🛡️ Active Directory Health Check v2.6
🇩🇪 Deutsch | 🇬🇧 English
Uno script PowerShell completo per il controllo automatizzato dello stato di salute e della sicurezza di un ambiente Active Directory. Con valutazione best-practice, report HTML con codifica a colori ed esportazione CSV.
🇩🇪 Deutsch
📑 Indice
✨ Funzionalità
- 🎯 54 check best-practice ordinati per tema (base DC, sicurezza, struttura, monitoraggio)
- 🖼️ GUI WPF moderna (Light Theme) con selezione di gruppo, pulsanti suite e scelta del percorso di output
- 🎨 Report HTML con codifica a colori con Executive Dashboard (OK / WARN / CRITICO / INFO)
- 📊 Esportazione CSV di tutti i risultati dei check
- 🖥️ Menu di avvio interattivo come fallback per l'uso da console
- ⚡ Esecuzione basata su parametri per Scheduled Task / automazione
- 📁 Percorso di output liberamente selezionabile tramite GUI o parametro
-OutputPath
- 🔍 DCDiag con parsing dei singoli test (indipendente dalla lingua DE/EN)
- 🔄 Rilevamento loopback per DC locali (usa
localhost invece del FQDN)
- 📡 Logica di skip del ping per DC non raggiungibili con fallback su WinRM
- 🌍 Indipendente dalla lingua tramite Well-Known SID
- 🗣️ Rilevamento automatico della lingua e selettore DE/EN – commutabile live nella GUI WPF, sovrascrivibile tramite parametro
-Language de|en
- 📝 Logging dettagliato (
C:\ScriptLog)
- 🔧 Struttura modulare - i singoli check possono essere eseguiti in modo mirato
📋 I 54 Check
🏗️ Infrastruttura di base DC
| # | Check | Descrizione |
|---|
| 1 | Informazioni di sistema DC | OS, RAM, Uptime, Hardware |
| 2 | Servizi | NTDS, DNS, Netlogon, KDC, W32Time, DFSR |
| 3 | Test DCDiag | Parsing dettagliato di tutti i test di diagnostica DC |
| 4 | Replica (partner) | Stato per ogni partner DC |
| 4b | Errori di replica (forest) | Problemi di replica a livello di forest |
| 5 | Ruoli FSMO | Tutti i 5 titolari dei ruoli FSMO |
| 6 | Configurazione DNS | Zone, integrazione AD, Dynamic Updates |
| 7 | SYSVOL & NETLOGON | Raggiungibilità |
| 8 | Database NTDS | Dimensione, spazio libero su disco |
🔒 Sicurezza: protocolli di rete
| # | Check | Descrizione |
|---|
| 9 | Protocolli TLS (SCHANNEL) | SSL 2.0/3.0, TLS 1.0/1.1/1.2/1.3 |
| 10 | Cipher & algoritmi | RC4, DES, MD5 e altri cipher deboli |
| 11 | SMB1 & SMB-Signing | Protezione WannaCry, signing forzato |
| 12 | NTLM / LAN-Manager Auth Level | LmCompatibilityLevel=5 best practice |
| 13 | LLMNR / NetBIOS / WPAD | Protezione dagli attacchi Responder |
| 14 | Sicurezza LDAP | Signing + Channel Binding (ADV190023) |
| 15 | Windows Firewall | Tutti e 3 i profili attivi? |
👥 Sicurezza: account & Kerberos
| # | Check | Descrizione |
|---|
| 16 | Account privilegiati | Domain/Enterprise/Schema Admins ecc. |
| 17 | Password-Policy | MinLen, History, MaxAge, Complexity, Lockout |
| 18 | Kerberos / krbtgt | Età della password (best practice: ≤180 giorni) |
| 19 | Kerberos Unconstrained Delegation | Rilevamento del rischio di domain takeover |
| 20 | Rischio Kerberoasting | Analisi degli account utente con SPN |
| 21 | LSA Protection (RunAsPPL) | Protezione contro il credential dumping (Mimikatz) |
🛡️ Sicurezza: hardening del sistema
| # | Check | Descrizione |
|---|
| 22 | Print Spooler sui DC | CVE-2021-34527 (PrintNightmare) |
| 23 | Aggiornamento certificati Secure Boot | Stato di deployment di Windows UEFI CA 2023 |
| 24 | Certificati | Monitoraggio scadenza, verifica EKU |
🌐 Struttura AD
| # | Check | Descrizione |
|---|
| 25 | Siti AD | Panoramica dei siti |
| 26 | Subnet AD | Associazione subnet-sito |
| 27 | Trust | Domain/Forest Trusts |
| 28 | AD Recycle Bin | Stato di attivazione della funzionalità |
| 29 | Tombstone Lifetime | Best practice ≥180 giorni |
| 30 | Livello Forest/Domain | Functional Level |
| 31 | GPO-Health | Mismatch versione Sysvol/DS |
👤 Account inattivi
| # | Check | Descrizione |
|---|
| 32a | Utenti inattivi | >90 giorni senza login |
| 32b | Computer inattivi | >90 giorni senza login |
| 32c | Password che non scade mai | Verifica del flag |
📊 Monitoraggio & operatività
| # | Check | Descrizione |
|---|
| 33 | Analisi Event-Log | System / Directory Service / DNS (ultime 24h) |
| 34 | Sincronizzazione oraria | PDC + DC di dominio |
| 35 | Stato backup AD | tramite repadmin /showbackup |
| 36 | Programmi installati | Inventario per ogni DC |
| 37 | Windows Updates | Ultimi 20 aggiornamenti, valutazione dell'età |
| 45 | Windows Features installate | Ruoli e feature installati per ogni DC (ServerManager) |
| 46 | Condivisioni SMB (Shares) | Tutte le condivisioni incl. percorsi, permessi e cifratura |
🧬 Identity & DNS (nuovo)
| # | Check | Descrizione |
|---|
| 38 | SPN duplicati | Rilevamento di SPN assegnati più volte (conflitti Kerberos) |
| 39 | Rischio AS-REP-Roasting | Utenti senza Kerberos Pre-Authentication |
| 40 | AdminSDHolder / AdminCount-Drift | AdminCount=1 senza appartenenza attuale a gruppi protetti |
| 41 | Fine-Grained Password Policies | Rigidità FGPP, lockout e assegnazione dei gruppi target |
| 42 | Igiene DNS (Aging / Scavenging) | Aging/Scavenging, zone reverse, rischi di Dynamic Update |
| 43 | Configurazione LAPS | Local Admin Password Solution - stato di attivazione, copertura computer (da Server 2019) |
| 44 | Account senza AES | Trova account con solo RC4 o senza cifratura AES (rischio di sicurezza) |
🎯 Sicurezza: vettori di attacco 2025/2026
| # | Check | Descrizione |
|---|
| 47 | Audit migrazione RC4 → AES | Account senza AES prima della dismissione di RC4 nel 2026 (CVE-2026-20833) + registry KDC dei DC |
| 48 | Permessi DCSync | Diritti di replica al di fuori dei DC (rischio di estrazione degli hash delle password) |
| 49 | RBCD & Constrained Delegation | msDS-AllowedToActOnBehalfOfOtherIdentity e msDS-AllowedToDelegateTo incl. cambio di protocollo |
| 50 | dMSA / BadSuccessor | Delegated Managed Service Accounts (Server 2025) e pattern di superseding |
| 51 | MachineAccountQuota | ms-DS-MachineAccountQuota (best practice: 0) |
| 52 | Accesso LDAP anonimo | Test di bind anonimo verso il PDC + dSHeuristics |
| 53 | GPP/cpassword in SYSVOL | Password decifrabili in chiaro nei file XML GPP (MS14-025) |
| 54 | Audit Protected Users | Tutti gli account privilegiati nel gruppo Protected Users? |
💻 Requisiti di sistema
roccoammon/active-directory-health-check
