Skal jeres Active Directory gennemgås, kan en stor del af arbejdet ske ud fra lister over konti, grupper, politikker og domænecontrollere, som driften selv kan trække. Intet bliver afprøvet, og kataloget bliver ikke ændret undervejs.
Det er almindelig praksis at bygge katalogdelen af en teknisk gennemgang på læserettigheder. Ingen af de kilder, artiklen bygger på, siger dog udtrykkeligt, at læseadgang er nok. Hvor meget den rækker, afhænger af, hvad der skal vurderes, og det aftales før start.
Hvad producenten selv peger på
Microsoft beskriver i sin vejledning om sikring af Active Directory de svagheder, der oftest findes i katalogmiljøer. Listen rummer huller i antivirus, manglende opdateringer, forældede programmer og styresystemer, fejlopsætning, mangelfuld sikker udvikling og tyveri af loginoplysninger.
Blandt de risikable opsætninger nævner producenten tre, der kan ses direkte i et udtræk: lokale privilegerede konti med samme loginoplysninger på alle systemer, for mange brugere i de privilegerede domænegrupper og domænecontrollere, der ikke er sikret godt nok. Tre indbyggede grupper har som standard de højeste rettigheder i kataloget. Det er Enterprise Admins, Domain Admins og Administrators.
Microsofts tabel over tiltag peger samme vej. Permanent medlemskab af de højt privilegerede grupper fjernes og erstattes af midlertidigt medlemskab efter behov. Følsomme objekter i kataloget overvåges for ændringer. Ældre systemer isoleres og afvikles. Konfigurationen styres, og efterlevelsen gennemgås regelmæssigt.
De udtræk, gennemgangen typisk beder om
Listen nedenfor er en praksis, der følger kontrolpunkterne hos Microsoft og i det franske cybersikkerhedsagentur ANSSI’s tjekliste for Active Directory. Hvert udtræk er en liste, driften kan trække og gemme med dato.
- Medlemmer af de tre højest privilegerede grupper · navn, kontotype og om kontoen er personlig. Målestok: Microsofts råd om at fjerne permanent medlemskab.
- Alle konti med oprettelsesdato og sidste logon · viser sovende konti. ANSSI placerer dem på sit laveste og mest kritiske niveau.
- Konti, hvis password aldrig udløber, og privilegerede konti med gamle passwords · ANSSI har begge som kontrolpunkter. Se afsnittet om skift længere nede.
- Gæstekontoens status · om den indbyggede gæstekonto er slået til.
- Domænecontrollernes styresystem og funktionsniveauet for skov og domæner · forældede styresystemer og for lave funktionsniveauer er egne punkter hos ANSSI.
- Hvem der må melde maskiner i domænet · ANSSI har en ubegrænset ret til det som kontrolpunkt.
- Privilegerede konti uden for gruppen Protected Users · et punkt på ANSSI’s niveau 3.
- Replikeringen af SYSVOL · om den stadig kører med den gamle replikeringstjeneste.
- Tillidsforhold til andre domæner og skove · om de filtreres.
- Datoen for seneste skift af krbtgt-kontoens password · ANSSI markerer det, hvis det er over et år gammelt.
CISA anbefaler i sin vejledning om ransomware at gennemgå kataloget for for brede rettigheder på konti og i gruppemedlemskaber. SAMSIK anbefaler hærdning af Active Directory i sin vejledning om ransomware, men beskriver ikke, hvad hærdningen skal indeholde. Derfor bruger en gennemgang ofte ANSSI og Microsoft som de mere detaljerede målestokke.
ANSSI’s niveauer og vores forbehold
ANSSI inddeler sine kontrolpunkter i niveauer fra 1 til 5. Niveau 1 betyder kritiske problemer i administration eller opsætning. Niveau 5 betyder et katalog, der er hærdet efter nyeste praksis. Kun punkterne på niveau 1 til 3 er offentliggjort. ANSSI skriver selv, at tjeklisten skal hjælpe tekniske chefer og sikkerhedschefer med at følge det faktiske niveau.
To forbehold hører med. Tjeklisten ligger som en rapportvisning, hvor teksten er indlejret i sidens kode, så titlerne her er læst ud af de data og oversat af os. Og tjeklisten beskriver også, hvordan svaghederne kan udnyttes. Det gengiver vi ikke. En gennemgang med læseadgang bruger kun kontrolpunktets titel og det, der skal rettes.
ANSSI har også ændret sin egen definition af en sovende konto i 2024. Tærsklerne gælder ANSSI’s kontrolpunkt og bør ikke bruges som en almen regel for jeres miljø.
Når et udtræk rører ved passwordskift
To af punkterne handler om passwords, der ikke skiftes. Her trækker målestokkene i hver sin retning. Bilaget til forordning 2024/2690 kræver i punkt 11.6.2, litra c), at autentificeringsoplysninger ændres med planlagte mellemrum. Det gælder for de virksomhedstyper, forordningen omfatter. SAMSIK anbefaler i 2026 tvunget skift kun ved tegn på kompromittering, NIST SP 800-63B-4 forbyder at kræve periodisk skift, og CISA’s baseline for Entra ID siger, at brugeres passwords ikke må udløbe.
Et fund om passwords, der aldrig udløber, skal derfor læses med jeres egen politik ved siden af. Er politikken bygget på de nyere vejledninger, er det privilegerede konti med meget gamle passwords, der vejer tungest. Den afvejning er vores tolkning.
Det, læseadgangen ikke dækker
Udtrækkene viser, hvordan kataloget er sat op. De viser ikke, om rettighederne kan misbruges i praksis. Det er en afprøvning og hører til en penetrationstest, som er en anden ydelse. Samtalerne med driften udfylder også et hul, fordi et udtræk ikke fortæller, hvorfor en konto står i en privilegeret gruppe. Hvordan de samtaler bruges, står i samtalerne med driftsfolkene.
Hvad det kræver, og hvad det koster at lade være
Det kræver en konto med læserettigheder i kataloget, en driftsperson, der kan trække listerne og gemme dem med dato, og en aftale om, hvordan udtrækkene opbevares og slettes bagefter.
Uden udtrækkene hviler vurderingen af kataloget på det, driften husker. Medlemskaber af de privilegerede grupper og sovende konti er netop det, der ændrer sig i det stille, når projekter slutter og medarbejdere skifter.
Det skal I lade være med
- At give den, der gennemgår, skriverettigheder for nemheds skyld · læseret er nok til udtrækkene.
- At behandle ANSSI’s tærskler som jeres egne · de gælder ANSSI’s kontrolpunkt.
- At aflevere udtræk uden dato og domænenavn · så kan de ikke sammenlignes ved næste gennemgang.
Det skal gennemgangen kunne vise
- ☐ Daterede lister over medlemmer af Enterprise Admins, Domain Admins og Administrators.
- ☐ Konti med oprettelsesdato, sidste logon og status for passwordudløb.
- ☐ Styresystem på hver domænecontroller og funktionsniveau for skov og domæner.
- ☐ Status for gæstekontoen, retten til at melde maskiner i domænet og tillidsforholdene.
- ☐ En note om, hvilke målestokke fundene er holdt op imod.
Kilder
- Microsoft Learn, Best practices for securing Active Directory, opdateret 21. maj 2025, læst 13. november 2026.
- ANSSI, Active Directory security assessment checklist, ændringslog til 15. oktober 2026, læst 13. november 2026.
- CISA m.fl., #StopRansomware Guide, september 2023, læst 13. november 2026.
- SAMSIK, Reducer risikoen for ransomware, 2. udgave, april 2023, side 10, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 11.6.2, læst 13. november 2026.
- SAMSIK, Passwordsikkerhed, oktober 2026, læst 13. november 2026.
- NIST SP 800-63B-4 (2025), afsnit 3.1.1.2, læst 13. november 2026.
- CISA, M365 Secure Configuration Baseline for Microsoft Entra ID, MS.AAD.6.1v1, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over medlemmer af de tre højest privilegerede grupper i dag, og læg den ved siden af jeres egen opgørelse over administratorer.
Læs også: Inaktive og forældreløse konti · Domænecontrollere som særligt kontrolpunkt
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
