सक्रिय निर्देशिका प्रबंधन सुरक्षित करें। भाग 3 (अंतिम)

आज, हम सक्रिय निर्देशिका के सुरक्षित प्रबंधन के बारे में नोटों की एक छोटी श्रृंखला को पूरा कर रहे हैं। यह सामग्री ब्रायन Svidergol, सक्रिय निर्देशिका कुकबुक के लेखक का अनुवाद है।

हमेशा की तरह, उन विचारों पर ध्यान केंद्रित करें जो आपके बुनियादी ढांचे को अधिक सुरक्षित बनाने में मदद करेंगे। पिछले दो भागों को नीचे दिए गए लिंक पर पाया जा सकता है:
भाग 1
भाग २

इस भाग में, हम AD संबंधित घटनाओं की निगरानी के बारे में बात कर रहे हैं।


सफल और असफल दोनों अभियानों को ट्रैक करना क्यों आवश्यक है?

क्या आप केवल विफल हुए कार्यों को ट्रैक करते हैं? दुर्भाग्य से, आपको ऑडिट रणनीति को संशोधित करना होगा, हमारे लेखक का मानना ​​है। आइए कुछ उदाहरणों को दें जो यह दर्शाते हैं कि सफलतापूर्वक पूर्ण की गई घटनाओं की निगरानी करना कितना महत्वपूर्ण है:

उदाहरण के लिए, आप जानना चाहते हैं कि डोमेन नियंत्रक की सेटिंग किसने बदली। बदलाव सफल रहा। परिवर्तन करने के लिए, डोमेन में सफलतापूर्वक लॉग इन करना आवश्यक था। और फिर सफलतापूर्वक दूरस्थ प्रशासन उपकरण (आरडीपी या एमएमसी) का उपयोग करें। यह पूरी कहानी सीधे सफल कार्यों से जुड़ी हुई है, अगर आप उन्हें ट्रैक नहीं करते हैं - यह समझना मुश्किल है कि किसने और कब बदला।
एक अन्य उदाहरण: आप एक डोमेन में लॉग इन करने के लिए एक सेवा खाते द्वारा असफल प्रयास से जुड़ी बड़ी संख्या में घटनाओं को देखते हैं। यह बहुत अच्छा है कि आप असफल प्रयासों को ट्रैक कर सकते हैं। यह बुरा है कि आप यह नहीं समझ पा रहे हैं कि प्रयास क्यों बंद हुए: या तो हमलावर अभी भी लॉग इन करने में कामयाब रहा, या वह कोशिश करके थक गया। दोनों मामलों में, दोनों सफल और असफल संचालन को ट्रैक करना बेहतर है।

AD की निगरानी कैसे करें?

मैं डोमेन एडमिंस समूह पर ध्यान केंद्रित करने का प्रस्ताव करता हूं (हालांकि ये सिफारिशें सभी महत्वपूर्ण सुरक्षा समूहों पर लागू होती हैं): आपको समूह सदस्यता में सभी परिवर्तनों की निगरानी करनी चाहिए, परिवर्धन और विलोपन दोनों की निगरानी करनी चाहिए। अन्यथा, आप यह नहीं जान सकते हैं कि हमलावर ने अस्थायी रूप से खुद को डोमेन एडिन्स में जोड़ा है, और अपनी बात करने के बाद - छोड़ दिया।

अब बात करते हैं समूह नीतियों की। एक गलत जीपी ऑडिट रणनीति के भयानक परिणाम हो सकते हैं। उदाहरण के लिए, एक हमलावर आपके संगठन के कार्यस्थानों पर एक फ़िशिंग हमला करना चाहता है, लेकिन वर्तमान IE सेटिंग्स ऐसे हमले की प्रभावशीलता को बाधित या कम करती हैं। हमलावर के लिए एक अच्छा विकल्प जीपीओ, जीपीओ को संशोधित करना होगा।
एक अन्य उदाहरण: एक हमलावर को एक डोमेन में शामिल सभी मशीनों पर मैलवेयर स्थापित करने की आवश्यकता होती है। इस मामले में, वह एक नई वस्तु बनाने के लिए समूह नीतियों का प्रभावी ढंग से उपयोग कर सकता है।

इसलिए, जीपी की निरंतर निगरानी बुनियादी ढांचे की सुरक्षा में महत्वपूर्ण भूमिका निभाती है। आपको ऑब्जेक्ट (GPO), साथ ही ऑब्जेक्ट बाइंडिंग (GPO लिंक) के निर्माण और संशोधन को ट्रैक करने की आवश्यकता है। आपको यह भी जानना होगा कि किसने परिवर्तन की शुरुआत की। यदि आप प्रशासनिक कार्यों के लिए समर्पित सबनेट का उपयोग करते हैं तो विज्ञापन निगरानी अपेक्षाकृत जल्दी से स्थापित की जा सकती है (भाग 2 को याद करें)। अलग-अलग सर्वर, आईपी पते या कंटेनर / समूह पर कई फिल्टर स्थापित करने के बजाय, आप एक पूरे सबनेट की निगरानी कर सकते हैं।

अलर्ट की संख्या कैसे कम करें?

हर कोई जिसने कभी सिस्टम सेंटर ऑपरेशन मैनेजर (SCOM) स्थापित किया है, वह जानता है कि मैं किस बारे में बात कर रहा हूं। आज, निगरानी समाधान अधिक जटिल हो गए हैं और बड़ी संख्या में प्रणालियों का समर्थन करते हैं। SystemCenter विशेष पैकेज की मदद से फैलता है जो किसी भी सर्वर सॉफ़्टवेयर या उपकरण के लिए शाब्दिक रूप से मौजूद हैं। फिलहाल जब ये सभी पैकेज स्थापित और जुड़े हुए हैं, तो प्रशासक बुनियादी ढांचे में "समस्याओं" के बारे में कई अलर्ट के साथ डूबे हुए हैं। नतीजतन, अगर सब कुछ क्रम में है, तो इन अलर्ट का जवाब देना बंद कर दें। और वे केवल उन घटनाओं के मामले में उन्हें देखना शुरू कर देते हैं जब एक या कई प्रणालियों ने पहले ही व्यावहारिक रूप से काम करना बंद कर दिया है।

मेरी रणनीति काफी सरल है: मैं हर बार समस्या होने पर निगरानी प्रणाली के कंसोल को देखता हूं। मैं यह समझने की कोशिश कर रहा हूं कि क्या निगरानी प्रणाली ने हमें किसी घटना को रोकने के लिए पर्याप्त जानकारी दी है? क्या सही लोगों को अलर्ट भेजा गया है? अक्सर व्यवस्थापक "समूह द्वारा" अलर्ट प्राप्त करते हैं, अर्थात न केवल उन प्रणालियों के बारे में जो वे सेवा करते हैं, बल्कि सहयोगियों के बारे में भी। यदि प्रवेशकर्ता कोई अधिसूचना देखते हैं, तो भी वे जवाब नहीं देते, क्योंकि "वैसे भी, यह विभाग किसी अन्य विभाग द्वारा हल किया जाएगा।"

संक्षेप में , मैं तीन सरल प्रश्नों का प्रस्ताव करता हूं जो अलर्ट की संख्या को कम करने में मदद करेंगे:

1. क्या अधिसूचना के लिए प्रशासकों की ओर से कोई प्रतिक्रिया (कार्रवाई) हुई थी? यदि नहीं, तो क्यों? क्या इस तरह के अलर्ट को तुरंत बुझाना संभव है? क्या इससे कार्य प्रणाली प्रभावित होगी?
   यदि हां, तो तुरंत इस तरह के अलर्ट सेट करें ताकि वे प्रशासकों के पास न आएं।
2. क्या आप उन प्रणालियों के बारे में अलर्ट प्राप्त करते हैं जिनके लिए अन्य कर्मचारी जिम्मेदार हैं? यदि हां, तो क्या अन्य कर्मचारियों को भी यही अलर्ट मिलते हैं? यदि जवाब फिर से हाँ है, तो अपने आप को मेलिंग सूची से हटा दें। यदि अन्य कर्मचारी इन सूचनाओं की सदस्यता नहीं लेते हैं, तो उन्हें जोड़ें और स्वयं हटा दें। केवल इसके लिए जिम्मेदार लोगों को अलर्ट प्राप्त करना चाहिए।
3. क्या आप उन घटनाओं के लिए CMC अलर्ट प्राप्त करते हैं जो गंभीर नहीं हैं? (डिस्क पर 20% खाली स्थान बचा है) यदि हाँ, तो अपना नंबर न्यूज़लेटर से हटा दें। एसएमएस अलर्ट केवल एक उत्पादक वातावरण में गंभीर घटनाओं के मामले में आना चाहिए, अन्यथा आप उन्हें पर्याप्त रूप से जवाब देना बंद कर देंगे।

इस नोट का मूल पाठ अंग्रेजी में है।