Femten år med Active Directory i en virksomhed, der aldrig havde haft et nedbrud, den kunne give det skylden for. Det er det svære tilfælde. Intet var åbenlyst i stykker, så intet havde nogensinde været presserende nok til at blive ændret, og undtagelserne havde stille hobet sig op til en struktur, som ingen ville designe med vilje.
Servicekonti med domæneadministratorrettigheder, fordi det havde været hurtigere dengang. Gruppepolitikker lagt oven på hinanden gennem et årti. Indlejrede grupper flere niveauer dybt, hvor ingen kunne sige, hvem der endte med hvad.
Betingelsen
Kunden var tydelig fra starten: produktionen måtte ikke stoppe. Fabrikken kørte i tre skift, og et autentificeringsproblem klokken to om natten ville koste mere end hele opgaven.
Den betingelse prægede alt. Vi arbejdede i etaper, og hver etape skulle kunne vises at være sikker, før den næste begyndte.
- Kortlæg de reelle rettighedsveje, ikke de tilsigtede
- Ændr én type ting ad gangen
- Test hver ændring mod en dags normal drift, før den rulles videre ud
- Hav en dokumenteret vej tilbage ved hvert trin
Arbejdet
Vi startede med de veje, der gjorde én kompromitteret arbejdsstation til hele domænet, fordi det er dem, en angriber faktisk bruger. Servicekontiene kom først, derefter tiering af den administrative adgang og til sidst de politikker, der havde hobet sig op omkring begge dele.
Den mest risikable enkeltændring var en servicekonto, som elleve systemer viste sig at afhænge af. Det fandt vi ud af, før vi ændrede den, og det er hele grunden til at arbejde i etaper.
Hvor de står nu
Den administrative adgang er nu adskilt i tiers, servicekonti har kun de rettigheder, de bruger, og de rettighedsveje, der betød noget, er lukket.
Ingen nedetid på fire måneder. Teamet kan nu også svare på et spørgsmål, de ikke kunne svare på før: hvem kan nå hvad, og hvordan.