„Windows Server“ valdymas
„Active Directory“: katalogas, nuo kurio priklauso kiekvienas „Windows“ prisijungimas
„Active Directory“ yra „Windows“ valdų tapatybės pagrindas: domeno valdikliai, „Kerberos“ autentifikavimas, grupės politika ir DNS kaip viena paslauga. Beveik kiekvienas „Windows“ saugos pokalbis grįžta prie jo, nes kas valdo katalogą, valdo turtą, o užpuolikai tai žino. Šiame skirtame straipsnyje aprašoma, kas iš tikrųjų yra AD, kokios yra jo administravimo disciplinos ir kur sutampa jo debesies įpėdinis (Entra ID).
Pagrindiniai punktai
- Psichinis modelis: domeno valdikliai saugo ir replikuoja katalogą, Kerberos išduoda trumpalaikius autentifikavimo bilietus, o grupės politika nusiunčia nustatymus į mašinas ir vartotojus; atsargiai elkitės su schemos pakeitimais, nes katalogų schemą sunku pakeisti.
- Grupės politika yra transporto priemonių parko tvarkyklių įrankis: disko atvaizdavimas, saugos bazinės linijos (LAPS valdomi vietinio administratoriaus slaptažodžiai, kredencialų apsauga), programinės įrangos diegimas ir ekrano užsklandos blokavimas; GPO pirmenybė yra deterministinė, bet sudėtinga, todėl dokumentacija ir etapinis GPO susiejimas sutaupo daug daugiau laiko, nei kainuoja.
- Apsaugos padėtis lemia turto išlikimą: privilegijuota pakopa (atskiros administratoriaus paskyros, kurios niekada nepaliečia el. pašto ar žiniatinklio), nustatytos padidintos grupės ir blokuojantys senieji protokolai (jei įmanoma, NTLM, visiškai SMBv1) pašalina privilegijų eskalavimo kelius, viešai naudojamus dešimtmetį.
- DNS yra sandorio dalis ir tai paslauga, skirta apsaugoti: AD integruotas zonas, TTL drausmę ir pasikartojančių vardų higieną; sugedęs AD DNS sukelia simptomus, kurie visur kitur atrodo kaip programos gedimai.
- Hibridinė realybė: Entra ID (debesis) ir AD sinchronizuojami kartu per Entra Connect; slaptažodžio maišos sinchronizavimas ir perėjimo autentifikavimas, sąlyginės prieigos politika debesies pusėje ir hibridinio prisijungimo įrenginio būsenos; seniems ir naujiems mechanizmams reikalingas aiškus saugumo modelis, o ne visur numatytasis pasitikėjimas.
- Operacijų disciplina: DC laiko sinchronizavimas yra teisingumo ypatybė (Kerberos nutrūksta > 5 min. pakreipimu), FSMO vaidmenys dokumentuoti, atsarginės kopijos tikrinamos siekiant atkurti (autoritetinis atkūrimas skiriasi) ir replikacijos gedimų bei įtartinų įvykių ID stebėjimas, įvykių žurnalo rinkimas ir Sentinel arba Wazuh klasės SIEM kabliukai.
Pastaba iš praktikos
AD incidentas, kuris suformavo mūsų praktiką: viena administratoriaus paskyra, kuri kasdien tikrino el. paštą, sukčiavo ir vienu paspaudimu suteikė užpuolikams domeno administratorių. Administratoriaus paskyrų ir Windows LAPS pakopų tvarkymas užtruko mėnesį kantraus darbo; nuo to laiko du kartus nepasiteisino bandymais šoniniais judesiais, kurie niekur nedingo.
Dažniausiai užduodami klausimai
Ar reklama vis dar aktuali viskam perkeliant į „Entra ID“?
Absoliučiai skirta vietinei infrastruktūrai, senoms programėlėms (failų serveriams, spausdintuvams, senoms programėlėms su Kerberos) ir hibridinėms sistemoms; „Entra“ yra debesies paslaugų prieigos planas, o ne tiesioginio pasitikėjimo planas. Planuokite sambūvį, o ne linijinį pakeitimą.
Kodėl administratoriaus paskyrų pakopų nustatymas yra toks svarbus?
Kadangi darbo stotys yra nuolat pažeidžiamos, o administratoriaus kredencialai, kurie palietė pažeistą dėžutę, paveldi to dėžutės kompromisą; pakopų nustatymas riboja kredencialų poveikį pagal patikimumo ribą ir yra arčiausiai kataloge esančio skiepijimo grafiko.
Kas yra LAPS ir kodėl tai svarbu?
Windows LAPS valdo unikalius vietinius administratoriaus slaptažodžius kiekviename įrenginyje, pasuktus ir saugomus AD arba Entra, pašalindama bendrinamo slaptažodžio košmarą; vienas pasenęs bendrinamas vietinio administratoriaus slaptažodis yra klasikinis šoninio judėjimo kelias.
Kokie yra AD stebėjimo pagrindai?
Replikacijos būsena, saugos įvykių žurnalai (4624/4625, 4768/4769 klasės bilietai), privilegijuotosios grupės narystės pakeitimai ir laiko sinchronizavimas; anksti sukonfigūruokite SIEM arba Wazuh klasės rinktuvą (mūsų wazuh straipsnis apima atvirojo kodo parinktį).
Kaip Kinetikatech padeda su „windows server“ valdymas
Jums nereikia tapti „windows server“ valdymas ekspertu: Netrukus: „Windows Server“ stebėjimas, pataisymas ir brutalios jėgos apsauga, ta pati 24 valandas per parą, 7 dienas per savaitę, vietiniai įrankiai. Būtent tam ir skirta Windows Server stebėjimas ir Serverių administravimas: paleidimas, sutvirtinimas, stebėjimas ir budintis žmogus dieną ir naktį.