Cyberpediaod Brain
PLDEENESFRITNLPT

Active Directory i Entra ID

Katalog firmowy decyduje, kto jest kim i kto ma do czego dostęp. Co robi pracownik, co robi administrator oraz jakie są pułapki.

W 30 sekund

Gdzie to się zdarza
Przy każdym logowaniu, także do Microsoft 365, ponieważ każdy abonent Microsoft 365, Azure lub Dynamics CRM Online już korzysta z Entra ID2.
Czego chce atakujący
Ważnego konta. MITRE ATT&CK opisuje konta atakowane metodą brute force, phishingiem lub innymi sposobami3.
Odruch
Zatwierdzać prośbę o potwierdzenie tylko wtedy, gdy sam(a) właśnie się Pan/Pani logował(a), a każdą prośbę, której Pan/Pani nie wywołał(a), zgłaszać4.

O co chodzi

Katalog firmowy przechowuje listę kont i określa, co każde z nich może robić. W środowisku lokalnym jest to często Active Directory Domain Services (AD DS), który przechowuje informacje o kontach użytkowników: nazwy, hasła, numery telefonów1. W chmurze jest to Microsoft Entra ID, usługa zarządzania tożsamościami i dostępem, która zapewnia uwierzytelnianie, egzekwowanie reguł oraz ochronę użytkowników, urządzeń, aplikacji i zasobów2.

Dla pracownika katalog pozostaje niewidoczny. Pojawia się w dwóch postaciach: ekranu logowania i prośby o zatwierdzenie na telefonie. Ta fiszka mówi, co pracownik robi w tych dwóch momentach, co robi administrator katalogu i gdzie kryją się pułapki.

Pytania wprost

Do czego służy katalog?

Katalog to hierarchiczna struktura, która przechowuje informacje o obiektach w sieci. Usługa katalogowa, taka jak AD DS, udostępnia te dane użytkownikom i administratorom1. Obiekty te obejmują zasoby współdzielone (serwery, woluminy, drukarki) oraz konta użytkowników i komputerów1. Bezpieczeństwo jest wbudowane w postaci uwierzytelniania przy logowaniu i kontroli dostępu do obiektów katalogu1.

Jaka jest różnica między Active Directory a Entra ID?

AD DS to usługa katalogowa systemu Windows Server1. Entra ID jest jego odpowiednikiem w chmurze: każdy tenant Microsoft 365 jest automatycznie tenantem Entra2. Oba mogą współistnieć. Konto w chmurze może być hybrydowe, czyli zsynchronizowane lub sfederowane z katalogiem lokalnym, takim jak Active Directory3. To samo hasło działa wtedy w obu światach, co zwiększa skutki jego kradzieży3.

Dlaczego samo hasło nie wystarcza?

Według Microsoftu samo hasło pozostawia niezabezpieczony wektor ataku: jeśli jest słabe albo zostało ujawnione gdzie indziej, atakujący może go użyć5. Uwierzytelnianie wieloskładnikowe wymaga co najmniej dwóch elementów z trzech: czegoś, co się wie (zwykle hasła), czegoś, co się posiada (telefonu, klucza sprzętowego), czegoś, czym się jest (odcisku palca, twarzy)5. Drugi składnik nie jest dla atakującego łatwy do zdobycia ani skopiowania5.

Organizacja może też ustalić reguły zależne od kontekstu. Zasady dostępu warunkowego Microsoft Entra to instrukcje typu „jeśli… to”: jeśli użytkownik chce uzyskać dostęp do aplikacji takiej jak Microsoft 365, musi przejść uwierzytelnianie wieloskładnikowe6. Mogą one pozostawić zwykłe logowanie w sieci firmowej lub na zarejestrowanym urządzeniu, a dodatkowy składnik wymagać przy dostępie zdalnym lub z urządzenia prywatnego5.

Co zrobić z prośbą o zatwierdzenie, której nie wywołałem(-am)?

Odrzucić ją i zgłosić. MITRE ATT&CK opisuje technikę generowania próśb MFA: atakujący, który zna hasło, ale nie ma drugiego składnika, wysyła powiadomienia push (Duo Push, Microsoft Authenticator, Okta lub podobne), aby ofiara je zaakceptowała4. Może powtarzać próby, by zalać użytkownika powiadomieniami, SMS-ami i połączeniami, aż ten się zgodzi, co źródło nazywa „MFA fatigue”4. Wśród środków zaleconych przez MITRE jest szkolenie użytkowników, by akceptowali wyłącznie prośby wynikające z logowań, które sami rozpoczęli, sprawdzali miejsce próby i zgłaszali podejrzane lub niezamówione prośby4.

Co atakujący może zrobić ze skradzionym kontem?

To zależy od konta. Konta domenowe to konta zarządzane przez AD DS, obejmujące użytkowników, administratorów i usługi7. Po przejęciu mogą posłużyć do uzyskania początkowego dostępu, utrwalenia obecności, podniesienia uprawnień lub uniknięcia obrony7. Po stronie chmury wysoko uprzywilejowane konto, sfederowane, zsynchronizowane lub wyłącznie chmurowe, może umożliwić przejście do środowiska lokalnego3.

Czym jest Kerberoasting?

W tym ataku przeciwnik posiadający ważny bilet Kerberos żąda od kontrolera domeny biletów usługi dla nazw głównych usługi (SPN)8. Część tych biletów może być zaszyfrowana algorytmem RC4. Skrót (hash) konta usługi służy wtedy jako klucz i staje się podatny na atak brute force offline, który może ujawnić dane uwierzytelniające w postaci jawnej8. Złamane skróty mogą dać dostęp do ważnych kont, z utrwaleniem obecności, podniesieniem uprawnień i ruchem bocznym8. Pracownika to nie dotyczy: obrona należy do osób zarządzających kontami usług.

1Jak to działa1 min

Katalog AD DS obejmuje schemat, który definiuje klasy obiektów i ich atrybuty, wykaz globalny, mechanizm zapytań oraz usługę replikacji1. Wszystkie kontrolery domeny w danej domenie uczestniczą w replikacji i zawierają pełną kopię informacji o swojej domenie: zmiana wprowadzona na jednym jest replikowana na wszystkie1.

Entra ID jest produktem podstawowym rodziny Microsoft Entra2. W tej rodzinie jest też Entra ID Governance, które automatyzuje wnioski o dostęp, przydziały i przeglądy oraz może odebrać uprawnienia pracownikowi opuszczającemu firmę2. Entra ID Protection wykrywa i sygnalizuje zagrożenia związane z tożsamościami2. Dla starszych aplikacji, które nie potrafią korzystać z nowoczesnego uwierzytelniania, Entra Domain Services oferuje usługi zarządzane, takie jak zasady grup, LDAP i uwierzytelnianie Kerberos/NTLM2.

Dostęp warunkowy decyduje na podstawie sygnałów: użytkownika lub grupy, lokalizacji IP, urządzenia, aplikacji, wykrytego ryzyka6. Jego decyzje sięgają od blokady po przyznanie dostępu pod warunkami: uwierzytelnianiem wieloskładnikowym, zgodnym urządzeniem, zmianą hasła6. Zasady te stosuje się po uwierzytelnieniu pierwszym składnikiem6. Domyślne ustawienia zabezpieczeń (security defaults) szybko włączają Microsoft Authenticator dla wszystkich użytkowników tenanta5.

2Co Pan/Pani robi1 min
  • Proszę włączyć uwierzytelnianie wieloskładnikowe, gdy zostanie zaproponowane. Dostępne metody to m.in. Microsoft Authenticator, Windows Hello for Business, klucze dostępu (FIDO2), token sprzętowy, SMS i połączenie głosowe5. Metodami zarządza się w My Profile5.
  • Proszę zatwierdzać tylko te prośby, które Pan/Pani sam(a) wywołał(a). Jeśli prośba przychodzi, choć nic Pan/Pani nie próbował(a) zrobić, proszę ją odrzucić i zgłosić zespołowi IT4.
  • Proszę wybrać unikalne, złożone hasło dla każdej usługi: MITRE zaleca złożone i unikalne hasła do kont w chmurze3.
  • Proszę nie używać hasła służbowego w innych miejscach. Strona MITRE o kontach domenowych wymienia ponowne użycie haseł wśród sposobów przejmowania kont7.

Co robi administrator katalogu:

  • Ograniczać konta usług do minimum potrzebnych uprawnień, w tym członkostwo w grupach uprzywilejowanych, takich jak Domain Administrators8.
  • Wymagać długich haseł do kont usług (najlepiej 25 znaków lub więcej), zmieniać je i rozważyć grupowe zarządzane konta usług lub sejf haseł8.
  • Ograniczać użycie kont uprzywilejowanych według poziomów administracyjnych i nie umieszczać kont użytkowników ani administratorów domeny w grupach administratorów lokalnych bez ścisłej kontroli9.
  • Regularnie przeglądać uprawnienia uprzywilejowanych kont w chmurze, takich jak Global Administrator i Privileged Role Administrator, sprawdzać, czy nie utworzono nieautoryzowanego konta uprzywilejowanego, i rozważyć tymczasowy (just-in-time) dostęp uprzywilejowany zamiast stałego przydziału3.
  • Przeglądać konta nieaktywne lub zbędne i je usuwać3.
  • Wyłączyć starsze uwierzytelnianie, które nie obsługuje uwierzytelniania wieloskładnikowego3.
3Pułapki1 min

Zbyt wiele kont administratorów. Każde konto uprzywilejowane jest celem: DCSync pozwala na przykład pobrać dane haseł z Active Directory, symulując replikację kontrolera domeny9. Mogą go uruchomić członkowie grup Administrators, Domain Admins i Enterprise Admins lub konta maszynowe kontrolera9. Uzyskane skróty, w tym skrót konta KRBTGT, służą potem do wytworzenia Golden Ticket lub do zmiany hasła9.

Brak drugiego składnika. MITRE podaje, że Storm-0501 użył konta Global Administrator ofiary, bez zarejestrowanej żadnej metody MFA, aby uzyskać dostęp do jej środowisk chmurowych3. Ta sama grupa wykorzystała przejęte konta, by dotrzeć do Microsoft Entra Connect, który synchronizuje tożsamości lokalne i Entra, dzięki czemu użytkownicy logują się do obu tym samym hasłem3.

Powiadomienie, które w końcu się akceptuje. Zmęczenie powiadomieniami push to udokumentowany sposób obejścia uwierzytelniania wieloskładnikowego4. MITRE radzi zastąpić zwykły push wpisywaniem jednorazowego kodu wyświetlanego na ekranie logowania oraz ograniczyć liczbę żądań wysyłanych w danym okresie4.

Zapomniane konta usług. To je atakuje Kerberoasting, także za pomocą narzędzi takich jak Rubeus czy polecenie Invoke-Kerberoast z PowerSploit8. MITRE zaleca, by w miarę możliwości preferować szyfrowanie AES zamiast RC48.

Ramy odniesienia. NIST opublikował ostateczną wersję SP 800-63B-4, poświęconą uwierzytelnianiu i zarządzaniu uwierzytelniaczami, 31 lipca 2025 r.10. Tekst dotyczy uwierzytelniania osób korzystających z systemów informacyjnych rządu USA i określa wymagania techniczne dla każdego z trzech poziomów zaufania10. Zastępuje wersję SP 800-63B z marca 2020 r.10.

4Rzeczywiste przypadki1 min

2025: ataki niszczące dane w Polsce

MITRE ATT&CK odnotowuje w atakach „2025 Poland Wiper Attacks” dwa użycia danych uwierzytelniających w tym samym epizodzie. Atakujący użyli kont uprzywilejowanych, aby uzyskać dostęp do rozwiązania VPN FortiGate i kolejnych podsieci7. Wykorzystali też dane uwierzytelniające skradzione ze środowisk lokalnych, aby dostać się do usług w chmurze3.

Karta

Identyfikator
CP-199
Skrzydło
3. Protokoły i obrona
Kompetencja Brain
Kontrolować dostęp (control_access)
Odruch Brain
cr-062
Schemat
G3 · Przekrój anatomiczny
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 10
ŹródłaŹródła: 10
  1. Microsoft, „Active Directory Domain Services overview”. https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview (dostęp 3 listopada 2026)
  2. Microsoft, „What is Microsoft Entra?”. https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/004/ (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1621/ (dostęp 3 listopada 2026)
  5. Microsoft, „How it works: Microsoft Entra multifactor authentication”. https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks (dostęp 3 listopada 2026)
  6. Microsoft, „What is Conditional Access?”. https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview (dostęp 3 listopada 2026)
  7. MITRE ATT&CK, „Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/002/ (dostęp 3 listopada 2026)
  8. MITRE ATT&CK, „Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1558/003/ (dostęp 3 listopada 2026)
  9. MITRE ATT&CK, „OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1003/006/ (dostęp 3 listopada 2026)
  10. NIST, „SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management”, 31 lipca 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Active Directory i Entra ID”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/active-directory-entra-id-tozsamosci/

BibTeX 
@misc{brain_cp199_pl_2026,
  author = {Brain},
  title = {Active Directory i Entra ID},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/active-directory-entra-id-tozsamosci/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0