Виндовс Сервер Манагемент
Ацтиве Дирецтори: Директоријум зависи од сваког пријављивања на Виндовс
Ацтиве Дирецтори је окосница идентитета Виндовс имања: контролери домена, Керберос аутентификација, групне политике и ДНС као једна услуга. Скоро сваки Виндовс безбедносни разговор се враћа на њега, јер ко год контролише директоријум, контролише имање, а нападачи то знају. Овај посвећени чланак покрива шта је АД заправо, које су његове административне дисциплине и где се његов наследник у облаку (Ентра ИД) преклапа.
Кључне точке
- Ментални модел: контролори домена чувају и реплицирају директоријум, Керберос издаје краткотрајне тикете за аутентификацију, а групна политика гура подешавања машинама и корисницима; пажљиво третирајте промене шеме, јер је шему директоријума тешко преокренути.
- Групна политика је алатка за управљање возним парком: мапирања дискова, безбедносне основе (локалне лозинке администратора којима управља ЛАПС, заштита акредитива), примена софтвера и закључавање чувара екрана; ГПО приоритет је детерминистички, али сложен, тако да документација и степенасто повезивање ГПО-а штеде много више времена него што коштају.
- Безбедносни став одлучује о преживљавању имовине: привилеговани нивои (засебни администраторски налози који никада не додирују е-пошту или веб), временски ограничене повишене групе и блокирајући застарели протоколи (НТЛМ где је могуће, СМБв1 апсолутно) уклањају путеве ескалације привилегија који су јавно експлоатисани деценију.
- ДНС је део договора, и то је услуга за заштиту: АД интегрисаних зона, ТТЛ дисциплине и хигијене дупликата; покварени АД ДНС производи симптоме који изгледају као откази апликација свуда другде.
- Хибридна стварност: Ентра ИД (облак) и АД се синхронизују заједно преко Ентра Цоннецт; синхронизација хеш лозинке у односу на пролазну аутх, политике условног приступа на страни облака и стања уређаја хибридног придруживања; старим и новим механизмима је потребан експлицитан модел безбедности, а не подразумевано поверење свуда.
- Оперативна дисциплина: ДЦ временска синхронизација је својство исправности (Керберос прекида са искривљењем >5 мин), ФСМО улоге су документоване, резервне копије су тестиране за враћање (ауторитативно враћање је другачије) и надгледање неуспеха репликације и сумњивих ИД-ова догађаја, са прикупљањем евиденције догађаја плус СИЕМ закачивачи класе Сентинел или Вазух који затварају СИЕМло закачице.
Теренска биљешка
АД инцидент који је обликовао нашу праксу: један администраторски налог који је свакодневно проверавао е-пошту, пхисхинг и давао нападачима администратора домена једним кликом. Разврставање администраторских налога и Виндовс ЛАПС после тога је требало месец дана стрпљивог рада; од тада је спасла оправдавање два пута покушајима бочних покрета који никуда нису успели.
Цесто постављања питања
Да ли је АД и даље релевантан када се све помера на Ентра ИД?
Апсолутно за локалну инфраструктуру, застареле апликације (сервери датотека, штампачи, застареле апликације са Керберос-ом) и хибридна имања; Ентра је приступна раван за услуге у облаку, а не нацрт миграције за он-прем поверење. Планирајте коегзистенцију, а не линеарну замену.
Зашто су вишеслојни администраторски налози тако критични?
Зато што су радне станице рутински компромитоване, а акредитиви администратора који су додирнули компромитовану кутију наслеђују компромис тог сандука; степеновање ограничава изложеност акредитива по граници поверења и најближе је распореду вакцинације који директоријум има.
Шта је ЛАПС и зашто је то важно?
Виндовс ЛАПС управља јединственим локалним администраторским лозинкама по машини, ротираним и ускладиштеним у АД или Ентра, елиминишући ноћну мору са дељеном лозинком; једна застарела дељена локална администраторска лозинка је класична путања бочног кретања.
Које су основе праћења АД?
Здравље репликације, евиденције безбедносних догађаја (улазнице за класу 4624/4625, 4768/4769), промене чланства у привилегованим групама и временска синхронизација; рано конфигуришите СИЕМ или Вазух сакупљач класа (наш чланак о вазух-у покрива опцију отвореног кода).
Како Kinetikatech помаже код виндовс сервер манагемент
Ово смо рјешавали стотине пута: Ускоро: надгледање, закрпе и заштита од грубе силе за Виндовс Сервер, иста дисциплина 24/7, изворни алати. С Надзор Windows Сервера и Server Management добивате пуни круг: процјењујемо, имплементирамо, надзиремо без престанка и интервенирамо у 30 минута кад је потребно.