adaudit

Этот PowerShell-скрипт предназначен для проведения всестороннего аудита Microsoft Active Directory с упором на выявление распространённых уязвимостей и слабых мест системы безопасности. Его выполнение позволяет точно определить критические области, требующие усиления, тем самым укрепляя вашу инфраструктуру против распространённых тактик, используемых при lateral movement или атаках на повышение привилегий, нацеленных на Active Directory.

_____ ____     _____       _ _ _
|  _  |    \   |  _  |_ _ _| |_| |_
|     |  |  |  |     | | | . | |  _|
|__|__|____/   |__|__|___|___|_|_|
                 by phillips321

Если у вас есть какие-либо приличные однострочники PowerShell, которые можно было бы использовать в скрипте, дайте мне знать. Я стараюсь сохранять этот скрипт как единый файл без зависимостей от внешних инструментов (кроме ntdsutil и cmd.exe).

Запускается непосредственно на DC с правами DA. Если вы не доверяете коду, предлагаю сначала прочитать его — вы увидите, что он совершенно безвреден! (Но разве вы не должны так поступать с любым кодом, скачанным из интернета и запускаемым с правами DA?)

Что это делает

• Информация об устройстве
  • Get-HostDetails
• Аудит домена
  • Get-LastWUDate
  • Get-DCEval
  • Get-TimeSource
  • Get-PrivilegedGroupMembership
  • Get-MachineAccountQuota
  • Get-DefaultDomainControllersPolicy
  • Get-SMB1Support
  • Get-FunctionalLevel
  • Get-DCsNotOwnedByDA
  • Get-ReplicationType
  • Get-RecycleBinState
  • Get-CriticalServicesStatus
  • Get-RODC
• Аудит доверий доменов
  • Get-DomainTrusts
• Аудит учетных записей пользователей
  • Get-InactiveAccounts
  • Get-DisabledAccounts
  • Get-LockedAccounts
  • Get-AdminAccountChecks
  • Get-NULLSessions
  • Get-PrivilegedGroupAccounts
  • Get-ProtectedUsers
• Аудит информации о паролях
  • Get-AccountPassDontExpire
  • Get-UserPasswordNotChangedRecently
  • Get-PasswordPolicy
  • Get-PasswordQuality
• Дамп NTDS.dit
  • Get-NTDSdit
• Аудит объектов-компьютеров
  • Get-OldBoxes
• Аудит GPO (и проверка SYSVOL на наличие паролей)
  • Get-GPOtoFile
  • Get-GPOsPerOU
  • Get-SYSVOLXMLS
  • Get-GPOEnum
• Проверка общих разрешений AD на уровне групп
  • Get-OUPerms
• Проверка наличия LAPS в домене
  • Get-LAPSStatus
• Проверка наличия политик аутентификации и изолированных контейнеров (Authentication Policies and Silos)
  • Get-AuthenticationPoliciesAndSilos
• Проверка незащищённых DNS-зон
  • Get-DNSZoneInsecure
• Проверка недавно созданных пользователей и групп
  • Get-RecentChanges
• Проверка уязвимостей ADCS (ESC1,2,3,4 и 8)
• Проверка высокоценных учётных записей, допускающих Kerberoasting
• Проверка учётных записей, допускающих ASREPRoasting
• Проверка опасных разрешений ACL для пользователей, групп и компьютеров
• Проверка настроек LDAP и LDAPs (подпись, нулевые сессии и т.д.)

Параметры запуска

Можно использовать следующие флаги в любых комбинациях:

• -installdeps — устанавливает дополнительные компоненты (DSInternals)
• -hostdetails — получает имя хоста и другую полезную информацию для аудита
• -domainaudit — получает информацию о домене, такую как функциональный уровень
• -trusts — получает информацию о любых доверительных отношениях доменов
• -accounts — выявляет проблемы с учётными записями (просроченные, отключённые и т.д.)
• -passwordpolicy — получает информацию о политике паролей
• -ntds — выполняет дамп файла NTDS.dit с помощью ntdsutil
• -oldboxes — выявляет устаревшие ОС (например, XP/2003), присоединённые к домену
• -gpo — создаёт дамп GPO в форматах XML и HTML для последующего анализа
• -ouperms — проверяет общие проблемы с разрешениями на уровне OU
• -laps — проверяет, установлен ли LAPS

Поддержка дочерних доменов

Теперь скрипт полностью поддерживает как корневые домены леса, так и дочерние домены:

• Группы Schema Admins и Enterprise Admins корректно обрабатываются в дочерних доменах (где они существуют только в корневом домене леса)
• Скрипт завершается успешно с соответствующими информационными сообщениями для групп, отсутствующих только в корневом домене
• Нет сбоев или блокирующих ошибок из-за отсутствия групп в сценариях дочерних доменов
• Протестировано и подтверждено на дочерних доменах Windows Server 2022

Обработка ошибок и надёжность

Скрипт реализует всестороннюю обработку ошибок:

• Дополнительные функции аудита завершаются корректно, не блокируя выполнение скрипта
• Ошибки генерации отчётов GPO (например, из-за повреждённых GPO) не мешают выполнению других проверок
• Защитные проверки предотвращают исключения типа «файл не найден» для дополнительных выходных файлов
• Чёткие сообщения об ошибках/предупреждениях/информации позволяют различать критические сбои и ожидаемые сценарии
• Отсутствие дополнительных модулей (DSInternals, LAPS, AdmPwd.PS) не препятствует выполнению основных функций аудита

Вывод в формате Nessus XML

• Генерирует корректный, правильно отформатированный XML-файл Nessus, не требующий дополнительной обработки
• Все специальные символы корректно экранируются в источнике (&, <, >, ", ')
• Выходной файл готов к прямому импорту в Nessus без ручных изменений
• Исключена необходимость в этапах постобработки или дополнительных выходных файлах

Протестированные среды

• Подтверждено на Windows Server 2022 (как корневые домены леса, так и дочерние домены)
• Поддерживает Windows Server 2008R2 — 2022
• Успешно работает в сложных производственных средах с повреждёнными GPO и смешанными конфигурациями