Active Directoryは、認証にKerberosプロトコルを使用します。これは古いプロトコルであるため、作成以来多くのセキュリティ強化策が講じられており、適切なセキュリティ状態を確保するために一部のレガシーオプションを無効にする必要があります。

Kerberos 5ネットワーク認証プロトコルの元の仕様[RFC1510]は、暗号化に対してDESのみをサポートします。
長年にわたり、暗号コミュニティはDESを安全でないと考えていました。その主な理由は、そのキーサイズが小さいということです。その結果、DESは非推奨の安全でない暗号化方式になりました。Active DirectoryのKerberosで使用できますが、無効にする必要があります。

デフォルトでは、このチェックは無効なアカウントをスキップします。無効にしたアカウントもチェックするには、完全なテストを有効にしてください。

注意: AD Starter Scan および関連するプラグインは、予備的な分析を目的として、小規模な AD デプロイメントで使用されるように意図されています。ユーザー、グループ、マシンが最大 5000 の AD デプロイメントでは正確な予備分析が期待できますが、Nessus、Security Center、Vulnerability Management を使用した大規模な AD デプロイメントでは不完全な結果が返されます。Active Directory Starter Scan プラグインによって発見された問題の詳細については、このブログの投稿を参照してください- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

検出

AD Starter Scan-弱いKerberos暗号化

medium Nessus プラグイン ID 150481

バージョン 1.151