DMZ Etki Alanı Denetleyicisi en iyi uygulamaları

BT yöneticisi, DMZ'yi harici bir perspektiften kilitleyebilir, ancak DMZ'ye erişime dahili bir perspektiften bu düzeyde güvenlik sağlamada başarısız olabilir, çünkü bu sistemlere DMZ içinde de erişmeniz, yönetmeniz ve izlemeniz gerekecek, ancak biraz daha kısa sürede dahili LAN'ınızdaki sistemlerde yaptığınızdan farklı bir şekilde. Bu yazıda Microsoft'un önerdiği DMZ Etki Alanı Denetleyicisi en iyi uygulamalarını tartışacağız.

DMZ Etki Alanı Denetleyicisi nedir?

Bilgisayar güvenliğinde DMZ veya askerden arındırılmış bölge, bir kuruluşun dışarıya yönelik hizmetlerini içeren ve genellikle İnternet olmak üzere daha büyük ve güvenilmeyen bir ağa sunan fiziksel veya mantıksal bir alt ağdır. DMZ'nin amacı, bir kuruluşun LAN'ına ek bir güvenlik katmanı eklemektir; harici bir ağ düğümünün yalnızca DMZ'deki sistemlere doğrudan erişimi vardır ve ağın diğer herhangi bir kısmından yalıtılmıştır. İdeal olarak, bu sistemlerde kimlik doğrulamaya yardımcı olacak bir DMZ'de hiçbir zaman bir etki alanı denetleyicisi bulunmamalıdır. Hassas kabul edilen herhangi bir bilgi, özellikle dahili veriler, DMZ'de saklanmamalı veya DMZ sistemlerine güvenmemelidir.

DMZ Etki Alanı Denetleyicisi en iyi uygulamaları

Microsoft'taki Active Directory ekibi, AD'yi DMZ'de çalıştırmaya yönelik en iyi uygulamaları içeren bir belgeyi kullanıma sundu. Kılavuz, çevre ağı için aşağıdaki AD modellerini kapsar:

• Active Directory yok (yerel hesaplar)

• İzole orman modeli

• Genişletilmiş kurumsal orman modeli

• Orman güven modeli

Kılavuz, Active Directory Etki Alanı Hizmetleri'nin (AD DS) çevre ağınıza (DMZ'ler veya extranet'ler olarak da bilinir) uygun olup olmadığını belirleme yönergelerini, AD DS'yi çevre ağlarında dağıtmaya yönelik çeşitli modelleri ve Salt Okunur için planlama ve dağıtım bilgilerini içerir. Çevre ağındaki Etki Alanı Denetleyicileri (RODC'ler). RODC'ler çevre ağları için yeni yetenekler sağladığından, bu kılavuzdaki içeriğin çoğunda bu Windows Server 2008 özelliğinin nasıl planlanacağı ve dağıtılacağı açıklanmaktadır. Ancak bu kılavuzda tanıtılan diğer Active Directory modelleri de çevre ağınız için uygun çözümlerdir.

İşte bu!

Özetle, DMZ'ye dahili bir perspektiften erişim mümkün olduğu kadar sıkı bir şekilde kilitlenmelidir. Bunlar, potansiyel olarak hassas verileri tutabilen veya hassas verilere sahip diğer sistemlere erişimi olan sistemlerdir. Bir DMZ sunucusunun güvenliği ihlal edilirse ve dahili LAN tamamen açıksa, saldırganlar aniden ağınıza girmenin bir yolunu bulur.

Etki alanı denetleyicisi DMZ'de olmalı mı?

Etki alanı denetleyicilerinizi belirli bir riske maruz bıraktığınız için önerilmez. Kaynak ormanı, çevre ağınızda dağıtılan yalıtılmış bir AD DS orman modelidir. Tüm etki alanı denetleyicileri, üyeler ve etki alanına katılan istemciler DMZ'nizde bulunur.

DMZ'de dağıtım yapabilir misiniz?

Şirketinizin güvenlik duvarı dışındaki harici yetkili kullanıcıların Web uygulamalarınıza erişmesini sağlamak için Web uygulamalarını askerden arındırılmış bir bölgeye (DMZ) dağıtabilirsiniz. Bir DMZ bölgesinin güvenliğini sağlamak için şunları yapabilirsiniz:

• DMZ ağlarındaki kritik kaynaklarda internete yönelik bağlantı noktası maruziyetini sınırlayın.

• Açıktaki bağlantı noktalarını yalnızca gerekli IP adresleriyle sınırlayın ve hedef bağlantı noktasına veya ana bilgisayar girişlerine joker karakterler yerleştirmekten kaçının.

• Aktif kullanımdaki genel IP aralıklarını düzenli olarak güncelleyin.