विंडोज़ सर्वर प्रबंधन
सक्रिय निर्देशिका: वह निर्देशिका जिस पर प्रत्येक विंडोज़ लॉगिन निर्भर करता है
सक्रिय निर्देशिका विंडोज़ एस्टेट की पहचान रीढ़ है: डोमेन नियंत्रक, केर्बरोस प्रमाणीकरण, समूह नीति और एक सेवा के रूप में डीएनएस। लगभग हर विंडोज़ सुरक्षा वार्तालाप इस पर आधारित होता है, क्योंकि जो कोई भी निर्देशिका को नियंत्रित करता है वह संपत्ति को नियंत्रित करता है, और हमलावरों को यह पता है। यह समर्पित लेख बताता है कि AD वास्तव में क्या है, इसके व्यवस्थापक विषय क्या हैं, और इसका क्लाउड उत्तराधिकारी (एंट्रा आईडी) कहां ओवरलैप होता है।
मुख्य बिंदु
- मानसिक मॉडल: डोमेन नियंत्रक निर्देशिका को संग्रहीत और दोहराते हैं, केर्बरोस प्रमाणीकरण के लिए अल्पकालिक टिकट जारी करता है, और समूह नीति मशीनों और उपयोगकर्ताओं के लिए सेटिंग्स को आगे बढ़ाती है; स्कीमा परिवर्तनों को सावधानी से करें, क्योंकि निर्देशिका स्कीमा को उलटना कठिन है।
- समूह नीति फ्लीट-ड्राइवर टूल है: ड्राइव मैपिंग, सुरक्षा बेसलाइन (LAPS-प्रबंधित स्थानीय व्यवस्थापक पासवर्ड, क्रेडेंशियल गार्ड), सॉफ़्टवेयर परिनियोजन, और स्क्रीनसेवर लॉकआउट; जीपीओ की प्राथमिकता नियतिवादी लेकिन जटिल है, इसलिए दस्तावेज़ीकरण और चरणबद्ध जीपीओ लिंकिंग उनकी लागत से कहीं अधिक समय बचाती है।
- सुरक्षा स्थिति संपत्ति की उत्तरजीविता को तय करती है: विशेषाधिकार प्राप्त टियरिंग (अलग-अलग व्यवस्थापक खाते जो कभी भी ईमेल या वेब को नहीं छूते हैं), समयबद्ध उन्नत समूह, और विरासत प्रोटोकॉल को अवरुद्ध करना (एनटीएलएम जहां संभव हो, एसएमबीवी 1 बिल्कुल) एक दशक से सार्वजनिक रूप से शोषण किए गए विशेषाधिकार-वृद्धि पथ को हटा दें।
- डीएनएस सौदे का हिस्सा है, और यह सुरक्षा के लिए एक सेवा है: एडी-एकीकृत क्षेत्र, टीटीएल अनुशासन, और डुप्लिकेट-नाम स्वच्छता; टूटा हुआ एडी डीएनएस ऐसे लक्षण उत्पन्न करता है जो हर जगह एप्लिकेशन विफलता की तरह दिखते हैं।
- हाइब्रिड वास्तविकता: एंट्रा आईडी (क्लाउड) और एडी एंट्रा कनेक्ट के माध्यम से एक साथ सिंक होते हैं; पासवर्ड हैश सिंक बनाम पास-थ्रू ऑथ, क्लाउड साइड पर सशर्त पहुंच नीतियां, और हाइब्रिड जॉइन डिवाइस स्थिति; पुराने और नए तंत्रों को एक स्पष्ट सुरक्षा मॉडल की आवश्यकता है, न कि हर जगह डिफ़ॉल्ट विश्वास की।
- संचालन अनुशासन: डीसी टाइम सिंक एक शुद्धता संपत्ति है (5 मिनट से अधिक तिरछा होने पर केर्बरोस टूट जाता है), एफएसएमओ भूमिकाओं का दस्तावेजीकरण किया गया है, पुनर्स्थापना के लिए बैकअप का परीक्षण किया गया है (आधिकारिक पुनर्स्थापना अलग है), और प्रतिकृति विफलताओं और संदिग्ध ईवेंट आईडी के लिए निगरानी, इवेंट-लॉग संग्रह प्लस सेंटिनल- या वाज़ुह-क्लास एसआईईएम हुक लूप को बंद कर देता है।
क्षेत्रीय टिप्पणी
AD घटना जिसने हमारे अभ्यास को आकार दिया: एक व्यवस्थापक खाता जिसने प्रतिदिन ईमेल की जाँच की, फ़िश किया, और हमलावरों को एक क्लिक में डोमेन व्यवस्थापक दे दिया। उसके बाद व्यवस्थापक खातों और विंडोज़ एलएपीएस को व्यवस्थित करने में एक महीने तक धैर्यपूर्वक काम करना पड़ा; तब से इसने दो बार पार्श्व आंदोलनों के प्रयास से खुद को सही ठहराने से बचाया है जो कहीं नहीं गया।
अक्सर पूछे जाने वाले प्रश्न
क्या एंट्रा आईडी में स्थानांतरित होने वाली हर चीज़ के लिए AD अभी भी प्रासंगिक है?
बिल्कुल ऑन-प्रिमाइस इंफ्रास्ट्रक्चर, लीगेसी ऐप्स (फ़ाइल सर्वर, प्रिंटर, केर्बरोस के साथ लीगेसी ऐप्स) और हाइब्रिड एस्टेट के लिए; एंट्रा क्लाउड सेवाओं के लिए एक्सेस प्लेन है, न कि ऑन-प्रिमाइसेस ट्रस्ट के लिए ब्लूप्रिंट माइग्रेशन। रैखिक प्रतिस्थापन के बजाय सह-अस्तित्व की योजना बनाएं।
व्यवस्थापक खातों को व्यवस्थित करना इतना महत्वपूर्ण क्यों है?
क्योंकि कार्यस्थानों से नियमित रूप से समझौता किया जाता है, और किसी समझौता किए गए बॉक्स को छूने वाले व्यवस्थापक क्रेडेंशियल उस बॉक्स के समझौते को प्राप्त करते हैं; टियरिंग प्रति ट्रस्ट सीमा के अनुसार क्रेडेंशियल एक्सपोज़र को सीमित करता है और निर्देशिका में मौजूद टीकाकरण शेड्यूल के सबसे करीब है।
LAPS क्या है और यह क्यों मायने रखता है?
विंडोज़ एलएपीएस प्रति मशीन अद्वितीय स्थानीय व्यवस्थापक पासवर्ड प्रबंधित करता है, जिसे एडी या एंट्रा में घुमाया और संग्रहीत किया जाता है, जिससे साझा-पासवर्ड दुःस्वप्न समाप्त हो जाता है; एक पुराना साझा स्थानीय-व्यवस्थापक पासवर्ड एक क्लासिक पार्श्व आंदोलन पथ है।
AD निगरानी की मूल बातें क्या हैं?
प्रतिकृति स्वास्थ्य, सुरक्षा ईवेंट लॉग (4624/4625, 4768/4769 क्लास टिकट), विशेषाधिकार प्राप्त समूह सदस्यता परिवर्तन, और समय सिंक; एक सिएम या वज़ूह क्लास कलेक्टर को जल्दी कॉन्फ़िगर करें (हमारा वज़ूह लेख ओपन-सोर्स विकल्प को कवर करता है)।
विंडोज़ सर्वर प्रबंधन में Kinetikatech कैसे सहायता करता है
यही हमारा रोज़ का काम है: जल्द ही आ रहा है: विंडोज़ सर्वर के लिए निगरानी, पैचिंग और ब्रूट-फोर्स सुरक्षा, समान 24/7 अनुशासन, देशी टूलींग। हमारी Windows Server निगरानी और सर्वर प्रबंधन सेवा इसे शुरू से अंत तक कवर करती है: आकलन, कार्यान्वयन, 24/7 निगरानी और 30 मिनट में आपात प्रतिक्रिया।