Belajar Active Directory - Active Directory Compliance & Auditing

#Pendahuluan

Di episode 27 kita membangun AD untuk skala enterprise. Organisasi sebesar itu hidup di bawah pengawasan: regulator, auditor, dan klien menuntut bukti. Pertanyaan yang diajukan bukan "apakah desain AD kalian bagus?", melainkan "buktikan siapa yang punya akses ke apa, siapa yang mengubah apa, dan kapan?".

Compliance adalah kebalikan dari rasa percaya: ia memaksa organisasi untuk membuktikan pengendalian, bukan sekadar mengklaimnya. Episode ini membedah cara mengubah AD dari sekadar direktori menjadi sumber bukti kepatuhan — dari audit policy hingga pelaporan yang bisa dipamerkan ke auditor.

#Regulasi dan Tuntutannya atas AD

Setiap regulasi punya bahasa dan fokus berbeda, tapi semuanya bermuara pada hal yang sama: siapa yang bisa mengakses apa, dan jejak apa yang ditinggalkan.

Regulasi	Fokus	Relevansi AD
SOX	Integritas laporan keuangan	Akses ke sistem finansial, segregation of duties, audit trail
HIPAA	Kerahasiaan data kesehatan	Kontrol akses PHI, audit log, prinsip minimum necessary
PCI-DSS	Keamanan data kartu	Autentikasi kuat, log retensi 1 tahun, least privilege
GDPR	Data pribadi warga Uni Eropa	Lifecycle akun, hak akses subjek, dokumentasi pemrosesan

Langkah pertama kepatuhan bukan mengaktifkan semua pengaturan — tetapi memetakan kontrol AD ke persyaratan regulasi yang relevan dengan organisasi kalian. Sertifikasi seperti SOC 2 atau ISO 27001 sering menjadi kerangka yang menyatukan semuanya.

#Advanced Audit Policy

Audit di Windows dibagi menjadi kategori: Account Logon, Logon/Logoff, Account Management, Directory Service Access, Policy Change, Privilege Use, dan Object Access. Untuk domain, kunci penting: peristiwa logon akun domain tercatat di DC, bukan di komputer user — jadi audit harus diaktifkan di DC.

Aktifkan lewat GPO (Computer Configuration, Windows Settings, Security Settings, Advanced Audit Policy Configuration) atau langsung dengan auditpol untuk uji cepat:

Aktifkan audit kategori penting

auditpol /set /subcategory:"Kerberos Authentication Service" /success:enable /failure:enable
auditpol /set /subcategory:"Directory Service Access" /success:enable /failure:enable
auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable

Important

Kategori Directory Service Access hanya menghasilkan event jika ada SACL (System Access Control List) pada objeknya. Tanpa SACL di root domain untuk izin "Replicating Directory Changes", kalian tidak akan melihat peristiwa DCSync — salah satu serangan paling berbahaya ke AD.

Pasang SACL pada root domain untuk hak replikasi dan pantau event 4662 untuk mendeteksi upaya DCSync sebelum hash kredensial bocor.

#Audit Akses Istimewa

Akses istimewa adalah zona yang paling diawasi auditor. Fokuskan audit pada:

Perubahan keanggotaan grup istimewa (Domain Admins, Enterprise Admins, Schema Admins): event 4728, 4732, 4756.
Akun baru yang langsung masuk grup istimewa atau dibuat di luar OU standar.
Akun dengan atribut adminCount yang menandakan pernah menjadi anggota grup istimewa — termasuk yang mungkin sudah tidak seharusnya.

Laporan sederhana untuk menemukan akun istimewa:

Daftar akun dengan adminCount

Get-ADUser -Filter "adminCount -eq 1" -Properties adminCount, PasswordNeverExpires, PasswordLastSet |
    Select-Object SamAccountName, PasswordNeverExpires, PasswordLastSet

Integrasikan dengan pemantauan dari episode 23: setiap perubahan grup istimewa harus memicu alert, bukan sekadar tercatat di log.

#Change Management dan Separation of Duties

Dua konsep yang tidak bisa dipisahkan dari compliance:

Change management. Setiap perubahan pada skema, GPO, struktur OU, trust, atau izin domain harus melalui alur: permintaan, persetujuan, implementasi, verifikasi, dokumentasi. Perubahan skema hanya oleh Schema Admins, diuji di lab, dan dijadwalkan di luar jam sibuk.
Separation of duties. Orang yang meminta perubahan tidak boleh menjadi satu-satunya yang menyetujui dan mengimplementasikannya. Pemantauan harus dilakukan oleh pihak yang terpisah — paling sederhana, tim keamanan memonitor perubahan yang dibuat tim infra.

Backup GPO secara berkala (GPMC) dan simpan arsip versinya. Ini memberi dua manfaat: rollback cepat dan bukti "apa yang berubah, kapan, oleh siapa" untuk auditor.

#Pelaporan: Siapa Punya Akses ke Apa

Auditor tidak tertarik pada proses — mereka tertarik pada jawaban atas pertanyaan spesifik. Siapkan laporan yang menjawabnya secara rutin:

User access review — pengelola divisi mengonfirmasi bahwa keanggotaan grup masih benar (recertification berkala).
Laporan grup istimewa — siapa saja di Domain Admins, Enterprise Admins, dan grup sensitif lainnya.
Keanggotaan grup berulang — untuk grup proyek yang menampung sub-grup, gunakan -Recursive:

Keanggotaan grup termasuk sub-grup

Get-ADGroupMember -Identity "Share-Proyek-A" -Recursive |
    Select-Object Name, SamAccountName | Sort-Object SamAccountName

Akun mati dan tidak aktif — sumber kebocoran akses paling umum:

Akun tidak aktif 90 hari

$cutoff = (Get-Date).AddDays(-90)
Get-ADUser -Filter * -Properties LastLogonDate |
    Where-Object { $_.LastLogonDate -lt $cutoff } |
    Select-Object SamAccountName, LastLogonDate

Kepatuhan kebijakan password — akun dengan PasswordNeverExpires, akun tanpa password wajib berganti, dan status PSO (episode 11).

Jadwalkan laporan ini sebagai pelaporan bulanan dan simpan hasilnya — arsip laporan adalah bukti bahwa proses review benar-benar berjalan.

#Siklus Hidup Sertifikat

Kalau kalian menjalankan AD CS (episode 18), kepatuhan mencakup siklus hidup sertifikat: pendaftaran, perpanjangan, pencabutan, dan publikasi CRL. Beberapa hal yang diaudit:

Masa berlaku CA root dan subordinate — perpanjangan root CA yang terlewat bisa merusak seluruh rantai kepercayaan.
Penerbitan sertifikat — audit event 4886 (pending) dan 4887 (issued) di CA.
Publikasi CRL dan AIA — CRL yang kedaluwarsa membuat validasi sertifikat gagal.
Kebijakan template — siapa yang boleh mendaftar template apa; template "Domain Controller" harus dibatasi ketat.

#Retensi dan Penyimpanan Log

Bukti tanpa retensi adalah omong kosong. Tetapkan kebijakan retensi:

Event log keamanan — atur ukuran log dan kebijakan retensi agar peristiwa penting tidak tertimpa sebelum dianalisis. Untuk lingkungan yang diaudit, arsipkan ke SIEM (episode 23) dan simpan sesuai persyaratan regulasi (PCI-DSS menuntut log tersedia 1 tahun).
Backup system state — simpan sesuai kebijakan retensi data dan uji restore-nya (episode 26). Untuk GDPR, pikirkan juga hak penghapusan data pribadi.
Arsip laporan review — simpan hasil recertification minimal beberapa periode audit.

#Penutup

Di episode 28 ini kalian memahami kepatuhan sebagai pekerjaan pembuktian: memetakan regulasi (SOX, HIPAA, PCI-DSS, GDPR) ke kontrol AD, mengaktifkan advanced audit policy yang tepat dengan SACL untuk DCSync, mengaudit akses istimewa, menerapkan change management dan separation of duties, menghasilkan pelaporan akses yang bisa dipamerkan ke auditor, menjaga siklus hidup sertifikat, dan menetapkan retensi untuk log, backup, dan arsip.

Poin kunci:

Tanpa SACL, audit Directory Service tidak berarti apa-apa.
Pemantauan grup istimewa harus memicu alert, bukan sekadar tercatat.
Laporan berkala yang diarsipkan adalah bukti bahwa kontrol berjalan.
Recertification berkala menutup celah akses yang paling sering dieksploitasi.

Setelah membuktikan pengendalian, ada satu langkah ke depan yang dituntut hampir semua regulasi dan tren keamanan modern: memperkuat autentikasi itu sendiri. Di episode 29 selanjutnya kita bedah Modern Authentication & Passwordless: Windows Hello for Business, FIDO2, passkeys, MFA, dan Conditional Access di era Microsoft Entra ID. Sampai jumpa!