Domænecontrollerne gennemgås for sig, fordi de bærer hele adgangen til miljøet. Kontrollen har fem spørgsmål: Hvilke roller og programmer kører på dem? Hvem kan logge på? Kan de nå internettet? Hvilken version af Windows Server kører de? Og er de opdateret?
Microsoft beskriver konsekvensen ligeud. Er en domænecontroller kompromitteret, kan skoven i Active Directory ikke regnes for troværdig igen uden gendannelse fra en backup, man ved er god. Microsoft anbefaler derfor, at domænecontrollere sikres separat.
Målestokkene
Microsofts vejledning om at sikre domænecontrollere er producentens egne anbefalinger for egen platform. Den indeholder blandt andet disse punkter:
- Virtuelle domænecontrollere bør køre på fysiske værter, der er adskilt fra andre virtuelle maskiner.
- Alle domænecontrollere bør køre den nyeste version af Windows Server, organisationen understøtter.
- Server Core anbefales.
- Administration sker fjernt fra særligt sikrede maskiner.
- Fjernskrivebord tillades kun fra autoriserede brugere og systemer.
- Der bør ikke bruges browser på domænecontrollere, og internetadgang til og fra dem begrænses strengt.
- Opdatering og systemstyring af domænecontrollere kan holdes adskilt fra resten.
CISA’s #StopRansomware-vejledning fra 2023 siger det samme med andre ord: Begræns adgangen til domænecontrollere til gruppen Administrators med få medlemmer, som bruger separate konti til daglig drift. Brug en lokal firewall mod internetadgang, og kør den nyeste understøttede Windows Server.
Det franske cybersikkerhedsagentur ANSSI har en tjekliste til vurdering af Active Directory. Tre af punkterne på det mest kritiske niveau handler om domænecontrollere: domænecontrollere med forældet styresystem, inaktive domænecontrollere og domænecontrollere, hvis maskinpassword ikke er ændret i over 45 dage.
For statslige myndigheder nævner minimumskrav 29 domænecontrollere blandt de centrale autentifikationstjenester, der skal sikkerhedsopdateres inden for 90 dage. Det er et krav for staten og en dateret målestok for alle andre.
Hvad kører på dem
Det første udtræk er en liste over installerede roller, funktioner og programmer på hver domænecontroller. Det er almindeligt, at en domænecontroller med årene også er blevet filserver, printserver eller vært for et lille program. Hver ekstra opgave giver flere konti, flere åbne porte og flere grunde til at logge på.
Kontrollen er at spørge, om hver rolle og hvert program hører til en domænecontroller. Det, der ikke gør, er et fund. Det samme gælder en installeret browser, når Microsoft anbefaler, at den ikke bruges der.
Hvem kan logge på
Det andet udtræk er medlemmerne af de grupper, der giver administratoradgang til domænecontrollerne, og de rettigheder, der giver lov at logge på dem lokalt eller via fjernskrivebord. Gruppen bør være lille og bestå af særskilte administratorkonti. Hvordan adskillelsen påvises, står i særskilte administratorkonti og administrationsmaskiner.
Den lokale firewall og reglerne for fjernskrivebord læses samtidig. Kan alle maskiner på nettet åbne fjernskrivebord til en domænecontroller, er Microsofts anbefaling ikke fulgt.
Internetadgang
Det tredje spørgsmål er, om domænecontrollerne kan nå internettet. Svaret står i den lokale firewall, i firewallen i kanten og i proxyopsætningen. Både Microsoft og CISA anbefaler at begrænse det. Hvis opdateringer hentes direkte fra internettet, er det en undtagelse, der skal beskrives.
Version og opdatering
Det fjerde og femte spørgsmål besvares med en liste over domænecontrollere med Windows Server-version, seneste opdatering og om den stadig er i drift. Listen viser to af ANSSI’s kritiske punkter direkte: forældet styresystem og inaktive domænecontrollere. En domænecontroller, der er taget ud af drift, men stadig står i kataloget, er et fund.
ANSSI’s punkt om maskinpassword ældre end 45 dage kræver et udtræk af, hvornår hver domænecontrollers password sidst blev ændret. Driften kan trække datoen og holde den op mod ANSSI’s grænse.
Opdatering og styring for sig
Microsoft nævner, at opdatering og systemstyring af domænecontrollere kan holdes adskilt fra resten af miljøet. Grunden er, at det værktøj, der kan installere opdateringer på domænecontrollerne, også kan installere andet. Kontrollen er derfor at se, hvilke styringsværktøjer der har agenter eller rettigheder på domænecontrollerne, og hvem der administrerer dem.
Har et værktøj, som mange i driften har adgang til, også fuld kontrol over domænecontrollerne, er rettighederne til domænecontrollerne i praksis bredere end medlemslisten i administratorgruppen viser. Det er en vurdering, og den bør stå som sådan i rapporten.
Det samme gælder backuppen af domænecontrollerne. Microsofts pointe om gendannelse fra en kendt god backup forudsætter, at backuppen findes, og at den er beskyttet mod de samme konti, der kan ændre domænecontrollerne.
Hvad det kræver, og hvad det koster at lade være
Det kræver læseadgang til kataloget, output fra domænecontrollerne om roller og programmer og udtræk af firewallregler. Domænecontrollere er få, så kontrollen er ikke stor. Det svære er at flytte ekstra roller væk, når de har været der længe.
En domænecontroller med ekstra opgaver og bred adgang er det sted, hvor en enkelt fejl giver adgang til alt. Microsofts egen konsekvens er, at skoven ikke kan stoles på igen uden gendannelse.
Det skal I lade være med
- At bruge domænecontrolleren til andre opgaver · flyt fil, print og programmer til andre servere.
- At logge på domænecontrolleren fra en almindelig arbejdsmaskine · brug en sikret administrationsmaskine.
- At lade gamle domænecontrollere stå i kataloget · ryd dem, når de er taget ud af drift.
Det skal gennemgangen kunne vise
- ☐ Roller og programmer på hver domænecontroller med begrundelse for alt ud over katalogtjenesten.
- ☐ Medlemmer af grupperne med administratoradgang og logonret.
- ☐ Firewallregler for fjernskrivebord og internetadgang.
- ☐ Version, opdateringsniveau og driftsstatus pr. domænecontroller.
- ☐ Domænecontrollere med maskinpassword ældre end 45 dage.
Kilder
- Microsoft Learn, Securing domain controllers against attack, læst 13. november 2026.
- CISA m.fl., #StopRansomware Guide (september 2023), læst 13. november 2026.
- ANSSI, Active Directory security assessment checklist, læst 13. november 2026.
- De tekniske minimumskrav for statslige myndigheder, opdateret september 2025, krav 29 og bilag 1, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over installerede roller og programmer på hver domænecontroller, og marker alt, der ikke hører til katalogtjenesten.
Læs også: Revisionspolitikken på domænecontrollere og servere · Virtualiseringsplatformen
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
