Quando si apre la finestra di stampa: scegli "Salva come PDF", poi deseleziona "Intestazioni e piè di pagina" in Altre impostazioni.
Assessment di Active Directory
Active Directory — Un Solo Voto di Postura del Dominio, Onesto
RECON misura quanto è esposto il tuo dominio a una scalata verso Domain Admin — la profondità di un assessment dedicato alla postura dell’identità, dentro la stessa piattaforma della tua scansione esterna e interna. Gira agentless, dall’interno del perimetro, sulla stessa sonda che già fa discovery e scansione della rete, usando una credenziale in sola lettura che viene distrutta a fine run. Un contratto è invariante: rileva, mai sfrutta.
In sintesi
- RECON porta un assessment dedicato alla postura di Active Directory dentro la piattaforma che già esegue la tua scansione esterna e interna — una sola sonda, una sola vista correlata, in rilascio oggi nella piattaforma RECON con i controlli principali attivi; alcuni controlli di escalation (certi percorsi ESC, DCSync) sono solo-rilevazione o ancora in validazione.
- È agentless e in sola lettura: niente viene installato sui tuoi domain controller e il collector ha solo i diritti di un normale utente di dominio autenticato.
- Una credenziale privilegiata, quando serve, viene usata una sola volta per coniare un collector dedicato in sola lettura, poi distrutta — mai conservata a riposo.
- Tutta l’analisi pericolosa — Tier-0, percorsi d’attacco, abuso dei certificati, punteggio di postura — gira sui dati raccolti, lato server, mai di nuovo contro il dominio reale.
Come Funziona l’Assessment
Il design è deliberato: leggi la directory come farebbe uno strumento di postura, tieni ogni segreto privilegiato fuori dal disco e fai tutto il ragionamento pericoloso sul server — mai sul dominio reale.
Nessun attacco reale di replica, nessun dump di hash, nessun ticket falsificato. La sonda legge la directory su un canale autenticato esattamente come farebbe uno strumento di postura, e ogni inferenza pericolosa avviene dopo, lato server, su dati già raccolti.
A chi si rivolge
- CISO e responsabili della sicurezza che vogliono il rischio identità espresso come un solo voto di dominio difendibile, non come un muro di finding di directory.
- Team IT e identità responsabili dell’igiene di Active Directory, degli accessi privilegiati e dei servizi di certificazione.
- Funzioni di procurement e compliance che confrontano una piattaforma consolidata con uno strumento di postura di Active Directory a sé stante.
- Team di incident response e red team che vogliono i percorsi vivi verso Domain Admin in classifica, con il singolo nodo da spezzare messo in evidenza.
Il Ciclo di Vita della Credenziale — Niente di Privilegiato Resta a Riposo
Per leggere Active Directory serve un account, ma RECON non ti chiede di crearne uno permanente. Nella modalità di default una credenziale amministrativa viene usata una sola volta per coniare un collector dedicato in sola lettura, poi crypto-shredded. Il senso dell’intera sequenza è semplice: nessun segreto privilegiato resta mai a riposo, da nessuna parte.
Due Modalità di Connessione — e Cosa Non Viene Mai Conservato
Scegli tu come viene creato il collector. In entrambi i casi, nessun segreto amministrativo viene mai persistito; si conserva solo il collector in sola lettura, cifrato.
Il collector coniato in sola lettura viene persistito, cifrato con un sigillo vincolato all’host, così copiare il solo file di configurazione di una sonda non basta a recuperarlo. La credenziale amministrativa non ha alcuno storage: è request-scoped, sigillata, consegnata just-in-time, aperta in memoria, usata e crypto-shredded — mai su disco, in un log o in una colonna permanente, a nessun livello.
Cosa Legge — Sola Lettura, Un Solo Bind
La sonda fa una sola passata di lettura sulla directory — lo stesso materiale che legge uno strumento di postura — e lo impacchetta per l’analisi lato server. Niente viene scritto; è solo un inventario di oggetti, permessi e debolezze di configurazione del dominio.
L’Inventario delle Identità
Ogni utente, gruppo, computer, unità organizzativa e oggetto di policy che l’assessment risolve viene presentato come inventario filtrabile, con oggetti privilegiati e Tier-0 segnalati, i marcatori di rischio in evidenza e la recenza dell’ultimo accesso — l’identità autorevole del sistema operativo qui arricchisce anche l’inventario degli asset di rete interni.
Percorsi d’Attacco e Tier-0 — Chi Può Arrivare a Domain Admin
Qui i dati grezzi diventano una risposta. Il motore calcola chi — partendo da un utente qualsiasi — può scalare fino a Domain Admin, quale singolo nodo dovresti presidiare per spezzare quella scalata (il chokepoint) e quanto è grave ciascuna rotta. Trasforma un elenco di finding in una sola istruzione chiara: sistema prima ciò che sta su un percorso vivo.
Il Voto di Postura del Dominio
La stessa analisi si risolve in un unico voto di dominio leggibile dal consiglio — un punteggio da 1 a 100 e una lettera da A a F — mentre il team conserva i finding pesati che lo sostengono. Un dominio pulito vale 100; ogni finding su un percorso vivo verso Domain Admin spinge il numero verso il basso.
Ogni fattore, ogni peso e l’aggregazione finale sono documentati e riproducibili. I finding confermati pesano di più; i candidati e i controlli solo-rilevazione sono marcati chiaramente, così non leggi mai un "critico" gonfiato che non è mai stato provato.
Servizi di Certificazione — da ESC1 a ESC16
Active Directory Certificate Services — la PKI interna — è una delle vie più abusate verso Domain Admin. RECON legge template dei certificati, certificate authority e container PKI con lo stesso bind least-privilege e classifica onestamente le misconfigurazioni note: cosa è confermato, cosa è solo candidato e cosa è solo-rilevazione.
Confermato, Candidato, Solo-Rilevazione
Il valore dei controlli sui certificati sta nella loro onestà. RECON non gonfia mai un finding che non ha provato; ogni debolezza di template porta uno stato esplicito.
Poiché lo stato deriva da ciò che è stato realmente letto e provato, non vedi mai un "critico" gonfiato mai dimostrato — il numero mostrato riflette ciò che si è davvero attivato.
Il Catalogo dei Controlli — Contato Onestamente
L’elenco trasparente di ogni controllo che RECON esegue oggi e dei pochi ancora in roadmap. I conteggi non sono gonfiati: la console mostra solo i controlli che si attivano davvero, tenuti separati dalle viste attack-graph e dai controlli pianificati.
Categorie di controllo
I conteggi sono calcolati dal catalogo stesso e lo stato live di ogni controllo deriva dai risultati reali restituiti alla console — non da uno snapshot per-scan — così le sonde più vecchie non possono driftare e il numero che vedi resta fedele a ciò che gira davvero.
Tier di Copertura — Cosa Sblocca l’Account Legato
Quanta parte del catalogo viene esercitata dipende dai diritti dell’account legato. La baseline richiede solo un normale utente di dominio; due deleghe di lettura opzionali sbloccano di più, e una manciata di controlli è onestamente fuori portata per una sonda in sola lettura.
Tier di copertura
Ogni controllo si risolve in uno stato live — attivo, bloccato in attesa di una delega, fuori ambito, candidato o pianificato — calcolato nella console dai risultati reali del run, così la copertura che ti viene mostrata è sempre ciò che si è davvero attivato.
Il Modello di Sicurezza
RECON è costruito per valutare la parte più sensibile della tua infrastruttura senza diventare esso stesso un rischio. Quattro proprietà sono non negoziabili.
La directory raccolta sopravvive alla sonda che l’ha raccolta: sostituire una sonda non perde mai la cronologia del dominio, perché la raccolta è conservata rispetto alla scansione, non all’hardware.
Perché RECON — e Cosa Sostituisce
RECON porta un assessment di Active Directory di livello PingCastle o Purple Knight dentro la stessa piattaforma della tua scansione esterna e interna, eseguito da una sonda già installata all’interno del perimetro — senza agent sugli endpoint o sul domain controller, e senza mai sfruttare nulla.
Ottieni la profondità di uno strumento di postura di Active Directory dedicato senza un secondo contratto, una seconda console o un secondo agent — e un unico voto su cui il tuo consiglio può agire.
Prossimi passi
- Richiedi una dimostrazione guidata dell’assessment di Active Directory sul tuo stesso dominio.
- Installa la sonda in una rete per vedere assessment interno, OT/ICS e di Active Directory in un’unica passata.
- Rivedi i tuoi percorsi vivi verso Domain Admin, con il chokepoint da spezzare messo per primo.
Contatti: [email protected] · orizon.one/services/recon · Infrastruttura europea sovrana.