सक्रिय निर्देशिका प्रबंधन सुरक्षित करें। भाग २

सभी को शुभ दिन!

हम अपने एक लेखक के विचारों को साझा करना जारी रखते हैं - ब्रायन Svidergol, सक्रिय निर्देशिका कुकबुक के लेखक। पेश है एडी सिक्योरिटी मैनेजमेंट का पार्ट 2।



प्रशासनिक कार्यों के लिए समर्पित सबनेट।

एक अच्छा उदाहरण है कि ब्रायन ऑनलाइन बैंकिंग सिस्टम है: अधिकांश बैंक जोखिम निगरानी प्रणाली का उपयोग करते हैं जो ऑनलाइन क्लाइंट में प्रवेश करने के लिए संदिग्ध प्रयासों को ट्रैक करते हैं, उदाहरण के लिए, यदि ऐसा प्रयास एक गैर-मानक डिवाइस या असामान्य क्षेत्रीय सेटिंग्स से किया जाता है, तो आपके कंप्यूटर पर मौजूद हैं।

यदि आप किसी अज्ञात सबनेट (उदाहरण के लिए, छुट्टी या व्यावसायिक यात्रा पर) से ऑनलाइन क्लाइंट को दर्ज करने का प्रयास करते हैं, तो बैंकिंग सिस्टम एक अतिरिक्त प्रमाणीकरण तंत्र को सक्षम करेगा, जैसे कि पुष्टिकरण कोड के साथ एसएमएस, आदि। लेकिन अगर विभिन्न देशों के कई लॉगिन प्रयास एक घंटे के भीतर दर्ज किए जाते हैं। बैंकिंग प्रणाली आपके खाते को तब तक अवरुद्ध करने की संभावना है जब तक सभी परिस्थितियों को स्पष्ट नहीं किया जाता है।

हम आपको एक समान तरीके से प्रशासनिक कार्यों को व्यवस्थित करने की सलाह देते हैं: सामान्य सबनेट से प्रशासनिक संसाधनों (कंसोल, सर्वर इत्यादि) को जोड़ने का प्रयास किए जाने पर आईएस कर्मियों को सूचनाएं भेजी जानी चाहिए। विचार बहुत सरल है, लेकिन व्यवहार में इसे लागू करना काफी कठिन है। टीसीपी पोर्ट 443 का उपयोग करने वाले प्रशासनिक कार्यों के लिए वेब इंटरफेस एक समस्या का प्रतिनिधित्व करता है। इस पोर्ट पर यातायात को एक सबनेट से दूसरे में भेजना एक श्रमसाध्य कार्य है। लेकिन अगर आप सफल हुए, तो परिणाम आपको इंतजार नहीं कराएगा।

पहला सकारात्मक परिणाम अलर्ट है। आपको तत्काल सूचना प्राप्त होगी (और आप परिस्थितियों के अनुसार कार्य कर सकते हैं), उदाहरण के लिए, कोई व्यक्ति नियमित नेटवर्क या अतिथि वाई-फाई से आरडीपी के माध्यम से एक डोमेन नियंत्रक से जुड़ने की कोशिश करता है। कई संगठनों में, ऐसे कनेक्शन किसी भी नेटवर्क से संभव हैं, कुछ में इंटरनेट के माध्यम से भी!
समर्पित सबनेट का उपयोग करने का दूसरा लाभ अतिरिक्त सुरक्षा उपाय प्रदान करने की क्षमता है। उदाहरण के लिए, एक बार कोड के साथ टोकन या एसएमएस का उपयोग करते हुए बहु-कारक पहचान।

प्रशासनिक कार्यों के लिए समर्पित सर्वर और क्लाइंट मशीन।

मामले में आप समर्पित सबनेट को व्यवस्थित नहीं कर सकते हैं - प्रशासनिक कार्यों को करने के लिए कम से कम समर्पित सर्वर और अलग-अलग वर्कस्टेशन का उपयोग करें। लाभ समान हैं - अतिरिक्त सुरक्षा उपाय, दो-कारक प्रमाणीकरण, निगरानी और संभावित घटनाओं की अधिसूचना। विशेष ग्राहक मशीनों का उपयोग करना आपको प्रशासनिक कार्यों से जोखिम भरे दैनिक कार्यों (मेल देखने, वेबसाइटों पर जाने) को अलग करने और फ़िशिंग हमलों की संभावना को कम करने की अनुमति देता है। समर्पित मशीनों पर विशेष प्रशासनिक खातों का उपयोग करते समय सबसे अच्छा परिणाम प्राप्त होता है।

हमने मुख्य विचारों को उजागर करने की कोशिश की। मूल पाठ यहाँ उपलब्ध है।