Ayrıcalıklı Erişimi Güvenceye Almak için ESAE'yi Kullanın
Sistemlerin yamalandığından ve derinlemesine savunma güvenlik korumalarının etkili bir şekilde çalıştığından emin olmak, BT departmanları için endişeler listesinin başında yer alıyor. Ancak bu çabalara rağmen operasyonel sorunların genellikle göz ardı edilmesi nedeniyle güvenlik ihlalleri hâlâ artıyor.
En iyi uygulama, ayrıcalıklı AD gruplarının çoğu zaman boş kalması gerektiğini belirtir. Uygulamada bu, Etki Alanı Yöneticileri, BUILT-INAyöneticiler ve Kurumsal Yöneticiler gibi grupların yalnızca onaylanmış bir değişiklik Active Directory'ye uygulandığında doldurulması gerektiği anlamına gelir. Ancak gerçek şu ki, birçok kuruluş BT personeline yukarıdaki gruplardan birinin veya diğer ayrıcalıklı AD gruplarının üyesi olan hesapları tahsis etmektedir.
Bu blog yazısında, kuruluşunuzda ayrıcalıklı erişim atama süreçlerini daha akıllı bir şekilde yeniden yapılandırmak için ESAE'nin temel aldığı katmanlı bir yönetim modelinden bahsedeceğiz.
Güvenlik Bağımlılıklarını Analiz Etme
Ancak, erişim gerekli olmadan hemen önce ve sınırlı bir süre için ayrıcalıkların verilmemesi, tek kötü niyetli değildir. Temiz kaynak ilkesi, bir sistemin daha yüksek güvene sahip bir sisteme bağımlı olabileceğini, ancak daha düşük güvene sahip bir sisteme bağımlı olamayacağını belirtir. BT personeli, internette gezinmek ve e-posta okumak gibi günlük görevler için kullandıkları not defterlerine alan adı yöneticisi haklarıyla giriş yaparsa, temiz kaynak ilkesi bozulur çünkü kullanıcı hesaplarının güvenliği, cihazların güvenliğine bağlıdır. giriş yapıyorlar.
Güvenliği ihlal edilmiş cihazlar, oturum açan kullanıcıların hesaplarını riske atar. Bilgisayar korsanları ayrıcalıklı Active Directory hesaplarına erişim sağlamak amacıyla genellikle kullanıcı iş istasyonlarını hedefler. Bir bilgisayar korsanı etki alanına katılmış bir cihaza erişim sağladığında, ağdaki diğer cihazlara erişim sağlamak için kimlik bilgileri toplanabilir ve sonuçta bir etki alanı denetleyicisine ulaşılır.
Güvenlik bağımlılıkları etki alanını tehlikeye atabileceğinden, etki alanı yönetici hesapları yalnızca etki alanı denetleyicilerinde veya etki alanı denetleyicileriyle aynı güven düzeyine göre yapılandırılmış cihazlarda oturum açmak için kullanılmalıdır. Bu hedefe ulaşmak için, etki alanı denetleyicilerini yönetmek amacıyla özel olarak yapılandırılmış bilgisayarlar kurun. Jump sunucuları ayrıca uzak masaüstü oturumlarının başlatıldığı cihazın güvenliğine bağımlı oldukları için temiz kaynak ilkesini de bozarlar.
Bütçeler kısıtlıysa veya cihazları özellikle etki alanı denetleyicilerini yönetmek için dağıtmak istemiyorsanız, diğer bir seçenek de BT personelinin bilgisayarlarını etki alanı denetleyicilerinizle aynı düzeye yapılandırmak ve bilgisayarlara konuk sanal makineleri (VM'ler) dağıtmaktır. VM'ler günlük bilgi işlem görevlerini gerçekleştirmek için kullanılabilir. Ancak etki alanı denetleyicilerini yönetmek için VM'lerin dağıtılması, VM'lerin güvenliği ana bilgisayara bağlı olduğundan temiz kaynak ilkesini bozar.
ESAE Microsoft Modeline Göre Yönetimin Ayrılması
Active Directory Gelişmiş Güvenlik Yönetim Ortamı (ESAE) modelinin veya Active Directory'deki Kızıl Orman olarak adlandırılan modelin bir parçası olarak Microsoft, yönetimi ayıran bölgeler oluşturmak için katmanlı yönetimin kullanılmasını önerir. yüksek riskli son kullanıcı cihazları ve kritik iş sistemleri. Kullanıcı hesapları ve bilgisayarlar da dahil olmak üzere AD nesneleri üç katmana ayrılmalıdır. 0. katman en yüksek güven düzeyini, 2. katman ise en düşük güven düzeyini temsil eder.
Etki alanı yönetici hesapları, ayrıcalıklı AD grupları, etki alanı denetleyicileri ve AD ormanının doğrudan veya dolaylı yönetim kontrolüne sahip etki alanları, katman 0 olarak kategorize edilmelidir. Bu nesneler, üç katmanın tamamındaki varlıkları yönetebilir ancak yalnızca katman 0'da etkileşimli olarak oturum açabilir. bu da alan yöneticilerinin son kullanıcı cihazlarında hiçbir zaman etkileşimli olarak oturum açmaması gerektiği anlamına gelir.
Etki alanı üyesi sunucular, uygulamalar, hassas iş verilerini barındıran sistemler ve bu sistemleri yönetmek için kullanılan hesaplar, 1. seviye nesneler olarak kategorize edilir. Katman 1 kullanıcı hesapları, Katman 1 nesnelerine erişebilir ve onları yönetebilir. Seviye 1 kullanıcı hesapları, ağ oturum açma türünü kullanarak seviye 0 nesnelerine erişebilir ancak seviye 0 cihazlarda etkileşimli olarak oturum açamaz. Katman 1 ve Katman 2 nesnelerini yönetebilirler ancak yalnızca Katman 1 cihazlarda etkileşimli olarak oturum açabilirler.
Şekil 1 (Resim Kredisi: Microsoft)
Katman 2, son kullanıcı bilgisayarları ve dizüstü bilgisayarları için ayrılmıştır. Son kullanıcılara ek olarak, BT yardım masası personeli de 2. katman nesneleri olarak kategorize edilir ve tüm katmanlardaki cihazlarda ağda oturum açma işlemi gerçekleştirebilir ancak bu personel, 2. katman cihazlarını yönetmekle sınırlıdır. Benzer şekilde, 2. kademe kullanıcılar da 2. kademe cihazlarda etkileşimli olarak oturum açabilirler.
Katmanlı modelin uygulanmasına yardımcı olmak için Korumalı Kullanıcılar grubu gibi güvenlik kontrolleri, etki alanı yöneticisi ayrıcalıklarına sahip kullanıcıların katman 0 cihazlarda oturum açmasını önlemek için kullanılabilir. Kimlik doğrulama politikaları ve silolar gibi diğer güvenlik kontrolleri daha ayrıntılı kontrol sağlayabilir. Korumalı Kullanıcılar grubunun nasıl kullanılacağı hakkında daha fazla bilgi için Netwrix blogundaki Active Directory Korumalı Kullanıcılar Grubuna Hassas Kullanıcı Hesapları Ekleme konusuna bakın.
Ayrıcalıklı Erişim Yönetimi
Kuruluşların, yönetim ayrıcalıklarının kullanıcılara nasıl atandığı, bu ayrıcalıkların nerede ve ne için kullanıldığı konusunda çok daha katı davranmaları gerekiyor. Her cihazda aynı yerel yönetici şifresinin kullanılmaması, son kullanıcı cihazlarında oturum açmak için etki alanı yönetici hesaplarının kullanılmaması, varlıkların katmanlı bir yönetim modeli kullanılarak kategorilere ayrılması gibi ayrıcalıklı hesap yönetimi en iyi uygulamaları uygulanarak ağlar arasında yatay hareket önlenebilir ve sürekli kullanıcı etkinliği izlemenin gerçekleştirilmesi.
Kademeli yönetim modeline dayanan ESAE'nin bazı planlamalarla uygulanması zor değildir. Yalnızca kullanıcılara atanan ayrıcalıkları dikkate almak değil, aynı zamanda bu ayrıcalıkları kaynaklara erişmek veya yönetmek için kullanıp kullanmadıklarını da dikkate almak önemlidir. Otomatik BT yönetimini uygulayamıyorsanız ayrıcalıklı AD gruplarına erişimi yönetmek için manuel bir süreç ayarlayın.