Постановка задачи: в условиях высокой зависимости корпоративных инфраструктур от доменной архитектуры Active Directory (AD) защита домена рассматривается как ключевой элемент обеспечения устойчивости всей информационной системы организации. Однако практика эксплуатации демонстрирует, что даже при наличии множества технических средств защиты компрометация AD остается возможной вследствие отсутствия системной интеграции технических и организационных мер. Наблюдается фрагментарность внедрения защитных решений, несогласованность процедур администрирования и мониторинга, а также разрыв между архитектурой безопасности и процессами ее сопровождения. Целью работы является разработка интегрированной модели защиты домена Active Directory, объединяющей технические и организационные меры на всех уровнях инфраструктуры — от сетевой сегментации до системы мониторинга инцидентов — с формализацией критериев их критичности и взаимосвязей. Используемые методы: методология базируется на системном анализе доменной инфраструктуры, декомпозиции уровней защиты, анализе матрицы MITRE ATT CK, методе экспертных оценок критичности мер, а также анализе журналов событий Windows для построения модели мониторинга и корреляции инцидентов. Новизна: предложена пятиуровневая интегрированная модель защиты Active Directory, рассматривающая систему мониторинга (SIEM-EDR) как интеграционный слой, объединяющий технические и организационные контрмеры в единую эшелонированную архитектуру. Введена классификация мер по уровню критичности в зависимости от их положения в цепочке атаки. Результат. Разработана структурированная модель интеграции технических и организационных мер защиты AD, сформированы таблицы соответствия векторов атак и контрмер, определены приоритеты мониторинга событий Windows и критерии критичности защитных мероприятий. Практическая значимость: предложенная модель позволяет выстраивать архитектуру защиты доменной инфраструктуры с учетом ограничений реальных организаций, обосновывать приоритетность внедрения мер, повышать эффективность процессов реагирования на инциденты и рационально распределять бюджет информационной безопасности.

Purpose. In conditions of high dependence of corporate infrastructures on the domain architecture of Active Directory, domain protection is considered as a key element of ensuring the stability of the entire information system of the organization. However, operational practice demonstrates that even with a variety of technical means of protection, AD compromise remains possible due to the lack of system integration of technical and organizational measures. There is a fragmented implementation of security solutions, inconsistency in administration and monitoring procedures, as well as a gap between the security architecture and its maintenance processes. The purpose of the work is to develop an integrated Active Directory domain protection model that combines technical and organizational measures at all levels of the infrastructure --- from network segmentation to an incident monitoring system --- with formalization of criteria for their criticality and interrelationships. Methods. The methodology is based on a system analysis of domain infrastructure, decomposition of protection levels, analysis of the MITRE ATT CK matrix, the method of expert assessments of the criticality of measures, as well as analysis of Windows event logs to build a monitoring model and incident correlation. Novelty. A five-level integrated Active Directory protection model is proposed, considering a monitoring system (SIEM-EDR) as an integration layer that combines technical and organizational countermeasures into a single layered architecture. A classification of measures according to the level of criticality has been introduced, depending on their position in the attack chain. Results. A structured model for the integration of technical and organizational AD protection measures has been developed, tables of matching attack vectors and countermeasures have been formed, priorities for monitoring Windows events and criteria for the criticality of protective measures have been determined. Practical relevance. The proposed model makes it possible to build a domain infrastructure protection architecture taking into account the limitations of real organizations, justify the priority of implementing measures, increase the effectiveness of incident response processes and rationally allocate the information security budget.