Helyi rendszergazdai fiók jelszavainak kezelése LAPS segítségével
Az Active Directory egy központi címtárszolgáltatás, amely csoportházirend segítségével kezeli a tartományi számítógép- és felhasználói fiókokat, valamint az eszközkonfigurációt. A tartományvezérlők (DC-k) kivételével azonban a tartományhoz csatlakoztatott eszközök megtartják a helyi felhasználói fiókokat.
Tartományi környezetben a helyi rendszergazdai fiókok, amelyek ugyanazt a jelszót osztják meg minden számítógépen és kiszolgálón, vagy a jelszavakat, amelyeket nem cserélnek rendszeresen, kitéve tehetik az eszközöket a áteresztő PtH-támadásoknak. Míg a jelszavak megosztása megkönnyíti az informatikusok számára a támogatási célú hozzáférést, a jelszó felfedezése után a hacker oldalirányban mozoghat a hálózaton, és hozzáférhet érzékenyebb hitelesítő adatokhoz, például a tartományi rendszergazdai fiókhoz.
Egyes szervezetek csökkentik a helyi rendszergazdai fiók jelszavaival kapcsolatos kockázatot azáltal, hogy minden eszközön más jelszót rendelnek, és az eredményeket táblázatba vagy adatbázisba rögzítik. De ennek a megoldásnak is megvannak a maga problémái, mivel a jelszavak tárolására használt fájlt megfelelően le kell védeni, és a hozzárendelt jelszavak soha nem változnak.
Helyi rendszergazdai jelszómegoldás
A Microsoft ingyenes Windows-eszköze, a Local Administrator Password Solution (LAPS) csoportházirend-ügyféloldali bővítményt ad a felügyelt eszközökhöz, amely lehetővé teszi a helyi rendszergazdai fiókok jelszavainak biztonságos tárolását az Active Directoryban, és automatikusan megváltoztatja. 30 naponta, vagy a szervezet által meghatározott más időkeretben. Az informatikai személyzet ezután szükség esetén lekérheti a jelszót az Active Directoryból.
A LAPS telepítése leegyszerűsítheti a tagszerverek és PC-k auditálását azáltal, hogy központilag tárolja a helyi rendszergazdai fiók jelszavait, megkönnyítve ezzel a jelszómódosítások kezelését a hálózaton keresztül. Az eszköz innen letölthető, és Windows Vista és Windows Server 2003 (vagy újabb) rendszeren fut, és a .NET-keretrendszer 4.0 és a PowerShell 2.0 vagy újabb verziója szükséges.
Hogyan működik a LAPS?
A LAPS megköveteli, hogy az Active Directory sémát (Windows 2003 SP1 vagy újabb) ki kell terjeszteni két új attribútum támogatására, az ms-MCS-AdmPwd és az ms-MCS-AdmPwdExpirationTime, amelyek a helyi rendszergazda jelszavának és módosításának gyakoriságának tárolására szolgál azon számítógépes objektumok esetében, amelyek a konfigurált csoportházirend-objektum (GPO) hatókörébe tartoznak. Érdemes megjegyezni, hogy a LAPS támogatja a beépített rendszergazdai fiókok, az átnevezett beépített rendszergazdai fiókok vagy más IT által létrehozott rendszergazdai fiókok jelszavainak kezelését.
A LAPS saját PowerShell-modult tartalmaz, amely parancsmagokat tartalmaz az Active Directory-séma frissítéséhez, az új attribútumok engedélyeinek beállításához és az Active Directoryban tárolt jelszó olvasásához. Van egy grafikus felhasználói felület is az AD-ben tárolt jelszavak olvasásához, de az összes többi LAPS-funkciót a PowerShell segítségével kell végrehajtani.
A LAPS négy csoportházirend-beállítást ad hozzá a Számítógép-beállítások, a Házirendek, az Felügyeleti sablonok alatt, amelyek elérhetők azon a felügyeleti gépen, amelyen az eszköz telepítve van, és tartalmazza a jelszó hosszának és összetettségének beállítását, valamint a kezelendő rendszergazdai fiók nevét, ha a beépített rendszergazdai fiók le van tiltva.
Milyen támadások megelőzésében segíthet a LAPS eszköz?
