מתכונים: "אני צריך לעשות X"

הרשאות ב־AD ניתנות דרך קבוצות, לא למשתמש בודד. זו הפעולה היומיומית הכי נפוצה ב־Helpdesk.

התקן של Helpdesk: סיסמה זמנית שהמשתמש מחליף מיד, כדי שאף אחד לא יידע אותה חוץ ממנו.

אחרי אירוע אבטחה או בכיתה/מחלקה שלמה — ידנית זה בלתי אפשרי.

בוקר שני בשבוע = גל נעילות. עדיף רשימה אחת מאשר לחפש אחד־אחד.

חשבונות מחשב מתים הם שטח תקיפה מיותר וגם מבלבלים אינוונטר.

אם לא מציינים OU, המחשב נוחת ב־Computers ולא מקבל את ה־GPO של המחלקה.

לא צריך להוציא ולהחזיר לדומיין — אפשר לחדש את סיסמת חשבון המחשב בפקודה אחת.

"יצרתי GPO והוא לא עובד" נפתר ב־90% מהמקרים על ידי הדוח הזה.

לפני כל שינוי במדיניות — גיבוי. שחזור לוקח שניות, שחזור בלי גיבוי לוקח יום.

בלי SRV הלקוח לא מוצא DC: אין Logon, אין GPO, אין הצטרפות.

רפליקציה תקועה = סיסמה שהוחלפה לא מגיעה לאתר אחר, GPO לא מתעדכן, ובסוף DC "מת".

שחרור נעילה בלי למצוא מקור = אותה קריאה שוב בעוד שעה.

רוב הארגונים מגלים בפעם הראשונה חשבונות אדמין ששכחו מהם לגמרי.

כל חשבון משתמש עם SPN הוא סיסמה שאפשר לנסות לשבור אופליין.

שאלת ראיון קבועה וגם צעד ראשון בכל תקלה מוזרה בדומיין.

מחיקה מיידית שוברת גישה לקבצים ולתיבת דואר. הנוהל הנכון: להשבית, לנתק סשנים, להעביר ל־OU נפרד.

LastLogonDate משוכפל ולכן לא מדויק; lastLogon אינו משוכפל וצריך לשאול כל DC.

krbtgt הוא המפתח שחותם כל כרטיס Kerberos. אם הוא נגנב — התוקף יכול לזייף זהות של כל אחד.

קליטה של כיתה/מחלקה שלמה בבת אחת. הקובץ צריך עמודות Name,SamAccountName,OU.

קבוצות מקוננות מסתירות חברים. -Recursive חושף גם את מי שנכנס דרך קבוצה בתוך קבוצה.

השאלה הראשונה בכל פרויקט שדרוג או אחרי CVE חדש: כמה תחנות ישנות נשארו ואיפה.

GPO מוחל לפי OU. תחנה שנשארה ב־Computers המובנה לא מקבלת את המדיניות שלך.

GPO בלי Link לא עושה כלום, אבל מבלבל בזמן פתרון תקלות ומאט את ניהול הדומיין.

שינוי דחוף (איפוס סיסמה, חסימת חשבון) צריך להגיע לכל ה־DC עכשיו, לא בעוד 15 דקות.

ריכוז 4625 לפי חשבון ולפי מקור מפריד בין 'שכח סיסמה' לבין ניסיון פריצה.

אותם 3 משתמשים כל שבוע = בעיה טכנית קבועה (טלפון, שירות), לא חוסר תשומת לב.