AdInsight: monitorare le comunicazioni LDAP di Active Directory

Che cos'è LDAP e perché è importante

LDAP (Lightweight Directory Access Protocol) è un protocollo utilizzato per accedere e interrogare servizi directory. Negli ambienti Windows aziendali viene comunemente impiegato dalle applicazioni per consultare informazioni memorizzate in Active Directory, come utenti, gruppi, computer e altri oggetti.

Un'applicazione può utilizzare LDAP per cercare un account, verificare l'appartenenza a un gruppo o recuperare attributi necessari al proprio funzionamento. Se una richiesta è formulata in modo errato, se le credenziali non sono accettate o se il servizio directory non risponde come previsto, l'applicazione può manifestare errori difficili da interpretare.

AdInsight nasce proprio per rendere visibile l'attività LDAP generata dai programmi client e aiutare il tecnico a capire quali chiamate vengono effettuate e quali risultati restituiscono.

A cosa serve AdInsight

AdInsight è uno strumento di monitoraggio e diagnostica in tempo reale. Microsoft lo indica per la risoluzione dei problemi delle applicazioni client di Active Directory, compresi quelli che possono interessare:

• Autenticazione Windows: analizzare le chiamate directory effettuate da applicazioni che incontrano problemi di accesso o riconoscimento degli account.
• Microsoft Exchange: esaminare l'attività LDAP delle applicazioni e dei componenti che consultano Active Directory.
• DNS: indagare le richieste directory coinvolte in scenari di configurazione e gestione dei servizi.
• Applicazioni aziendali: verificare le interrogazioni LDAP e individuare errori nelle operazioni lato client.
• Prestazioni e configurazione: ricostruire la sequenza delle chiamate per capire dove si manifesta un comportamento anomalo.

Il programma non sostituisce un analizzatore di pacchetti: osserva le chiamate effettuate dal client alle API di Active Directory, non il traffico di rete in forma di pacchetti.

Come funziona il monitoraggio

Le applicazioni Windows possono utilizzare la libreria Wldap32.dll, che fornisce le funzioni standard alla base delle API LDAP e ADSI. AdInsight utilizza tecniche di DLL injection per intercettare le chiamate effettuate dai processi a questa libreria e registrarne i dettagli.

Questo approccio distingue AdInsight dai normali strumenti di monitoraggio della rete. Il programma può interpretare le API lato client anche quando una chiamata non provoca una trasmissione effettiva verso un server. Di conseguenza, la traccia può mostrare attività che un semplice packet sniffer non sarebbe in grado di rilevare.

AdInsight può monitorare i processi nei quali riesce a caricare la propria DLL di tracciamento. Secondo Microsoft non è necessario disporre sempre di privilegi amministrativi; eseguendolo con diritti amministrativi, tuttavia, può monitorare anche processi di sistema, inclusi i servizi Windows.

Download e avvio di AdInsight

AdInsight è distribuito gratuitamente da Microsoft Sysinternals. La versione riportata nella documentazione ufficiale è la 1.2, pubblicata il 26 ottobre 2015.

È disponibile anche l'avvio diretto tramite Sysinternals Live, il servizio Microsoft che permette di eseguire le utilità Sysinternals senza scaricarle manualmente in una cartella locale.

1. Scarica l'archivio ZIP dal sito Microsoft.
2. Estrai il contenuto in una cartella dedicata, per esempio C:\Sysinternals\AdInsight.
3. Avvia ADInsight.exe.
4. Se devi analizzare anche i servizi di sistema, valuta l'esecuzione con privilegi amministrativi, secondo le procedure del tuo ambiente.

AdInsight è un programma portatile e non richiede un'installazione tradizionale. La disponibilità delle chiamate da monitorare dipende dai processi che il programma riesce a intercettare e dalle autorizzazioni del sistema.

Come leggere gli eventi visualizzati

La finestra principale di AdInsight presenta gli eventi rilevati durante il monitoraggio. Le informazioni sono organizzate in righe e colonne, così da poter seguire la sequenza delle operazioni e individuare rapidamente il processo interessato.

A seconda dell'evento, la vista può riportare informazioni quali:

• ID: identificativo progressivo dell'evento nella traccia.
• Process: processo che ha generato la chiamata.
• Request: operazione o richiesta LDAP intercettata.
• Domain Controller: controller di dominio coinvolto, quando disponibile.
• User: contesto utente associato all'operazione, se rilevabile.
• Input e Output: parametri e risultati della chiamata.
• Duration: durata dell'operazione, quando disponibile.

Selezionando un evento è possibile esaminarne i dettagli, i parametri e le informazioni di ingresso e uscita. Le funzioni di visualizzazione degli eventi correlati e degli eventi della sessione aiutano a ricostruire il contesto in cui si è verificata una richiesta.

Individuare gli errori e gli eventi correlati

Quando un'applicazione non riesce a completare un'operazione, la traccia di AdInsight può aiutare a individuare la chiamata LDAP associata al problema. È possibile esaminare i dettagli dell'evento e passare agli eventi precedenti o successivi che presentano errori, quando disponibili nell'interfaccia.

Un metodo pratico consiste nel riprodurre il problema mentre AdInsight è in esecuzione e osservare quali eventi vengono generati dal processo interessato. In seguito si possono esaminare le richieste, i parametri e i risultati per capire in quale fase si verifica l'anomalia.

La presenza di un errore nella traccia non identifica automaticamente la causa definitiva. Può essere necessario verificare anche le credenziali, i permessi dell'account, la configurazione del client, la raggiungibilità del controller di dominio e i registri eventi di Windows.

Filtri, evidenziazione e sessioni

Durante una sessione di monitoraggio possono essere generate numerose chiamate. Per rendere più leggibile la traccia, AdInsight mette a disposizione funzioni dell'interfaccia per evidenziare eventi e concentrarsi su quelli di interesse.

È utile isolare il processo che manifesta il problema e osservare la sequenza degli eventi prodotti durante una singola operazione. La visualizzazione degli eventi correlati o della sessione consente di non considerare una chiamata in modo isolato, ma di inserirla nel flusso delle attività del client.

Per una diagnosi ordinata, annota l'ora in cui riproduci il problema, il nome dell'applicazione, l'account utilizzato e l'operazione che stai eseguendo. Questi riferimenti rendono più semplice interpretare la traccia.

AdInsight e gli altri strumenti di rete: quali differenze?

Questi strumenti non sono intercambiabili. AdInsight aiuta a capire quali chiamate LDAP effettua un'applicazione; un analizzatore di pacchetti mostra invece il traffico di rete; AdExplorer consente di consultare direttamente gli oggetti della directory.

Quando può essere utile AdInsight

Requisiti di sistema

La pagina Microsoft Sysinternals indica i seguenti requisiti minimi per AdInsight 1.2:

• Windows client: Windows Vista e versioni successive.
• Windows Server: Windows Server 2008 e versioni successive.

Si tratta dei requisiti pubblicati nella documentazione ufficiale dello strumento. Poiché AdInsight è un'utilità datata, in ambienti moderni è consigliabile provarla prima su una macchina di test e verificare che il comportamento sia compatibile con i sistemi e le applicazioni da analizzare.

Precauzioni durante il monitoraggio

• Utilizza AdInsight solo su computer e domini per i quali disponi di autorizzazione.
• Avvia il programma con privilegi amministrativi soltanto quando è necessario monitorare processi di sistema o servizi Windows.
• Ricorda che le tracce possono contenere nomi utente, nomi di processi, informazioni di directory e parametri delle richieste: proteggi i file e le schermate raccolte.
• Evita di condividere log completi senza aver verificato la presenza di dati aziendali o personali.
• Non interpretare una singola chiamata come prova certa della causa di un problema: confronta la traccia con gli altri registri e con la configurazione del sistema.

Domande frequenti su AdInsight

Conclusioni

AdInsight è uno strumento specializzato, pensato per chi deve diagnosticare applicazioni Windows che utilizzano Active Directory. La possibilità di osservare le chiamate LDAP lato client permette di approfondire problemi che non sono sempre evidenti con i normali strumenti di rete.

Non è un programma destinato al monitoraggio generico delle connessioni: dà il meglio quando si deve capire che cosa un'applicazione sta chiedendo ad Active Directory e come vengono gestite le relative chiamate. Considerata l'età della versione documentata, è consigliabile verificarne il funzionamento prima di impiegarlo in produzione.