Active Directory

Czym jest Active Directory (AD) i jak działa?

Active Directory (AD) to usługa katalogowa opracowana przez firmę Microsoft, zintegrowana z systemami operacyjnymi z rodziny Windows Server, której zadaniem jest scentralizowane przechowywanie informacji o obiektach w sieci – kontach użytkowników, komputerach, serwerach, drukarkach i grupach – oraz udostępnianie tych danych uwierzytelnionym użytkownikom i administratorom. W praktyce AD pełni funkcję autorytatywnego „źródła prawdy” (source of truth) dla procesów uwierzytelniania, autoryzacji oraz zarządzania konfiguracją w obrębie całego środowiska korporacyjnego.

Mechanizm działania sprowadza się do centralizacji tożsamości. Zamiast utrzymywać osobnych kont na każdym komputerze, organizacja definiuje je raz w katalogu, a AD egzekwuje spójne reguły logowania i dostępu na wszystkich maszynach przyłączonych do domeny. Gdy pracownik loguje się do stacji roboczej, jego poświadczenia weryfikuje kontroler domeny, który następnie decyduje, do jakich zasobów użytkownik ma dostęp. Dzięki temu jedno konto otwiera dostęp do wielu aplikacji i usług w modelu logowania jednokrotnego (Single Sign-On, SSO).

Znaczenie tej usługi jest trudne do przecenienia. Active Directory jest wdrażane w około 90% firm z listy Fortune 1000, co czyni je zarazem fundamentem zarządzania tożsamością, jak i najbardziej pożądanym celem cyberataków. Przejęcie kontroli nad AD bywa opisywane jako zdobycie „kluczy do królestwa” (keys to the kingdom), ponieważ pozwala napastnikowi zdominować całą sieć.

Jakie są główne komponenty infrastruktury Active Directory?

Architektura Active Directory składa się z elementów logicznych, które organizują dane, oraz fizycznych, które przechowują i udostępniają informację. Zrozumienie tych komponentów jest kluczowe zarówno dla poprawnego zarządzania środowiskiem, jak i dla oceny jego bezpieczeństwa. Poniższa tabela zestawia najważniejsze jednostki architektoniczne wraz z ich funkcją oraz znaczeniem w kontekście cyberbezpieczeństwa.

Komponent architektoniczny	Definicja i funkcja w systemie	Znaczenie w kontekście cyberbezpieczeństwa
Las (Forest)	Najwyższy poziom hierarchii strukturalnej w AD. Może obejmować jedno lub wiele drzew domen, które współdzielą wspólny schemat (schema), katalog globalny (Global Catalog) oraz dwukierunkowe relacje zaufania.	Wyznacza ostateczną granicę bezpieczeństwa (security boundary). Skompromitowanie najwyższych uprawnień (np. grupy Enterprise Admins) oznacza przejęcie kontroli nad całym lasem.
Drzewo (Tree)	Hierarchiczna struktura logiczna składająca się z jednej lub wielu domen współdzielących ciągłą przestrzeń nazw DNS (Domain Name System).	Zaufane ścieżki wewnątrz drzewa mogą ułatwić atakującym przemieszczanie się między oddziałami organizacji przy wykorzystaniu domyślnych relacji uwierzytelniania.
Domena (Domain)	Podstawowa jednostka organizacyjna AD, zawierająca użytkowników, komputery i grupy. Wszystkie obiekty w domenie korzystają z tych samych zasad bezpieczeństwa.	Relacje zaufania między domenami bywają nadużywane – atakujący często wykorzystuje słabiej chronioną domenę podrzędną do ataku na domenę główną (domain trust exploitation).
Jednostka Organizacyjna (OU – Organizational Unit)	Najmniejszy kontener logiczny w domenie, służący do grupowania obiektów, delegacji uprawnień i aplikowania Obiektów Zasad Grupy (GPO).	Błędy w konfiguracji list kontroli dostępu (ACL) na poziomie OU, w tym niewłaściwe dziedziczenie praw, stanowią jeden z głównych wektorów ukrytej eskalacji uprawnień.
Kontrolery Domeny (DC – Domain Controllers)	Serwer przechowujących bazę danych Active Directory i obsługujący proces uwierzytelniania użytkowników. . Wybrane kontrolery pełnią też unikalne role operacyjne FSMO (Flexible Single Master Operations), zapobiegające konfliktom przy modyfikacjach katalogu.	Plik ntds.dit zawiera kryptograficzne skróty haseł wszystkich użytkowników i urządzeń, przez co kontrolery domeny są najważniejszym celem zaawansowanych kampanii penetracyjnych.
Obiekty Zasad Grupy (GPO – Group Policy Objects)	Mechanizm automatycznego wymuszania ustawień systemowych, konfiguracji zapór, mapowania dysków i polityk bezpieczeństwa na tysiącach komputerów. Ustawienia przechowywane są na współdzielonym udziale sieciowym SYSVOL.	Przejęcie możliwości edycji GPO daje atakującemu niemal natychmiastową zdolność zdalnego wykonania kodu (RCE – Remote Code Execution) w obrębie całej organizacji.

W jaki sposób organizowane są dane w bazie Active Directory?

Active Directory przechowuje dane w uporządkowanej, hierarchicznej sktrukturze. ażdy zasób – użytkownik, komputer, drukarka czy wolumen –zapisany jest  jako obiekt posiadający określone  atrybuty. Obiekty grupowane są w kontenery, czyli domeny i jednostki organizacyjne, co pozwala na logiczne odwzorowanie struktury organizacji oraz stosowanie wspólnych ustawień dla całych grup zasobów. 

Komunikacja z usługą Active Directory odbywa się  głównie za pomocą protokołu LDAP (Lightweight Directory Access Protocol) lub jego szyfrowanej wersji LDAPS. Protokół ten porządkuje zasoby w „drzewo katalogów”, w którym każdy obiekt jest jednoznacznie identyfikowany przez ścieżkę DN (Distinguished Name) zbudowaną z jego atrybutów. To właśnie LDAP umożliwia aplikacjom i administratorom przeszukiwanie katalogu za pomocą złożonych filtrów zapytań.

Za uwierzytelnianie użytkowników odpowiada przede wszystkim protokół Kerberos, oparty na mechanizmie biletów wystawianych przez zaufaną stronę trzecią (KDC – Key Distribution Center), który jest standardem w nowoczesnych środowiskach Windows Serwer tarszy protokół NTLM (New Technology LAN Manager), działający w modelu wyzwanie-odpowiedź (challenge-response), jest nadal utrzymywany ze względu na zgodność ze starszymi systemami. Należy pamiętać, że możliwość łatwego przeszukania katalogu może być również wykorzystywana przez atakujących do enumeracji – masowego odpytywania katalogu w celu zmapowania środowiska i odnalezienia uprzywilejowanych kont.

Jakie są najważniejsze korzyści z wdrożenia Active Directory?

Wdrożenie Active Directory porządkuje zarządzanie tożsamością i dostępem w organizacji, zastępując rozproszone, lokalne konta jednym, centralnym punktem kontroli. Do najważniejsze korzyści należą: 

• Scentralizowane zarządzanie użytkownikami – konta, grupy i uprawnienia definiuje się i modyfikuje w jednym miejscu, co eliminuje konieczność ręcznej konfiguracji każdej maszyny z osobna.
• Logowanie jednokrotne (Single Sign-On, SSO) – jeden zestaw poświadczeń otwiera dostęp do wielu aplikacji, serwerów plików i usług, upraszczając pracę użytkowników i ograniczając liczbę haseł do zapamiętania.
• Spójne egzekwowanie polityk – dzięki Obiektom Zasad Grupy (GPO) ustawienia bezpieczeństwa, konfiguracje systemowe i reguły haseł można wymuszać automatycznie na wielu  komputerach jednocześnie.
• Skalowalność i hierarchiczna organizacja – struktura lasów, drzew, domen i jednostek organizacyjnych – pozwalają odwzorować dowolnie złożoną organizację i delegować uprawnienia administracyjne do właściwych zespołów.
• Kontrola dostępu do zasobów – Active Directory określa, kto może korzystać z konkretnych zasobów, co wspiera bezpieczeństwo i audyt działań użytkowników.

Choć centralizacja zarządzania jest dużą zaletą, oznacza również, że naruszenie bezpieczeństwa Active Directory może mieć poważne konsekwencje dla całej organizacji. Dlatego wdrożeniu tej usługi powinny towarzyszyć odpowiednie zabezpieczenia i regularny monitoring.Dlaczego Active Directory jest głównym celem cyberataków?

Active Directory zarządza dostępem do użytkowników, komputerów, aplikacji i danych w organizacji.  Z tego powodu jest jednym z najważniejszych elementów infrastruktury IT. Przejęcie kontroli nad AD umożliwia napastnikowi na swobodne przemieszczanie się między systemami (lateral movement), eskalację uprawnień, kradzież danych , a nawet uruchomienie ransomeware na wielu stacjach roboczych równocześnie. 

Dodatkowym czynnikiem ryzyka jest powszechność tej usługi. Ponieważ AD jest wdrażane w około 90% dużych organizacji, stanowi ono częsty cel zaawansowanych grup cyberprzestępczych, w tym grup APT (Advanced Persistent Threats) Atak zazwyczaj przebiega według przewidywalnej, wieloetapowej sekwencji: od zdobycia wstępnego przyczółka (np. przez phishing), przez rekonesans po eskalację uprawnień i utrwalenie dostępu (persistence).

Do najczęściej wykorzystywanych technik należą kradzież poświadczeń z pamięci procesu LSASS (Local Security Authority Subsystem Service) oraz ataki wykorzystujące skróty haseł bez ich łamania – Pass-the-Hash i Pass-the-Ticket. Środowiska AD narażone są także na podatności typu zero-day; przykładem jest luka w usłudze katalogowej Windows (CVE-2025-21293, ocena 8.8 w skali CVSS, poziom wysoki), umożliwiająca eskalację uprawnień.

Jakie narzędzia wykorzystują cyberprzestępcy do atakowania Active Directory?

W fazie rozpoznania napastnicy sięgają po wyspecjalizowane narzędzia, które pozwalają zmapować środowisko i wskazać najkrótszą drogę do przejęcia kontroli – najczęściej w sposób trudny do wykrycia dla narzędzi cyberbezpieczeństwa..

• PowerView – narzędzie oparte na PowerShellu, służące do zbierania informacji o użytkownikach, komputerach i zasobach domeny.  Potrafi wskazać stacje z aktualnie zalogowanym administratorem, zlokalizować dyski sieciowe czy odnaleźć pliki zawierające hasła. By ominąć wbudowane zabezpieczenia (AMSI – Antimalware Scan Interface), atakujący stosują zaciemnianie kodu (obfuscation).
• BloodHound / SharpHound – zestaw narzędzi analizujących relacje i uprawnienia w Active Directory. Pozwalają wskazać potencjalne ścieżki prowadzące do przejęcia kont uprzywilejowanych. Operujące bezpośrednio z pamięci operacyjnej (fileless malware), by zmylić antywirusy i systemy klasy EDR (Endpoint Detection and Response). 
• AdFind – proste narzędzie konsolowe do wykonywania zapytań LDAP, maskowane przez atakujących poprzez zmianę rozszerzenia pliku na łagodnie wyglądające (np. plik logów), aby uniknąć wykrycia po sygnaturze nazwy.
• Mimikatz – jedno z najbardziej znanych narzędzi ofensywnych, wykorzystywane do zrzutu pamięci procesu LSASS (LSASS Dump). Pozyskane w ten sposób klucze uwierzytelniające i skróty haseł zasilają ataki Pass-the-Hash oraz Pass-the-Ticket.

Informacje zebrane za pomocą tych narzędzi mogą zostać wykorzystane do dalszych etapów ataku. Przykładowo: 

Technika / zapytanie enumeracyjne	Zbierana kategoria danych	Wektor zagrożenia po zebraniu danych
Get-NetUser -SPN	Lista kont domeny z przypisanym atrybutem Service Principal Name (SPN).	Konta z SPN mogą stanowić bezpośredni cel łamania kryptograficznego w trybie offline metodą Kerberoasting.
Zapytania LDAP userAccountControl	Wartości flag pre-uwierzytelniania w protokole Kerberos.	Konta bez wymogu wstępnego sprawdzania pozwalają pobrać zaszyfrowany bilet (AS-REP Roasting) z pominięciem zabezpieczeń sieciowych.
Get-ObjectAcl / grafy AD	Nadmiernie delegowane prawa typu GenericAll lub dziedziczone prawa zapisu (WriteProperty) dla zwykłych użytkowników.	Bezpośrednia eskalacja uprawnień – możliwość samodzielnego dodania się do wyższej grupy bezpieczeństwa.

Jak skutecznie zabezpieczyć Active Directory przed atakami?

Skuteczna ochrona Active Directory wymaga założenia, że napastnik prędzej czy później znajdzie się wewnątrz sieci. Dlatego bezpieczeństwo powinno opierać się nie tylko na ochronie granic sieci, ale także ograniczaniu skutków ewentualnego włamania. Podstawą jest stosowanie zasady najmniejszych uprawnień (Least Privilege) oraz higieny poświadczeń (Credential Hygiene) – tak, by żaden pojedynczy przejęty host nie otwierał drogi do przejęcia całej domeny.

Kluczowe kierunki działań obejmują izolację warstwy krytycznej (tzw. Tier 0 – kontrolery domeny i powiązana infrastruktura) od zwykłych stacji roboczych, ograniczenie i monitorowanie kont uprzywilejowanych, wymuszanie silnego, nowoczesnego uwierzytelniania (m.in. odejście od przestarzałego NTLM na rzecz Kerberos oraz uwierzytelniania wieloskładnikowego MFA), a także wdrożenie ochrony procesu LSASS (np. RunAsPPL i Credential Guard) utrudniającej kradzież poświadczeń.

Zgodnie z rekomendacjami CERT Polska warto odejść od uciążliwej, wymuszanej co 30 dni rotacji haseł na rzecz dłuższych haseł-zdań (passphrase) weryfikowanych względem słowników haseł wyciekowych. Środowisko należy uzupełnić o mechanizmy wczesnego wykrywania – fałszywe konta i zasoby (honeytokens / decoy), zaawansowane polityki audytu GPO oraz regularne testy typu Purple Team, które sprawdzają czas reakcji obrońców. 

Docelowo wiele organizacji wdraża model Zero Trust, w którym każdy użytkownik, urządzenie i próba dostępu muszą zostać zweryfikowane, niezależnie od tego, czy pochodzą z sieci wewnętrznej, czy zewnętrznej. Dzięki temu możliwe jest znaczące ograniczenie ryzyka przejęcia kontroli nad środowiskiem Active Directory

W jaki sposób systemy Privileged Access Management (PAM) chronią Active Directory?

Systemy Privileged Access Management (PAM) służą do ochrony kont uprzywilejowanych, takich jak konta administratorów, które mają szeroki dostęp do zasobów Active Directory. Przejęcie takiego konta może umożliwić pełną kontrolę nad domeną. PAM wprowadza kontrolowaną warstwę pośrednią między administratorem a zasobami krytycznymi, ograniczając zakres i czas, przez jaki podwyższone uprawnienia są w ogóle dostępne.

W praktyce systemy PAM realizują to poprzez kilka mechanizmów: przechowywanie i automatyczną rotację haseł kont administracyjnych w bezpiecznym repozytorium (password vaulting), tak by administrator nie znał haseł na stałe; nadawanie uprawnień wyłącznie na czas wykonania konkretnego zadania (dostęp Just-In-Time), co realizuje ideę zerowych stałych uprawnień (Zero Standing Privileges); oraz pełne nagrywanie sesji uprzywilejowanych, umożliwiające audyt, rekonstrukcję działań i szybką detekcję nadużyć.

Dzięki temu PAM bezpośrednio przeciwdziała typowym technikom ataku na AD. Ograniczenie liczby stale aktywnych kont uprzywilejowanych zmniejsza powierzchnię ataku (attack surface) , a rotacja i izolacja haseł utrudniają ich ponowne wykorzystanie po ewentualnym wycieku. W połączeniu z zasadą najmniejszych uprawnień i modelem Zero Trust, PAM stanowi jeden z filarów nowoczesnej strategii ochrony Active Directory.

W kontekście regulacyjnym, dyrektywa NIS 2 oraz znowelizowana ustawa o Krajowym Systemie Cyberbezpieczeństwa (UoKSC) nakładają na podmioty kluczowe i ważne obowiązek wdrażania odpowiednich środków zarządzania ryzykiem, w tym mechanizmów kontroli dostępu i silnego uwierzytelniania. Ponieważ Active Directory stanowi centralny punkt kontroli tożsamości w większości organizacji, jego zabezpieczenie jest jednym z kluczowych elementów realizacji tych obowiązków.

Słowniczek pojęć powiązanych z usługą Active Directory (AD)