🛡️ Active Directory Health Check v2.6
🇩🇪 Deutsch | 🇬🇧 English
Um script PowerShell abrangente para a verificação automatizada da saúde e segurança de um ambiente Active Directory. Com avaliação de melhores práticas, relatório HTML com código de cores e exportação CSV.
🇩🇪 Deutsch
📑 Índice
✨ Features
- 🎯 54 Checks de Melhores Práticas ordenados tematicamente (Base DC, Security, Estrutura, Monitorização)
- 🖼️ GUI WPF moderna (Light Theme) com seleção de grupos, botões de suite e escolha do caminho de saída
- 🎨 Relatório HTML com código de cores com Executive Dashboard (OK / WARN / CRÍTICO / INFO)
- 📊 Exportação CSV de todos os resultados dos checks
- 🖥️ Menu inicial interativo como fallback para operação em consola
- ⚡ Execução baseada em parâmetros para Scheduled Tasks / automatização
- 📁 Caminho de saída livremente selecionável via GUI ou parâmetro
-OutputPath
- 🔍 DCDiag com parsing de testes individuais (independente do idioma DE/EN)
- 🔄 Deteção de loopback para DCs locais (utiliza
localhost em vez de FQDN)
- 📡 Lógica de skip de ping para DCs inacessíveis com fallback para WinRM
- 🌍 Independente do idioma via Well-Known SIDs
- 🗣️ Deteção automática de idioma e alternador de idioma DE/EN – comutável em tempo real na GUI WPF, substituível pelo parâmetro
-Language de|en
- 📝 Logging detalhado (
C:\ScriptLog)
- 🔧 Estrutura modular - checks individuais podem ser executados de forma direcionada
📋 Os 54 Checks
🏗️ Infraestrutura Base DC
| # | Check | Descrição |
|---|
| 1 | Informações do Sistema DC | OS, RAM, Uptime, Hardware |
| 2 | Serviços | NTDS, DNS, Netlogon, KDC, W32Time, DFSR |
| 3 | Testes DCDiag | Parsing detalhado de todos os testes de diagnóstico do DC |
| 4 | Replicação (Parceiros) | Estado por parceiro de DC |
| 4b | Erros de Replicação (Forest) | Problemas de replicação em todo o forest |
| 5 | Funções FSMO | Todos os 5 detentores de funções FSMO |
| 6 | Configuração DNS | Zonas, integração AD, Dynamic Updates |
| 7 | SYSVOL & NETLOGON | Acessibilidade |
| 8 | Base de Dados NTDS | Tamanho, espaço livre em disco |
🔒 Security: Protocolos de Rede
| # | Check | Descrição |
|---|
| 9 | Protocolos TLS (SCHANNEL) | SSL 2.0/3.0, TLS 1.0/1.1/1.2/1.3 |
| 10 | Cipher & Algoritmos | RC4, DES, MD5 e outros ciphers fracos |
| 11 | SMB1 & SMB-Signing | Proteção WannaCry, Signing forçado |
| 12 | NTLM / LAN-Manager Auth Level | LmCompatibilityLevel=5 Best Practice |
| 13 | LLMNR / NetBIOS / WPAD | Proteção contra ataques Responder |
| 14 | LDAP-Security | Signing + Channel Binding (ADV190023) |
| 15 | Windows Firewall | Todos os 3 perfis ativos? |
👥 Security: Contas & Kerberos
| # | Check | Descrição |
|---|
| 16 | Contas Privilegiadas | Domain/Enterprise/Schema Admins etc. |
| 17 | Password-Policy | MinLen, History, MaxAge, Complexity, Lockout |
| 18 | Kerberos / krbtgt | Idade da password (Best Practice: ≤180 dias) |
| 19 | Kerberos Unconstrained Delegation | Deteção de risco de domain takeover |
| 20 | Risco de Kerberoasting | Analisar contas de utilizador com SPN |
| 21 | LSA Protection (RunAsPPL) | Proteção contra credential dumping (Mimikatz) |
🛡️ Security: System Hardening
| # | Check | Descrição |
|---|
| 22 | Print Spooler em DCs | CVE-2021-34527 (PrintNightmare) |
| 23 | Atualização de Certificado Secure Boot | Estado de deployment do Windows UEFI CA 2023 |
| 24 | Certificados | Monitorização de expiração, verificação EKU |
🌐 Estrutura AD
| # | Check | Descrição |
|---|
| 25 | AD-Sites | Visão geral dos sites |
| 26 | AD-Subnets | Atribuição subnet-a-site |
| 27 | Relações de Confiança | Domain/Forest Trusts |
| 28 | AD Recycle Bin | Estado de ativação da feature |
| 29 | Tombstone Lifetime | Best Practice ≥180 dias |
| 30 | Forest-/Domain-Level | Functional Level |
| 31 | GPO-Health | Mismatch de versão Sysvol/DS |
👤 Contas Inativas
| # | Check | Descrição |
|---|
| 32a | Utilizadores Inativos | >90 dias sem login |
| 32b | Computadores Inativos | >90 dias sem login |
| 32c | Password nunca expira | Verificação de flag |
📊 Monitorização & Operação
| # | Check | Descrição |
|---|
| 33 | Avaliação de Event-Log | System / Directory Service / DNS (últimas 24h) |
| 34 | Sincronização Horária | PDC + Domain-DCs |
| 35 | Estado de AD-Backup | via repadmin /showbackup |
| 36 | Programas Instalados | Inventário por DC |
| 37 | Windows Updates | Últimas 20 atualizações, avaliação de idade |
| 45 | Windows Features Instaladas | Funções e features instaladas por DC (ServerManager) |
| 46 | Partilhas SMB (Shares) | Todas as partilhas incl. caminhos, permissões e encriptação |
🧬 Identity & DNS (novo)
| # | Check | Descrição |
|---|
| 38 | SPN Duplicados | Deteção de SPNs atribuídos múltiplas vezes (conflitos Kerberos) |
| 39 | Risco de AS-REP-Roasting | Utilizadores sem Kerberos Pre-Authentication |
| 40 | AdminSDHolder / AdminCount-Drift | AdminCount=1 sem pertença atual a grupos de proteção |
| 41 | Fine-Grained Password Policies | Endurecimento FGPP, lockout e atribuição de grupos-alvo |
| 42 | Higiene DNS (Aging / Scavenging) | Aging/Scavenging, zonas reversas, riscos de Dynamic-Update |
| 43 | Configuração LAPS | Local Admin Password Solution - estado de ativação, cobertura de computadores (a partir de Server 2019) |
| 44 | Contas sem AES | Encontra contas com RC4-only ou sem encriptação AES (risco de segurança) |
🎯 Security: Vetores de Ataque 2025/2026
| # | Check | Descrição |
|---|
| 47 | Auditoria de Migração RC4 → AES | Contas sem AES antes do desligamento do RC4 em 2026 (CVE-2026-20833) + registo KDC dos DCs |
| 48 | Permissões DCSync | Direitos de replicação fora dos DCs (risco de extração de hashes de passwords) |
| 49 | RBCD & Constrained Delegation | msDS-AllowedToActOnBehalfOfOtherIdentity e msDS-AllowedToDelegateTo incl. mudança de protocolo |
| 50 | dMSA / BadSuccessor | Delegated Managed Service Accounts (Server 2025) e padrões Superseding |
| 51 | MachineAccountQuota | ms-DS-MachineAccountQuota (Best Practice: 0) |
| 52 | Acesso LDAP Anónimo | Teste de bind anónimo contra PDC + dSHeuristics |
| 53 | GPP/cpassword em SYSVOL | Passwords decifráveis em texto simples em GPP-XMLs (MS14-025) |
| 54 | Auditoria Protected Users | Todas as contas privilegiadas no grupo Protected-Users? |
💻 Requisitos do Sistema
roccoammon/active-directory-health-check
