Truslerne mod virksomhedsidentitet er i konstant udvikling, og når en angriber bryder identitetssystemet, er virkningen langvarig og omkostningsfuld. I denne sammenhæng er revision og styrkelse af Active Directory (AD) og dets cloud-modstykke, Entra ID/Azure AD, blevet en daglig nødvendighed for IT og sikkerhed. Valg af de rigtige værktøjer og forståelse af, hvad hvert enkelt tilbyder Det er det første skridt til at lukke huller, før nogen udnytter dem.
Blandt de mest kendte gratis muligheder er Purple Knight (Semperis) og PingCastle (oprindeligt skabt af Vincent Le Toux og i øjeblikket en del af Netwrix-økosystemet). Begge kører problemfrit og leverer værdifuld diagnosticering, men deres tilgang, metode og målgruppe er forskellige. Sammenlign dem nøje, uden at overse deres begrænsninger og styrker.Det giver dig mulighed for at bestemme, hvornår du vil bruge den ene eller den anden, eller hvorfor du vil kombinere dem for at få mest muligt ud af dem.
Identitetssikkerhed: hvorfor fokusere på Active Directory og Entra ID
AD og Entra ID koncentrerer typisk kontrollen over konti, tilladelser, godkendelse og tillidsforhold; hvis de fejler, fejler kernen i virksomhedens adgang. Indtrængen i disse systemer kan forblive usynlig i månedsvis.Dette eksponerer kritiske aktiver og muliggør lateral bevægelse. Derfor kræver styrkelse af identitetssikkerhed prioritering af Active Directory og dets cloud-lag. Engangsvurderingsværktøjer hjælper med at få et klart billede af risikoen, mens løbende overvågningsværktøjer muliggør rettidig intervention for at håndtere afvigelser.
PingCastle: Et modenhedsbaseret øjebliksbillede af AD-miljøet
PingCastle blev født som et Active Directory-vurderingsværktøj udviklet i C# af Vincent Le Toux og konsolideret på markedet med en gratis basisudgave siden 2017. Dens formål er at måle risikoen og sikkerhedsmodenheden i Active Directory baseret på modeller og regler.udarbejdelse af en sundheds- og risikorapport med stærkt fokus på praktiske beslutninger.
Hvad PingCastle gør godt
En af dens styrker er at oversætte tekniske data til kontekstuel information: den analyserer Active Directory-underprocesser, tillidsrelationer, privilegerede konti og forældede objekter, blandt andet. Resultatet er en risikoscore og en detaljeret rapport, der kan konsolideres med andre for at lette sammenligninger over tid. Derudover inkorporerer den et Active Directory-kort til at visualisere hierarkier og trusts.Dette fremskynder forståelsen af komplekse miljøer og afdækker glemte domæner.
- Risiko- og sundhedsvurdering baseret på interne modeller og regler, med scoring og risikorapportering.
- Synlighed af privilegier og potentielle ruter til kritiske objekter, med fokus på konti med høj adgang.
- Domæne- og tillidskortlægning at visualisere relationer, herunder tillidsovervejelser med Azure AD/Entra ID.
- Konsolidering af rapporter til benchmarking, KPI'er og ledelsesdashboards (i højere udgaver).
PingCastle går også ud over mappen og udfører arbejdsstationsscanninger for usikre fremgangsmåder. Registrerer overdrevne lokale administratorerdårligt beskyttede delte ressourcer, sårbarheder som WannaCry og endda uregelmæssigheder i opstartstiden, hvilket hjælper med at afdække bagdøre og svagheder i delegeringen, der kan fremme lateral bevægelse.
Hvordan det fungerer, og hvad det leverer
PingCastles motor indsamler data ved hjælp af uprivilegerede LDAP-forespørgsler og WMI og kan integreres med PowerShell-scripts, og anvender en risikomodel grupperet efter kategorier: forældede objekter, privilegerede konti, trusts og anomalier. Den resulterende rapport fremhæver kritiske problemer (for eksempel forældede tillidsprotokoller, skrøbelige delektioner, svage Kerberos-konfigurationer eller usikre kontrolstier) og tildeler en AD-sundhedsscore: jo lavere, jo bedre.
I hybridmiljøer kan PingCastle rapportere om, hvorvidt tillidsforholdet med Azure AD er godt sikret. Kortvisningen og konsolideringen af resultaterne De er især nyttige for organisationer med mange domæner eller flere tillidsrelationer, hvor det er nemt at miste overblikket.
Udgaver, licens og omfang
Basisudgaven er gratis til revision af dit eget miljø, mens Auditor/Standard- og Professional-udgaverne tilføjer avancerede funktioner og kommerciel support. Abonnementer som Auditor (omkring $3.449/år) og Professional markedsføres. (omkring $10.347 pr. domæne pr. år), plus en Enterprise-udgave med konsolideringsfunktioner og et globalt perspektiv for store virksomheder. Projektet signerer sine binære filer og udgiver koden under OSL 3.0 (Non-Profit)-licensen med begrænsninger på ulicenseret kommerciel brug.
Kendte begrænsninger ved PingCastle
I implementeringer med mange domæner kan rapporter være tætte og noget vanskelige at navigere i, hvis konsolideringsprocesser og visninger ikke er etableret. Gratisudgaven indeholder ikke avancerede rapporter eller detaljerede afhjælpningsvejledninger.og fokus er på indikatorer for eksponering og risiko, ikke på tegn på kompromis, der allerede har materialiseret sig.
Purple Knight: Eksponerings- og engagementsindikatorer med et klik på en knap
Semperis lancerede Purple Knight i 2021 som et gratis sikkerhedsvurderingsværktøj til Active Directory og hybridmiljøer. Siden da er det blevet en favorit på grund af dets fokus på Indicators of Exposure (IOE) og Indicators of Compromise (IOC). Dens mål er at afdække risikable konfigurationer og beviser på indtrængen. I AD skal du indtaste ID/Azure AD og endda Okta.
Indikatorer, kategorier og referencerammer
Purple Knight grupperer resultater i fem hovedområder: AD-delegering, AD-infrastruktursikkerhed, kontosikkerhed, Gruppepolitiksikkerhed (GPO) og Kerberos-sikkerhed. Rapporten bruger en "bulletin" med en vurdering efter kategori og en samlet procentdel., der tilbyder prioriterede afhjælpningsforanstaltninger, alvorlighedsgrad (informativ, advarsel eller kritisk) og kortlægninger til frameworks som MITRE ATT&CK og ANSSI, foruden referencer til MITRE D3FEND-modellen.
- Mere end hundrede indikatorer (og nyere versioner overstiger nemt dette tal) der dækker almindelige angrebsvektorer.
- Forskellen mellem IOE og IOC at adskille potentiel fejlkonfiguration fra bevis for aktiv kompromittering.
- Retningslinjer for præskriptiv korrektion og prioriteret efter risiko og sandsynlighed for udnyttelse.
- Hybriddækning med lokal AD, Enter ID/Azure AD og Okta-understøttelse.
Brugeroplevelse og rapportering
Værktøjet er bærbart og har en grafisk brugerflade. Du downloader en ZIP-fil, udpakker den og kører den binære fil; ved opstart registrerer det skove og domæner og giver dig mulighed for at vælge, hvilke IOE/IOC der skal køres – en granularitet, som både det blå og det røde team sætter pris på. Scanningen er normalt færdig inden for få minutter og genererer en HTML-rapport, der indeholder en tjekliste over kritiske IOE'er og klare forklaringer med links til dokumentation.
"Karakterbogsformatet" er praktisk: et bogstav og en procentdel med forskellige vægte for hver kategori. Beskrivelserne omfatter årsagen, virkningen, tilpasningen inden for sikkerhedsrammer og afhjælpningstrin.Purple Knight kører i læsetilstand, foretager ingen ændringer i Active Directory og "kalder ikke hjem"; den kan gentages med jævne mellemrum uden risiko for produktionen.
Registrering, community-version og udvikling
For at downloade værktøjet kræver Semperis registrering og leverer linket; det giver også brugerne besked om nye versioner og løbende forbedringer. Community-udgaven opdateres ofte Og den opretholder en bemærkelsesværdig glans trods sin ungdom, med forbedringer baseret på feedback fra fællesskabet.
Begrænsninger og hvordan det suppleres
Purple Knight udfører engangsvurderinger; det er ikke en kontinuerlig overvågningsløsning, og den automatiserer heller ikke afhjælpning i sig selv. Det lag leveres af Directory Services Protector (DSP) fra Semperis.som er en betalt tjeneste og er rettet mod identitetstrusselsdetektion og -respons (ITDR) i realtid med advarsler og tilbageførsel af ondsindede ændringer.
Purple Knight vs. PingCastle: Hvad de har til fælles, og hvordan de adskiller sig
Selvom begge værktøjer kan bruges til at vurdere Active Directory-sikkerhed og understøtte hybridmiljøer med Entra ID/Azure AD, er deres fokus ikke identisk. PingCastle prioriterer en modenhedsmetodik og en "sundhedstjek"-rapport med risikoscoring; Purple Knight fokuserer på IOE/IOC og på at levere en yderst handlingsrettet afhjælpningsvejledning. Den første ser nærmere på "modellen" og tilstanden af AD-økosystemet, mens den anden leverer et meget detaljeret øjebliksbillede, der skal korrigeres hurtigt.
Med hensyn til brugervenlighed skiller Purple Knight sig ud for sin brugerflade og detaljerede testudvalg; i PingCastle skinner domænekort og rapportkonsolidering i organisationer med mange skove og trusts. I rapporteringen vurderer Purple Knight efter kategori med en score og procentdel.Og PingCastle tilbyder en samlet sundhedsscore, hvor et lavere tal er bedre.
For dækning omfatter Purple Knight AD, Entra ID/Azure AD og Okta og knytter resultater til MITRE ATT&CK og ANSSI med prioritet til afhjælpning. PingCastle tilbyder på sin side analyse af delegationer, forældede objekter, lokale privilegier og endpoint-sårbarheder.Og den kan vurdere tillidssikkerhed med Azure AD. Muligheden for at opdage glemte domæner og forene resultater er en fordel, når perimeteren er blevet sløret.
Med hensyn til licens tilbydes Purple Knight som et gratis værktøj (efter registrering); kontinuerlige og korrigerende funktioner findes i Semperis DSP, som er kommerciel. PingCastle tilbyder en gratis basisudgave til personlig brug. og betalte udgaver (Auditor/Standard, Professional, Enterprise) med udvidede funktioner, support og skalerbarhed.
Hvilken skal du vælge? Hvis du leder efter en hurtig og klar vurdering med prioriterede reparationsinstruktioner, er Purple Knight det perfekte valg. Hvis du har brug for en modenhedsmetode med domænekortlægning og risikokonsolidering For hundredvis eller tusindvis af segmenter kan PingCastle være et bedre valg, især med de betalte udgaver. I praksis bruger mange organisationer begge dele: kombinationen tilbyder krydsvalidering og dybere dækning.
Praktiske detaljer om implementering og resultater
Begge værktøjer er bærbare og kan køres med standard brugeroplysninger i de fleste sammenhænge, og indsamler primært data ved læsning. Dette gør det nemmere for teams med begrænsede ressourcer at implementere det. og undgår friktion med produktionssystemer, da de ikke foretager ændringer.
Purple Knight gemmer sine resultater i HTML med en logisk struktur og links til dokumentation, samt en tjekliste, der fremhæver, hvad der haster. Opdeling efter alvorlighed og henvisning til rammer Det giver kontekst til CISO'er og tekniske teams. PingCastle leverer på sin side en rapport med scorer, prioriterede resultater og, hvis det ønskes, konsoliderede visninger for at fremme KPI'er og kvartalsvis overvågning.
Advarsler og driftsmæssige overvejelser
Med PingCastle, i multi-skov-miljøer eller med snesevis af domæner, kan rapporter kræve yderligere arbejde at navigere i og prioritere. Basisudgaven mangler avancerede funktioner og omfattende korrekturlæsningsvejledningerDisse funktioner er inkluderet i betalte licenser. Purple Knight, som er en engangsvurdering, erstatter ikke et kontinuerligt overvågningssystem, og dets automatiserede afhjælpningsfunktioner er ikke tilgængelige i den gratis version.
Ingen af dem er beregnet til at være et IDS/IPS for AD; de er diagnostiske supplementer, der indgår i afhjælpnings- og modningsplaner. I scenarier med behov for alarm og respons i realtidITDR-løsninger som Semperis DSP eller løbende revisionsløsninger kommer i spil.
Andre værktøjer, der supplerer økosystemet
Når fokus er på kontinuitet og registrering af hver ændring med kontekst, leverer Netwrix Auditor ændringskontrol i Active Directory og andre systemer (Exchange, SQL Server, SharePoint, Microsoft 365, Teams osv.). Dens fokus er på at advare brugerne om mistænkelige ændringer. (for eksempel hvis en bruger føjes til gruppen Domæneadministratorer) og vedligeholde en konfigurationshistorik med visninger, der er nyttige til styring.
For at forstå angrebsstier og kontrolrelationer er BloodHound et klassisk open source-værktøj (GPL-3.0), der modellerer objekter, relationer og tilladelser i AD med compilere som SharpHound og AzureHound. Det er vigtigt for både røde og blå hold. der ønsker at visualisere den "korteste vej" til kritiske mål og afspærre klatreruter.
Inden for realtidsrespons og overvågning tilbyder Semperis' Directory Services Protector (DSP) kontinuerlig overvågning, advarsler og endda automatisk rollback som reaktion på ondsindede ændringer, både i AD og Entra ID. Det fungerer som det manglende ITDR-lag i en punktvurdering. og fremskynder inddæmningen af identitetshændelser.
Det franske ANSSI (franske datasikkerhedsagentur) leverer værktøjer som ORADAD til Active Directory og ORADAZ til Azure/Entra, der bruges i avancerede revisioner. Selvom dataindsamlingen er offentlig, kræver hele behandlingen ikke-publicerede værktøjer. Disse er værdifulde referencer for teams, der følger regeringens retningslinjer. eller ønsker at afstemme revisioner med anerkendt bedste praksis.
Nogle markedssammenligninger viser tilbud med hosting og forskellige implementeringer (Windows-tjeneste, bærbar, on-premises eller SaaS), korrelation med MITRE ATT&CK, eksport til CSV, multi-tenant-funktionalitet og muligheder for at acceptere risici på en dokumenteret måde. I praksis handler valget om at afbalancere stikprøvekontrol, hændelsesdetektion og løbende styring.Under hensyntagen til budgetter, licenser (gratis til personlig brug i nogle tilfælde) og partnersupport.
Ofte stillede spørgsmål: Kan jeg forhindre en bruger i at køre disse værktøjer?
Dette er et almindeligt spørgsmål, når man opdager, at bærbare værktøjer kan køre uden administratorrettigheder. Generelt fungerer Purple Knight og PingCastle i skrivebeskyttet tilstand med brugertilladelser til at forespørge på mappen. Hvis dit mål er at begrænse dens udførelse, kommer applikationskontrol i spil.Politikker som AppLocker eller Windows Defender Application Control (WDAC) eller softwarebegrænsningsregler hjælper med at begrænse uautoriserede binære filer. Derudover reducerer hærdning af tilladelser i Active Directory eksponeringen af følsomme data for standardbrugere.
Når det er sagt, antager AD-sikkerhedsmodellen, at visse oplysninger kan læses af godkendte brugere, fordi mange applikationer er afhængige af dem. Effektiv afbødning involverer styrkelse af delegeringer, revision af kontrolruter og reduktion af privilegier.Brug disse værktøjer til at opdage og rette det, der ikke burde være synligt eller aktiveret. Forebyggelse bør ikke udelukkende baseres på at blokere eksekverbare filer, men snarere på at eliminere angrebsfladen på konfigurationsniveau.
Almindelige anvendelsesscenarier og smart kombination
Et lille IT-team, der har brug for en hurtig diagnose og en klar fejlfindingsguide, vil sætte pris på Purple Knight. Prioritering efter alvorlighed og dens tilknytning til støtterammer Det giver brugerne mulighed for at forberede penetrationstests, demonstrere fremskridt og kommunikere risici til ledelsen. Samtidig drager tilbagevendende interne revisioner og konsulentfirmaer, der betjener flere domæner, fordel af PingCastles modenhedsmodel, domænekortlægning og konsolideringsfunktioner.
Mange organisationer bruger begge værktøjer i forskellige cyklusser for at opnå komplementær indsigt: først et "øjebliksbillede" med IOE/IOC, efterfulgt af en gennemgang af processer og modenhed med konsoliderede sundhedstjek. Krydsvalidering reducerer falske negative resultater og forbedrer prioriteringen af afhjælpning.at fremskynde lukning af kritiske huller og forbedre identitetshygiejnen på mellemlang sigt.
Der findes ingen mirror bullet. At vælge klogt indebærer at afstemme behov med evner: et øjebliksbillede med præskriptive retningslinjer eller modenhedsmodeller og -kort? En engangsvurdering eller løbende overvågning med ITDR? Svaret er som regel et "ja, og..." snarere end et rungende "eller".en kombination af gratis vurdering med overvågningsløsninger skræddersyet til risiko og budget.
Hvis målet er at forbedre identitetssikkerheden bæredygtigt, anbefales det at planlægge regelmæssige vurderinger, gennemgå delegationer og tillidsposter og opretholde kontohygiejne, GPO'er (og ADMX-filer) og Kerberos. Den kombinerede brug af Purple Knight og PingCastle, plus et ændringsrevisionslag og/eller ITDRDet tilbyder den rette balance mellem tidlig detektion, prioriteret korrektion og kontinuerlig overvågning af status for AD og Entra ID.