ユーザーアカウントの adminCount 属性は、管理グループの過去のメンバーシップを示し、アカウントがグループを離れてもリセットされません。その結果、古い管理アカウントにもこの属性が設定されており、Active Directory のアクセス許可の継承がブロックされます。本来は管理者を保護することを目的としていますが、アクセス許可の問題が発生する可能性があり、管理が難しいこともあります。この露出インジケーター (IoE) は、アクティブなユーザーアカウントとグループのみを報告します。次のような特権グループは、そのメンバーが正当に 1 に設定されている adminCount 属性を持っているためホワイトリストに登録されます。

エンタープライズ読み取り専用ドメインコントローラー
ドメイン管理者
ドメインコントローラー
証明書発行者
スキーマ管理者
エンタープライズ管理者
グループポリシー作成者所有者
読み取り専用ドメインコントローラー
キー管理者
エンタープライズキー管理者
管理者
アカウントオペレーター
サーバーオペレーター
印刷オペレーター
バックアップオペレーター
レプリケーター
エンタープライズドメインコントローラー

検出

標準ユーザーに AdminCount 属性が設定されている

medium

変更ログが見つかりません