Windows আর Active Directory সুরক্ষা — tiering, LAPS আর audit

১ · Windows-এর ভিত্তি — একটি যন্ত্র আগে শক্ত করুন

একটি অফিস ভাবুন। দারোয়ান ভালো, কিন্তু পেছনের জানালা খোলা। তাহলে দারোয়ানের দাম কমে যায়। Active Directory নিয়ে কথা বলার আগে তাই প্রতিটি Windows যন্ত্রের জানালা বন্ধ করা দরকার। এই কাজের নাম hardening. বাংলায়, যন্ত্রের অপ্রয়োজনীয় ঝুঁকি কমিয়ে একটি জানা নিরাপদ অবস্থায় আনা।

এই পর্ব প্রশাসকের চোখে লেখা। এখানে যা দেখবেন, সব কেবল নিজের বা অনুমতি পাওয়া domain-এর জন্য। অন্যের নেটওয়ার্কে হাত দেওয়া অপরাধ। সীমারেখাটি পর্ব ৬-এ আছে।

Credential Guard নিয়ে দুটি বাস্তব কথা জানা দরকার। Microsoft-এর নথি অনুসারে Windows 11 22H2 থেকে শর্ত পূরণ করা domain-joined যন্ত্রে এটি ডিফল্টে সক্রিয় হয়, Windows Server 2025-এও DC ছাড়া অন্য সার্ভারে। কিন্তু এটি Enterprise বা Education লাইসেন্সের সুবিধা, Pro-তে নয়। আর domain controller-এ এটি কোনো বাড়তি সুরক্ষা দেয় না, তাই সেখানে চালু করার পরামর্শ নেই।

আপনার যন্ত্রের অবস্থা দেখার কিছু নিরাপদ, শুধু-পড়ার কমান্ড নিচে আছে। Endpoint-এর বিস্তারিত পর্ব ২৯-এ, আর Linux-এর hardening পর্ব ৩০-এ দেখেছেন।

# Read-only checks for your own Windows machine. Run in an elevated PowerShell.
Get-MpComputerStatus | Select-Object RealTimeProtectionEnabled, AntivirusSignatureAge
Get-BitLockerVolume  | Select-Object MountPoint, VolumeStatus, ProtectionStatus
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol

# SecurityServicesRunning contains 1 when Credential Guard is running.
Get-CimInstance -Namespace root\Microsoft\Windows\DeviceGuard `
    -ClassName Win32_DeviceGuard | Select-Object SecurityServicesRunning

নমুনা আউটপুট — version-ভেদে আলাদা হতে পারে
RealTimeProtectionEnabled AntivirusSignatureAge
------------------------- ---------------------
                     True                     1

MountPoint VolumeStatus  ProtectionStatus
---------- ------------  ----------------
C:         FullyEncrypted              On

EnableSMB1Protocol
------------------
             False

SecurityServicesRunning
-----------------------
{1, 2}

২ · Active Directory কী, আর কেন এটি এত দামি

Active Directory (AD) হলো Windows জগতের কেন্দ্রীয় পরিচয় ব্যবস্থা। Windows 2000-এর সময় থেকে বহু প্রতিষ্ঠানের ভিত্তি এটি। মূল অংশগুলো চিনে নিন:

• Domain: একই পরিচয় ডেটাবেস আর একই নীতির অধীন user আর কম্পিউটারের দল, যেমন corp.example.com.
• Forest: এক বা একাধিক domain-এর সবচেয়ে বড় বিশ্বাসের সীমা। প্রকৃত নিরাপত্তা সীমা domain নয়, forest.
• Domain controller (DC): যে সার্ভার পরিচয় ডেটাবেস রাখে, login যাচাই করে আর অন্য DC-র সাথে ডেটা মেলায়। প্রতিটি DC-তে সব account-এর password-থেকে-তৈরি key থাকে।
• User আর computer account: মানুষ আর যন্ত্র, দুই ধরনের পরিচয়।
• Security group: অনেক account-কে একসাথে অনুমতি দেওয়ার দল। Domain Admins এমনই একটি দল।
• Organizational Unit (OU): account সাজানোর ফোল্ডার। Group Policy বসানো আর কাজ ভাগ করে দেওয়া হয় এখানে।
• Group Policy: OU বা domain-এর সব যন্ত্রে একসাথে সেটিং পাঠানোর ব্যবস্থা। OS-এর নিরাপত্তা ধারণাগুলো এভাবেই হাজার যন্ত্রে বসে।

রক্ষকের চোখে AD কেন উচ্চমূল্যের

• কেন্দ্রীয় বিশ্বাস: সব যন্ত্র DC-কে বিশ্বাস করে। Domain Admins ডিফল্টে domain-joined যন্ত্রের local Administrators দলে থাকে। ফলে blast radius পুরো প্রতিষ্ঠান।
• এক জায়গা থেকে সব যন্ত্রে পৌঁছানো: Group Policy প্রশাসকের জন্য সুবিধা। ভুল হাতে গেলে একই সুবিধা ক্ষতি ছড়ায়। বড় ransomware ঘটনায় তাই AD প্রায়ই কেন্দ্রে থাকে। প্রস্তুতি পর্ব ৩৪-এ।
• জটিলতা: ২০ বছরের পুরোনো delegation, ভুলে যাওয়া service account, নেস্টেড group. কে কী পারে, তা প্রায়ই কেউ পুরোটা জানেন না। অনুমতির ভাষা পর্ব ১৯-এ দেখেছেন।
• বৈধ login দেখতে স্বাভাবিক: চুরি করা credential দিয়ে ঢোকা malware-এর মতো শব্দ করে না। তাই audit ছাড়া ধরা কঠিন।

৩ · Kerberos, NTLM আর পুরোনো protocol কমানো

Domain-এ login মানে শুধু password মেলানো নয়। Windows দুটি প্রধান protocol ব্যবহার করে। Kerberos ticket-ভিত্তিক, MIT-র Project Athena থেকে আসা, আর এখনকার মান RFC 4120 (২০০৫ সালের)। NTLM পুরোনো challenge-response ব্যবস্থা। Kerberos-এ টিকিট কাউন্টারের মতো একজন মধ্যস্থ থাকেন। তিনি হলেন KDC, যা প্রতিটি DC-তে চলে।

from : rumi@corp.example.com
proof: timestamp, password-থেকে-তৈরি key দিয়ে encrypted
password নিজে network-এ যায় না

TGT    : krbtgt key দিয়ে encrypted
expires: 19:00:00 (ডিফল্ট ১০ ঘণ্টা)
clock skew 5 মিনিটের বেশি হলে এখানেই ব্যর্থ

want   : cifs/FILE-01
present: TGT + নতুন authenticator
password আর লাগে না

ticket for: cifs/FILE-01
sealed by : FILE-01 account-এর key
inside    : rumi + group তালিকা

logon type: 3 (network)
package   : Kerberos
FILE-01 নিজের key দিয়ে ticket খোলে, DC-কে ডাকে না

Authentication: কে আপনি  -> ticket বলল rumi
Authorization : কী পারেন -> ফাইলের ACL আর group
group থেকে সরালেও পুরোনো ticket মেয়াদ পর্যন্ত থাকতে পারে

এখান থেকে একটি অঙ্ক। ধরুন DC-র ঘড়িতে ১০:০০:০০, client-এর ঘড়িতে ১০:০৬:০০. তফাত ৬ মিনিট। ডিফল্ট সীমা ৫ মিনিট, তাই login ব্যর্থ হবে। এজন্য domain-এ সময় মেলানো নিরাপত্তারও অংশ।

NTLM আর SMBv1 কেন কমাতে হবে

NTLM-এ client একটি challenge-এর উত্তর password-থেকে-তৈরি hash দিয়ে বানায়। এখানে মধ্যস্থ ticket নেই, আর hash-ই প্রমাণের মতো কাজ করে। Microsoft-এর জুন ২০২৪-এর ঘোষণায় NTLM-এর সব version deprecated, আর NTLMv1 Windows 11 24H2 ও Windows Server 2025 থেকে সরানো হয়েছে। জানুয়ারি ২০২৬-এর একটি Microsoft ব্লগ ধাপে ধাপে network NTLM ডিফল্টে বন্ধের পরিকল্পনা জানায়, তবে সময়সূচি বদলাতে পারে বলেও সতর্ক করে। তাই সর্বশেষ অবস্থা Microsoft-এর নথিতে দেখে নিন।

SMBv1 হলো ফাইল শেয়ারের পুরোনো version. SMB নিজে দরকারি, কিন্তু এই পুরোনো রূপটি নয়। ২০১৭ সালের WannaCry ঘটনার পর থেকে এটি সরানোর প্রচলিত উদাহরণ। Microsoft-এর বর্তমান নথি অনুসারে Windows 11 আর Windows Server 2019 থেকে এটি ডিফল্টে ইনস্টল থাকে না।

1. মাপুন: SMBv1 access audit চালু করুন, NTLM audit চালু করুন। DC-তে Event 4776 আর 4624-এর authentication package দেখুন।
2. তালিকা করুন: কোন পুরোনো printer, scanner বা application এখনো নির্ভর করে, মালিক কে।
3. ঠিক করুন: Update, বদল বা আলাদা করা। পরে SMBv1 সরান, LAN Manager authentication level শক্ত করুন, SMB signing আর LDAP signing নিশ্চিত করুন।
4. যাচাই করুন: প্রথমে ছোট OU-তে, পরে পুরোটায়। ফেরার পথ হাতে রাখুন।

# Own server only. Audit first; the setting is safe to read at any time.
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol, AuditSmb1Access
Set-SmbServerConfiguration -AuditSmb1Access $true -Confirm:$false

# Each SMBv1 attempt appears as event 3000 in this log.
Get-WinEvent -LogName 'Microsoft-Windows-SMBServer/Audit' -MaxEvents 5

৪ · Credential exposure — দুর্বল যন্ত্রে শক্তিশালী logon কেন বিপজ্জনক

এই পর্বের সবচেয়ে গুরুত্বপূর্ণ ধারণা এটি। একজন admin-এর password যত শক্তই হোক, তিনি যে যন্ত্রে বসেন সেটি দুর্বল হলে বিপদ থেকে যায়। কারণ Windows SSO দেওয়ার জন্য login-এর পর কিছু ব্যবহারযোগ্য প্রমাণ মেমরিতে রাখে। এই অবস্থাকে বলে credential exposure.

ধরুন helpdesk-এর একজন একটি user-এর ল্যাপটপে Domain Admin দিয়ে Remote Desktop করলেন। ল্যাপটপে আগে থেকে malware থাকলে সেই মুহূর্তে Domain Admin-এর প্রমাণ ঝুঁকিতে পড়ে। আক্রমণকারী তখন password না জেনেই একে ব্যবহার করতে পারে। একটি সাধারণ ল্যাপটপ থেকে lateral movement এভাবেই পুরো domain-এ পৌঁছায়।

আক্রমণের ধরন, রক্ষকের চোখে

নিচের তালিকা ধারণার স্তরে। এর উদ্দেশ্য রক্ষা আর শনাক্ত করা, কোনো ধাপ শেখানো নয়।

চোখে পড়ার মতো ব্যাপার হলো, তালিকার বেশিরভাগ প্রতিরোধ একই কয়েকটি নিয়ন্ত্রণে ফিরে আসে: credential কোথায় যাচ্ছে তা সীমিত করা, password অনন্য করা, আর পরিবর্তন দেখা। পরের তিনটি অংশ এদের নিয়েই।

৫ · Administrative tiering — উপরের চাবি নিচে নামে না

Administrative tiering হলো যন্ত্র আর account-কে ক্ষমতা অনুযায়ী স্তরে ভাগ করা। নিয়ম একটি: উপরের স্তরের credential নিচের স্তরের যন্ত্রে ব্যবহার হবে না। পর্ব ২০-এ আলাদা admin account আর PAW দেখেছেন। Tiering সেগুলোকে একটি পূর্ণ নকশায় বসায়।

আরেকটি নিয়ম হলো clean source: যে যন্ত্র দিয়ে কোনো সিস্টেম পরিচালনা করবেন, সেটি অন্তত সেই সিস্টেমের সমান সুরক্ষিত হতে হবে। ল্যাপটপে email পড়তে পড়তে DC চালানো মানে DC-র নিরাপত্তা নেমে গেল ল্যাপটপের স্তরে।

Enterprise access model

পুরোনো tier মডেল on-premises AD-র জন্য তৈরি। Microsoft-এর বর্তমান enterprise access model একে cloud আর API-র জগতে বাড়ায়। Tier 0 বড় হয়ে control plane হয়েছে। Tier 1 ভেঙেছে management plane আর data/workload plane-এ। Tier 2 ভেঙেছে user access আর app access-এ। নাম বদলেছে, নীতি একই: নিচের স্তর থেকে উপরের স্তর নিয়ন্ত্রণ করা যাবে না।

নীতি কীভাবে ঝুঁকিপূর্ণ logon থামায়

নিয়ম শুধু খাতায় থাকলে কেউ ক্লান্ত দুপুরে ভেঙে ফেলবেন। তাই Group Policy-র user right দিয়ে একে যন্ত্রে বসান। নিচে একটি কাল্পনিক ঘটনা দেখুন।

user : tania-র সহকর্মী, PC-HR-07
কাজ  : ধীর কম্পিউটার দেখা
যন্ত্রটি Tier 2

account: rumi-t0  (Tier 0)
target : PC-HR-07 (Tier 2)
type   : 10, Remote Desktop
Tier 0 credential দুর্বল যন্ত্রে নামছে

Deny log on through Remote Desktop Services:
    CORP\Tier0-Admins, CORP\Tier1-Admins
Deny log on locally:
    CORP\Tier0-Admins, CORP\Tier1-Admins

account : rumi-t0
type    : 10
substat : 0xC000015B  logon type not granted
action  : rule tier-violation -> ticket

tania-t2 + LAPS-এর password -> PC-HR-07
rumi-t0 আগের মতো শুধু PAW-T0-1 আর DC-তে
Tier 0 credential যন্ত্রে রইল না

বাস্তবে network, batch আর service logon-এর deny right-ও আলাদা করে ভাবতে হয়। Deny right session আটকায়। Credential যন্ত্রে পৌঁছানোই বন্ধ করতে আরও স্তর লাগে: PAW-এ outbound সীমা, যাতে সেখান থেকে নিচের স্তরে যাওয়াই না যায়। আর authentication policy silo, যা নির্দিষ্ট account-কে শুধু নির্দিষ্ট যন্ত্র থেকে TGT নিতে দেয়। নীতিগুলো ভুল হলে admin নিজেই আটকে যেতে পারেন, তাই আগে পরীক্ষা করুন আর একটি break-glass পথ রাখুন।

নিয়ম যতই থাকুক, লঙ্ঘন খুঁজে দেখা দরকার। নিচের খেলনা detector কিছু কাল্পনিক logon event মিলিয়ে দেখে। কোনো আসল log পড়ে না। চালিয়ে দেখুন।

// Toy tier-violation detector. All accounts, hosts and events are made up.
// Lower number = more powerful tier. Logon types: 2 console, 3 network, 10 RDP.
const accountTier = { 'rumi-t0': 0, 'sohel-t1': 1, 'tania-t2': 2, 'rumi': 2 };
const hostTier = { 'DC-01': 0, 'PAW-T0-1': 0, 'APP-SRV-04': 1, 'PC-HR-07': 2, 'PC-FIN-02': 2 };
const events = [
  { t: '09:02', acct: 'rumi-t0',  host: 'PAW-T0-1',   type: 2 },
  { t: '09:05', acct: 'rumi-t0',  host: 'DC-01',      type: 10 },
  { t: '10:11', acct: 'sohel-t1', host: 'APP-SRV-04', type: 10 },
  { t: '10:40', acct: 'tania-t2', host: 'PC-FIN-02',  type: 10 },
  { t: '11:17', acct: 'rumi-t0',  host: 'PC-HR-07',   type: 10 },
  { t: '12:03', acct: 'sohel-t1', host: 'PC-FIN-02',  type: 3 },
  { t: '13:20', acct: 'rumi',     host: 'DC-01',      type: 2 },
];
function judge(e) {
  const a = accountTier[e.acct], h = hostTier[e.host];
  if (a === h) return 'ok';
  if (a > h) return 'ALERT  lower account on higher host';
  // a < h: a powerful account touched a weaker machine.
  return e.type === 3
    ? 'REVIEW network logon down-tier'
    : 'ALERT  credentials exposed down-tier';
}
const counts = { ok: 0, REVIEW: 0, ALERT: 0 };
for (const e of events) {
  const verdict = judge(e);
  counts[verdict.split(' ')[0]]++;
  console.log(e.t, e.acct.padEnd(9), '->', e.host.padEnd(11),
              'type', String(e.type).padEnd(3), verdict);
}
console.log('summary:', JSON.stringify(counts));

৬ · Windows LAPS — প্রতিটি যন্ত্রে আলাদা local admin password

পুরোনো অফিসে একটি বড় সমস্যা দেখা যায়। IT একবার image বানিয়ে সব কম্পিউটারে বসিয়েছে, আর local administrator password সব যন্ত্রে এক। এ যেন পুরো মহল্লার সব বাড়িতে একই তালা। একটি চাবি কপি হলেই সব বাড়ি খোলা।

Windows LAPS এই সমস্যা সমাধান করে। এটি প্রতিটি যন্ত্রের local admin password নিজে বদলায়, এলোমেলো রাখে, আর AD বা cloud directory-তে জমা রাখে। অনুমোদিত admin দরকারে পড়ে নিতে পারেন। Microsoft-এর পুরোনো LAPS প্রোডাক্ট ছিল আলাদা ইনস্টল। Windows LAPS ১১ এপ্রিল ২০২৩-এর update থেকে Windows-এর ভেতরেই আসে, আর নতুন Windows-এ পুরোনোটি deprecated.

• Password আলাদা আর নিয়মিত বদলায়: নীতি প্রতি ঘণ্টায় যাচাই হয়, মেয়াদ পেরোলে নতুন password. মেয়াদ নীতিতে ঠিক করা যায়।
• Encryption: AD-তে password encrypt করে রাখা যায়, তবে domain functional level ২০১৬ বা নতুন হতে হবে। পুরোনো emulation mode-এ password খোলা লেখায় থাকে, যা শুধু অস্থায়ী ধাপ।
• কে পড়তে পারে: পড়ার অধিকার আর decrypt করার অধিকার আলাদা। ডিফল্টে Domain Admins. Helpdesk-কে শুধু Tier 2 OU-র অধিকার দিন।
• DSRM account: DC-র জরুরি account-ও Windows LAPS সামলাতে পারে, সমর্থিত DC-তে।
• সীমা: LAPS domain account রক্ষা করে না। পাশাপাশি AD-তে যে পড়তে পারে সে-ই নতুন ঝুঁকির কেন্দ্র, তাই পড়ার অধিকার audit করুন।

অঙ্ক: এক password কত দূর পৌঁছায়

ধরুন ২০০টি যন্ত্র, প্রতিটির বছরে দখল হওয়ার সম্ভাবনা p = ১%, স্বাধীনভাবে। অন্তত একটি দখল হওয়ার সম্ভাবনা:

অর্থাৎ বছরে একটি যন্ত্র দখল হওয়া প্রায় নিশ্চিত ঘটনা। একই local password থাকলে সেই একটির ক্ষতি থেকে ২০০টিতেই পৌঁছানোর পথ খুলে যায়। LAPS থাকলে সেই পথ বন্ধ। প্রত্যাশিত দখল হওয়া যন্ত্র তখন ২০০ × ০.০১ = ২টি। ঝুঁকি শূন্য হলো না, কিন্তু ছড়ানোর হিসাব ২০০ থেকে ১-এ নামল।

নিচের খেলনা রিপোর্টে ১০টি কাল্পনিক যন্ত্র আছে। আসল password নেই, শুধু লেবেল।

// Toy report: how far does one local admin password reach?
// "pw" holds a label for a password, never a password. All data is made up.
const fleet = [
  ['PC-01', 'img-2023', 'L1'], ['PC-02', 'img-2023', 'L2'],
  ['PC-03', 'img-2023', 'L3'], ['PC-04', 'img-2023', 'L4'],
  ['PC-05', 'img-2023', 'L5'], ['PC-06', 'img-2023', 'L6'],
  ['SRV-01', 'img-2023', 'L7'], ['SRV-02', 'srv-old', 'L8'],
  ['SRV-03', 'srv-old', 'srv-old'], ['KIOSK-1', 'img-2023', 'img-2023'],
].map(([host, before, after]) => ({ host, before, after }));

function report(label, field) {
  const groups = {};
  for (const m of fleet) (groups[m[field]] ??= []).push(m.host);
  const reach = fleet.map(m => groups[m[field]].length);
  const worst = Math.max(...reach);
  const avg = reach.reduce((a, b) => a + b, 0) / fleet.length;
  console.log(`${label}: distinct=${Object.keys(groups).length}` +
              ` worst=${worst} of ${fleet.length} avg=${avg.toFixed(1)}`);
  return groups;
}
report('LAPS off', 'before');
const on = report('LAPS on ', 'after');
const gaps = Object.values(on).filter(g => g.length > 1).flat();
const covered = fleet.filter(m => /^L\d+$/.test(m.after)).length;
console.log(`coverage: ${covered} of ${fleet.length} = ${covered * 100 / fleet.length}%`);
console.log('not managed:', fleet.filter(m => !/^L\d+$/.test(m.after))
  .map(m => m.host).join(', '));
console.log('still sharing:', gaps.length ? gaps.join(', ') : 'none');

LAPS-এর অবস্থা দেখতে নিজের domain-এ নিচের কমান্ডগুলো চলে। -AsPlainText ইচ্ছা করেই বাদ, তাই password পর্দায় আসে না।

# Your own domain, with permission. The OU and computer names are examples.
# Who can read confidential attributes on this OU?
Find-LapsADExtendedRights -Identity 'OU=PCs,DC=corp,DC=example,DC=com'

# Metadata only: -AsPlainText is left out on purpose.
Get-LapsADPassword -Identity PC-HR-07 |
    Select-Object ComputerName, Account, PasswordUpdateTime, ExpirationTimestamp, Source

নমুনা আউটপুট — version-ভেদে আলাদা হতে পারে
ObjectDN                      ExtendedRightHolders
--------                      --------------------
OU=PCs,DC=corp,DC=example,... {NT AUTHORITY\SYSTEM, CORP\Domain Admins}

ComputerName        : PC-HR-07
Account             : Administrator
PasswordUpdateTime  : 10/12/2026 9:14:02 AM
ExpirationTimestamp : 11/11/2026 9:14:02 AM
Source              : EncryptedPassword

প্রথম ফলাফলে SYSTEM আর Domain Admins ছাড়া অন্য কেউ থাকলে সেটি তদন্তের বিষয়। দ্বিতীয় ফলাফলে PasswordUpdateTime অনেক পুরোনো হলে বুঝবেন যন্ত্রটি নীতি পাচ্ছে না। যন্ত্রের LAPS log-এ সফল password আপডেটের জন্য Event 10018 দেখতে পারেন।

৭ · Protected group, Protected Users আর gMSA

নাম কাছাকাছি হলেও এগুলো আলাদা জিনিস। পরীক্ষাতেও গুলিয়ে যায়।

Protected groups আর AdminSDHolder

AD কিছু অতি-গুরুত্বপূর্ণ group আর account-কে আলাদা নজরে রাখে: Domain Admins, Enterprise Admins, Schema Admins, Administrators, Account Operators, Backup Operators, Server Operators, krbtgt প্রভৃতি। AdminSDHolder নামের বস্তুটি এদের অনুমতির ছাঁচ। SDProp নামের একটি কাজ ডিফল্টে প্রতি ৬০ মিনিটে মিলিয়ে দেখে, আর অমিল পেলে ছাঁচ অনুযায়ী ঠিক করে দেয়। তাই AdminSDHolder-এর অনুমতি বদল নিজেই একটি উচ্চ-সংকেত ঘটনা। এটি Event 5136 দিয়ে নজরে রাখুন।

Protected Users group

Protected Users একটি বিশেষ group, Windows Server 2012 R2 functional level থেকে। সদস্যদের ওপর কিছু অপরিবর্তনীয় নিয়ম বসে:

• NTLM দিয়ে authenticate করতে পারেন না
• Kerberos-এ DES বা RC4 নয়, শুধু AES
• Unconstrained বা constrained delegation হয় না
• TGT-র আয়ু ৪ ঘণ্টা, পরে নতুন করে authenticate
• যন্ত্রে cached logon থাকে না, তাই offline login চলে না

Service account আর gMSA

Service account মানুষ নয়, কিন্তু প্রায়ই অনেক অধিকার রাখে, আর password বছরের পর বছর বদলায় না। Non-human identity-র ঝুঁকি পর্ব ২০-এ পড়েছেন। Windows-এর উত্তর হলো gMSA (group Managed Service Account).

• Password কেউ জানেন না: Windows নিজে লম্বা এলোমেলো password বানায় আর ডিফল্টে ৩০ দিন পরপর বদলায়।
• একাধিক server-এ এক পরিচয়: নির্দিষ্ট যন্ত্রগুলোই password নিতে পারে। অন্য কেউ পারে না।
• শর্ত: Domain-এ KDS root key থাকতে হবে, আর application-কে gMSA সমর্থন করতে হবে। AES চালু রাখুন।
• Server 2025: সেখানে delegated MSA (dMSA) নামে নতুন ধরনও আছে। ব্যবহারের আগে সর্বশেষ নথি পড়ুন।

সাধারণ নিয়ম: কোনো service account যেন Domain Admins-এ না থাকে। Error এলে সবচেয়ে বড় অধিকার দেওয়া সবচেয়ে সহজ, আর সবচেয়ে ভুল সমাধান। Least privilege এখানেই পরীক্ষায় পড়ে।

৮ · Audit — কোন event দেখবেন, কীভাবে তদন্ত করবেন

অফিসের রেজিস্টার খাতায় কে কখন ঢুকল লেখা থাকে। Windows-এর audit policy ঠিক করে সেই খাতায় কী কী লেখা হবে। অনেক ক্ষেত্রে ডিফল্ট যথেষ্ট নয়। Microsoft-এর নথিতেও বলা আছে, ডিফল্ট আচরণ version-ভেদে আলাদা, তাই Advanced Audit Policy নিজে ঠিক করতে হয়। আর log যন্ত্রে থাকলে দখলকারী মুছে দিতে পারে। তাই event কেন্দ্রীয় SIEM-এ পাঠান। কী রাখবেন আর কতদিন, তা পর্ব ৫৫-তে।

Microsoft-এর তালিকায় 4624-এর মতো event-এর গুরুত্ব কম, কারণ সংখ্যায় অনেক। 4719 গুরুত্বপূর্ণ, একবার ঘটলেও দেখার মতো। কিন্তু সব পরিবেশ আলাদা, তাই আগে নিজের স্বাভাবিক হার মাপুন। নিচে নিজের audit নীতি পড়ার কমান্ড আছে।

# Read-only, on a machine you administer. Run in an elevated prompt.
auditpol /get /subcategory:"Logon","Special Logon","Security Group Management","Security System Extension"

# Latest privileged group changes in the local Security log (run on a DC).
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4728, 4732, 4756 } -MaxEvents 5 |
    Select-Object TimeCreated, Id

নমুনা আউটপুট — version-ভেদে আলাদা হতে পারে
System audit policy
Category/Subcategory                      Setting
Logon/Logoff
  Logon                                   Success and Failure
  Special Logon                           Success
Account Management
  Security Group Management               Success
System
  Security System Extension               Success

TimeCreated           Id
-----------           --
10/30/2026 2:14:09 AM 4732
10/29/2026 3:01:44 PM 4756

একটি কেন্দ্রীয় নিয়ম Sigma-র ভাষায় এমন হতে পারে। Sigma নিয়ে বিস্তারিত পর্ব ৫৬-তে।

title: Member added to a privileged group
status: experimental
logsource:
  product: windows
  service: security
detection:
  selection:
    EventID:
      - 4728
      - 4732
      - 4756
    TargetUserName:
      - 'Domain Admins'
      - 'Enterprise Admins'
      - 'Schema Admins'
      - 'Administrators'
      - 'Backup Operators'
  condition: selection
level: high
falsepositives:
  - Approved changes; match them to a change ticket

এবার একটি খেলনা monitor. এতে অনুমোদিত change ticket-এর সাথে event মেলানো হয়, আর যোগ করে দ্রুত সরিয়ে নেওয়ার ধরনও ধরা হয়। সব ডেটা কাল্পনিক।

// Toy monitor for privileged group changes. Events and tickets are made up.
const WATCH = new Set(['Domain Admins', 'Enterprise Admins', 'Schema Admins',
                       'Administrators', 'Backup Operators']);
const ACTION = { 4728: 'add', 4732: 'add', 4756: 'add',
                 4729: 'remove', 4733: 'remove', 4757: 'remove' };
const approved = [ { ticket: 'CHG-204', group: 'Domain Admins', member: 'sohel-t0' } ];
const events = [
  { min:  610, id: 4728, group: 'Domain Admins',  member: 'sohel-t0',   by: 'rumi-t0' },
  { min:  640, id: 4728, group: 'Print-Staff',    member: 'tania',      by: 'tania-t2' },
  { min:  725, id: 4729, group: 'Domain Admins',  member: 'sohel-t0',   by: 'rumi-t0' },
  { min:  134, id: 4732, group: 'Administrators', member: 'svc-report', by: 'it-lead' },
  { min:  139, id: 4733, group: 'Administrators', member: 'svc-report', by: 'it-lead' },
  { min:  901, id: 4756, group: 'Schema Admins',  member: 'nadia',      by: 'rumi-t0' },
].sort((a, b) => a.min - b.min);
const clock = m => String(Math.floor(m / 60)).padStart(2, '0') + ':' +
                   String(m % 60).padStart(2, '0');
const open = new Map();          // "group|member" -> minute it was added
const SHORT_WINDOW = 30;         // minutes
for (const e of events) {
  const key = e.group + '|' + e.member, act = ACTION[e.id];
  let verdict = 'info (not watched)';
  if (WATCH.has(e.group)) {
    if (act === 'add') {
      open.set(key, e.min);
      const t = approved.find(a => a.group === e.group && a.member === e.member);
      verdict = t ? 'ok (' + t.ticket + ')' : 'ALERT no approved ticket';
    } else {
      const held = e.min - open.get(key);
      verdict = held < SHORT_WINDOW ? `ALERT add+remove in ${held} min` : `ok (held ${held} min)`;
    }
  }
  console.log(clock(e.min), e.id, act.padEnd(6), e.group.padEnd(14),
              e.member.padEnd(10), 'by', e.by.padEnd(8), verdict);
}

রপ্তানি করা event-এ দ্রুত গণনার জন্য awk কাজে লাগে। নিচে নমুনা CSV ব্লকের ভেতরেই তৈরি হয়। কোনো আসল log পড়া হয় না।

# Count events in a fixed sample export. Every row is made up.
dir=$(mktemp -d)
trap 'rm -rf "$dir"' EXIT
cd "$dir" || exit 1
cat > events.csv <<'EOF'
time,id,account,host,type
02:01,4625,admin,PC-FIN-02,3
02:01,4625,backup,PC-FIN-02,3
02:02,4625,rumi,PC-FIN-02,3
02:02,4625,tania,PC-FIN-02,3
02:03,4625,nadia,PC-FIN-02,3
02:09,4624,tania,PC-FIN-02,3
02:14,4672,tania,PC-FIN-02,-
02:16,4728,svc-report,DC-01,-
02:19,4697,tania,APP-SRV-04,-
09:02,4624,rumi-t0,PAW-T0-1,2
09:05,4672,rumi-t0,DC-01,-
10:11,4624,sohel-t1,APP-SRV-04,10
EOF

echo "== count by event id =="
awk -F, 'NR > 1 { n[$2]++ } END { for (i in n) print i, n[i] }' events.csv | sort

echo "== failed logons by host =="
awk -F, '$2 == 4625 { f[$4]++; u[$4 SUBSEP $3] = 1 }
  END { for (k in u) { split(k, p, SUBSEP); a[p[1]]++ }
        for (h in f) print h, "failures=" f[h], "accounts=" a[h] }' events.csv

echo "== high-value events =="
awk -F, 'NR > 1 && ($2 == 4728 || $2 == 4697) { print $1, $2, $3, $4 }' events.csv

Event থেকে তদন্ত

SIEM-এ ০২:১৪-য় একটি alert এলো। একজন বিশ্লেষক কীভাবে এগোবেন, ধাপে ধাপে দেখুন।

৯ · AD backup, recovery আর hybrid identity

সব প্রতিরোধ ব্যর্থ হতে পারে। প্রশ্ন তখন, পরিষ্কার অবস্থায় ফিরবেন কীভাবে। সাধারণ backup-এর চেয়ে AD-র backup কঠিন, কারণ বাকি সব সিস্টেম AD-র ওপর দাঁড়িয়ে।

• একাধিক DC-র নিয়মিত System State backup: একটিমাত্র DC-র backup মানে একক ব্যর্থতার বিন্দু। Hypervisor snapshot backup-এর বিকল্প নয়।
• Tombstone lifetime-এর চেয়ে নতুন: সাধারণত ১৮০ দিন, পুরোনো forest-এ কম হতে পারে। এর চেয়ে পুরোনো backup সমস্যা তৈরি করে।
• Backup-ও Tier 0: Backup-এর ফাইলে সব account-এর key থাকে। একে domain থেকে আলাদা, আর সম্ভব হলে অপরিবর্তনীয় বা offline জায়গায় রাখুন।
• দখলের আগের backup: Backup-এ যদি আক্রমণকারীর পরিবর্তন ঢুকে থাকে, ফেরা মানে তাকেও ফেরানো। তাই ঘটনা শুরু হওয়ার সময় বুঝতে audit লাগে।
• জরুরি জিনিস আলাদা রাখুন: DSRM password, BitLocker recovery key, topology মানচিত্র। DC না থাকলেও এগুলো পেতে হবে।
• krbtgt দুবার বদল: Microsoft-এর forest recovery নির্দেশিকায় krbtgt password দুবার বদলাতে বলা হয়, মাঝে অন্তত টিকিটের সর্বোচ্চ আয়ু, ডিফল্টে ১০ ঘণ্টা। কারণ পুরোনো দুটি password-ই ইতিহাসে থাকে।
• মহড়া: Microsoft-এর নির্দেশিকা forest recovery-র পদ্ধতি lab-এ পরীক্ষা করতে আর নিয়মিত, যেমন বছরে একবার, যাচাই করতে বলে। Lab-টি বিচ্ছিন্ন রাখুন। ভুল করে মোছা object ফেরাতে AD Recycle Bin আলাদা, ছোট হাতিয়ার।

Hybrid identity

অনেক প্রতিষ্ঠানে AD-র পাশাপাশি cloud directory থাকে, যেমন Microsoft Entra ID. দুটিকে জোড়ার নাম hybrid identity. একটি sync সেবা account তথ্য cloud-এ পাঠায়। Product-এর নাম আর সেবার ধরন সময়ে বদলায়, তাই ধারণাটি মনে রাখুন:

• Sync সার্ভার Tier 0: Identity sync সার্ভার দুই জগতের সেতু। একে সাধারণ সার্ভারের মতো রাখবেন না।
• Cloud admin cloud-only: On-premises account-কে cloud-এর বড় role দেবেন না। AD দখল হলে cloud-ও যেন না যায়।
• Federation-এর key: Federation ব্যবহার করলে token-সই করার key-ও Tier 0.
• শক্ত login: Privileged cloud role-এ phishing-প্রতিরোধী MFA আর সময়সীমিত অধিকার। Cloud-এর অনুমতি মডেল এই পর্বে আছে।

১০ · AI-এর যুগে Windows আর AD নিরাপত্তা

AI PowerShell খুব দ্রুত লেখে। তাই যাচাই করার দায় আরও বাড়ে, কারণ একটি ভুল কমান্ড পুরো domain-এ ছড়াতে পারে।

• প্রতিটি Event ID আর cmdlet Microsoft-এর নথিতে মিলিয়েছি
• কমান্ড আগে lab বা ছোট OU-তে চালিয়েছি, ফেরার পথ জানি
• AI যে অধিকার চেয়েছে, তার চেয়ে ছোট অধিকারে কাজ হয় কি না দেখেছি
• কোনো নিরাপত্তা নিয়ন্ত্রণ বন্ধ করিনি শুধু error সরাতে
• Prompt-এ আসল নাম, password, hash বা log পেস্ট করিনি
• মানুষের ওপর প্রভাব ফেলা সিদ্ধান্ত একজন মানুষ নিয়েছেন