Az Active Directory erdő-helyreállítás magyarázata
Ezért az Active Directory erdő-helyreállításának minden szervezet kiberbiztonsági stratégiájának központi elemét kell képeznie. De mit takar egy szilárd AD erdő-helyreállítási terv? És melyek azok a gyakori hibák, amelyeket érdemes elkerülni a stratégia tervezése során? Ez a blogbejegyzés választ ad ezekre a kritikus kérdésekre, és még sok másra.
Mi az az Active Directory erdő-helyreállítás?
Az AD-erdő helyreállítása egy Active Directory-erdő működőképes állapotának visszaállítása katasztrófa, például kibertámadás, hardverhiba, természeti katasztrófa vagy rendszergazdai hiba után.
Rövid felfrissítésképpen egy AD-erdő a következő hierarchiával rendelkezik: erdő > fa > tartomány. Vagyis az Active Directory erdő egy vagy több Active Directory fa gyűjteménye megosztott címtársémával, globális katalógussal, alkalmazásinformációkkal és konfigurációs objektumokkal. (A globális katalógus felsorolja az erdőben található összes objektumot, a séma pedig meghatározza az egyes objektumok osztályát és attribútumait az erdőben.) Minden fa egy vagy több tartományt tartalmaz hierarchikus struktúrában, egy összefüggő névtérrel és tranzitív bizalmi kapcsolatok a tartományok között.
Minden Active Directorynak van legalább egy erdője, és minden erdőnek van legalább egy tartománya. És minden tartománynak van legalább egy tartományvezérlője (DC), amely az Active Directory tartományi szolgáltatásokat (AD DS) futtató kiszolgáló - amelyet általában egyszerűen csak „Active Directorynak” neveznek. ”
Ezért amikor az Active Directory erdő helyreállításáról beszélünk, akkor a tartományvezérlők visszaállításáról beszélünk. A legegyszerűbb esetben ez csak egyetlen DC az erdő egyetlen tartományában. De a legtöbb szervezet számára ez magában foglalja több DC visszaállítását az erdő egyetlen tartományában - akár vagy több DC-t az erdő több tartományában.
Miért fontos az Active Directory erdő helyreállítása?
Mivel az Active Directory létfontosságú személyazonossági szolgáltatásokat nyújt manapság a szervezetek túlnyomó többsége számára, régóta a kibertámadások fő célpontja. Az ellenfelek pedig tovább csiszolják AD-támadási képességeiket; Valójában néhány zsarolóvírus-támadás percek vagy akár másodpercek alatt lerombolhatja az Active Directory-erdőt. A kockázat azonban nem korlátozódik a kibertámadásokra - minden Active Directory-erdő ki van téve természeti katasztrófáknak, hardver- és szoftverhibáknak, emberi hibáknak és egyéb csapásoknak is.
Az AD alapvető szerepe miatt az informatikai ökoszisztémában, az erdészeti leállások üzleti veszteségnek felelnek meg. Minden percben az AD nem elérhető, az alkalmazottak nem tudják majd elvégezni a munkájukat, az ügyfelek nem tudnak rendeléseket leadni, és szinte az összes többi üzleti folyamat leáll.
Az erdei állásidő költsége gyorsan megnő. A Quest által a Forrester Consultingtól megrendelt Total Economic Impact Study szerint minden olyan óra, amikor az AD offline állapotban van, 730 000 dollár bevételkiesést jelent. Más kutatások azt találták, hogy a vállalkozások 40%-a azt állítja, hogy egyetlen óra állásidő 1-5 millió dollárba kerül. A legrosszabb forgatókönyv szerint a veszteségek elérhetik a több millió dollárt percenként.
Egyszerűen, az Active Directory erdő-helyreállítása nem csak fontos - elengedhetetlen ahhoz, hogy vállalkozása egy katasztrófa után újra működjön, az októl függetlenül.
Hogyan készíthetek biztonsági másolatot az Active Directory-erdőmről?
Az Active Directory erdő-helyreállítási stratégiájának első része annak biztosítása, hogy megbízható biztonsági másolatokkal rendelkezzen a helyreállításhoz. Ügyeljen arra, hogy rendszeresen készítsen biztonsági másolatot a hirdetésekről, tesztelje azokat, hogy megbizonyosodjon arról, hogy érvényesek, és tárolja biztonságos helyen. A Microsoft a 3-2-1 szabály követését javasolja: Készítsen 3 biztonsági másolatot az adatokról 2 különböző tárolótípuson, és legalább 1 biztonsági másolatot készítsen a helyszínen. Ezenkívül bölcs dolog gondoskodni arról, hogy a biztonsági másolatok legalább egy része légrés legyen - biztosítsa, hogy az ellenfelek nulla hozzáféréssel rendelkezzenek, így elérhetőek lesznek, amikor szüksége van rájuk az erdő helyreállításához.
A biztonsági mentések típusai
Az Active Directory erdő-helyreállítási stratégiájának kialakításakor valójában többféle biztonsági mentésről is tudnia kell. A natív lehetőségek a következők:
- Rendszerállapot-mentések - Ezek a biztonsági mentések szinte a teljes operációs rendszert tartalmazzák, nem csak az Active Directory részeit. Ezért a rendszerállapot-mentésből történő visszaállítás növeli a rosszindulatú programokkal fertőzött vagy nulladik napos sebezhetőségű összetevők visszaállításának kockázatát, ezért katasztrófa esetén ritkán a legjobb választás.
- Csupasz fém helyreállítási (BMR) biztonsági mentések - A BMR biztonsági mentések lehetővé teszik a DC-k különböző hardverpéldányokra történő visszaállítását, ami különösen értékes a DC-k fizikai sérülése esetén. A rendszerállapot-mentésekhez hasonlóan a BMR biztonsági mentések is több adatot tartalmaznak, mint amennyi az Active Directory helyreállításához szükséges, lelassítva a visszaállítási folyamatot és növelve a kockázatot.
Néhány harmadik féltől származó katasztrófa-helyreállítási megoldás további biztonsági mentési lehetőségeket kínál:
- Az Active Directory biztonsági mentései - Ezek a biztonsági mentések csak az AD-specifikus összetevőket tartalmazzák: az NTDS-címtárat, a SYSVOL-t (amely a csoportházirendet és a bejelentkezési szkripteket tartalmazza) és a beállításjegyzék olyan aspektusait, amelyek az AD-hez kapcsolódnak.
- Azure AD biztonsági mentések - hibrid AD-környezetekben biztonsági mentési stratégiára van szükség a csak felhőalapú objektumokhoz és attribútumokhoz, például a Microsoft 365-licencekhez és az alkalmazásszerep-hozzárendelésekhez, az Office 365- és az Azure AD-csoportokhoz, csak felhőhöz. felhasználók, például az Azure B2B- és B2C-fiókok, valamint az Azure AD MFA-beállításai és feltételes hozzáférési házirendjei. Ezeket az üzleti szempontból kritikus objektumokat és attribútumokat nem védik megfelelően a Microsoft natív eszközei, és nem fedi le őket semmilyen helyszíni biztonsági mentési megoldás.
Mit jelent az Active Directory erdő-helyreállítása?
Az Active Directory erdő-helyreállítása többet jelent, mint egyszerűen a DC-k visszaállítását a biztonsági másolatból. Számos lépés aprólékos koordinációját igényli: előkészítés, a visszaállítás végrehajtása, az egyes DC-k szinkronizálása a replikációs partnerekkel és újra elérhetővé tétele stb.
A folyamat részletei a biztonsági mentések típusától és a használt helyreállítási eszköztől függenek. Az Active Directory erdő-helyreállítási módszereinek két fő típusa a fémalapú helyreállítás és a tiszta operációs rendszer (OS) helyreállítása.
A csak vállalati biztonsági mentési és helyreállítási megoldással elérhető tiszta operációs rendszer-helyreállítás a legtöbb helyzetben felülmúlja a BMR-t, beleértve a ransomware támadásokat is. Ennek elsődleges oka az, hogy a BMR teljes köteteket (lemezpartíciókat) állít vissza, amelyek olyan fájlokat tartalmaznak, amelyek nem részei az AD-nek, például a rendszerindító szektort, a programfájlok könyvtárát, valamint a Windows és a WinSXS könyvtárakat. Ez sok helyet biztosít a rosszindulatú programoknak, ahol elrejtőzhetnek, és fennáll annak a veszélye, hogy a helyreállítási művelet után újra megfertőződik.
A Clean OS recovery ezzel szemben csak az AD komponenseket állítja vissza, ami drasztikusan csökkenti a rosszindulatú programok elrejtőzésének helyeit. Ezenkívül a BMR végrehajtásához a célgépnek ugyanazzal a fizikai lemezelrendezéssel kell rendelkeznie, mint az eredeti DC-nek, és ezeknek a lemezeknek legalább akkorának kell lenniük, hogy ugyanazokat a partíciókat lehessen lerakni, mint korábban. Aggódnia kell a rendszerindítás szempontjából kritikus illesztőprogramok beillesztésével, a parancssori hálózati konfigurációval és még sok mással is.
A kivételek, amikor a BMR-t részesítik előnyben, azok az esetek, amikor valóban szüksége van a BMR biztonsági mentésben tárolt további adatokra. Például akkor lehet szükség a BMR-re, ha a tartományvezérlőit nem AD-hez kapcsolódó szolgáltatásokhoz használják, például olyan DNS-zónák tárolására, amelyek nem integráltak AD-be, tanúsító hatóságot futtatnak, vagy fájl- és nyomtatási szolgáltatásokat futtatnak.
Hogyan hajthatok végre egy Active Directory erdő-helyreállítást?
A leggyorsabb módja annak, hogy szervezete újra felálljon és sántítson, ha nem is működik teljesen, az Active Directory erdő-helyreállításának szakaszos megközelítése. Mindegyik fázis végrehajtható manuálisan vagy egy erre a célra kialakított Active Directory helyreállítási megoldással.
1. fázis: Minden domainben állítson vissza egy DC-t
Az első lépés egy DC visszaállítása minden tartományban, majd a DC-k újra kommunikálnak és erdőként működnek.
- Manuális módszerekkel: Bár csak néhány kiválasztott DC visszaállítása sokkal gyorsabb, mint az összes visszaállítása, manuális módszerekkel ez a fázis még mindig rendkívül időigényes. Valójában a Microsoft Active Directory Forest Recovery Guide 12 konfigurációs eljárást vázol fel, amelyek több mint 40 lépést tartalmaznak, amelyeket minden egyes, biztonsági mentésből visszaállított DC-n el kell végezni. Ha ezeket a lépéseket nem hajtja végre megfelelően, az AD megszakadhat, vagy elhúzódó biztonsági rések maradnak fenn.
- AD-helyreállítási megoldással: A vállalati biztonsági mentési és helyreállítási megoldások egyszerűsíthetik és automatizálhatják ezeket a feladatokat, így napokról vagy hetekről órákra csökkentik az üzleti tevékenység újraindításához szükséges időt.
2. fázis: Reklámozza a többi DC-jét
Ezután minden tartományban reklámoznia kell a többi DC-t.
- Manuális módszerekkel: Több lehetőség közül választhat ebben a fázisban, beleértve az egyenes DC-promóciót, de a Microsoft a médiáról történő telepítést (IFM) javasolja. Mivel az IFM felére csökkenti a hálózaton keresztül továbbított forgalmat, jelentősen felgyorsítja a DC promóciós folyamatot. A natív eszközök használatával azonban mindkét módszer megköveteli az egyes DC-k promócióját, és az egyes kiszolgálók promóciója néhány percet vagy órát vesz igénybe.
- AD-helyreállítási megoldással: A harmadik féltől származó megoldások automatizálhatják az IFM-folyamatot, és párhuzamosan több DC-t is előmozdíthatnak, jelentősen lerövidítve a helyreállítás 2. fázisát.
Gyakori hibák az Active Directory erdő-helyreállítási tervezésében
Most pedig tekintsük át azokat a kulcsfontosságú hibákat, amelyeket a szervezetek hajlamosak elkövetni az Active Directory erdő-helyreállítási stratégiájuk kidolgozása során. Íme a legfontosabbak, amelyeket érdemes elkerülni:
1. Az Active Directory biztonsági mentésének és helyreállításának elmulasztása
Amikor biztonsági mentésről és helyreállításról van szó, az informatikai csapatoknak számos prioritásuk van: az üzleti szempontból kritikus fájlok, létfontosságú alkalmazások, alapvető adatbázisok és még sok más. De az egyszerű tény az, hogy az Active Directory az elsődleges módja annak, hogy a felhasználók hitelesítsék és hozzáférjenek az IT-erőforrásokhoz, mind a helyszínen, mind a felhőben - így az Active Directory helyreállításáig a felhasználók nem tudnak hozzáférni ezekhez a fájlokhoz, alkalmazásokhoz és adatbázisok. Ezért az Active Directory biztonsági mentésének és helyreállításának a prioritási lista elején kell lennie.
2. Úgy gondolja, hogy az AD Lomtár elegendő
Az AD Lomtár értékes eszköz; kényelmes módot biztosít bizonyos típusú objektumok gyors helyreállítására, amelyeket nemrégiben töröltek. Ez azonban nem egy vállalati biztonsági mentési és helyreállítási megoldás - és soha nem is annak kellett lennie.
Annak szemléltetésére, hogy az AD Lomtár miért nem elégséges az Active Directory erdő-helyreállításához, vegye figyelembe a korlátait akár egyetlen AD-objektum helyreállítására is. Kezdetben a Lomtár csak a törölt objektumokhoz használható; nincs mód egy objektum módosított attribútumainak visszaállítására. Például, ha a támadók jelszókeverőt dobnak a hálózatra, az visszaállítja a felhasználói fiókok jelszavait. De mivel ezeket az AD-objektumokat törlés helyett módosítják, nem kerülnek a Lomtárba, ezért nem lehet visszaállítani onnan.
Ezen túlmenően, nem minden típusú objektum kerül a Lomtárba, amikor törli őket, és még az általában oda kerülő elemek is törölhetők oly módon, hogy megakadályozzák, hogy a Lomtárba kerüljenek. Például a csoportházirend-objektumok (GPO-k), amelyeket mindenképpen vissza kell állítani egy katasztrófa után, nem tartoznak a Lomtárba. És még a törölt objektumok is, amelyek a Lomtárba kerülnek, csak 30 napig maradnak ott, majd véglegesen törlődnek. Végül, de nem utolsósorban nehéz kitalálni, hogy mit kell visszaállítani, mivel nincs változásnapló vagy összehasonlító jelentés, amely segítene meghatározni, hogy mely objektumokat kell visszaállítani.
Röviden, bár a Lomtár bizonyos korlátozott esetekben minden bizonnyal praktikus módja a törölt AD-objektumok visszaállításának, ez nem egy biztonsági másolat, és semmiképpen sem szabad összetéveszteni az Active Directory erdő-helyreállítási stratégiájával.
3. A DC-k manuális visszaállításának tervezése a biztonsági mentésből
Amint azt korábban említettük, a DC-ket manuálisan is vissza lehet állítani a biztonsági mentésből - de ez egy rendkívül összetett és hibára hajlamos eljárás, amely napokig vagy akár hetekig is tarthat. Ezenkívül a hibák elkövetése vagy a lépések sorrendtől eltérő végrehajtása számos súlyos problémához vezethet, beleértve a tartományvezérlők közötti replikáció megszakadását.
Ráadásul, ha a folyamat magában foglalja az Azure AD helyreállítását is, akkor a felhasználók elveszíthetik a felhőalapú attribútumokat, például az Office 365-licenceket és az alkalmazási szerepkör-hozzárendeléseket, amelyek elengedhetetlenek a munkájuk elvégzéséhez. És mivel ezen attribútumok többsége nem kerül az Azure AD Lomtárba, manuális megközelítéssel szinte lehetetlen időben visszaállítani őket.
Röviden, a DC-k manuális visszaállítása biztonsági másolatból egyszerűen nem tudja biztosítani azt a gyors Active Directory-erdő-helyreállítást, amelyre szüksége van ahhoz, hogy vállalkozása időben talpra álljon, és minimalizálja a katasztrófa okozta károkat.
4. Számít a Microsoft DART és a Critical Response (CRSP) csapatokra
A Microsoft DART és CRSP csapatai segíthetnek az Active Directory-erdő helyreállításában - de készüljön fel a fizetésre. Ennek az az oka, hogy díjat számítanak fel a munka elvégzéséhez szükséges időért, és amint láttuk, a natív eszközökkel és folyamatokkal történő helyreállítás időigényes folyamat.
Ne feledje továbbá, hogy még a Microsoft szakértői sem tudják visszaállítani az erdőt, ha nem készített megfelelő biztonsági másolatot, és nem óvta meg őket a sérüléstől, törléstől és titkosítástól.
5. A helyreállítás elmulasztása a kiberbiztonság létfontosságú összetevőjeként
A robusztus kiberbiztonsági terv minden szervezet számára kritikus fontosságú. Tartalmaznia kell a támadási felület csökkentésére vonatkozó stratégiákat olyan megközelítésekkel, mint a kockázatértékelés és a támadási útvonal-kezelés. A gyanús tevékenységek alapos auditálását, fejlett fenyegetéselemzést és gyors reagálási képességeket igényel.
De ne feledje, hogy a helyreállítás a kiberbiztonság szempontjából is elengedhetetlen; sőt, ez a NIST kiberbiztonsági keretrendszer (CSF) egyik pillére. Ezenkívül ne feledje, hogy célja nem csupán a kiberbiztonság, hanem a kiberellenállóság: lehetővé tenni a szervezet számára, hogy folyamatosan teljesítse céljait vagy küldetését azáltal, hogy az IT-környezetet a lehető legnagyobb mértékben üzemben tartja - és gyorsan újra üzembe helyezi azt, ha zavar történik. előfordul. Ennek megfelelően az Active Directory erdő-helyreállításába való befektetés ugyanolyan szükséges, mint a kiberellenállási stratégia bármely más része.
6. AD visszaállítása a felhőben tárolt izolált képből
A virtuálisgép-pillanatképek - egy virtuális gép (VM) egy adott időpontban készült képei - egyszerűen nem megfelelő Active Directory biztonsági mentések, függetlenül attól, hogy hol vannak tárolva. Erdő-helyreállításra való felhasználásuk szinte mindig nehezen megoldható adatkonzisztencia-problémákat eredményez. Sőt, a felhőben lévő képek varázsütésre nem mentesek a kibertámadásoktól, az emberi hibáktól, a kudarcoktól és egyéb olyan csapásoktól, amelyek megrongálhatják vagy törölhetik őket.
7. A biztonsági másolatok védelmének elmulasztása
Az ellenfelek tudják, hogy az Active Directory erdő-helyreállításához jó biztonsági másolatokra van szükség, ezért gyakran megpróbálnak minden elérhető biztonsági másolatot törölni, titkosítani vagy megrontani, hogy a támadásuk a lehető legtöbb kárt okozza. Ennek megfelelően létfontosságú olyan változatlan biztonsági másolatok készítése, amelyeket senki sem tud szándékosan vagy véletlenül megváltoztatni. Ezenkívül győződjön meg arról, hogy a biztonsági másolatok legalább egy része légrésben van - olyan helyen tárolva, ahol nincs fizikai hálózati kapcsolat, és nem érhető el a hálózaton keresztül -, így azokat nem érhetik el a fenyegető szereplők és a rosszindulatú programok.
Következtetés
Az átfogó és vaskos Active Directory erdő-helyreállítási stratégia létfontosságú a kiberbiztonság és a kiberellenállóság szempontjából. A vállalati minőségű eszközökbe való befektetés biztosíthatja a pontosságot és drámaian felgyorsíthatja a helyreállítási folyamatot, napoktól vagy hetektől akár órákig. Hadd hagyjak egy idézetet a Gartner Researchtől:
„Ha lehetséges, fektessen be az Active Directory helyreállításához dedikált eszközökbe, mivel a Microsoft eszközei és eljárásai, valamint a vállalati biztonsági mentési eszközök korlátozott képességei gyakran nem felelnek meg a célnak. ”
- Gartner, Inc., „Restore vs. Rebuild - Strategies for Recovery Applications after a Ransomware Attack”, Nik Simpson és Ron Blair, 2022. március 2.