Active Directory'de Hizmet Hesaplarını Korumanın 3 Yolu
Kuruluşunuzda güvenlik açısından zayıf noktalar arıyorsanız hizmet hesaplarını denetlemek kötü bir başlangıç noktası değildir. Active Directory denetimi, her hesaba atanan hakların belirlenmesini, şifrenin gücünü, en son sıfırlanma zamanını ve bunun bir alan adı hesabı mı, yerel hesap mı, Yönetilen Hizmet Hesabı (MSA) mı yoksa Grup Yönetilen Hizmet Hesabı (gMSA) mı olduğunu içermelidir. .
Hizmetler, Yerel Hizmet, Ağ Hizmeti veya Yerel Sistem hesapları kullanılarak çalışacak şekilde yapılandırılabilir ancak bunlar diğer işlemler ve uygulamalarla paylaşılır ve merkezi olarak yönetilemezler. Yerel Sistemin Windows'a geniş kapsamlı erişimi olmasına rağmen, Yerel Hizmet ve Ağ Hizmeti, Hizmet olarak oturum açma NT hakkına sahip standart kullanıcılardır. Ağ Hizmeti ayrıca cihazın bilgisayar hesabını kullanarak ağdaki diğer cihazlara da bağlanabilir.
Etki alanı kullanıcı hesapları hizmet hesapları olarak kullanıldığında, daha yüksek düzeyde izolasyon ve yönetim sağlarlar, ancak parolaların manuel olarak veya özel bir çözüm kullanılarak yönetilmesi gerekir veya çoğu zaman olduğu gibi parolalar nadiren sıfırlanır.
Aşama 1. Grup Tarafından Yönetilen Hizmet Hesapları
Hizmetler için kullanılabilecek iki özel hesap türü vardır: MSA'lar ve gMSA'lar. Windows Server 2008 R2'yi hatırlarsanız, Microsoft MSA'ları tanıttı ancak bunlar o kadar çok uyarıyla geldi ki potansiyel kullanım durumları sınırlıydı. MSA'ların temel dayanağı, bir etki alanı kullanıcı hesabının yönetimini ve izolasyonunu otomatik şifre yönetimiyle sağlamaktı. MSA'lar ayrıca basitleştirilmiş hizmet asıl adı (SPN) yönetimi sağlar.
Microsoft, Windows 2012'deki MSA'ları gMSA'larla geliştirdi. MSA'lardan farklı olarak gMSA'lar birden fazla cihazda kullanılabilir, zamanlanmış görevleri çalıştırabilir ve IIS ve Exchange gibi uygulamalarla çalışabilir. Windows Server 2012 etki alanı denetleyicilerindeki Anahtar Dağıtım Hizmeti (KDS), her gMSA'ya atanan 120 karakterlik parolayı yönetir. gMSA'ları kullanabilmeniz için önce etki alanınızda en az bir Windows Server 2012 (veya daha yüksek bir etki alanı) denetleyicisinin yanı sıra Windows Server 2012 veya Windows 8 (ve üzeri) çalıştıran etki alanına katılmış cihazlara sahip olmanız gerekir. PowerShell, gMSA'ları yapılandırmak için kullanılır.
Adım 2. Uzun Şifreler
Tüm uygulamalar gMSA'larla uyumlu değildir, bu nedenle bazen etki alanı kullanıcı hesabı en iyi seçenektir. Microsoft, hizmet hesapları için en az 25 karakterden oluşan parolalar kullanılmasını önerir ve hizmet hesabı parolalarının değiştirilmesine yönelik bir sürecin de uygulanması gerekir. Ayrıca hizmet hesaplarını, diğer hesaplardan ayrı olarak yönetilebilmeleri için AD'deki özel bir kuruluş birimine (OU) yerleştirin ve bunlara güçlü bir parola ilkesinin uygulandığından emin olun.
Aşama 3. En Az Ayrıcalık İlkesi
Bir hizmet hesabının ele geçirilmesi durumunda, hesaba ne kadar az hak atanırsa o kadar iyidir. Maksimum uyumluluk için yönetici ayrıcalıkları atamak kolay olsa da, bu kadar geniş kapsamlı erişime nadiren ihtiyaç duyulur. Hizmet hesabının hangi haklara ihtiyacı olduğunu öğrenin ve verilebilecek zarar miktarını sınırlamak için yalnızca bu hakları atayın.