4 lépés a biztonságos Active Directory felügyeleti modellhez
Az Active Directory (AD) a hackerek elsődleges célpontja, mivel lehetővé teszi a bizalmas vállalati adatokhoz való hozzáférést. Íme négy szempont az Active Directory biztonságos adminisztrációs modelljének létrehozásához.
1. Távolítsa el a felesleges domain rendszergazdai jogosultságokat
A tartományi és vállalati adminisztrátori fiókok birtokolják a királyság kulcsait, és ha feltörik, akkor a szervezet tulajdonában lévőnek tekintheti. Ezt szem előtt tartva meglepő lehet, hogy az egyik legnagyobb biztonsági probléma, amellyel a vállalatok szembesülnek, a tartományadminisztrátori fiókok elterjedése és a domain rendszergazdai fiók jelszavának megosztása.
Kezdje azzal, hogy gondoskodjon arról, hogy a tartományi rendszergazdai fiók jelszava hosszú és összetett legyen, és rendszeresen módosítsa. Ugyanakkor ne felejtse el a Directory Services Restore Mode (DSRM) jelszavát. Végezze el a Schema Admins, Domain Admins és Enterprise Admins csoporttagsági ellenőrzését. Az alapértelmezett fiókok kivételével ezeknek a csoportoknak az idő nagy részében üresen kell maradniuk.
A legtöbb Active Directoryhoz kapcsolódó feladat nem igényel rendszergazdai jogosultságokat, de ha privilegizált hozzáférés szükséges egy tartományvezérlőhöz, ideiglenesen rendelje hozzá a feladathoz megfelelő engedélyeket. Ha úgy dönt, hogy állandó jelleggel „rendszergazda” típusú jogosultságokat ruház át, például egy Windows-szolgáltatás újraindítását vagy a tartományvezérlő újraindítását, győződjön meg arról, hogy a naplózás úgy van beállítva, hogy rögzítse a fióktulajdonosok által végrehajtott változtatásokat.
2. Delegálást
Az Active Directory mindennapos adminisztrációs feladatai, például új felhasználói fiókok létrehozása és csoporttagság módosítása, nem igényelnek tartományadminisztrációs jogosultságokat. A beépített delegálási varázsló segítségével a felhasználók vagy csoportok hozzárendelhetők a szükséges jogok a leggyakoribb feladatok elvégzéséhez.
A delegálás megkönnyítése érdekében egy olyan szervezeti egység (OU) struktúra kialakítását javaslom, amely lehetővé teszi a tartományban speciális jogosultságokhoz rendelt fiókok elkülönítését a nem informatikai személyzethez rendelt fiókoktól. Például az informatikai ügyfélszolgálat munkatársai engedélyt kaphatnak felhasználói fiókok zárolásának feloldására és csoportobjektumok módosítására egy szervezeti egységben, de tilos bármilyen módosítást végrehajtani a tartományhoz kiváltságos hozzáféréssel rendelkező fiókok számára fenntartott szervezeti egységben.
3. Használja a Korlátozott csoportok házirendjét a kiváltságos csoportok védelméhez
A csoportházirend tartalmazza a Korlátozott csoportok nevű szolgáltatást, amely lehetővé teszi olyan házirendek meghatározását, amelyek meghatározzák az AD-tagságot vagy a helyi csoportokat. Ha megfelelően korlátozza a privilegizált AD-fiókok használatát, és adminisztrációs célból hozzáférést delegál az AD-hez, akkor beállíthat egy csoportházirend-objektumot (GPO) a Schema Admins, Domain Admins és Enterprise Admins csoportok tagságának kezelésére.
Míg az ilyen csoportok bármelyikéhez tagsággal rendelkező vagy a csoportházirend-objektum módosítására jogosult felhasználók felülírhatják a házirendet, a Korlátozott csoportok használata az AD-hez kiváltságos hozzáféréssel rendelkező csoportok tagságának meghatározásához segíthet megvédeni a tartományvezérlőket, ha egy szélhámos rendszergazda megpróbálja. hogy felvegyék magukat egy kiváltságos csoportba.
A csoportházirend-beállításokkal kapcsolatos időmegtakarítás érdekében használjon Active Directory-eszközöket, amelyek sokkal könnyebbé teszik az AD és a csoportházirend-objektumok kezelését.
4. A DC-k kezeléséhez használt munkaállomások elkülönítéset
Ha privilegizált hozzáféréssel rendelkező fiókkal kell bejelentkeznie vagy más módon távolról engedélyeznie az AD-t, ezeket a műveleteket mindig olyan eszközről kell végrehajtani, amelyet kifejezetten a mindennapi számítástechnikai feladatokhoz kapcsolódó kockázatok csökkentése érdekében konfiguráltak.
A privilegizált tartományfiókokkal való használatra kijelölt munkaállomásokat el kell különíteni az internettől, a legkisebb jogosultság elvével összhangban kell használni, engedélyezni kell az auditálást, és biztosítani kell más biztonsági védelmi eszközöket, például kártevőirtót, végponti tűzfalat és alkalmazásvezérlést. Ezenkívül helyezze el ezekhez a munkaállomásokhoz számítógépes objektumokat saját szervezeti egységükben, hogy a házirendet külön lehessen alkalmazni. A hozzáférést csak a helyi bejelentkezésekre korlátozza, és érvényesítse a fent említett korlátozásokat a csoportházirend segítségével.