Etki Alanı Yöneticisi Kimlik Bilgilerini Korumanın 3 Yolu
ABD Hükümeti'nin, Kasım 2014'teki Sony saldırısının çalıntı alan adı yöneticisi kimlik bilgileri kullanılarak gerçekleştirildiğine dair kanıtları olduğu bildiriliyor ve bu yazının yazıldığı sırada resmi bir onay olmasa da, durumun böyle olabileceği düşünülebilir. Windows etki alanı yöneticisi kimlik bilgileri potansiyel olarak bir saldırganın etki alanındaki tüm sunuculara erişim kazanmasına olanak tanır ve sunucu yerel yönetici hesaplarının korunmasına da dikkat edilmesi gerekse de, bireysel sunuculara erişimi kısıtlayarak bir hasar sınırlama unsuru sağlarlar.
Bilgisayar korsanlarının Sony sistemlerine girme yöntemi olarak ele geçirilen yönetici kimlik bilgileri olsun ya da olmasın, çoğu kuruluşun BT sistemlerinde yönetici hesaplarının kötüye kullanılması ve yayılması, birkaç basit en iyi uygulamanın izlenmesiyle önemli ölçüde azaltılabilecek bir risktir.
1. Etki Alanı Denetleyicilerini Yalıtın
Windows Active Directory'yi çalıştıran sunuculara etki alanı denetleyicileri (DC'ler) adı verilir ve bunların hem fiziksel hem de mantıksal olarak uygun şekilde güvenliğinin sağlanması kritik öneme sahiptir. Bu hedefe yönelik ilk adım, etki alanı denetleyicilerinin Active Directory dışındaki iş yüklerini barındırmadığından emin olmaktır. Örneğin, bir etki alanı denetleyicisi, bir iş kolu uygulaması için bir dosya veya SQL veritabanı sunucusu olarak ikiye katlanmamalıdır. Ayrıca etki alanı denetleyicilerinin fiziksel olarak güvenliğinin sağlanması gerektiğini de belirtmekte fayda var.
Windows Server 2012'den itibaren sanallaştırma desteği, etki alanı denetleyicilerinin başka iş yüklerini barındırmasına gerek kalmamasını sağlamayı kolaylaştırıyor. Etki alanı denetleyicisi izolasyonu aynı zamanda yönetim görevlerinin ayrılmasına da olanak tanır; yani Active Directory'yi barındırmayan sunucuların düzenli bakımı, etki alanı yöneticisi ayrıcalıkları gerektirmemelidir ve kontrol yetkisinin verilmesiyle birlikte DC izolasyonu, sistemlerinizdeki değişiklikleri yönetmenize yardımcı olur.
2. Kontrol Yetkisi
Ayrıcalıklı hesaplar asla kullanıcı iş istasyonlarında oturum açmak için kullanılmamalı ve yalnızca hassas sistemleri yönetmek için tasarlanmış cihazlarda kullanılmasına izin verilmelidir. Hakları devrettiğiniz takdirde BT personelinin normal görevleri gerçekleştirmek için etki alanı yöneticisi hesaplarına ihtiyacı yoktur. Active Directory'yi, Etki Alanı Yöneticileri dışındaki bir grubun bilgisayarları etki alanına katabileceği şekilde yapılandırarak başlayın ve bunu, belirlenen bir gruba Uzak Masaüstü erişimi atamak için bir strateji tasarlayarak takip edin.
Kullanıcı ve grup yönetimi gibi günlük yönetim görevlerini gerçekleştirebilmeleri amacıyla BT personeline Active Directory erişimi atamaya başlamak için Windows Server'daki Kontrol Yetkisi Sihirbazı'nı kullanın. Etki alanı yöneticisi kimlik bilgilerinin kullanılması ihtiyacını tamamen ortadan kaldırmak mümkün olmasa da, kısıtlı bir kullanıcı grubuna etki alanı denetleyicilerini yeniden başlatma, olay günlüğü iletmeyi ayarlama ve etki alanı yönetimi kimlik bilgilerinin kullanılma sıklığını en aza indirecek şekilde Windows Update'i yapılandırma hakkı atayabilirsiniz. gerekmektedir.
3. Korunan Kullanıcılar ve Kimlik Doğrulama Siloları
Windows Server 2012 ve sonraki sürümlerdeki Korunan Kullanıcılar grubu, eski NTLM kimlik doğrulama protokolünün engellenmesi, Kerberos ön kimlik doğrulamasında zayıf şifreleme dahil olmak üzere, risk olasılığını azaltmak üzere tasarlanmış kullanıcı hesaplarına kısıtlamalar uygular. süreç ve Kerberos delegasyonu.
Ayrıca Windows Server 2012 R2, kullanıcıların kimlik doğrulaması yapabileceği cihazları kısıtlamak için kullanılabilecek kimlik doğrulama ilkelerini ve siloları kullanıma sundu. Örneğin, etki alanı yöneticilerinin etki alanı denetleyicileri dışında herhangi bir şeyden kimlik doğrulamasını engelleyen bir politika ve silo oluşturabilirsiniz.