Николай Пиховкин
Анастасия КожахметоваВстроенные средства защиты Active Directory
Николай ПиховкинАнастасия КожахметоваНиколай ПиховкинАнастасия КожахметоваПароль локального администратора необходим, когда нельзя использовать доменный аккаунт для аутентификации. Например, если узел не имеет соединения с корпоративной сетью и отсутствуют кэшированные учетные данные пользователей с привилегиями администратора. Есть некоторые сложности, связанные с паролями локальных администраторов:
Для централизованного управления паролями локальных администраторов существует решение от Майкрософт — LAPS, — которое состоит из следующих компонентов:
Клиент LAPS периодически проверяет, не истек ли срок действия пароля локального администратора, и если это так, задает ему новое случайное значение и отправляет этот пароль в AD. Передача пароля от узла в AD осуществляется с использованием шифрования Kerberos. Текущие пароли LAPS сохраняются в объектах компьютеров в Active Directory в атрибуте msLAPS-Password в открытом виде, срок действия пароля хранится в атрибуте msLAPS-PasswordExpirationTime. Разрешения на чтение объектов AD недостаточно для доступа к этому атрибуту; компьютеру или пользователю необходимо также иметь особое разрешение Control Access. Узел под управлением LAPS имеет только право записывать новый пароль.
С использованием LAPS могут быть настроены следующие параметры:
Групповые политики — фреймворк в Windows, устанавливаемый на контроллеры доменов, серверы и клиентские машины, с помощью которого можно управлять конфигурацией AD DS. Параметры групповых политик задаются с помощью объектов групповой политики (GPO).
Этот фреймворк хранится в контейнере Group Policy Objects в AD.
Рисунок 1. Контейнер Group Policy Objects
Политика Default Domain Controllers формируется автоматически при создании контроллера домена и определяет его конфигурацию. Политика Default Domain формируется автоматически при создании контроллера домена и определяет конфигурацию по умолчанию, применяемую для пользователей и компьютеров в домене. Политики Administrator-configured создаются администратором для управления конфигурацией определенной группы ресурсов.
С помощью GPO можно настраивать параметры для большого количества пользователей или рабочих станций и применять их на разных уровнях — от локальных компьютеров до домена. В первую очередь групповые политики используются для определения параметров, которыми пользователь не может управлять. Кроме того, они могут применяться для стандартизации окружения рабочих станций на уровне подразделений (OU) или всей организации. С помощью групповых политик могут задаваться дополнительные свойства безопасности, расширенные системные параметры и другое.
Рисунок 2. Управление групповыми политиками
В AD DS объекты групповых политик могут быть применены на следующих уровнях:
Конфигурация, определенная в GPO, используется для всех рабочих станций и пользователей внутри сайта, домена или OU (включая дочерние). GPO может быть связан с несколькими доменами, OU или сайтами.
Рисунок 3. Порядок обработки GPO
Например, политика, применяемая на уровне домена, может быть заменена политикой, применяемой на уровне OU для входящих в него объектов. Порядок использования GPO можно просматривать и изменять на вкладке Group Policy Inheritance.
Рисунок 4. Group Policy Inheritance
В Windows доступны девять категорий политики аудита, каждую из которых можно включить для событий Success или Failure или Success и Failure.
Политики аудита можно настраивать с помощью групповых политик, утилиты auditpol.exe, API или регистра. Рекомендуемыми являются первые два метода. Администратор может выбрать: включить аудит по категориям или по подкатегориям.
Для централизованного управления обновлениями в Windows существуют два инструмента: Windows Server Update Services (WSUS) и Configuration Manager.
Сервер WSUS позволяет централизованно управлять процессом обновления программных продуктов Microsoft на узлах сети и автоматизировать его. Этот сервер может поставлять ПО на другие серверы WSUS в корпоративной сети. Администратор самостоятельно определяет, какие серверы WSUS будут подключаться напрямую к Microsoft Update.
Для управления обновлениями с помощью этого инструмента в среде AD используются групповые политики. Благодаря им администратор регулирует конфигурацию обновлений как для рабочих станций, так и для пользователей. Для последних могут быть настроены параметры окна предупреждения о необходимости перезагрузки, а также возможность доступа к Windows Update.
Configuration Manager позволяет централизованно управлять конфигурацией узлов сети. Основные возможности этого инструмента:
Управляемые учетные записи служб (Managed Service Accounts, MSA) — это специальный тип доменных учетных записей, использующийся для безопасного запуска служб. MSA предоставляют автоматизированное управление паролями, упрощенное управление именами служб (SPN), а также возможность делегировать управление другим администраторам. Для ситуаций, когда требуется использование одной учетной записи экземплярами служб на разных серверах, были созданы групповые управляемые учетные записи служб (gMSA).
Преимущества MSA (gMSA):
MSA (gMSA) создаются в Active Directory. По умолчанию для них используется специальный контейнер, расположенный в доменном разделе и называющийся Managed Service Accounts.
Рисунок 5. Managed Service Accounts
Параметры парольной политики домена устанавливаются с помощью Default Domain. Администратор может настраивать следующие параметры:
Кроме того, администратор может настроить параметры блокировки учетных записей:
Политика паролей применяется на всех пользователей домена, но, начиная с Windows Server 2008, могут быть созданы парольные политики для отдельных групп пользователей, например администраторов. Такие политики называются Fine-Grained Password Policies.
Периодический аудит учетных записей в AD позволяет выявить следующие проблемы безопасности: