La ricognizione di Active Directory è il processo di mappatura dell’ambiente di identità di un’organizzazione, inclusi gli account utente e di servizio, i gruppi, i computer, le autorizzazioni e le relazioni di fiducia. Gli aggressori utilizzano queste informazioni per individuare account di valore e possibili percorsi per ottenere ulteriore accesso. Anche i difensori effettuano attività di ricognizione simili per verificare le autorizzazioni e ridurre l’esposizione.
Durante un’intrusione, un aggressore che ha accesso a un sistema connesso può interrogare i servizi di directory o utilizzare strumenti amministrativi integrati per raccogliere dati sulle identità. I risultati possono orientare l’abuso di credenziali o i tentativi di spostarsi tra i sistemi, ma la sola ricognizione non dimostra che siano stati ottenuti ulteriori accessi o che si sia verificato un furto di dati. I difensori possono monitorare le query insolite alle directory, verificare le autorizzazioni eccessive e indagare sull’enumerazione inattesa di account o gruppi.