Errori di raccolta di Active Directory

Dopo ogni scansione interna con Active Directory, RECON registra l'esito della raccolta per ciascun dominio e, se qualcosa non va, ti dice il motivo e come risolverlo. Questa guida raccoglie tutti i motivi possibili.

3.121:58

Nel video, da 0:50, trovi i controlli di base quando Active Directory non dà risultati: domain controller raggiungibile sulle porte 389 o 636 e credenziali valide.

Sintomi

Nella scansione interna, scheda Active Directory, vedi uno di questi avvisi:

• Avviso rosso Active Directory non è stato raccolto: la raccolta è fallita, non ci sono dati e non viene mostrato alcun punteggio di postura.
• Avviso giallo Active Directory è stato raccolto solo in parte: alcune parti della directory mancano. La postura compare con l'etichetta "Basato su dati incompleti" e l'avviso elenca le parti in Non raccolto completamente.
• Nota "L'ultimo tentativo di raccolta (data) non è riuscito. I risultati qui sotto provengono dall'ultima raccolta completata.": un nuovo tentativo è fallito, ma RECON continua a mostrarti l'ultima raccolta valida.
• Avviso Stato della raccolta sconosciuto: il risultato arriva da una versione precedente della sonda, che non riporta lo stato dettagliato.

Con più sonde o più domini, il selettore dei domini può mostrare per una sonda anche: AD non configurato, AD non richiesto, Raccolta AD in attesa oppure Raccolta AD non riuscita.

Cause

Come RECON valuta una raccolta

Ogni raccolta ha uno stato: riuscita, parziale oppure fallita. La sonda legge la directory in dieci moduli: Radice del dominio, Utenti, Computer, Gruppi, Unità organizzative, Criteri di gruppo, Trust, Permessi (ACL), Servizi certificati e SYSVOL. Ogni modulo risulta Raccolto, Non riuscito, Accesso negato oppure Saltato.

• Saltato significa "non applicabile" (per esempio AD CS non è installato) e non rende mai la raccolta parziale.
• Se uno o più moduli risultano Non riuscito o Accesso negato, la raccolta è parziale.
• Se falliscono sia la radice del dominio sia gli utenti, oppure la sonda non riesce a collegarsi o ad autenticarsi, la raccolta è fallita.

Le regole che ti proteggono da dati sbagliati

• Una raccolta fallita non viene mai mostrata come una directory pulita con zero rilievi: non ha punteggio di postura.
• Un nuovo tentativo fallito non cancella l'ultima raccolta valida per la stessa sonda e lo stesso dominio: vedi i dati precedenti con l'avviso sull'ultimo tentativo.
• Una raccolta fallita non viene conteggiata nell'utilizzo del tuo account.
• La sonda raccoglie Active Directory dopo aver inviato i risultati della scansione di rete, con un massimo di 5 minuti per dominio. Per questo, a scansione completata, RECON attende da 5 a 20 minuti (5 minuti per ogni dominio collegato) prima di indicare Raccolta AD non riuscita; fino ad allora vedi Raccolta AD in attesa.

Motivi possibili

Soluzioni

Per ogni motivo, RECON mostra il testo sotto Come risolvere. Le credenziali e il domain controller si modificano dalla sonda: Sonde Interne, menu della sonda, Modifica, scheda Active Directory. Dopo ogni correzione, esegui di nuovo la scansione.

Nessun account di directory

Cosa vedi: "Al momento della scansione la sonda non disponeva di alcun account di directory."

Come risolvere: "Aggiungi un account di directory in sola lettura in Modifica sonda → Active Directory, poi esegui di nuovo la scansione." Se la credenziale risulta già collegata, premi Risincronizza credenziale e avvia la scansione entro 15 minuti.

Nome non risolto nel DNS

Cosa vedi: "La sonda non è riuscita a risolvere nel DNS il nome del dominio o del domain controller."

Come risolvere: "Assicurati che la sonda usi i DNS interni (quelli che servono la zona AD), oppure inserisci l'indirizzo IP del domain controller nelle impostazioni Active Directory della sonda." Il campo Dominio, IP o hostname accetta direttamente l'IP del controller.

Domain controller non trovato

Cosa vedi: "Non è stato trovato alcun domain controller per questo dominio."

Come risolvere: "Verifica il nome di dominio nelle impostazioni Active Directory della sonda e che i record SRV _ldap._tcp siano risolvibili dalla sonda, oppure imposta esplicitamente l'host del domain controller."

Domain controller non raggiungibile

Cosa vedi: "È stato trovato un domain controller, ma la sonda non è riuscita a connettersi via LDAP."

Come risolvere: "Consenti il traffico TCP 636 (LDAPS), oppure TCP 389 con StartTLS, dalla sonda al domain controller su ogni firewall intermedio."

Nessun canale cifrato

Cosa vedi: "La sonda non è riuscita ad aprire un canale LDAP cifrato (LDAPS, StartTLS e sigillatura NTLM non sono riusciti). Le credenziali non vengono mai inviate su una connessione non cifrata."

Come risolvere: "Abilita LDAPS sul domain controller (installando un certificato server) oppure consenti StartTLS sulla porta 389, poi esegui di nuovo la scansione."

Errore TLS

Cosa vedi: "L'handshake TLS con il domain controller non è riuscito (problema di certificato o di protocollo)."

Come risolvere: "Verifica che il certificato LDAPS del domain controller sia valido (non scaduto, con il nome host corretto) e che sia abilitato TLS 1.2 o superiore."

Firma LDAP richiesta

Cosa vedi: "Il domain controller richiede una firma LDAP che la sonda non ha potuto fornire su questo canale."

Come risolvere: "Abilita LDAPS (porta 636) sul domain controller, così la sonda può accedere tramite un canale cifrato e firmato."

Channel binding richiesto

Cosa vedi: "Il domain controller richiede il channel binding LDAP e ha rifiutato l'accesso della sonda."

Come risolvere: "Rendi disponibile LDAPS sul domain controller e aggiorna la sonda all'ultima versione. Se l'errore persiste, contatta il supporto allegando i dettagli tecnici."

Credenziali rifiutate

Cosa vedi: "Il domain controller ha rifiutato nome utente o password dell'account di directory."

Come risolvere: "Reinserisci o risincronizza la credenziale di raccolta nelle impostazioni Active Directory della sonda (Modifica sonda → Active Directory), poi esegui di nuovo la scansione." Se l'account di raccolta è stato eliminato o la sua password è cambiata in Active Directory, rimuovi la connessione e collegala di nuovo.

Account disabilitato, bloccato o scaduto

Cosa vedi: "L'account di directory è disabilitato, bloccato o scaduto, oppure la sua password è scaduta."

Come risolvere: "Chiedi all'amministratore AD di sbloccare o riabilitare l'account (o di reimpostarne la password), poi aggiornalo nelle impostazioni Active Directory della sonda."

Radice della directory illeggibile

Cosa vedi: "La sonda ha effettuato l'accesso, ma non è riuscita a leggere la radice della directory o l'elenco degli utenti."

Come risolvere: "Assicurati che l'account sia un normale utente di dominio (membro di Domain Users) e che il suo accesso in lettura al dominio non sia stato limitato."

Accesso negato ad alcune parti

Cosa vedi: "La sonda ha effettuato l'accesso, ma all'account è stato negato l'accesso in lettura ad alcune parti della directory."

Come risolvere: "Concedi all'account di raccolta l'accesso in lettura alle aree negate elencate qui sotto (per la maggior parte basta un normale account Domain Users), poi esegui di nuovo la scansione." Le aree negate sono i moduli con stato Accesso negato.

Alcune parti non raccolte

Cosa vedi: "La sonda ha effettuato l'accesso, ma alcune parti della directory non sono state raccolte."

Come risolvere: "Esegui di nuovo la scansione. Se le stesse parti continuano a non riuscire, verifica la stabilità della connessione al domain controller e contatta il supporto allegando i dettagli tecnici."

Tempo esaurito

Cosa vedi: "La raccolta ha esaurito il tempo disponibile prima di terminare."

Come risolvere: "Esegui di nuovo la scansione in un momento di minor carico e verifica la latenza tra la sonda e il domain controller. Directory molto grandi possono richiedere una sonda più vicina a un domain controller."

Raccoglitore interrotto

Cosa vedi: "Il raccoglitore Active Directory si è interrotto in modo imprevisto."

Come risolvere: "Aggiorna la sonda all'ultima versione ed esegui di nuovo la scansione. Se si ripete, contatta il supporto allegando i dettagli tecnici."

Motivo imprevisto

Cosa vedi: "La raccolta non è riuscita per un motivo imprevisto."

Come risolvere: "Esegui di nuovo la scansione. Se non riesce ancora, contatta il supporto allegando i dettagli tecnici qui sotto."

Stato per sonda nel selettore dei domini

• AD non configurato: la sonda non ha un account di directory. Collegalo dalla scheda Active Directory della sonda.
• AD non richiesto: nella scansione era disattivata l'opzione Includi Active Directory. Lasciala attiva nella prossima scansione.
• Raccolta AD in attesa: la raccolta non è ancora arrivata. Compare appena la sonda la carica.
• Raccolta AD non riuscita: la sonda ha un account, ma la raccolta non è stata completata e non è arrivato nulla. Verifica che la sonda sia online e raggiunga il domain controller, poi esegui di nuovo la scansione.

Prevenzione

• Tieni la sonda aggiornata: con le versioni precedenti RECON deduce lo stato dai dati di copertura e non può indicarti il motivo esatto.
• Assicurati che la sonda usi i DNS interni e raggiunga i domain controller sulla porta 636, oppure sulla 389 con StartTLS.
• Usa l'account di raccolta creato dalla sonda e non disabilitarlo né cambiarne la password in Active Directory.
• Dopo aver collegato o modificato un dominio, avvia una scansione entro 15 minuti, oppure usa Risincronizza credenziale.

Contattare il supporto

Se il problema persiste, apri Mostra dettagli tecnici nell'avviso e allega il testo alla richiesta. Il dettaglio contiene il messaggio di errore della raccolta: per un accesso rifiutato, di solito il codice restituito dal domain controller (per esempio data 52e) con il nome o l'IP del controller; per una raccolta parziale, l'elenco dei moduli non riusciti con il loro codice. RECON rimuove dal testo password, hash e altri segreti e lo limita a 300 caratteri.