Microsoft AZ-801: Active Directory Domain Services Beveiliging — Studiegids

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Active Directory Domain Services (AD DS) vormt de basis voor identiteit en toegang op Windows-netwerken. Het beveiligen van AD DS betekent het controleren hoe credentials worden aangemaakt, opgeslagen en gebruikt; het beperken van waar geprivilegieerde identiteiten kunnen authenticeren; het versterken van authenticatieprotocollen; het auditen van acties met hoge waarde; en het garanderen van betrouwbaar herstel. Dit gedeelte behandelt fijngranulaire wachtwoord- en accountbeleidsregels, bescherming van geprivilegieerde identiteiten, versterking en delegatie van authenticatie, auditing en SACL’s, de Prullenbak, LDAP signing en channel binding, het gedrag van AdminSDHolder, back-up en authoritative restores inclusief SYSVOL-herstel, en het AD-tieringmodel.

Credentialbeleid en Controles voor Geprivilegieerde Identiteiten

Fijngranulaire wachtwoordbeleidsregels (PSO’s) maken meerdere wachtwoord-/accountvergrendelingsbeleidsregels in één domein mogelijk zonder extra domeinen. PSO’s zijn msDS-PasswordSettings-objecten die zijn opgeslagen in CN=Password Settings Container,CN=System,<domain DN> (de msDS-PasswordSettingsContainer). Een PSO is van toepassing op gebruikers en globale beveiligingsgroepen via msDS-PSOAppliesTo. Wanneer een gebruiker meerdere toepasselijke PSO’s heeft (rechtstreeks of via groepen), is de resulterende PSO degene met de laagste msDS-PasswordSettingsPrecedence-waarde; bij een gelijke stand wint de PSO met de laagste GUID. De effectieve PSO van de gebruiker wordt vastgelegd op msDS-ResultantPSO. Ontwerp PSO’s zo dat lagere precedentienummers overeenkomen met de meest restrictieve beleidsregels die u wilt laten prevaleren, en valideer effectieve beleidsregels door msDS-ResultantPSO uit te lezen.

De beveiligingsgroep Protected Users versterkt accounts met hoge waarde door verouderd en riskant authenticatiegedrag te verwijderen. Leden:

• Kunnen geen NTLM, Digest of CredSSP gebruiken
• Wordt RC4 en DES voor Kerberos geweigerd
• Kunnen niet worden gedelegeerd via Kerberos (unconstrained of constrained)
• Ontvangen niet-vernieuwbare TGT’s met een vaste, korte levensduur (standaard 4 uur)
• Slaan geen plaintext-credentials of langetermijngeheimen op in het cachegeheugen van het werkstation (voorkomt WDigest-fallback en dat credential-materiaal in LSASS achterblijft) Gebruik deze groep voor door mensen beheerde geprivilegieerde identiteiten en eigenaren van risicovolle services na het valideren van de applicatiecompatibiliteit. Domeincontrollers moeten Windows Server 2012 R2 of hoger draaien om deze beschermingen af te dwingen.

Authenticatiebeleid en authenticatiebeleidssilo’s beperken waar en hoe accounts kunnen authenticeren. Een authenticatiebeleid kan per account Kerberos-beperkingen instellen, zoals de levensduur van de TGT en toegestane apparaten (op basis van SPN/host FQDN). Een authenticatiebeleidssilo groepeert gebruikers, computers en serviceaccounts zodat alleen toegestane combinaties kunnen authenticeren met Kerberos dat door dat beleid wordt beperkt. Dit dwingt “station-to-admin”-controles af: Tier 0-beheerders kunnen bijvoorbeeld alleen inloggen op domeincontrollers en aangewezen privileged access workstations (PAW’s), niet op member servers of werkstations. Combineer met Protected Users voor maximaal effect. Deze functies vereisen Windows Server 2012 R2 DC’s en KDC armoring.

AdminSDHolder en SDProp beschermen de ACL’s van geprivilegieerde identiteiten. Leden van ingebouwde beheerdersgroepen (bijvoorbeeld Domain Admins, Enterprise Admins, Schema Admins, Administrators, Account Operators, Server Operators, Backup Operators, Print Operators en anderen) zijn “beschermd”. SDProp draait elk uur op de PDC Emulator, kopieert de ACL van CN=AdminSDHolder,CN=System naar beschermde objecten en schakelt overerving van ACL’s voor hen uit (AdminCount=1). Om helpdeskrechten te verlenen op beschermde objecten, wijzigt u de ACL op AdminSDHolder—nooit rechtstreeks op individuele beschermde objecten—anders wordt de wijziging teruggedraaid. Wanneer een account uit alle beschermde groepen wordt verwijderd, schakelt u overerving van ACL’s opnieuw in en wist u AdminCount zodat ACL’s en GPO’s op OU-niveau weer van toepassing zijn.

Implementeer een AD-tieringmodel om de blootstelling van credentials te minimaliseren. Tier 0 bevat domeincontrollers, identiteitssystemen (PKI, federatie, PAM) en de beheerdersaccounts die deze beheren. Tier 1 bevat server-workloads en hun beheerders. Tier 2 bevat werkstations en hun beheerders. Voorkom inloggen tussen de tiers, gebruik PAW’s voor Tier 0/1-beheer en isoleer credentials met functies zoals Protected Users, authenticatiesilo’s, Remote Credential Guard, Just-Enough Administration (JEA) en Windows LAPS voor rotatie van het lokale beheerderswachtwoord.

Versterking van Authenticatie en Delegatie

LDAP signing en channel binding bieden bescherming tegen relay- en man-in-the-middle-aanvallen. Configureer domain controllers om ondertekening te vereisen via Group Policy: Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options\“Domain controller: LDAP server signing requirements” = Require signing. Vereis clientondertekening waar mogelijk: “Network security: LDAP client signing requirements” = Require signing. Voor LDAPS, activeer channel binding op DC’s door LDAPEnforceChannelBinding onder HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters in te stellen op 1 (Ingeschakeld, aanbevolen) of 2 (Altijd). Inventariseer verouderde apparaten en applicaties; het inschakelen van signing of channel binding kan anonieme/eenvoudige binds of oude LDAP-stacks verbreken. Monitor het Directory Service event log: 2886 (ondertekening niet vereist), 2887 (samenvatting van niet-ondertekende eenvoudige binds), 2888 (ondertekening nog steeds uitgeschakeld), 2889 (client-IP’s die niet-ondertekende eenvoudige binds uitvoeren wanneer diagnostische logging is ingeschakeld). Voer wijzigingen gefaseerd door in de “Warn”-modus (channel binding=1) voordat u “Always” (2) afdwingt.

Kerberos-delegatie bepaalt hoe services namens gebruikers kunnen handelen:

• Onbeperkte delegatie (“Trust this computer for delegation to any service (Kerberos only)”) staat een service toe om een doorstuurbaar TGT te ontvangen en gebruikers te imiteren naar elke willekeurige service. Dit is zeer risicovol; vermijd dit ten gunste van beperkte modellen.
• Beperkte delegatie (KCD) (“Trust this computer for delegation to specified services only”) beperkt waar een service kan delegeren (lijst van doel-SPN’s). Met “Use any authentication protocol” kan de service protocoltransitie (S4U2Self) en vervolgens S4U2Proxy gebruiken om de gespecificeerde backends te bereiken.
• Resource-gebaseerde beperkte delegatie (RBCD) verschuift de controle naar de resource door msDS-AllowedToActOnBehalfOfOtherIdentity in te stellen op het doel-serviceaccount. De eigenaar van de resource bepaalt welke front-end principals naar de resource mogen delegeren, wat cross-domain scenario’s vereenvoudigt en het aanvalsoppervlak minimaliseert. Geef de voorkeur aan RBCD voor moderne ontwerpen; audit en verifieer periodiek SPN’s en delegatie-instellingen.

Auditing en Veerkracht

Auditing van AD DS moet doelbewust en specifiek zijn. Gebruik Advanced Audit Policy Configuration om subcategorieën in te schakelen in plaats van verouderde categorieën, en stel “Audit: Force audit policy subcategory settings to override audit policy category settings” in om consistentie te garanderen. Aanbevolen subcategorieën zijn onder meer Account Management, Logon/Logoff (Logon, Logoff, Special Logon), Account Logon (Kerberos Authentication Service/Service Ticket Operations) en Directory Service Changes/Access. Belangrijke event-ID’s:

• 4720 (Een gebruikersaccount is aangemaakt) uit Account Management
• 4740 (Een gebruikersaccount is buitengesloten) uit Account Management
• 4625 (Een account kon niet inloggen) uit Logon/Logoff
• 4648 (Er is een inlogpoging gedaan met expliciete referenties) uit Logon/Logoff Vul dit aan met Directory Service Changes om wie/wat/oude/nieuwe waarden voor kritieke attributen vast te leggen (events 5136/5137/5139). Om specifieke wijzigingen te auditen (bijv. groepslidmaatschap, SPN’s, ACL’s), configureer SACL’s op specifieke objecten of OU’s (activeer Advanced Features in ADUC, open object Security > Advanced > Auditing). Voeg vermeldingen toe om “Write all properties” of specifieke eigenschappen (member, servicePrincipalName) te auditen, en “Modify permissions/owner” indien nodig. Valideer dat de logs een centrale SIEM bereiken en dat de Security logs van de DC’s voldoende retentie hebben.

De AD DS Recycle Bin beschermt tegen onbedoelde verwijderingen door alle attributen en backlinks van verwijderde objecten te behouden. Activeer dit eenmaal per forest (onomkeerbaar) via ADAC of PowerShell (Enable-ADOptionalFeature -Identity ‘Recycle Bin Feature’ -Scope ForestOrConfigurationSet -Target <forest>). Na activering blijft een verwijderd object in een “deleted object”-status gedurende de msDS-DeletedObjectLifetime (indien niet ingesteld, wordt de tombstoneLifetime als standaard gebruikt), waarin het volledig kan worden hersteld met behoud van attributen. Daarna wordt het een gerecycled object en is het niet langer herstelbaar met attributen, en later wordt het door garbage collection opgeruimd. Moderne forests hebben doorgaans een standaard tombstoneLifetime van 180 dagen; oudere forests kunnen 60 dagen hebben. Herstel met ADAC, LDP of PowerShell (Restore-ADObject), en geef de voorkeur aan autoritatief herstel van groepslidmaatschap via de Recycle Bin in plaats van handmatige toevoegingen om privilege drift te voorkomen.

Back-ups en autoritatief herstel zijn de laatste verdedigingslinie. Maak regelmatig System State-back-ups van elke domain controller met Windows Server Backup of wbadmin (wbadmin start systemstatebackup). Voor rollbacks op objectniveau die verder gaan dan de Recycle Bin, voer een niet-autoritatief herstel van de System State uit en gebruik vervolgens ntdsutil om specifieke objecten of OU’s als autoritatief te markeren (waardoor hun versie wordt verhoogd zodat replicatie ze opnieuw toepast). Begrijp het verschil: niet-autoritatief brengt de DC terug en past vervolgens de huidige replicatie toe; autoritatief markeert een object zodat de herstelde versie nieuwere replica’s overschrijft. Voor SYSVOL met DFS Replication (DFSR), voer een niet-autoritatief of autoritatief herstel uit:

• Niet-autoritatief: Stop de DFSR-service, stel de SYSVOL-abonnement van het betreffende lid in op niet-autoritatief (msDFSR-Options=0), start DFSR zodat het zichzelf opnieuw vult vanaf een upstream partner.
• Autoritatief: Stel op de gekozen goede DC het SYSVOL-abonnement in op msDFSR-Options=1 (autoritatief), start DFSR en dwing partners vervolgens om opnieuw te synchroniseren (DFSRDIAG PollAD). Valideer de status met dfsrdiag backlog en de event logs. Voor verouderde FRS (niet ondersteund), migreer naar DFSR en vermijd BurFlags-procedures.

Alles samenbrengen: Operations, Hardeningprioriteiten en Toegang in Tiers

Geef eerst prioriteit aan Tier 0: dwing LDAP signing/channel binding af, verwijder unconstrained delegation, stap over op KCD/RBCD, plaats geprivilegieerde identiteiten in Protected Users en koppel authenticatiebeleid/silo’s om aanmeldings-endpoints te beperken, en vereis PAW’s voor Tier 0/1-beheerders. Stel PSO’s in voor geprivilegieerde accounts met strikte buitensluiting en rotatie. Schakel geavanceerde auditing met SACL’s in op Tier 0-containers. Zorg voor dagelijkse DC System State-back-ups en gedocumenteerde draaiboeken voor authoritative restore en SYSVOL-herstel. Blokkeer in Tier 1/2 de aanmelding van beheerders op lagere tiers, elimineer hergebruik van lokale beheerdersaccounts met Windows LAPS, en monitor pieken in 4625/4740 en misbruik van 4648 voor pogingen tot laterale verplaatsing.

Praktisch Probleemscenario

Adobe moet snel een on-premises AD DS-forest beveiligen na de overname van een dochteronderneming waarvan de LOB-apps afhankelijk zijn van verouderde protocollen. De doelen zijn het succes van password spraying te verminderen, credential relay naar DC’s te stoppen, geprivilegieerde aanmeldingen te beperken tot PAW’s, delegatie voor een web-tier te moderniseren en snel herstel na onbedoelde verwijderingen te garanderen.

1. Definieer PSO’s en wijs ze toe aan geprivilegieerde groepen

• Maak een strikte PSO (lage precedentiewaarde) aan in msDS-PasswordSettingsContainer met een korte wachtwoordleeftijd, hoge complexiteit en agressieve buitensluiting.
• Pas toe via msDS-PSOAppliesTo op de groepen “Domain Admins”, “Server Admins” en een aangepaste “Tier0‑Privs”-groep. Waarom: Fijngranulaire PSO’s zijn alleen gericht op accounts met een hoog risico zonder het hele domein te verstoren, en de precedentie garandeert dat het strikte beleid wint.

2. Dwing Protected Users en authenticatiesilo’s af

• Voeg menselijke Tier 0-beheerders toe aan de groep Protected Users.
• Maak een authenticatiebeleid dat Kerberos-aanmelding alleen toestaat vanaf PAW-host-SPN’s en DC’s; koppel accounts en PAW’s in een authenticatiebeleidsilo. Waarom: Protected Users elimineert NTLM/RC4 en voorkomt delegatie; silo’s dwingen ‘alleen vanaf PAW’s’ af, wat de blootstelling van tokens en paden voor diefstal van credentials vermindert.

3. Hard LDAP en monitor op problemen

• Stel “Domain controller: LDAP server signing requirements” in op Require; configureer initieel LDAPEnforceChannelBinding=1.
• Controleer Directory Service-events 2886–2889 om verouderde binds te identificeren; herstel de applicaties en stel vervolgens LDAPEnforceChannelBinding=2 in. Waarom: Signing en channel binding elimineren veelvoorkomende relay-paden naar DC’s, terwijl gefaseerde handhaving uitval voorkomt.

4. Migreer delegatie naar RBCD voor de web-tier

• Converteer front-end webservers van unconstrained delegation naar RBCD door hun computeraccounts toe te voegen aan het msDS-AllowedToActOnBehalfOfOtherIdentity-attribuut van het back-end API-serviceaccount.
• Verwijder de verouderde “Trust this computer for delegation to any service”-vlaggen; definieer service-SPN’s nauwkeurig. Waarom: Met RBCD bepaalt de resource wie naar hem mag delegeren en wordt impersonatie beperkt tot de beoogde doelen, wat laterale verplaatsing beperkt.

5. Schakel geavanceerde auditing en SACL’s in

• Configureer Advanced Audit Policy voor Account Management, Logon/Logoff, Account Logon en Directory Service Changes.
• Voeg op Tier 0 OU’s en belangrijke groepen SACL’s toe die Schrijfacties (Write) op ‘member’ en ‘servicePrincipalName’ auditen, evenals wijzigingen in permissies/eigenaar.
• Stuur logs door naar een SIEM; alarmeer bij afwijkingen in 4720, 4740, 4625 en 4648. Waarom: Je kunt niet verdedigen wat je niet ziet; deze events leggen het aanmaken van accounts, buitensluitingen, mislukte aanmeldingen en patronen van expliciet credentialgebruik bloot.

6. Schakel de AD DS Recycle Bin in en voltooi hersteldraaiboeken

• Activeer de Recycle Bin op forest-niveau en documenteer de Restore-ADObject-workflows.
• Standaardiseer dagelijkse DC System State-back-ups met Windows Server Backup, test authoritative restore via ntdsutil in een labomgeving.
• Documenteer en oefen authoritative en non‑authoritative herstel van DFSR SYSVOL. Waarom: Snel en accuraat herstel ontmoedigt destructieve acties van aanvallers en beperkt de gevolgen van beheerdersfouten zonder privilege drift.

7. Implementeer het AD-tieringmodel operationeel

• Definieer Tier 0/1/2-assets; beperk beheerdersaanmeldingen per tier met behulp van Group Policy en authenticatiesilo’s.
• Implementeer PAW’s voor Tier 0/1, dwing Remote Credential Guard af en roteer lokale beheerderswachtwoorden met Windows LAPS. Waarom: Tiering zorgt voor de scheiding van credentials en stopt escalatie door aanvallers tussen de lagen, waardoor de dagelijkse operaties in lijn zijn met de veiligheidsgrenzen.

← Microsoft Sentinel en Beveiligingsmonitoring · Alle domeinen · Azure Arc en Hybride Serverbeheer →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →

Blader door Microsoft →