🛡️ Active Directory Health Check v2.6
🇩🇪 Deutsch | 🇬🇧 English
Комплексный скрипт PowerShell для автоматизированной проверки работоспособности и безопасности среды Active Directory. С оценкой по лучшим практикам, цветокодированным HTML-отчётом и экспортом в CSV.
🇩🇪 Deutsch
📑 Содержание
✨ Возможности
- 🎯 54 проверки по лучшим практикам, сгруппированные по темам (базовая инфраструктура DC, безопасность, структура, мониторинг)
- 🖼️ Современный WPF-интерфейс (светлая тема) с выбором групп, кнопками наборов проверок и выбором пути вывода
- 🎨 Цветокодированный HTML-отчёт с исполнительной панелью (OK / WARN / КРИТИЧНО / INFO)
- 📊 Экспорт в CSV всех результатов проверок
- 🖥️ Интерактивное стартовое меню как запасной вариант для работы в консоли
- ⚡ Запуск на основе параметров для запланированных задач / автоматизации
- 📁 Свободно выбираемый путь вывода через GUI или параметр
-OutputPath
- 🔍 DCDiag с разбором отдельных тестов (независимо от языка DE/EN)
- 🔄 Обнаружение loopback для локальных DC (использует
localhost вместо FQDN)
- 📡 Логика пропуска ping для недоступных DC с переходом на WinRM
- 🌍 Независимость от языка через Well-Known SIDs
- 🗣️ Автоматическое определение языка и переключатель DE/EN – переключение на лету в WPF-GUI, переопределяется параметром
-Language de|en
- 📝 Подробное логирование (
C:\ScriptLog)
- 🔧 Модульная структура — отдельные проверки можно запускать целенаправленно
📋 54 проверки
🏗️ Базовая инфраструктура DC
| # | Проверка | Описание |
|---|
| 1 | Системная информация DC | ОС, RAM, время работы, оборудование |
| 2 | Службы | NTDS, DNS, Netlogon, KDC, W32Time, DFSR |
| 3 | Тесты DCDiag | Детальный разбор всех диагностических тестов DC |
| 4 | Репликация (партнёры) | Статус по каждому партнёру DC |
| 4b | Ошибки репликации (лес) | Проблемы репликации в масштабе леса |
| 5 | Роли FSMO | Все 5 владельцев ролей FSMO |
| 6 | Конфигурация DNS | Зоны, интеграция с AD, динамические обновления |
| 7 | SYSVOL и NETLOGON | Доступность |
| 8 | База данных NTDS | Размер, свободное место на диске |
🔒 Безопасность: сетевые протоколы
| # | Проверка | Описание |
|---|
| 9 | Протоколы TLS (SCHANNEL) | SSL 2.0/3.0, TLS 1.0/1.1/1.2/1.3 |
| 10 | Шифры и алгоритмы | RC4, DES, MD5 и другие слабые шифры |
| 11 | SMB1 и подписывание SMB | Защита от WannaCry, принудительное подписывание |
| 12 | NTLM / уровень проверки подлинности LAN Manager | LmCompatibilityLevel=5 — лучшая практика |
| 13 | LLMNR / NetBIOS / WPAD | Защита от атак Responder |
| 14 | Безопасность LDAP | Подписывание + Channel Binding (ADV190023) |
| 15 | Брандмауэр Windows | Все 3 профиля активны? |
👥 Безопасность: учётные записи и Kerberos
| # | Проверка | Описание |
|---|
| 16 | Привилегированные учётные записи | Domain/Enterprise/Schema Admins и т. д. |
| 17 | Политика паролей | MinLen, History, MaxAge, Complexity, Lockout |
| 18 | Kerberos / krbtgt | Возраст пароля (лучшая практика: ≤180 дней) |
| 19 | Неограниченное делегирование Kerberos | Обнаружение риска захвата домена |
| 20 | Риск Kerberoasting | Анализ учётных записей пользователей с SPN |
| 21 | Защита LSA (RunAsPPL) | Защита от дампа учётных данных (Mimikatz) |
🛡️ Безопасность: укрепление системы
| # | Проверка | Описание |
|---|
| 22 | Диспетчер печати на DC | CVE-2021-34527 (PrintNightmare) |
| 23 | Обновление сертификатов Secure Boot | Статус развёртывания Windows UEFI CA 2023 |
| 24 | Сертификаты | Мониторинг истечения срока, проверка EKU |
🌐 Структура AD
| # | Проверка | Описание |
|---|
| 25 | Сайты AD | Обзор сайтов |
| 26 | Подсети AD | Сопоставление подсетей и сайтов |
| 27 | Доверительные отношения | Доверительные отношения домена/леса |
| 28 | Корзина AD | Статус активации функции |
| 29 | Время жизни tombstone | Лучшая практика ≥180 дней |
| 30 | Уровень леса/домена | Функциональный уровень |
| 31 | Работоспособность GPO | Несоответствие версий Sysvol/DS |
👤 Неактивные учётные записи
| # | Проверка | Описание |
|---|
| 32a | Неактивные пользователи | >90 дней без входа |
| 32b | Неактивные компьютеры | >90 дней без входа |
| 32c | Пароль никогда не истекает | Проверка флага |
📊 Мониторинг и эксплуатация
| # | Проверка | Описание |
|---|
| 33 | Анализ журналов событий | System / Directory Service / DNS (последние 24 ч) |
| 34 | Синхронизация времени | PDC + доменные DC |
| 35 | Статус резервного копирования AD | через repadmin /showbackup |
| 36 | Установленные программы | Инвентаризация по каждому DC |
| 37 | Обновления Windows | Последние 20 обновлений, оценка давности |
| 45 | Установленные компоненты Windows | Установленные роли и компоненты по каждому DC (ServerManager) |
| 46 | Общие ресурсы SMB (Shares) | Все общие ресурсы, включая пути, разрешения и шифрование |
🧬 Идентификация и DNS (новое)
| # | Проверка | Описание |
|---|
| 38 | Дубликаты SPN | Обнаружение многократно назначенных SPN (конфликты Kerberos) |
| 39 | Риск AS-REP-Roasting | Пользователи без предварительной аутентификации Kerberos |
| 40 | AdminSDHolder / дрейф AdminCount | AdminCount=1 без текущего членства в защитных группах |
| 41 | Детализированные политики паролей | Ужесточение FGPP, блокировка и назначение целевых групп |
| 42 | Гигиена DNS (Aging / Scavenging) | Aging/Scavenging, обратные зоны, риски динамических обновлений |
| 43 | Конфигурация LAPS | Local Admin Password Solution — статус активации, охват компьютеров (начиная с Server 2019) |
| 44 | Учётные записи без AES | Находит учётные записи только с RC4 или без шифрования AES (риск безопасности) |
🎯 Безопасность: векторы атак 2025/2026
| # | Проверка | Описание |
|---|
| 47 | Аудит миграции RC4 → AES | Учётные записи без AES перед отключением RC4 в 2026 (CVE-2026-20833) + реестр KDC на DC |
| 48 | Разрешения DCSync | Права репликации вне DC (риск извлечения хэшей паролей) |
| 49 | RBCD и ограниченное делегирование | msDS-AllowedToActOnBehalfOfOtherIdentity и msDS-AllowedToDelegateTo, включая смену протокола |
| 50 | dMSA / BadSuccessor | Delegated Managed Service Accounts (Server 2025) и шаблоны Superseding |
| 51 | MachineAccountQuota | ms-DS-MachineAccountQuota (лучшая практика: 0) |
| 52 | Анонимный доступ к LDAP | Тест анонимной привязки к PDC + dSHeuristics |
| 53 | GPP/cpassword в SYSVOL | Пароли в открытом виде, дешифруемые из GPP-XML (MS14-025) |
| 54 | Аудит Protected Users | Все привилегированные учётные записи в группе Protected Users? |
💻 Системные требования
roccoammon/active-directory-health-check
