Helyi rendszergazdai csoport módosításai: Értesítés a PowerShell segítségével

Képzeld el. Ön egy olyan cégnél dolgozik, amely büszke a biztonsági gyakorlatára. Rendelkeznek tűzfalakkal, IDS/IPS-rendszerekkel, rutinszerűen végeznek biztonsági auditokat, naprakészen tartják a javításokat, és van egy nagyon drága SIEM-termékük, amely riasztásokat generál, amint valami rossz történik. Egy nagyon fontos alkalmazott, aki rendkívül érzékeny adatokkal rendelkezik a számítógépén, napi dolgait végzi. Nevezzük George-nak. George úgy dönt, hogy elmegy ebédelni, de elfelejti lezárni a számítógépét. Ez önmagában rossz gyakorlat, de még rosszabb, mivel George PC-jét a nyilvánosság hozzáférhet, ha nincs a közelben. Körülbelül 50 perccel George ebédje után egy aljas személy (nevezzük Pete-nek) megpillantja George számítógépét, aki éppen az asztal képernyőjén ül, és úgy dönt, hogy megkockáztatja.

Tudván, hogy George bármikor visszatérhet, Pete-nek gyorsan el kell jutnia George számítógépéhez, és amilyen gyorsan csak tud, távoznia kell. Miközben a számítógépén dolgozik, Pete csendes boldog táncot jár a fejében, amikor megtudja, hogy George domain fiókja egy helyi rendszergazda. Pete most már teljes ellenőrzést gyakorol a számítógép felett. Mivel Pete nem ismeri George jelszavát, úgy dönt, egyszerűen létrehoz egy másik helyi felhasználói fiókot, és behelyezi az adminisztrátorok csoportjába, és megkapja a számítógép nevét. Pete gyorsan elmegy, és látja, hogy George visszatér. Pete tudja, hogy most az övé a számítógép.

Pete örömmel turkál, és meglátja, mit tud tenni, azonnal kimegy a kocsijához, felkapja a laptopját, és elindul az előcsarnokba. Történetesen van egy ingyenes hálózati leszállás közvetlenül a szék mellett. „Annyira hívogató ez a társaság” - gondolja Pete. Csatlakoztatja, megpróbál hozzáférni George PC-jéhez, hitelesítő adatokat kér, és be van kapcsolva.

Történt már hasonló forgatókönyv az Ön cégében? Tudod egyáltalán, hogy megtörtént vagy meg fog történni? Rengeteg biztonsági hiba történt itt, de az egyik nem figyelte a helyi rendszergazdák csoportját. Ha ez a cég rendszeresen figyeli ezt a csoportot, akkor tudhatták volna, hogy egy ismeretlen fiók került hozzáadásra, és most már teljes irányításuk alatt áll, de nem tették, és George számítógépe veszélybe került. Hogyan akadályozza meg ezt a cég a jövőben? Ennek egyik módja egy egyszerű, ingyenes Windows PowerShell-szkript.

A Windows PowerShell egy nagyon hatékony szkriptnyelv, és számos felhasználási területe van. Az egyik ilyen felhasználási terület a helyi felhasználói fiókok felsorolása a helyi vagy távoli számítógépeken, valamint a beépített e-mail funkciók. A PowerShell segítségével olyan szkriptet készíthetünk, amely rutinszerűen lekérdezi George (és más) számítógépeit a helyi rendszergazdák csoportjában bekövetkezett változásokról, és automatikus e-maileket kap, ha új tagot adunk hozzá. Lássuk, hogyan kell ezt megtenni. De először itt egy bemutató, hogy mi lehetséges ezzel a forgatókönyvvel.

Amikor ez először fut néhány számítógépen, akkor létrehozza a naplófájlt, amely nyomon követi a taglistákat. Ebben a példában látható, hogy ez volt a legelső futtatás, így nem találhatók módosítások.

Másodszor futtatom, és bár a naplófájl létrejött, egyik számítógépen sem változott a csoporttagság.

Ez a szkript egy CSV-fájlt hoz létre a következő tartalommal. Figyelje meg, hogy az MDTSERVER számítógépnek két tagja van a helyi rendszergazdák csoporton belül, míg a localhostnak 4 különböző tagja van.

Most adjunk hozzá egy tagot a csoporthoz a localhost-on.

Az utolsó sorban azt látom, hogy új tagot találtak a localhost-on az utolsó futás óta, és most kaptam egy e-mailt, amely értesíti erről. A CSV-fájl is rögzítette ezt a tevékenységet.

Most újra futtatjuk a szkriptet, és összesen 5 tagot lát, de nem küld értesítést e-mailben. Csak e-mailben küld értesítést a változásokról, de könnyen módosítható úgy, hogy számos különböző feltétel alapján értesítsen.

Ez a szkript csak egy példa volt arra, hogy mi lehetséges a PowerShell auditálási célokra. Használja sablonként, ha nem felel meg az Ön igényeinek, és szabja testre, ahogy szeretné. A PowerShell nagyszerű eszköz a kezdetleges vagy ad-hoc auditálási szolgáltatások megkezdéséhez, de nem ajánlom nagy, vállalati szintű auditálási megoldások kiépítéséhez. Egy átfogó auditálási megoldásnak illeszkednie kell a számlához, és a PowerShellt mindig használhatja kiegészítésként.