ActiveDirectoryでの弱いパスワードの監査

次に、 Get-ADReplAccountを使用します コマンドレット、ADのユーザーのリストを取得します（Get-ADUserなど）。さらに、このコマンドレットは、ハッシュ履歴だけでなく、NTハッシュとLMハッシュも返します。次に、ユーザーごとに、パスワードのハッシュを辞書ファイルのハッシュと比較します（チェックは無効なユーザーアカウントに対しても実行されます）：

Get-ADReplAccount -All -Server $ DC -NamingContext $ Domain | Test-PasswordQuality -WeakPasswordsFile $ DictFile -IncludeDisabledAccounts

スクリプトを実行した結果は次のようになります。

Active Directory Password Quality Report
----------------------------------------
Passwords of these accounts are stored using reversible encryption:
LM hashes of passwords of these accounts are present:
These accounts have no password set:
TEST\DefaultAccount
TEST\Guest
Passwords of these accounts have been found in the dictionary:
TEST\a.adams
TEST\jbrion
TEST\jsanti
These groups of accounts have the same passwords:
Group 1:
TEST\a.novak
TEST\Administrator
TEST\amuller
TEST\k.brown
Group 2:
TEST\a.adams
TEST\jbrion
TEST\jsanti
These computer accounts have default passwords:
Kerberos AES keys are missing from these accounts:
Kerberos pre-authentication is not required for these accounts:
Only DES encryption is allowed to be used with these accounts:
These administrative accounts are allowed to be delegated to a service:
TEST\a.adams
TEST\a.novak
TEST\Administrator
TEST\jbrion
TEST\jsanti
TEST\k.brown
TEST\krbtgt
Passwords of these accounts will never expire:
TEST\a.adams
TEST\Administrator
TEST\DefaultAccount
TEST\Guest
TEST\k.brown
TEST\krbtgt
TEST\web
These accounts are not required to have a password:
TEST\ADFS1$
TEST\DefaultAccount
TEST\Guest
These accounts that require smart card authentication have a password:

Install-Module -Name DSInternals -RequiredVersion 2.23

ADに保存されているユーザーパスワード履歴を含むハッシュ検索が実行されます。ご覧のとおり、単純なパスワードを持つADユーザーが正常に検出されました（パスワードは辞書と一致します）。同じパスワードを持つ複数のユーザーも見つかりました。このスクリプトは、カスタムのきめ細かいパスワードポリシーの対象となる単純なパスワードを持つアカウントを見つけるのに役立ちます。

Active Directoryデータベースファイル（ntds.dit）のオフラインスキャンを実行することもできます。 ntds.ditファイルのコピーは、シャドウコピーまたはドメインコントローラーのバックアップから取得できます。

ntds.ditファイルのユーザーハッシュをオフラインで確認するには、次のコマンドを使用します。

$ keyboot =Get-BootKey -SystemHiveFilePath'C：\ ADBackup \ repository \ SYSTEM'
Get-ADDBAccount -All -DatabasePath'C：\ ADBackup \ ntds.dit -BootKey $ keyboot | Test-PasswordQuality -WeakPasswordsFile $ DictFile

すべてのハッシュのリストをテキストファイルにエクスポートすることもできます：

Get-ADDBAccount -All -DBPath'C：\ ADBackup \ ntds.dit' -Bootkey $ keyboot |フォーマット-カスタム-ViewHashcatNT|アウトファイルc：\ ps \ ad_hashes.txt -Encoding ASCII

したがって、このシナリオを使用すると、ADユーザーパスワードの品質、ブルートフォース攻撃に対する抵抗を簡単に分析し、現在のドメインパスワードポリシーの複雑さを結論付け、必要な結論を出すことができます。 Active Directory管理者は、この監査を定期的に実行できます（実行する必要があります）。