5 En İyi Yerel Yönetici Parolası Çözümü (LAPS) İpuçları

Yerel Windows yönetici hesabı, bilgisayar korsanları ve kötü amaçlı yazılımlar için imrenilen bir hedeftir. Bir bilgisayar korsanının sunucularınızdan birinin yerel yönetici hesabını kırması durumunda meydana gelebilecek pek çok kötü şey olabilir.

Birisi yönetici hesabını kullanarak kötü amaçlı bir kötü amaçlı yazılım indirdiğinde genellikle korkunç şeyler meydana gelir. Aynı parolayı kullanan her benzer makine için varsayılan yönetici hesabını kullanırsanız, bu sorunların boyutu daha da artar.

Dünyadaki en karmaşık parolaya sahip olabilirsiniz, ancak parola bir makinede ele geçirildiğinde, aynı yerel yönetici kimlik bilgilerini kullanan diğer tüm aygıtlar için açık sezon olur.

Elbette, her Windows cihazı için yerel yönetici kimlik bilgilerini özelleştirebilirsiniz, ancak bu, birçok kimlik bilgisi setinin envanterinin çıkarılması görevinin yanı sıra oldukça zaman alıcı olabilir. Parola yenilemelerini etkinleştirdiğinizde (elbette bunu yapmalısınız) işlem neredeyse kullanılamaz hale gelir. Bu nedenle çoğu yönetici genellikle bunu devre dışı bırakır.

Ancak, etki alanı güven ilişkisini sıfırlamak veya bir IP adresini sabit kodlamak vb. gibi "makineye gidip onarmak" için bir tür yerel yönetici hesabına sahip olmak anlaşılabilir bir durumdur.

Her makinede aynı yerel yönetici şifresine sahip olmak berbat bir fikirse bu konuda ne yapılabilir?

1. İpucu: Microsoft Yerel Yönetici Parola Çözümünü (LAPS) kullanın

Microsoft Yerel Yönetici Parolası Çözümü (LAPS), AD yöneticilerine, etki alanına katılan bilgisayarların yerel hesap parolasını yönetme ve bunları AD'de saklama olanağı sağlayan bir Microsoft aracıdır.

LAPS, Grup İlkesi aracılığıyla uygulandığında, kriptografik açıdan güvenli ve her makinede her zaman farklı olan, tanımlanmış uzunlukta ve karmaşıklıkta rastgele bir parola oluşturur. Daha sonra yeni oluşturulan şifreyi Yerel Yönetici hesabına uygular ve şifreyi Active Directory şemanızdaki güvenli bir alana kaydeder. Daha sonra hesaba erişim gerektiğinde bunlar alınabilir. Grup İlkesi tanımlı parola yenileme zamanı geldiğinde işlem otomatik olarak gerçekleştirilir.

LAPS'ın bunu uygulamak için birkaç gereksinimi vardır:

Yalnızca Windows cihazları için geçerlidir
Cihazların etki alanına katılmış olması gerekir
Ücretsiz bir Grup İlkesi istemci tarafı uzantısı gerektirir
Bir şema uzantısı gerektirir (çıldırmayın.)
Yalnızca yerel yönetici hesabı için çalışır
Yalnızca BİR yerel yönetici hesabı için çalışır (birden fazla hesabınız olması durumunda).

2. İpucu: LAPS ve Grup İlkesi

Belirtildiği gibi LAPS, Grup İlkesi kullanılarak dağıtılır; bu, bir GPO oluşturulmasını gerektirdiği anlamına gelir. Öncelikle burada yapabileceğiniz LAPS'ı indirmeniz gerekiyor.
Daha sonra Grup İlkesi Yönetimi makinenize yüklemek için sihirbazı kullanın. Bunu elle yapmak isteyeceksiniz ve genellikle otomatik bir şekilde DEĞİLDİR.

Gerekli ADMX dosyalarına erişmek için en azından GPO Düzenleyici Şablonlarını seçtiğinizden emin olun. Fat Client, geçerli haklara sahip bir kullanıcıya, belirlenmiş bir cihazın şifresini sorgulama yeteneği veren bir grafik kullanıcı arayüzüdür. Makinenize (GPMC'nin bulunduğu) "AdmPwd GPO Uzantısını" değil, yalnızca Yönetim Araçlarını yüklemeniz gerekir.

Daha sonra yerel PolicyDefinitions klasörünüze gitmeli, AdmPwd.admx ve AdmPwd.adml dosyalarını kopyalayıp bunları AD merkezi deponuza yapıştırmalısınız. (Bu işlemle ilgili bu videoyu kontrol edin).

Daha sonra, yerel şifrelere uyum sağlamak için AD Şemasını genişletmemiz gerekiyor.

Gerekli iki özellik şunlardır:

ms-Mcs-AdmPwd - Şifreyi düz metin olarak saklar
ms-Mcs-AdmPwdExpirationTime - Şifrenin sıfırlanacağı zamanı saklar

Şemayı güncellemek için AdmPwd PowerShell modülünü içe aktarmanız ve aşağıda gösterildiği gibi update-AdmPwdADSchema komutunu kullanmanız yeterlidir.

Bir sonraki adım bilgisayar tarafında bir GPO oluşturmaktır. Bu örnek için buna LAPS Politikası diyeceğim. LAPS ayarları artık Bilgisayar Yapılandırması > Yönetim Şablonları > LAPS altında aşağıda gösterildiği gibi 4 ayarın mevcut olduğu görünecektir.

LAPS GPO'nuzu, varsayılan yerel yöneticinin veya özel bir yerel yönetici hesabının parolasını yönetmek için kullanabilirsiniz. Aşağıda “Yerel yönetici şifre yönetimini etkinleştir” ayarını etkinleştirdim.

Yerel yönetici hesabını yeniden adlandırdıysanız (bunu yapmanız gerekir), güncellenen adı belirtebilirsiniz. Yönetici hesabı seçildikten sonra son adım, şifre ayarlarını (şifre uzunluğu ve yaşı dahil) yapılandıran Grup İlkesi ayarını etkinleştirmektir.

Yapılandırıldıktan sonra, LAPS istemci tarafı uzantı yazılımını PDQ Deploy gibi istediğiniz yazılım dağıtım yöntemiyle kolayca dağıtın. İlk testi elle yapacaksanız yalnızca “GPO Uzantısı” kısmına ihtiyacınız vardır. Bunu burada görebilirsiniz.

Dağıtım süreci üzerinde daha fazla kontrol sahibi olmak için PolicyPak'ı da kullanabilirsiniz. Bir dakika içinde bununla ilgili daha fazla bilgi vereceğiz.

3. İpucu: Gerektiğinde LAPS aracılığıyla Şifre Alma

Böylece, Windows makinelerinizden biri için geçerli olarak oluşturulan şifrenin ne olduğunu bilmeniz gereken gün gelir. Bunu nasıl yapıyorsun? Birkaç yol var. Açık, aşağıdaki PowerShell komutunu kullanmaktır.

Get-AdmPwdPassword -Bilgisayar adı “bilgisayarın adı”

LAPS Fat Client'ı yüklediyseniz başlat menünüzden LAPS UI uygulamasına erişebilirsiniz.

4. İpucu: Öğe Düzeyinde Hedefleme Yoluyla Kullanıcılara Ayrıntılı LAPS Politikaları Atayın

PolicyPak, tüm ADMX şablonu ayarlarını PolicyPak Yönetici Şablonları Yöneticisi'nde sunar ve bunları her yeni ADMX sürümünde güncelleriz. Yönetici Şablonları Yöneticisini kullanmanın standart Grup İlkesi'ne kıyasla birçok avantajı vardır.

PolicyPak, aşağıda gösterildiği gibi Grup İlkesi Düzenleyicisini kullanır ancak gizli bir süper güç ekler.

En önemli avantaj, PolicyPak'ın LAPS dahil herhangi bir Grup İlkesi ayarı için Öğe Düzeyinde Hedeflemeyi kullanabilmesidir.

Grup İlkesi Tercihleri'ne aşinaysanız, ILT'nin ilke atama konusunda nasıl daha fazla ayrıntı düzeyi sağladığını zaten biliyorsunuzdur. Örnek olarak sunucularınızda bulunan tüm local admin hesaplarının ServAdm1n olarak adlandırıldığını ve bu adminler için ayrı bir LAPS politikası oluşturmak istediğinizi varsayalım. Bunlar yönetici etki alanı hesapları olmadığından grup ilkesini kullanarak bunları hedefleyemezsiniz ancak Windows Server 2016 çalıştıran makineleri hedeflemek için ILT'yi kullanabilirsiniz.

Şimdi C-Level executive dizüstü bilgisayarlar için bir LAPS politikası oluşturalım. Doğal olarak bu yerel yönetici hesapları için güçlü bir şifreye sahip olmak isteriz. Bu durumda, en güçlü karmaşıklığı kullanarak 20 karakterlik şifreleri zorunlu kılmak istiyorum. Daha sonra C-Seviyesi güvenlik grubunu hedeflemek için ILT'yi kullanacağım. Aşağıdaki ekran görüntüsünde görebileceğiniz gibi, bilgisayar adı, kuruluş birimi eşleşmesi, Site eşleştirmesi, bilgisayar form faktörü (dizüstü bilgisayar vs. masaüstü) ve daha fazlası dahil olmak üzere birçok hedeflenebilir seçenek vardır!

Bonus olarak, Grup İlkesi Düzenleyicisi'nde oluşturulan geleneksel GPO'lar normalde yalnızca Grup İlkesi kullanılarak dağıtılabilirken, PolicyPak ayarları SCCM, KACE veya tercih ettiğiniz MDM hizmeti gibi çeşitli yollar kullanılarak dağıtılabilir.
Grup İlkesi ayarlarının Grup İlkesi motorunun kendisi olmadan teslim edilme sürecini gösteren bu videoyu izleyerek bu süreç hakkında daha fazla bilgi edinebilirsiniz.

5. İpucu: LAPS'yi PolicyPak Least Privilege Manager ile eşleştirin

Yerel Yönetici Parolası Çözümü, en önemli makinelerinize yönetici erişimini sıkılaştırmak için harika bir araçtır. Aslında, PolicyPak Least Privilege Manager ile de mükemmel bir eşleşme sağlar. PolicyPak Least Privilege Manager, yerel yönetici haklarına sahip olma ihtiyacını tamamen ortadan kaldırarak Standart Kullanıcıların yönetici gibi özel işlevler yapmasına olanak tanır, ancak gerçek yönetici hakları olmadan.

Artık yerel yönetici erişimine ihtiyacınız olmayacağından, hep birlikte tüm kurumsal makinelerinizde LAPS'yi zorunlu kılabilirsiniz.