3 módszer a szolgáltatásfiókok védelmére az Active Directoryban
Ha biztonsági gyenge pontokat keres szervezetében, a szolgáltatásfiókok auditálása nem rossz kiindulópont. Az Active Directory naplójának tartalmaznia kell az egyes fiókokhoz rendelt jogok megállapítását, a jelszó erősségét, az utolsó visszaállítás időpontját, valamint azt, hogy domain-fiókról, helyi fiókról, felügyelt szolgáltatásfiókról (MSA) vagy csoportosan felügyelt szolgáltatási fiókról (gMSA) van-e szó. .
A szolgáltatások beállíthatók a Helyi szolgáltatás, a Hálózati szolgáltatás vagy a Helyi rendszer fiókok használatával történő futtatásra, de ezek meg vannak osztva más folyamatokkal és alkalmazásokkal, és nem kezelhetők központilag. Bár a Helyi rendszer széles körű hozzáféréssel rendelkezik a Windowshoz, a Helyi szolgáltatás és a Hálózati szolgáltatás normál felhasználók Bejelentkezés szolgáltatásként NT joggal. A Hálózati szolgáltatás emellett képes csatlakozni a hálózat más eszközeihez az eszköz számítógépfiókjával.
Amikor a tartományi felhasználói fiókokat szolgáltatásfiókként használják, nagyobb szintű elkülönítést és kezelést biztosítanak, de a jelszavakat manuálisan vagy egyéni megoldással kell kezelni - vagy ahogy ez gyakran előfordul, a jelszavakat ritkán, ha egyáltalán nem állítják vissza.
1. lépés. Csoportosan felügyelt szolgáltatásfiókok
A szolgáltatásokhoz két speciális fióktípus használható: MSA-k és gMSA-k. Ha emlékszik vissza a Windows Server 2008 R2-re, a Microsoft bevezette az MSA-kat, de annyi figyelmeztetést tartalmaztak, hogy a lehetséges felhasználási esetek korlátozottak voltak. Az MSA-k alapfeltétele az volt, hogy biztosítsák a tartományi felhasználói fiókok kezelését és elkülönítését, de automatizált jelszókezeléssel. Az MSA-k egyszerűsített szolgáltatásnév (SPN) kezelést is biztosítanak.
A Microsoft a Windows 2012 rendszerben az MSA-kat gMSA-kkal javította. Az MSA-kkal ellentétben a gMSA-k egynél több eszközön használhatók, ütemezett feladatokat futtathatnak, és olyan alkalmazásokkal dolgozhatnak, mint az IIS és az Exchange. A Windows Server 2012 tartományvezérlőkön a Key Distribution Service (KDS) kezeli az egyes gMSA-khoz rendelt 120 karakteres jelszavakat. A gMSA-k használata előtt rendelkeznie kell legalább egy Windows Server 2012 (vagy magasabb tartományú) vezérlővel a tartományban, valamint Windows Server 2012-t vagy Windows 8-at (vagy újabbat) futtató, tartományhoz csatlakozó eszközökkel. A PowerShell a gMSA-k konfigurálására szolgál.
2. lépés. Hosszú jelszavak
Nem minden alkalmazás kompatibilis a gMSA-kkal, ezért néha a domain felhasználói fiók a legjobb megoldás. A Microsoft legalább 25 karakterből álló jelszavakat javasol a szolgáltatásfiókokhoz, és a szolgáltatásfiók jelszavainak módosítási folyamatát is végre kell hajtani. Ezenkívül helyezze el a szolgáltatásfiókokat egy dedikált szervezeti egységbe (OU) az AD-ben, hogy azokat a többi fióktól elkülönítve lehessen kezelni, és győződjön meg arról, hogy szigorú jelszóházirendet alkalmaznak rájuk.
3. lépés. A legkisebb kiváltság elve
Abban az esetben, ha egy szolgáltatási fiókot feltörnek, minél kevesebb jogosultság van hozzárendelve a fiókhoz, annál jobb. Bár a maximális kompatibilitás érdekében könnyen hozzárendelhető rendszergazdai jogosultság, ritkán van szükség ilyen nagy horderejű hozzáférésre. Nézze meg, milyen jogokra van szüksége a szolgáltatásfióknak, és csak ezeket a jogokat rendelje hozzá az elszenvedett kár mértékének korlátozásához.