5 legjobb helyi rendszergazdai jelszómegoldás (LAPS) tipp

A helyi Windows rendszergazdai fiók a hackerek és a rosszindulatú programok áhított célpontja. Potenciálisan sok rossz dolog történhet, ha egy hacker feltöri az egyik szerver helyi adminisztrátori fiókját.

Szörnyű dolgok általában akkor történnek, amikor valaki a rendszergazdai fiók használatával is letölt egy rosszindulatú rosszindulatú program törzset. Ezeknek a problémáknak a mértéke még jobban felerősödik, ha az alapértelmezett rendszergazdai fiókot használja minden hasonló géphez, amely ugyanazt a jelszót használja.

A világ legbonyolultabb jelszavával rendelkezhet, de ha egy gépen feltörték, akkor az ugyanazokat a helyi rendszergazdai adatokat használó összes többi eszköz számára is nyitva áll.

Természetesen testreszabhatja a helyi rendszergazdai hitelesítő adatokat minden Windows-eszközhöz, de ez rendkívül időigényesnek bizonyulhat, nem is beszélve a számos hitelesítőadat-készlet leltározásáról. A folyamat gyakorlatilag kivitelezhetetlenné válik, ha engedélyezi a jelszófrissítést (amit természetesen meg kell tennie). Ez az oka annak, hogy sok rendszergazda gyakran csak letiltja.

De érthető, ha van valamilyen helyi adminisztrátori fiók, amely „megjavítja a gépet”, mint például a domain bizalmi kapcsolatának visszaállítása vagy az IP-cím merevkódolása stb.

Ha szörnyű ötlet, hogy minden gépen ugyanaz a helyi rendszergazdai jelszó, mit lehet tenni ellene?

1. tipp: Használja a Microsoft Local Administrator Password Solution (LAPS) megoldást

A Microsoft Local Administrator Password Solution (LAPS) egy Microsoft-eszköz, amellyel az AD-rendszergazdák kezelhetik a tartományhoz csatlakozó számítógépek helyi fiókjainak jelszavát, és tárolhatják azokat az AD-ben.

A csoportházirenden keresztül történő megvalósításkor a LAPS egy meghatározott hosszúságú és összetettségű véletlenszerű jelszót hoz létre, amely kriptográfiailag biztonságos és minden gépen más és más. Ezután alkalmazza az újonnan létrehozott jelszót a helyi rendszergazdai fiókra, és rögzíti a jelszót az Active Directory-séma biztonságos mezőjében. Ezután lekérhetők, amikor hozzáférésre van szükség a fiókhoz. A folyamat automatikusan megtörténik, amikor a csoportházirendben meghatározott jelszófrissítés esedékes.

A LAPS-nek néhány követelménye van a megvalósításához:

Csak Windows-eszközökre vonatkozik
Az eszközöknek tartományhoz kell kapcsolódniuk
Ingyenes csoportházirend-ügyféloldali bővítmény szükséges
Sémabővítményt igényel (ne izgulj.)
Csak a helyi rendszergazdai fióknál működik
Csak EGY helyi rendszergazdai fiókkal működik (ha több is van.)

2. tipp: LAPS és csoportházirend

Amint már említettük, a LAPS-t a csoportházirend használatával telepítik, ami azt jelenti, hogy csoportházirend-objektum létrehozását igényli. Először le kell töltenie a LAPS-t, amit itt tehet meg.
Ezután a varázsló segítségével telepítse a csoportházirend-kezelő gépére. Ezt kézzel kell megtennie, és általában NEM valamilyen automatizált módon.

Győződjön meg arról, hogy legalább a GPO-szerkesztő sablonokat választotta a szükséges ADMX-fájlok eléréséhez. A zsír kliens egy grafikus felhasználói felület, amely lehetővé teszi a megfelelő jogosultságokkal rendelkező felhasználó számára, hogy lekérdezze a kijelölt eszköz jelszavát. Csak a felügyeleti eszközöket kell telepítenie, és nem az „AdmPwd GPO-bővítményt” (a GPMC-vel rendelkezőt).

Ezután lépjen be a helyi PolicyDefinitions mappába, és másolja ki az AdmPwd.admx és AdmPwd.adml fájlokat, és illessze be őket az AD központi tárolójába. (Tekintse meg ezt a videót erről a folyamatról).

Ezután ki kell terjesztenünk az AD sémát a helyi jelszavak befogadása érdekében.

A két kötelező attribútum a következő:

ms-Mcs-AdmPwd - A jelszót tiszta szövegben tárolja
ms-Mcs-AdmPwdExpirationTime - tárolja a jelszó visszaállításához szükséges időt

A séma frissítéséhez egyszerűen importálja az AdmPwd PowerShell modult, és használja az update-AdmPwdADSchema parancsot az alábbiak szerint.

A következő lépés egy számítógép oldali csoportházirend-objektum létrehozása. Ebben a példában LAPS szabályzatnak fogom hívni. A LAPS-beállítások most a Számítógép konfigurációja > Felügyeleti sablonok > LAPS alatt jelennek meg, ahol 4 beállítás érhető el az alábbiak szerint.

A LAPS csoportházirend-objektum segítségével kezelheti az alapértelmezett helyi rendszergazda vagy egyéni helyi rendszergazdai fiók jelszavát. Az alábbiakban engedélyeztem a „Helyi rendszergazdai jelszókezelés engedélyezése” beállítást.

Ha átnevezte a helyi rendszergazdai fiókot (amit meg kell tennie), akkor megadhatja a frissített nevet. Az adminisztrátori fiók kiválasztása után az utolsó lépés a csoportházirend-beállítás engedélyezése, amely konfigurálja a jelszóbeállításokat (beleértve a jelszó hosszát és korát).

A konfigurálás után egyszerűen telepítse a LAPS kliensoldali bővítőszoftvert a kívánt szoftvertelepítési módszerrel, például a PDQ Deploy segítségével. Csak akkor van szüksége a „GPO Extension” részre, ha kézzel fog elvégezni egy kezdeti tesztet. Ezt itt láthatod.

A PolicyPak használatával is nagyobb irányítást szerezhet a telepítési folyamat felett. Bővebben egy perc múlva.

3. tipp: Jelszavak beszerzése szükség esetén LAPS-en keresztül

Tehát eljön a nap, amikor tudnod kell, mi az egyik Windows-géped aktuálisan generált jelszava. Hogyan csinálod? Számos módja van. On a következő PowerShell-parancs használata.

Get-AdmPwdPassword - Számítógépnév „számítógép neve”

Ha telepítette a LAPS Fat Client programot, a start menüben elérheti a LAPS UI alkalmazást.

4. tipp: Rendeljen granulált LAPS-irányelveket a felhasználókhoz elemszintű célzással

A PolicyPak az összes ADMX-sablon-beállítást a PolicyPak Admin Templates Managerben kínálja, és minden új ADMX-kiadáskor frissítjük őket. Az Admin Templates Manager használatának számos előnye van a normál csoportházirenddel szemben.

A PolicyPak a Csoportházirend-szerkesztőt használja az alábbiak szerint, de hozzáad egy titkos szuperképességet.

A fő előny az, hogy a PolicyPak elemszintű célzást használhat bármely csoportházirend-beállításhoz, beleértve a LAPS-t is.

Ha ismeri a csoportházirend-beállításokat, akkor már tudja, hogy az ILT hogyan biztosít sokkal részletesebb házirend-hozzárendelést. Tegyük fel például, hogy a szervereken található összes helyi rendszergazdai fiók neve ServAdm1n, és külön LAPS-házirendet szeretne létrehozni ezeknek a rendszergazdáknak. Mivel ezek nem adminisztrátori tartományi fiókok, nem célozhatja meg őket csoportházirend segítségével, de az ILT segítségével megcélozhatja azokat a Windows Server 2016 rendszert futtató gépeket.

Most készítsünk LAPS-házirendet a C-Level vezetői laptopokhoz. Természetesen szeretnénk erős jelszót biztosítani ezekhez a helyi rendszergazdai fiókokhoz. Ebben az esetben a 20 karakteres jelszavakat a legerősebb összetettséggel akarom kényszeríteni. Ezután ILT-vel fogom megcélozni a C-Level biztonsági csoportot. Amint az alábbi képernyőképen is látható, számos célozható lehetőség létezik, beleértve a számítógép nevét, az OU-egyezést, a webhely egyezését, a számítógépes formát (laptop vs. asztali számítógép) és még sok mást!

Bónuszként, míg a csoportházirend-szerkesztőben létrehozott hagyományos csoportházirend-objektumok általában csak csoportházirend használatával telepíthetők, a PolicyPak beállításai számos módon telepíthetők, például SCCM, KACE vagy az Ön által preferált MDM-szolgáltatás használatával.
Erről a folyamatról többet megtudhat, ha megtekinti ezt a videót, amely bemutatja a csoportházirend-beállítások továbbításának folyamatát maga a csoportházirend-motor nélkül.

5. tipp: Párosítsa a LAPS-t a PolicyPak Least Privilege Managerrel

A helyi adminisztrátori jelszómegoldás nagyszerű eszköz a legfontosabb gépeihez való adminisztratív hozzáférés szűkítésére. Valójában remek párosítást alkot a PolicyPak Least Privilege Managerrel. A PolicyPak Least Privilege Manager teljesen megszünteti a helyi rendszergazdai jogok szükségességét, lehetővé téve a normál felhasználók számára, hogy speciális funkciókat hajtsanak végre, például adminisztrátorként… de tényleges rendszergazdai jogok nélkül.

Együtt érvényesítheti a LAPS-t az összes vállalati gépén… mivel nem lesz többé szüksége helyi rendszergazdai hozzáférésre.