सक्रिय निर्देशिका प्रबंधन सुरक्षित करें। भाग 1

नमस्ते!

आज हम अपने लेखकों में से एक के पदों का अनुवाद करना शुरू कर रहे हैं, परिचित हो जाओ - ब्रायन Svidergol, सक्रिय निर्देशिका रसोई की किताब के लेखक। ब्रायन आईटी के बुनियादी ढांचे के मुद्दों में माहिर हैं, जिसमें शामिल हैं विज्ञापन, विनिमय, भंडारण प्रणालियों आदि का प्रबंधन करते हुए, ब्रायन ने सामान्य वाक्यांशों के साथ मूल पाठ को धीरे-धीरे पतला किया, इसलिए हम सार को उजागर करने का प्रयास करेंगे।



न्यूनतम विशेषाधिकार का सिद्धांत

विकिपीडिया में न्यूनतम विशेषाधिकारों के सिद्धांत पर एक अच्छा लेख है। संक्षेप में, इस सिद्धांत का पालन करने का अर्थ है कि उपयोगकर्ता को केवल उन विशेषाधिकारों को देना जो उसके कार्यों को पूरा करने के लिए बिल्कुल आवश्यक हैं।


सूचना सुरक्षा घटनाएं

नेटवर्क में पूरी तरह से अलग डेटा होता है कि आईटी सिस्टम सुरक्षा के लिए आंतरिक सुरक्षा के लिए गंभीर खतरे कैसे हो सकते हैं। मैंने ऐसी रिपोर्टें देखी हैं जो कहती हैं कि कॉरपोरेट नेटवर्क से केवल 15% घुसपैठ होती है। मैंने 50% के बारे में कहने वाली अन्य रिपोर्टें देखी हैं, लेकिन AD का सुरक्षित प्रबंधन यह पता लगाने के लिए नहीं है कि हमला कहाँ किया गया है, यह इतना महत्वपूर्ण नहीं है कि यह आंतरिक खतरा है या बाहरी। यह महत्वपूर्ण है कि सक्रिय निर्देशिका लगभग हमेशा हमलावर का प्राथमिक लक्ष्य है। AD का नियंत्रण हासिल करने के बाद, एक हमलावर विशेषाधिकार वृद्धि का उपयोग करके सैकड़ों विभिन्न आईटी प्रणालियों का प्रबंधन कर सकता है। यहाँ कुछ उदाहरण दिए गए हैं:

1) माइक्रोसॉफ्ट एक्सचेंज। एक्सचेंज सर्वरों की सक्रिय निर्देशिका प्रशासन और प्रबंधन अक्सर विभिन्न आईटी पेशेवरों द्वारा किया जाता है, लेकिन विशेषाधिकारों को विज्ञापन समूह में दिया जाता है।
यदि आपके पास सक्रिय निर्देशिका पर नियंत्रण है, तो आप अपने आप को उपयुक्त समूहों में जोड़ सकते हैं और संगठन के संपूर्ण मेल सबसिस्टम तक पूरी पहुंच प्राप्त कर सकते हैं। उदाहरण के लिए, प्रबंधकों के मेलबॉक्सेज़ तक पहुँच, गोपनीय जानकारी की प्रतिलिपि बनाने की क्षमता, उच्च स्तर की पहुँच वाले प्रशासक की ओर से कार्य करने की क्षमता, जैसे डीबीए।

2) Microsoft Lync। स्थिति एक्सचेंज के समान है: भूमिका-आधारित पहुंच, विज्ञापन समूह के माध्यम से दिए गए विशेषाधिकार। अपने आप को उपयुक्त समूहों में जोड़ें, और आप संगठन में किसी भी उपयोगकर्ता की ओर से संदेश भेज सकते हैं। आप कॉल पुनर्निर्देशित कर सकते हैं, अनुसूचित नियुक्तियों को रद्द कर सकते हैं, संदेश लॉग पढ़ सकते हैं।

3) साझा किए गए फ़ोल्डर। अधिकांश फ़ाइल संसाधन, साझा किए गए फ़ोल्डर, आदि AD समूहों द्वारा नियंत्रित होते हैं। अक्सर सबसे गोपनीय जानकारी सार्वजनिक फ़ोल्डरों में संग्रहीत होती है - वेतन डेटा, कर्मचारियों का व्यक्तिगत डेटा, घटक दस्तावेज़। एक हमलावर जो AD का नियंत्रण हासिल करता है, वह कॉर्पोरेट नेटवर्क पर किसी भी फ़ाइल शेयर को जल्दी से एक्सेस करने के लिए PowerShell का उपयोग कर सकता है।

देखिए कितनी तेजी से चीजें हाथ से निकल जाती हैं? हम कुछ सुझाव देते हैं जो जोखिम को कम करने में मदद करेंगे, न्यूनतम विशेषाधिकार के सिद्धांत का उपयोग करेंगे:
हेल्पडेस्क कर्मचारी सक्रिय निर्देशिका में अधिकांश उपयोगकर्ताओं के लिए पासवर्ड रीसेट कर सकते हैं।
यदि एक हेल्पडेस्क कर्मचारी डीबीए पासवर्ड रीसेट कर सकता है, तो वे किसी भी डेटाबेस तक पहुंच सकते हैं। व्यवहार में, हमलावर हमेशा संसाधनों तक पहुंच प्राप्त करने का सबसे आसान तरीका ढूंढ रहे हैं, इसलिए उन्हें एक डोमेन व्यवस्थापक खाते में हैक करने की आवश्यकता नहीं है। कई सहायक कर्मचारियों को फ़िशिंग करना और उनके खातों तक पहुंच प्राप्त करना सभी की आवश्यकता है जो ऐसे मामलों में आवश्यक है।
हम यह सुनिश्चित करने की सलाह देते हैं कि सहायक कर्मचारी विशेषाधिकार प्राप्त खातों के लिए पासवर्ड रीसेट नहीं कर सकते हैं, ऐसे मामलों में, सुरक्षा विशेषज्ञों को शामिल होना चाहिए या पासवर्ड रीसेट करने के लिए सुरक्षित तरीकों का स्वतंत्र रूप से उपयोग किया जाना चाहिए।

एक अतिरिक्त खाते में प्रशासनिक प्राधिकरण को सौंपने से फ़िशिंग हमलों, ब्राउज़र भेद्यता या वायरस गतिविधि से जुड़े जोखिम कम हो सकते हैं। व्यवस्थापक पत्र, वेब पेज खोल सकता है, आदि। ऐसे खाते का उपयोग करना जो उन्नत विशेषाधिकारों से संपन्न नहीं है।

डोमेन व्यवस्थापक समूह में सेवा खाते । मुझे लगता है कि आप अक्सर ऐसी स्थिति में रहे हैं जहां एक निश्चित सॉफ्टवेयर को काम करने के लिए एक सेवा की आवश्यकता होती है, जिसे एक सेवा खाते के तहत चलाया जाना चाहिए। और हां, यह खाता निश्चित रूप से डोमेन एडमिन समूह का हिस्सा होना चाहिए। ऐसी स्थिति में पहला पर्याप्त कदम सॉफ्टवेयर निर्माता से आधिकारिक दस्तावेज का अनुरोध करना होगा। यह संभव है कि प्रलेखन सेवा शुरू करने और चलाने के लिए आवश्यक न्यूनतम विशेषाधिकार का वर्णन करता है। यदि ऐसी कोई जानकारी नहीं है, तो हम अनुशंसा करते हैं कि आप संबंधित मंचों की ओर रुख करें, हो सकता है कि आप इस उत्पाद को स्थापित करने और कॉन्फ़िगर करने वाले पहले न हों, और एक समाधान पहले ही मिल चुका है। किसी भी मामले में, सेवा खातों के पासवर्ड को नियमित रूप से बदलने के लिए यह अच्छा अभ्यास माना जाता है। आप इस प्रक्रिया को स्वचालित कर सकते हैं, और हम इसके लिए एक नि: शुल्क उपकरण प्रदान करेंगे - Netwrix विशेषाधिकार खाता प्रबंधक ।

मूल पाठ
_____

PS सामान्य तौर पर, यह सब: विशेषाधिकार प्राप्त खातों के लिए पासवर्ड रीसेट करना, अतिरिक्त खाते का उपयोग करके किए गए कार्यों और विशेषाधिकारों को बढ़ाने के प्रयासों को ऑडिटिंग परिवर्तनों के लिए सॉफ़्टवेयर टूल का उपयोग करके आसानी से ट्रैक किया जा सकता है। यह न केवल बुनियादी ढांचे और डेटा की रक्षा करेगा, बल्कि प्रशासकों और हेल्पडेस्क पर बोझ को आंशिक रूप से कम करेगा। उदाहरण के रूप में (रिपोर्ट का प्रकार, रिपोर्ट बनाने के तरीके, सूचना सामग्री ), आप नेटवर्क्स ऑडिटर देख सकते हैं। परीक्षण संस्करण और ऑनलाइन परीक्षण ड्राइव उपलब्ध है ।