誘捕帳戶

所需使用者角色：本機電腦上的管理員

誘捕帳戶是一個誘餌帳戶，其唯一的目的是偵測試圖透過 Active Directory 入侵網路的攻擊者。

這是 Tenable Identity Exposure 的攻擊指標偵測 Kerberoasting 攻擊的先決條件，此攻擊會要求和擷取服務工單，然後離線破解服務帳戶的憑證，藉此取得服務帳戶的存取權。當誘捕帳戶收到登錄嘗試或工單要求時，Kerberoasting 攻擊指標會發出警警示。

您可以為每個網域關聯一個誘捕帳戶。誘捕帳戶與安全性設定檔無關。

  1. 在 Tenable Identity Exposure 中，按一下「系統」>「網域管理」。

    「網域管理」窗格會隨即顯示。

  2. 將游標停留在您要新增誘捕帳戶的網域上。

  3. 在「誘捕帳戶設定狀態」下面，按一下 +。

    「新增誘捕帳戶」窗格隨即顯示。

  4. 在「名稱」方塊中，為使用者帳戶輸入要作為誘捕帳戶使用的辨別名稱 (DN)。

    提示：您可以輸入任何字串，如果 Active Directory 中已有此使用者帳戶，則 Tenable Identity Exposure 會在下拉式方塊中搜尋並顯示符合的使用者帳戶名稱。

  5. 在「部署」區段中，Tenable Identity Exposure 會產生一個具有適當設定的指令碼，您可以在部署誘捕帳戶時執行此指令碼。按一下 以複製此指令碼。

  6. 按一下「新增」。

    系統會顯示一則訊息，確認 Tenable Identity Exposure 已新增誘捕帳戶。在「網域管理」窗格中，所選網域的「誘捕帳戶設定狀態」顯示為橙色 ()，表示您必須執行誘捕帳戶部署指令碼才能將其啟動。

    注意：如果「誘捕帳戶設定狀態」顯示為紅色 ()，則表示 Tenable Identity Exposure 未在 Active Directory 中找到此使用者帳戶。您必須建立此使用者帳戶，然後繼續執行下一步。

  7. 在具有 Active Directory 模組的電腦上，在 Windows PowerShell 中執行您複製的誘捕帳戶部署指令碼。

    在「網域管理」窗格中，所選網域的「誘捕帳戶設定狀態」會顯示為綠色 ()，表示其處於作用中狀態。

    注意：Tenable Identity Exposure 可能需要一些時間來處理和啟動誘捕帳戶。

  1. 在 Tenable Identity Exposure 中，按一下「系統」>「網域管理」。

    「網域管理」窗格會隨即顯示。

  2. 將游標停留在您要新增誘捕帳戶的網域上。

  3. 在「誘捕帳戶設定狀態」下面，按一下右側的 圖示。

    「編輯誘捕帳戶」窗格會隨即顯示。

  4. 在「名稱」方塊中，視需要修改使用者帳戶。

  5. 在「部署」區段中，按一下 以複製誘捕帳戶部署指令碼。

  6. 按一下「編輯」。

    系統會顯示一則訊息，確認 Tenable Identity Exposure 已更新誘捕帳戶。在「網域管理」窗格中，所選網域的「誘捕帳戶設定狀態」顯示為橙色 ()，表示您必須執行誘捕帳戶部署指令碼才能將其啟動。

    注意：如果「誘捕帳戶設定狀態」顯示為紅色 ()，則表示 Tenable Identity Exposure 未在 Active Directory 中找到此使用者帳戶。您必須建立此使用者帳戶，然後繼續執行下一步。

  7. 在具有 Active Directory 模組的電腦上，在 Windows PowerShell 中執行您複製的誘捕帳戶部署指令碼。

    在「網域管理」窗格中，所選網域的「誘捕帳戶設定狀態」會顯示為綠色 ()，表示其已完成設定。

    注意：Tenable Identity Exposure 可能需要一些時間來處理和啟動誘捕帳戶。

  1. 在 Tenable Identity Exposure 中，按一下「系統」>「網域管理」。

    「網域管理」窗格會隨即顯示。

  2. 將游標停留在您要新增誘捕帳戶的網域上。

  3. 在「誘捕帳戶設定狀態」下面，按一下右側的 圖示。

    「編輯誘捕帳戶」窗格會隨即顯示。

  4. 按一下「刪除」。

    系統會顯示一則訊息，確認 Tenable Identity Exposure 已刪除誘捕帳戶。

另請參閱