উইন্ডোজ সার্ভার ম্যানেজমেন্ট
অ্যাক্টিভ ডাইরেক্টরি: প্রতিটি উইন্ডোজ লগইন ডিরেক্টরি নির্ভর করে
অ্যাক্টিভ ডিরেক্টরি হল উইন্ডোজ এস্টেটের পরিচয় মেরুদণ্ড: ডোমেন কন্ট্রোলার, কারবারোস প্রমাণীকরণ, গ্রুপ পলিসি, এবং ডিএনএস একটি পরিষেবা হিসাবে। প্রায় প্রতিটি উইন্ডোজ নিরাপত্তা কথোপকথন এটিতে ফিরে আসে, কারণ যেই ডিরেক্টরি নিয়ন্ত্রণ করে তারা এস্টেট নিয়ন্ত্রণ করে এবং আক্রমণকারীরা এটি জানে। এই উত্সর্গীকৃত নিবন্ধটি কভার করে যে AD আসলে কী, এর প্রশাসক শৃঙ্খলা কী এবং এর ক্লাউড উত্তরসূরি (Entra ID) কোথায় ওভারল্যাপ করে৷
মূল বিষয়সমূহ
- মানসিক মডেল: ডোমেন নিয়ন্ত্রক ডিরেক্টরি সংরক্ষণ এবং প্রতিলিপি, Kerberos প্রমাণীকরণের জন্য স্বল্পকালীন টিকিট জারি করে, এবং গ্রুপ নীতি মেশিন এবং ব্যবহারকারীদের সেটিংস ঠেলে দেয়; স্কিমা পরিবর্তনগুলি যত্ন সহকারে চিকিত্সা করুন, কারণ ডিরেক্টরি স্কিমা বিপরীত করা কঠিন।
- গ্রুপ পলিসি হল ফ্লিট-ড্রাইভার টুল: ড্রাইভ ম্যাপিং, সিকিউরিটি বেসলাইন (LAPS-পরিচালিত স্থানীয় অ্যাডমিন পাসওয়ার্ড, ক্রেডেনশিয়াল গার্ড), সফ্টওয়্যার স্থাপনা, এবং স্ক্রিনসেভার লকআউট; জিপিও অগ্রাধিকার নির্ণয়মূলক কিন্তু জটিল, তাই ডকুমেন্টেশন এবং স্টেজড জিপিও লিঙ্কিং তাদের খরচের চেয়ে অনেক বেশি সময় সাশ্রয় করে।
- নিরাপত্তা ভঙ্গিটি এস্টেটের বেঁচে থাকার সিদ্ধান্ত নেয়: বিশেষাধিকারপ্রাপ্ত টিয়ারিং (পৃথক প্রশাসক অ্যাকাউন্ট যা কখনই ইমেল বা ওয়েবকে স্পর্শ করে না), সময়-সীমাবদ্ধ উন্নত গোষ্ঠী এবং ব্লকিং লিগ্যাসি প্রোটোকল (এনটিএলএম যেখানে সম্ভব, SMBv1 একেবারে) এক দশক ধরে সর্বজনীনভাবে শোষিত বিশেষাধিকার-বর্ধনের পথগুলি সরিয়ে দেয়।
- ডিএনএস হল দর কষাকষির অংশ, এবং এটি সুরক্ষার জন্য একটি পরিষেবা: এডি-ইন্টিগ্রেটেড জোন, টিটিএল ডিসিপ্লিন এবং ডুপ্লিকেট-নাম হাইজিন; ভাঙা AD DNS উপসর্গ তৈরি করে যা অন্য সব জায়গায় অ্যাপ্লিকেশন ব্যর্থতার মতো দেখায়।
- হাইব্রিড বাস্তবতা: এন্ট্রা আইডি (ক্লাউড) এবং এডি এন্ট্রা কানেক্টের মাধ্যমে একসাথে সিঙ্ক; পাসওয়ার্ড হ্যাশ সিঙ্ক বনাম পাস-থ্রু অথ, ক্লাউড সাইডে শর্তসাপেক্ষ অ্যাক্সেস নীতি এবং হাইব্রিড জয়েন ডিভাইস স্টেট; পুরানো-নতুন প্রক্রিয়াগুলির একটি সুস্পষ্ট নিরাপত্তা মডেল প্রয়োজন, সর্বত্র ডিফল্ট বিশ্বাস নয়।
- অপারেশন ডিসিপ্লিন: ডিসি টাইম সিঙ্ক হল একটি শুদ্ধতা সম্পত্তি (কারবেরোস ব্রেক করে>5 মিনিট স্কু দিয়ে), এফএসএমও ভূমিকা নথিভুক্ত, পুনরুদ্ধারের জন্য ব্যাকআপ পরীক্ষা করা (অনুমোদিত পুনরুদ্ধার আলাদা), এবং প্রতিলিপি ব্যর্থতা এবং সন্দেহজনক ইভেন্ট আইডিগুলির জন্য পর্যবেক্ষণ, ইভেন্ট-লগ সংগ্রহের সাথে সেন্টিনেল- বা ওয়াজুহ-ক্লাসিং হোক্লোসিং হোক্লোসিং।
মাঠের নোট
AD ঘটনা যা আমাদের অনুশীলনকে আকার দিয়েছে: একটি অ্যাডমিন অ্যাকাউন্ট যা প্রতিদিন ইমেল চেক করে, ফিশ করে এবং আক্রমণকারীদের ডোমেন অ্যাডমিনকে একটি ক্লিকে দেয়। এর পরে অ্যাডমিন অ্যাকাউন্ট এবং উইন্ডোজ ল্যাপস টায়িং করতে রোগীর কাজ এক মাস লেগেছিল; এর পর থেকে এটি দুবার চেষ্টা করে পাশ্বর্ীয় আন্দোলনের মাধ্যমে নিজেকে ন্যায্যতা রক্ষা করেছে যা কোথাও যায়নি।
সচরাচর জিজ্ঞাসা
এন্ট্রা আইডিতে সরানো সবকিছুর সাথে কি AD এখনও প্রাসঙ্গিক?
একেবারে অন-প্রিমিস ইনফ্রাস্ট্রাকচার, লিগ্যাসি অ্যাপস (ফাইল সার্ভার, প্রিন্টার, কারবারোসের সাথে লিগ্যাসি অ্যাপ) এবং হাইব্রিড এস্টেটের জন্য; এন্ট্রা হল ক্লাউড পরিষেবাগুলির অ্যাক্সেস প্লেন, অন-প্রিম ট্রাস্টের জন্য একটি ব্লুপ্রিন্ট মাইগ্রেশন নয়। রৈখিক প্রতিস্থাপনের পরিবর্তে সহাবস্থানের পরিকল্পনা করুন।
টিয়ারিং অ্যাডমিন অ্যাকাউন্টগুলি কেন এত গুরুত্বপূর্ণ?
কারণ ওয়ার্কস্টেশনগুলি নিয়মিতভাবে আপস করা হয়, এবং প্রশাসক শংসাপত্রগুলি যেগুলি একটি আপস করা বাক্সকে স্পর্শ করেছে সেগুলি সেই বাক্সের আপোষের উত্তরাধিকারী হয়; টিয়ারিং ট্রাস্ট বাউন্ডারি প্রতি ক্রেডেনশিয়াল এক্সপোজারকে সীমাবদ্ধ করে এবং ডিরেক্টরীতে থাকা একটি টিকাদানের সময়সূচীর নিকটতম জিনিস।
LAPS কী এবং কেন এটি গুরুত্বপূর্ণ?
Windows LAPS প্রতিটি মেশিনে অনন্য স্থানীয় প্রশাসক পাসওয়ার্ড পরিচালনা করে, AD বা Entra-এ ঘোরানো এবং সংরক্ষিত, ভাগ করা-পাসওয়ার্ড দুঃস্বপ্ন দূর করে; একটি বাসি শেয়ার করা লোকাল-অ্যাডমিন পাসওয়ার্ড হল একটি ক্লাসিক পাশ্বর্ীয় চলাচলের পথ।
এডি মনিটরিং এর মূল বিষয়গুলো কি কি?
প্রতিলিপি স্বাস্থ্য, নিরাপত্তা ইভেন্ট লগ (4624/4625, 4768/4769 ক্লাস টিকিট), বিশেষ সুবিধাপ্রাপ্ত গ্রুপ সদস্যপদ পরিবর্তন, এবং সময় সিঙ্ক; একটি SIEM বা ওয়াজুহ ক্লাস কালেক্টর তাড়াতাড়ি কনফিগার করুন (আমাদের ওয়াজুহ নিবন্ধটি ওপেন-সোর্স বিকল্পটি কভার করে)।
উইন্ডোজ সার্ভার ম্যানেজমেন্ট নিয়ে Kinetikatech কীভাবে সাহায্য করে
ব্যবসাটা সহজ: শীঘ্রই আসছে: উইন্ডোজ সার্ভারের জন্য পর্যবেক্ষণ, প্যাচিং এবং ব্রুট-ফোর্স সুরক্ষা, একই 24/7 শৃঙ্খলা, নেটিভ টুলিং। এটা আমাদের Windows সার্ভার পর্যবেক্ষণ and সার্ভার ব্যবস্থাপনা সেবার হাতে দিন। ঠিকভাবে মূল্যায়ন হবে, পরিষ্কারভাবে বাস্তবায়ন হবে, আর দিনে-রাতে নজরদারিতে থাকবে।