Sådan overåges adgang til LAPS-adgangskoder med Windows PowerShell og ADAudit Plus

Local Administrator Password Solution (LAPS) har bidraget til at forbedre netværkssikkerheden ved at tildele stærke, unikke adgangskoder, der også kan ændres rutinemæssigt. Da disse adgangskoder gemmes centralt i Active Directory, er der en risiko for, at uautoriserede brugere også kan få adgang til adgangskodereserven og logge ind på en hvilken som helst af arbejdsstationerne. Da LAPS ikke har en indbygget overvågningsfunktion, skal tredjepartsapplikationer bruges til at overvåge de brugere, der har adgang til de lokale administratoradgangskoder.

ManageEngine ADAudit Plus, en realtids AD-overvågningsløsning, tilbyder et meget nemmere alternativ til den samme proces, der udføres i native AD.

Denne artikel uddyber metoderne til at overvåge LAPS-adgangskodeadgang med Windows PowerShell og ADAudit Plus.

Med Windows PowerShell

PowerShell kan konfigurere overvågning af LAPS-adgangskodeadgang. Dette vil overvåge de brugere, der har adgang til LAPS-adgangskoderne i Active Directory, og oplysningerne vil blive registreret i AD Event Viewer med hændelses-ID'et 4662.

Sådan konfigurerer du PowerShell-overvågning:

Identificer det domæne, du skal overvåge.
Importer AdmPwd.PS-modulet.
Skriv koden. Et eksempel på et PowerShell-script er vedhæftet i slutningen af dette afsnit.
Kompilér scriptet.
Kør det i PowerShell.
Dette vil konfigurere overvågningen.

Her er et eksempel på et script:

Set-AdmPwdAuditing -Identity:Clients -AuditedPrincipals:Everyone

Med ADAudit Plus

I ADAudit Plus-konsollen skal du klikke på Rapporter > LAPS-overvågninger > LAPS-adgangskodelæsning for at generere en rapport over de brugere, der har fået adgang til adgangskoderne.
Vælg det relevante domæne og den relevante organisationsenhed.
Klik på Eksportér for at eksportere rapporten i de forskellige nævnte formater (CSV, PDF, HTML, CSVDE, XLSX).

LAPS-adgangskoderapporter viser de brugere, der har tilgået adgangskoderne inden for den valgte tidsramme. Kun en lille gruppe autoriserede brugere, normalt netværksadministratorer, har adgang til adgangskoderne. Regelmæssig kontrol af rapporten kan hjælpe med at sikre, at kun de udpegede brugere har adgang til oplysningerne.

Her er et eksempel på en rapport:

Her er begrænsningerne ved at bruge PowerShell til at overvåge LAPS:

PowerShell kan kun aktivere overvågning. Den leverer ikke selve rapporten.
Denne metode kræver brug af flere applikationer til overvågning. Administratorer skal aktivere overvågning i PowerShell og se i Logbogen for at få oplysninger om de brugere, der har tilgået LAPS-adgangskoden. Selv med Logbogen er det ikke muligt at se alle LAPS-adgangskoder samlet i form af en enkelt rapport. Manuel gennemgang af alle hændelser vil være tidskrævende.

ADAudit Plus er et Active Directory-overvågnings- og rapporteringsværktøj, der løbende reviderer netværket og genererer præpakkede rapporter om alle AD-objekter. Endvidere opretter den i realtid alarmer i tilfælde af mistænkelig aktivitet på netværket. Den har en separat sektion til LAP'er og kan hurtigt generere rapporter efter behov.