Active Directory Yönetiminin Güvenliğini Sağlama - Bölüm 2

Brian Svidergol tarafından oluşturulan, Active Directory yönetimini güvence altına almanın yönleriyle ilgili gönderi serisine devam ediyoruz. Bu seride, her biri Active Directory yönetiminin güvenliğine ilişkin belirli bir soruna ayrılmış üç bölüm bulunmaktadır. En az ayrıcalık ilkesine odaklanan ilk bölüme buradan ulaşabilirsiniz. Bugün yönetime yönelik alt ağlar, yönetim sunucuları ve yönetim istemci bilgisayarları gibi altyapıyla ilgili hususlar hakkında bilgi edinebilirsiniz.

Bazen basit fikirler bir güvenlik stratejisinde oldukça etkilidir. Yaygın bir çevrimiçi bankacılık önerisini düşünün: yalnızca tek bir bilgisayar cihazından çevrimiçi bankacılık yapın. Bazı insanlar ilk düşündüklerinde bunu bir sıkıntı olarak algılayabilirler. Ancak biraz daha düşününce çoğu kişi bu önerinin doğru olduğunu fark ediyor. Bankalar, bilinmeyen bilgi işlem cihazlarından (bilinmeyen yerel ayarlara ve diğer kriterlere ek olarak) çevrimiçi bankacılık oturum açma işlemlerini izlemek için güvenlik izleme sistemi geliştirmiştir. Bankalar genellikle bilinmeyen bir cihazdan veya konumdan oturum açarken ek bir kimlik doğrulama faktörü isteyecektir. Ancak bir saat içinde iki farklı ülkeden giriş yapmak gibi izleme eşiklerini karşılarsa, otomatik görevler riski azaltmak için devreye giriyor. Active Directory yönetiminin güvenliğini sağlarken dikkat edilmesi gereken altyapının 3 alanından bahsetmek istiyorum.

• Yönetim için alt ağlar. Çevrimiçi bankacılığa benzer şekilde kuruluşlar, yönetimin belirli alt ağlara merkezileştirilmesinden faydalanabilir. Böylece, belirlenen alt ağların dışında yönetimsel bağlantı kurulmaya çalışıldığında yöneticilere bildirim gönderilir. Konsept basit olsa da uygulaması zordur. En büyük zorluklardan biri, TCP bağlantı noktası 443 üzerinde çalışan web tabanlı yönetim arayüzleridir; belirli alt ağlardan diğer belirli alt ağlara olan bu trafiğin engellenmesi, çok fazla çalışma saati gerektirir. Ancak yönetimsel alt ağları kullanmanın anında faydaları vardır. Avantajlarından biri uyarıdır; yönetici olmayan bir alt ağdan (kullanıcı alt ağı, kablosuz alt ağ) etki alanı denetleyicisine bir RDP bağlantısı yapılmaya çalışılırsa, bu anında bir tehlike işaretidir ve takip edilmesi gereken bir durumdur. Birçok kuruluş için, bir etki alanı denetleyicisine RDP bağlantısı ağ üzerindeki herhangi bir yerden gerçekleştirilebilir. Daha da kötüsü, seyahatlerimde internetten etki alanı denetleyicilerine RDP bağlantılarına izin veren kuruluşlar gördüm! Yönetimsel alt ağların bir diğer yararı da güvenli alt ağlar (bağlantı noktası güvenliği), iki faktörlü kimlik doğrulama ve diğer teknikler kullanılarak kilitlenebilmeleridir. Kilitlenme çok fazla tantana olmadan gerçekleşebilir. Bunu, kullanıcıların silah içinde olacağı bir kullanıcı alt ağını kilitlemekle karşılaştırın! Bu blogun bir sonraki bölümünde, yönetim alt ağlarına bağlanan izleme ve uyarılardan bahsedeceğim.
• Yönetim sunucuları. Yönetim için özel alt ağları kullanamasanız bile, özel yönetim sunucuları kullanmak bir sonraki en iyi şeydir. Özel yönetim sunucularını ve yönetim alt ağlarını birlikte kullanabilen kuruluşlar için daha da iyisi! Peki yönetim sunucuları size ne kazandırıyor? Yönetim alt ağları gibi, sunucuların içine ve çevresine ek güvenlik dağıtabilirsiniz. İki faktörlü kimlik doğrulama veya sertifika kimlik doğrulamasından, yüksek güvenlikli GPO'lardan, yönetim sunucusu kimlik doğrulaması için standart kullanıcı hesaplarından ve blogun bir sonraki bölümünde bahsedeceğim özel izleme ve uyarılardan bahsediyorum. Yönetim sunucuları ayrıca yöneticilerin ihtiyaç duyduğu tüm araçları içerir; bu, tüm yöneticilerin aynı araç seti ve aynı araç sürümleri üzerinde standartlaştırılmasına yardımcı olabilir.

Yönetim istemci bilgisayarları. Pek çok kişiyle, kendilerinin ve kuruluşlarındaki diğer kişilerin Active Directory yönetimini nasıl gerçekleştirdikleri hakkında konuştum. Çoğu zaman yanıtların hepsi aynı olmuştur; yönetim, atanmış istemci bilgisayarlardan gerçekleştirilir. Atanan istemci bilgisayarlar e-posta ile çalışmak, internette gezinmek ve idari görevleri gerçekleştirmek için kullanılır. Şüphesiz oldukça uygun. Her şey için kullandığınız tek bir AD kullanıcı hesabınız varsa daha da kullanışlıdır! Ancak bugün rahatlıktan bahsetmiyoruz! Güvenlikten bahsediyoruz. Ve bu iki şey çoğu zaman bir arada olmuyor! Tek bir istemci bilgisayarı ve tek bir kullanıcı hesabıyla, yönetici ve bilgisayarı, kimlik avı saldırıları da dahil olmak üzere birçok saldırı türü için ana hedef haline gelir. Yöneticinin bilgisayarı ele geçirilirse saldırgan, yöneticinin yaptığı her şeye yönetici erişimine sahip olur. Ve daha da iyisi, bilgisayarda yüklü olan tüm araçlara, yönetim araçlarının önbelleğine (RDP bağlantı bilgisi, FTP bilgisi vb.) sahiptir. Tek bir istemci bilgisayarda tek bir AD kullanıcı hesabıyla çalışmanın ne kadar riskli olduğu hemen anlaşılıyor. Çözüm? Yönetim için ikincil bir kullanıcı hesabı kullanın. Yönetim için bir yönetim istemci bilgisayarı (muhtemelen VDI ortamındaki bir VM) kullanın. Mükemmel bir dünyada ikinci bir kullanıcı hesabına ve bir yönetici istemci bilgisayarına sahip olun. Yönetim sunucularına benzer şekilde, yönetici istemci bilgisayarları da kilitlenebilir, iki faktörlü kimlik doğrulamasına sahip olabilir ve gelişmiş bir izleme ve uyarı altyapısının parçası olabilir. BT'de ayrı yönetim hesaplarının yaygın olarak önerildiğini görsem de, yönetici istemci bilgisayarlarının bu kadar yaygın kullanıldığını görmüyorum.