Керування Windows Server
Active Directory: каталог, від якого залежить кожен вхід у Windows
Active Directory є основою ідентичності Windows: контролери домену, автентифікація Kerberos, групова політика та DNS як одна служба. Майже кожна розмова про безпеку Windows повертається до нього, тому що той, хто контролює каталог, контролює маєток, і зловмисники це знають. Ця спеціальна стаття розповідає про те, що таке AD насправді, які дисципліни його адміністрування та де збігається його наступник у хмарі (Entra ID).
Головне
- Ментальна модель: контролери домену зберігають і копіюють каталог, Kerberos видає короткострокові квитки для автентифікації, а групова політика передає налаштування машинам і користувачам; обережно ставтеся до змін схеми, оскільки схему каталогу важко повернути назад.
- Групова політика — це інструмент керування автопарком: зіставлення дисків, базові рівні безпеки (паролі локального адміністратора, керовані LAPS, захист облікових даних), розгортання програмного забезпечення та блокування заставки; Пріоритет GPO детермінований, але складний, тому документування та поетапне зв’язування GPO заощаджує набагато більше часу, ніж коштує.
- Позиція безпеки вирішує живучість майна: привілейований рівень (окремі облікові записи адміністраторів, які ніколи не торкаються електронної пошти чи Інтернету), обмежені за часом групи з підвищеними правами та блокування застарілих протоколів (NTLM, де це можливо, SMBv1 абсолютно) усувають шляхи підвищення привілеїв, які публічно використовувалися протягом десяти років.
- DNS є частиною угоди, і це служба для захисту: зон, інтегрованих у AD, дисципліни TTL та гігієни повторюваних імен; зламаний AD DNS викликає симптоми, які скрізь схожі на збої програм.
- Гібридна реальність: Entra ID (хмара) і AD синхронізуються разом через Entra Connect; синхронізація хешу пароля проти наскрізної автентифікації, політики умовного доступу на стороні хмари та стани пристроїв гібридного приєднання; старим і новим механізмам потрібна явна модель безпеки, а не повсюдна довіра за замовчуванням.
- Дисципліна операцій: синхронізація часу постійного струму є властивістю коректності (Kerberos ламається з перекосом понад 5 хвилин), ролі FSMO задокументовані, резервні копії перевірені на відновлення (авторитетне відновлення відрізняється), а також моніторинг збоїв реплікації та ідентифікаторів підозрілих подій із збором журналу подій, а також перехоплювачами SIEM класу Sentinel або Wazuh, що закривають цикл.
Польова нотатка
Інцидент AD, який сформував нашу практику: один обліковий запис адміністратора, який щодня перевіряв електронну пошту, займався фішингом і надавав зловмисникам адміністратора домену в один клік. Налаштування облікових записів адміністраторів і Windows LAPS після цього зайняло місяць терплячої роботи; відтоді він двічі врятував себе від спроб бічних рухів, які ні до чого не привели.
Часті запитання
Чи все ще актуально AD, коли все переходить на Entra ID?
Абсолютно для локальної інфраструктури, застарілих програм (файлових серверів, принтерів, застарілих програм із Kerberos) і гібридних станцій; Entra — це площина доступу для хмарних служб, а не план міграції для локальної довіри. Плануйте співіснування, а не лінійну заміну.
Чому багаторівневі облікові записи адміністраторів такі важливі?
Оскільки робочі станції регулярно компрометуються, і облікові дані адміністратора, які торкнулися зламаного ящика, успадковують компрометацію цього ящика; рівень обмежує доступ до облікових даних на кордон довіри та є найближчим до розкладу вакцинації, який має каталог.
Що таке LAPS і чому це важливо?
Windows LAPS керує унікальними паролями локального адміністратора на комп’ютері, які змінюються та зберігаються в AD або Entra, усуваючи кошмар із спільними паролями; один застарілий спільний пароль локального адміністратора — це класичний бічний шлях руху.
Які основи моніторингу AD?
Справність реплікації, журнали подій безпеки (квитки класу 4624/4625, 4768/4769), зміни членства в привілейованих групах і синхронізація часу; заздалегідь налаштуйте збирач класів SIEM або Wazuh (у нашій статті про wazuh йдеться про опцію з відкритим кодом).
Допомога Kinetikatech: керування windows server
Ось у чому річ: Незабаром: моніторинг, виправлення та захист від грубої сили для Windows Server, та сама дисципліна 24/7, власні інструменти. Передайте це службі Моніторинг Windows Server та Адміністрування серверів, і все буде закрито: грамотна оцінка, чисте впровадження, цілодобовий нагляд.