Как отключить использование hosts файла или настройте права доступа

• Моя библиотека

"" Настройки файлов cookie .

Реализация безопасных административных хостов | Документы Microsoft

• 31.05.2017
• 15 минут на чтение

В этой статье

Применимо к: Windows Server 2016, Windows Server 2012 R2, Windows Server 2012

Безопасные административные узлы - это рабочие станции или серверы, которые были настроены специально для создания безопасных платформ, с которых привилегированные учетные записи могут выполнять административные задачи в Active Directory или на контроллерах домена, системах, присоединенных к домену, и приложениях, работающих в системах, присоединенных к домену.В этом случае «привилегированные учетные записи» относятся не только к учетным записям, которые являются членами наиболее привилегированных групп в Active Directory, но и к любым учетным записям, которым были делегированы права и разрешения, позволяющие выполнять административные задачи.

Эти учетные записи могут быть учетными записями службы поддержки, которые имеют возможность сбрасывать пароли для большинства пользователей в домене, учетными записями, которые используются для администрирования записей и зон DNS, или учетными записями, которые используются для управления конфигурацией. Защищенные административные узлы предназначены для административных функций и не запускают программное обеспечение, такое как приложения электронной почты, веб-браузеры или программное обеспечение для повышения производительности, такое как Microsoft Office.

Хотя «наиболее привилегированные» учетные записи и группы должны соответственно быть наиболее строго защищены, это не устраняет необходимости защищать любые учетные записи и группы, которым предоставлены привилегии выше, чем у стандартных учетных записей пользователей.

Безопасный административный хост может быть выделенной рабочей станцией, которая используется только для административных задач, рядовым сервером, выполняющим роль сервера шлюза удаленных рабочих столов и к которому ИТ-пользователи подключаются для выполнения администрирования целевых хостов, или сервером, на котором выполняется Hyper- V и предоставляет каждому ИТ-пользователю уникальную виртуальную машину для выполнения своих административных задач.Во многих средах могут быть реализованы комбинации всех трех подходов.

Внедрение безопасных административных хостов требует планирования и настройки, которые согласуются с размером вашей организации, методами администрирования, аппетитом к риску и бюджетом. Здесь представлены соображения и варианты реализации безопасных административных хостов, которые вы можете использовать при разработке административной стратегии, подходящей для вашей организации.

Принципы создания безопасных административных хостов

Для эффективной защиты систем от атак следует помнить несколько общих принципов:

1. Никогда не следует администрировать доверенную систему (то есть защищенный сервер, такой как контроллер домена) с менее надежного хоста (то есть рабочей станции, которая не защищена в той же степени, что и системы, которыми она управляет).

2. Вы не должны полагаться на один фактор аутентификации при выполнении привилегированных действий; то есть комбинации имени пользователя и пароля не должны считаться приемлемой аутентификацией, потому что представлен только один фактор (то, что вы знаете). В административных сценариях следует учитывать, где создаются учетные данные, кэшируются или хранятся.

3. Хотя большинство атак в текущем ландшафте угроз используют вредоносное ПО и злонамеренные взломы, не упускайте из виду физическую безопасность при разработке и внедрении безопасных административных узлов.

Конфигурация учетной записи

Даже если ваша организация в настоящее время не использует смарт-карты, вам следует подумать о внедрении их для привилегированных учетных записей и безопасных административных узлов. Административные узлы должны быть настроены так, чтобы требовать входа в систему со смарт-картой для всех учетных записей, изменив следующий параметр в объекте групповой политики, который связан с подразделениями, содержащими административные узлы:

Конфигурация компьютера \ Политики \ Параметры Windows \ Локальные политики \ Параметры безопасности \ Интерактивный вход в систему: требуется смарт-карта

Этот параметр требует, чтобы все интерактивные входы в систему использовали смарт-карту, независимо от конфигурации отдельной учетной записи в Active Directory.

Вам также следует настроить безопасные административные узлы, чтобы разрешить вход только авторизованным учетным записям, что можно настроить в:

Конфигурация компьютера \ Политики \ Параметры Windows \ Локальные политики \ Параметры безопасности \ Локальные политики \ Назначение прав пользователя

Это предоставляет права на интерактивный (и, при необходимости, службы удаленных рабочих столов) входа в систему только авторизованным пользователям защищенного административного узла.

Физическая охрана

Чтобы административные хосты считались надежными, они должны быть настроены и защищены в той же степени, что и системы, которыми они управляют.Большинство рекомендаций, приведенных в разделе Защита контроллеров домена от атак, также применимы к узлам, которые используются для администрирования контроллеров домена и базы данных AD DS. Одна из проблем внедрения безопасных административных систем в большинстве сред заключается в том, что физическую безопасность может быть труднее реализовать, поскольку эти компьютеры часто находятся в областях, которые не так безопасны, как серверы, размещенные в центрах обработки данных, таких как рабочие столы административных пользователей.

Физическая безопасность включает контроль физического доступа к административным хостам.В небольшой организации это может означать, что у вас есть выделенная административная рабочая станция, которая, когда не используется, запирается в офисе или в ящике стола. Или это может означать, что, когда вам нужно выполнить администрирование Active Directory или контроллеров домена, вы входите непосредственно в контроллер домена.

В организациях среднего размера вы можете рассмотреть возможность внедрения безопасных административных «серверов перехода», которые расположены в защищенном месте в офисе и используются, когда требуется управление Active Directory или контроллерами домена.Вы также можете реализовать административные рабочие станции, которые заблокированы в безопасных местах, когда они не используются, с серверами перехода или без них.

В крупных организациях вы можете развернуть серверы перехода в центре обработки данных, которые обеспечивают строго контролируемый доступ к Active Directory; контроллеры домена; а также файловые серверы, серверы печати или приложения. Реализация архитектуры сервера перехода, скорее всего, будет включать комбинацию безопасных рабочих станций и серверов в больших средах.

Независимо от размера вашей организации и структуры ваших административных хостов, вы должны защитить физические компьютеры от несанкционированного доступа или кражи и использовать BitLocker Drive Encryption для шифрования и защиты дисков на административных хостах.Реализуя BitLocker на административных узлах, даже если узел украден или его диски удалены, вы можете гарантировать, что данные на диске недоступны для неавторизованных пользователей.

Версии и конфигурация операционной системы

Все административные узлы, будь то серверы или рабочие станции, должны работать под управлением новейшей операционной системы, используемой в вашей организации по причинам, описанным ранее в этом документе. Используя текущие операционные системы, ваш административный персонал получает преимущества от новых функций безопасности, полной поддержки поставщиков и дополнительных функций, представленных в операционной системе.Более того, когда вы оцениваете новую операционную систему, сначала развертывая ее на административных хостах, вам необходимо будет ознакомиться с новыми функциями, настройками и механизмами управления, которые она предлагает, которые впоследствии могут быть использованы при планировании более широкого развертывания операционной системы. . К тому времени наиболее опытными пользователями в вашей организации будут также пользователи, знакомые с новой операционной системой и имеющие наилучшие возможности для ее поддержки.

Мастер настройки безопасности Microsoft

Если вы реализуете серверы перехода как часть стратегии административного хоста, вам следует использовать встроенный мастер настройки безопасности, чтобы настроить параметры службы, реестра, аудита и брандмауэра, чтобы уменьшить поверхность атаки сервера.Когда параметры конфигурации мастера настройки безопасности собраны и настроены, их можно преобразовать в объект групповой политики, который используется для обеспечения согласованной базовой конфигурации на всех серверах перехода. Вы можете дополнительно изменить объект групповой политики, чтобы реализовать параметры безопасности, специфичные для серверов перехода, и можете объединить все параметры с дополнительными базовыми параметрами, извлеченными из Microsoft Security Compliance Manager.

Microsoft Security Compliance Manager

Microsoft Security Compliance Manager - это свободно доступный инструмент, который объединяет конфигурации безопасности, рекомендованные Microsoft, на основе версии операционной системы и конфигурации ролей, и собирает их в одном инструменте и пользовательском интерфейсе, который можно использовать для создания и настройки базовых параметров безопасности. для контроллеров домена.Шаблоны Microsoft Security Compliance Manager можно комбинировать с параметрами мастера настройки безопасности для создания исчерпывающих базовых параметров конфигурации для серверов перехода, которые развертываются и применяются объектами групповой политики, развернутыми в подразделениях, в которых серверы перехода расположены в Active Directory.

Примечание

На момент написания этой статьи Microsoft Security Compliance Manager не включает настройки, специфичные для серверов перехода или других защищенных административных хостов, но Security Compliance Manager (SCM) по-прежнему может использоваться для создания начальных базовых показателей для ваших административных хостов.Однако, чтобы должным образом защитить хосты, вы должны применить дополнительные настройки безопасности, соответствующие высокозащищенным рабочим станциям и серверам.

AppLocker

Административные узлы и виртуальные машины должны быть настроены с помощью сценариев, инструментов и приложений через AppLocker или стороннее программное обеспечение для ограничения приложений. Любые административные приложения или служебные программы, которые не соответствуют безопасным настройкам, должны быть обновлены или заменены инструментами, которые соответствуют безопасным методам разработки и администрирования.Когда на административном хосте необходимы новые или дополнительные инструменты, приложения и утилиты должны быть тщательно протестированы, и, если инструментальные средства подходят для развертывания на административных хостах, их можно добавить в системы.

Ограничения RDP

Хотя конкретная конфигурация будет зависеть от архитектуры ваших административных систем, вы должны включить ограничения на то, какие учетные записи и компьютеры могут использоваться для установления подключений по протоколу удаленного рабочего стола (RDP) к управляемым системам, например с использованием шлюза удаленных рабочих столов (шлюза удаленных рабочих столов). ) переходные серверы для управления доступом к контроллерам домена и другим управляемым системам от авторизованных пользователей и систем.

Вы должны разрешить интерактивный вход авторизованным пользователям и удалить или даже заблокировать другие типы входа, которые не нужны для доступа к серверу.

Управление исправлениями и конфигурацией

Небольшие организации могут полагаться на такие предложения, как Центр обновления Windows или Службы обновления Windows Server (WSUS) для управления развертыванием обновлений для систем Windows, в то время как более крупные организации могут внедрять корпоративные исправления и программное обеспечение для управления конфигурацией, такое как Microsoft Endpoint Configuration Manager.Независимо от механизмов, которые вы используете для развертывания обновлений на вашем общем сервере и на рабочих станциях, вам следует рассмотреть возможность отдельного развертывания для систем с высокой степенью защиты, таких как контроллеры домена, центры сертификации и административные узлы. Из-за отделения этих систем от общей инфраструктуры управления, если ваше управляющее программное обеспечение или учетные записи служб будут скомпрометированы, это не может быть легко распространено на наиболее безопасные системы в вашей инфраструктуре.

Хотя вам не следует внедрять процессы обновления вручную для защищенных систем, вы должны настроить отдельную инфраструктуру для обновления защищенных систем.Даже в очень крупных организациях эту инфраструктуру обычно можно реализовать с помощью выделенных серверов WSUS и объектов групповой политики для защищенных систем.

Блокировка доступа в Интернет

Административным узлам не должен быть разрешен доступ в Интернет, и они не должны иметь возможность просматривать интрасеть организации. Веб-браузеры и аналогичные приложения не должны допускаться на административных хостах. Вы можете заблокировать доступ в Интернет для безопасных хостов с помощью комбинации настроек брандмауэра периметра, конфигурации WFAS и конфигурации прокси-сервера «черной дыры» на защищенных хостах.Вы также можете использовать список приложений, чтобы запретить использование веб-браузеров на административных хостах.

Виртуализация

По возможности рассмотрите возможность реализации виртуальных машин в качестве административных узлов. Используя виртуализацию, вы можете создавать административные системы для каждого пользователя, которые централизованно хранятся и управляются, и которые можно легко отключить, когда они не используются, гарантируя, что учетные данные не останутся активными в административных системах. Вы также можете потребовать, чтобы виртуальные административные узлы сбрасывались до исходного моментального снимка после каждого использования, чтобы виртуальные машины оставались нетронутыми.Более подробная информация о вариантах виртуализации административных хостов представлена ​​в следующем разделе.

Примеры подходов к реализации безопасных административных хостов

Независимо от того, как вы проектируете и развертываете инфраструктуру административного хоста, вы должны помнить о рекомендациях, приведенных в разделе «Принципы создания безопасных административных хостов» ранее в этом разделе. Каждый из описанных здесь подходов предоставляет общую информацию о том, как можно разделить «административные» и «производительные» системы, используемые вашим ИТ-персоналом.Системы повышения производительности - это компьютеры, которые ИТ-администраторы используют для проверки электронной почты, просмотра веб-страниц и использования общего программного обеспечения для повышения производительности, такого как Microsoft Office. Административные системы - это компьютеры, усиленные и предназначенные для повседневного администрирования ИТ-среды.

Самый простой способ реализовать безопасные административные хосты - предоставить ИТ-персоналу защищенные рабочие станции, с которых они могут выполнять административные задачи. В реализации только для рабочих станций каждая административная рабочая станция используется для запуска инструментов управления и подключений RDP для управления серверами и другой инфраструктурой.Реализации только для рабочих станций могут быть эффективны в небольших организациях, хотя для более крупных и более сложных инфраструктур может быть полезна распределенная структура для административных узлов, в которой используются выделенные административные серверы и рабочие станции, как описано в разделе «Внедрение безопасных административных рабочих станций и серверов переходов» далее в Эта тема.

Внедрение отдельных физических рабочих станций

Одним из способов реализации административных хостов является предоставление каждому ИТ-пользователю двух рабочих станций.Одна рабочая станция используется с «обычной» учетной записью для выполнения таких действий, как проверка электронной почты и использование приложений для повышения производительности, а вторая рабочая станция предназначена исключительно для административных функций.

Для производительной рабочей станции ИТ-персоналу могут быть предоставлены учетные записи обычных пользователей вместо использования привилегированных учетных записей для входа на незащищенные компьютеры. Административная рабочая станция должна иметь строго контролируемую конфигурацию, а ИТ-персонал должен использовать другую учетную запись для входа на административную рабочую станцию.

Если вы внедрили смарт-карты, административные рабочие станции должны быть настроены так, чтобы требовать входа в систему с помощью смарт-карт, а ИТ-персоналу должны быть предоставлены отдельные учетные записи для административного использования, также настроенные на использование смарт-карт для интерактивного входа в систему. Административный хост должен быть усилен, как описано ранее, и только назначенным ИТ-пользователям следует разрешить локальный вход на административную рабочую станцию.

Плюсы

Внедряя отдельные физические системы, вы можете гарантировать, что каждый компьютер настроен в соответствии со своей ролью и что ИТ-пользователи не могут случайно подвергнуть административные системы риску.

Минусы

• Внедрение отдельных физических компьютеров увеличивает затраты на оборудование.

• При входе на физический компьютер с учетными данными, которые используются для администрирования удаленных систем, учетные данные кэшируются в памяти.

• Если административные рабочие станции хранятся ненадежно, они могут быть уязвимы для взлома с помощью таких механизмов, как физические аппаратные регистраторы ключей или другие физические атаки.

Реализация защищенной физической рабочей станции с виртуальной рабочей станцией для повышения производительности

При таком подходе ИТ-пользователям предоставляется защищенная административная рабочая станция, с которой они могут выполнять повседневные административные функции с помощью средств удаленного администрирования сервера (RSAT) или подключений RDP к серверам в пределах их ответственности.Когда ИТ-пользователям необходимо выполнить задачи по повышению производительности, они могут подключиться через RDP к удаленной рабочей станции, работающей как виртуальная машина. Для каждой рабочей станции должны использоваться отдельные учетные данные, а также должны быть реализованы элементы управления, такие как смарт-карты.

Плюсы

• Административные рабочие места и рабочие места для повышения производительности разделены.

• ИТ-персонал, использующий защищенные рабочие станции для подключения к продуктивным рабочим станциям, может использовать отдельные учетные данные и смарт-карты, а привилегированные учетные данные не хранятся на менее защищенном компьютере.

Минусы

• Реализация решения требует работы по проектированию и внедрению, а также надежных вариантов виртуализации.

• Если физические рабочие станции хранятся ненадежно, они могут быть уязвимы для физических атак, которые ставят под угрозу оборудование или операционную систему и делают их уязвимыми для перехвата связи.

Внедрение единой защищенной рабочей станции с подключениями к отдельным виртуальным машинам «производственной» и «административной»

При таком подходе вы можете предоставить ИТ-пользователям одну физическую рабочую станцию, которая заблокирована, как описано ранее, и к которой ИТ-пользователи не имеют привилегированного доступа.Вы можете предоставить подключения к службам удаленных рабочих столов виртуальным машинам, размещенным на выделенных серверах, предоставив ИТ-персоналу одну виртуальную машину, которая запускает электронную почту и другие приложения для повышения производительности, а также вторую виртуальную машину, которая настроена как выделенный административный узел пользователя.

Вам необходимо потребовать смарт-карту или другой многофакторный вход для виртуальных машин с использованием отдельных учетных записей, отличных от учетной записи, которая используется для входа на физический компьютер. После того, как ИТ-пользователь входит в систему на физическом компьютере, он может использовать свою рабочую смарт-карту для подключения к своему удаленному рабочему компьютеру и отдельную учетную запись и смарт-карту для подключения к своему удаленному административному компьютеру.

Плюсы

• ИТ-пользователи могут использовать одну физическую рабочую станцию.

• Из-за того, что для виртуальных хостов требуются отдельные учетные записи и используются подключения служб удаленных рабочих столов к виртуальным машинам, учетные данные ИТ-пользователей не кэшируются в памяти на локальном компьютере.

• Физический хост может быть защищен в той же степени, что и административный хост, что снижает вероятность взлома локального компьютера.

• В случаях, когда производительная виртуальная машина ИТ-пользователя или его административная виртуальная машина могли быть скомпрометированы, виртуальную машину можно легко сбросить в «заведомо исправное» состояние.

• Если физический компьютер скомпрометирован, никакие привилегированные учетные данные не будут кэшироваться в памяти, а использование смарт-карт может предотвратить компрометацию учетных данных регистраторами нажатия клавиш.

Минусы

• Реализация решения требует работы по проектированию и внедрению, а также надежных вариантов виртуализации.

• Если физические рабочие станции хранятся ненадежно, они могут быть уязвимы для физических атак, которые ставят под угрозу оборудование или операционную систему и делают их уязвимыми для перехвата связи.

Внедрение безопасных административных рабочих станций и серверов переходов

В качестве альтернативы защищенным административным рабочим станциям или в сочетании с ними вы можете реализовать защищенные серверы перехода, а пользователи с правами администратора могут подключаться к серверам перехода с помощью RDP и смарт-карт для выполнения административных задач.

Серверы переходов должны быть настроены для запуска роли шлюза удаленных рабочих столов, чтобы можно было реализовать ограничения на подключения к серверу перехода и к серверам назначения, которые будут управляться с него.Если возможно, вам также следует установить роль Hyper-V и создать персональные виртуальные рабочие столы или другие виртуальные машины для каждого пользователя, чтобы административные пользователи могли использовать их для своих задач на серверах перехода.

Предоставляя административным пользователям виртуальные машины для каждого пользователя на сервере перехода, вы обеспечиваете физическую безопасность административных рабочих станций, а административные пользователи могут перезагружать или выключать свои виртуальные машины, когда они не используются. Если вы предпочитаете не устанавливать роль Hyper-V и роль шлюза удаленных рабочих столов на одном административном хосте, вы можете установить их на разных компьютерах.

По возможности, для управления серверами следует использовать инструменты удаленного администрирования. Средства удаленного администрирования сервера (RSAT) должны быть установлены на виртуальных машинах пользователей (или на сервере перехода, если вы не реализуете виртуальные машины для отдельных пользователей для администрирования), а административный персонал должен подключаться через RDP к своим виртуальным машинам для выполнения административные задачи.

В случаях, когда административный пользователь должен подключиться через RDP к целевому серверу для непосредственного управления им, шлюз удаленных рабочих столов должен быть настроен так, чтобы подключение было выполнено только в том случае, если соответствующий пользователь и компьютер используются для установления соединения с целевым сервером.Выполнение инструментов RSAT (или подобных) должно быть запрещено в системах, которые не являются назначенными системами управления, например, на рабочих станциях общего пользования и рядовых серверах, которые не являются серверами перехода.

Плюсы

• Создание серверов перехода позволяет вам сопоставлять определенные серверы с «зонами» (совокупностями систем с аналогичными требованиями к конфигурации, подключению и безопасности) в вашей сети и требовать, чтобы администрирование каждой зоны осуществлялось административным персоналом, подключающимся из безопасного административные хосты к назначенному серверу "зоны".

• Сопоставляя серверы перехода с зонами, вы можете реализовать детальный контроль свойств подключения и требований к конфигурации, а также легко выявлять попытки подключения из неавторизованных систем.

• Реализуя виртуальные машины на уровне администратора на серверах перехода, вы принудительно завершаете работу и переводите виртуальные машины в известное чистое состояние после завершения административных задач. Принудительное завершение работы (или перезапуск) виртуальных машин после завершения административных задач делает виртуальные машины недоступными для злоумышленников, а атаки с кражей учетных данных невозможны, поскольку учетные данные, кэшированные в памяти, не сохраняются после перезагрузки.

Минусы

• Для серверов перехода, физических или виртуальных, требуются выделенные серверы.

• Внедрение выделенных серверов перехода и административных рабочих станций требует тщательного планирования и настройки с учетом всех зон безопасности, настроенных в среде.

Страница не найдена