineAccountQuota | ms-DS-MachineAccountQuota (أفضل ممارسة: 0) |
| 52 | وصول LDAP المجهول | اختبار Bind المجهول ضد PDC + dSHeuristics |
| 53 | GPP/cpassword في SYSVOL | كلمات مرور قابلة لفك التشفير بنص صريح في ملفات GPP-XML (MS14-025) |
| 54 | تدقيق Protected Users | هل جميع الحسابات ذات الامتيازات في مجموعة Protected-Users؟ |
# Repository klonen
git clone https://gitlab.com/RoccoAmmon/Active-Directory-Health-Check.git
cd Active-Directory-Health-Check
# Skript ausführen (interaktiv)
.\AD_Health_Check.ps1
# Oder automatisiert (alle 54 Checks)
.\AD_Health_Check.ps1 -FullRun
# Interaktive WPF-GUI (Standard)
.\AD_Health_Check.ps1
# Vollständiger Lauf ohne GUI (für Scheduled Tasks)
.\AD_Health_Check.ps1 -FullRun