すべてのActive Directoryドメインには、KRBTGTと呼ばれる特別なアカウントが含まれています。このアカウントはKerberosマスターキーを保持し、ドメインの他のすべての機密を保護します。したがって、何としても保護し、定期的に更新する必要があります。このプラグインは、マスターキーが少なくとも2年に1回更新されるように設定されているかどうかをチェックします。

注意: AD Starter Scan および関連するプラグインは、予備的な分析を目的として、小規模な AD デプロイメントで使用されるように意図されています。ユーザー、グループ、マシンが最大 5000 の AD デプロイメントでは正確な予備分析が期待できますが、Nessus、Security Center、Vulnerability Management を使用した大規模な AD デプロイメントでは不完全な結果が返されます。Active Directory Starter Scan プラグインによって発見された問題の詳細については、このブログの投稿を参照してください- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

検出

AD Starter Scan - Kerberos Krbtgt

medium Nessus プラグイン ID 150484

バージョン 1.142