La tua organizzazione adotta un modello di tiering di AD: Tier 0 (DC, servizi a livello di foresta), Tier 1 (server/app membri) e Tier 2 (workstation utente). Devi impedire che le credenziali di amministratore di Tier 0 vengano esposte sui dispositivi di Tier 1 e Tier 2 e garantire l'isolamento delle credenziali tra i tier. Quali due azioni si allineano con il modello?

Le due azioni corrette supportano il modello di tiering di AD e l'isolamento delle credenziali. Emettere account amministrativi separati per tier e richiedere l'uso di Privileged Access Workstations (PAW) di Tier 0 per l'amministrazione dei DC impedisce che le credenziali di Tier 0 vengano esposte su dispositivi di tier inferiori, riducendo il rischio di attacchi "pass-the-hash" o "pass-the-ticket". Configurare GPO per negare l'accesso locale e di rete ai gruppi di amministratori di Tier 0 su Tier 1 e Tier 2 rafforza ulteriormente questo isolamento, impedendo agli amministratori di Tier 0 di accedere direttamente a questi dispositivi con le loro credenziali privilegiate. Le opzioni errate compromettono la sicurezza o il modello di tiering. Abilitare la delega non vincolata è un rischio di sicurezza significativo. Aggiungere amministratori di Tier 0 al gruppo Administrators locale su server di Tier 1 espone le credenziali di Tier 0. Abilitare la modalità RDP Restricted Admin non impedisce l'esposizione delle credenziali e consentire agli amministratori di Tier 0 di connettersi a qualsiasi dispositivo viola il principio di isolamento.