Definiowanie administracji najniższymi uprawnieniami
- 5 minut
Firma specjalistów ds. zabezpieczeń IT pracuje w firmie Contoso. Stworzyli raport dla zarządu głównego. Raport określa, że większość naruszeń zabezpieczeń lub zdarzeń utraty danych w firmie Contoso w ostatnim czasie była wynikiem błędu ludzkiego, złośliwej aktywności lub obu tych zdarzeń.
W raporcie przedstawiono wiele przykładów, w tym logowanie się z uprawnieniami administracyjnymi i wykonywanie standardowych zadań użytkownika. W jednym z cytowanych przykładów użytkownik zalogował się przy użyciu praw administratorów przedsiębiorstwa i otworzył załącznik wiadomości e-mail, który uruchomił złośliwy kod. Ten kod miał wówczas pełne uprawnienia administracyjne w przedsiębiorstwie firmy Contoso, ponieważ użytkownik, który go uruchomił, miał pełne uprawnienia administracyjne.
Omówienie
Najmniej uprzywilejowane jest pojęcie ograniczania praw dostępu tylko do tych praw potrzebnych do wykonania określonego zadania lub roli zadania. Tę zasadę można zastosować do:
- Konta użytkowników.
- Konta usług.
- Procesy obliczeniowe.
Chociaż ta zasada jest łatwa do zrozumienia, implementacja może być złożona. W związku z tym w wielu przypadkach najmniejsze uprawnienia nie są przestrzegane.
Zasada określa, że wszyscy użytkownicy powinni zalogować się przy użyciu konta użytkownika, które ma minimalne uprawnienia niezbędne do ukończenia bieżącego zadania i nic więcej. Ta zasada zapewnia ochronę przed złośliwym kodem, między innymi atakami. Dotyczy komputerów i użytkowników tych komputerów.
Problem polega oczywiście na tym, że administratorzy zazwyczaj nie chcą logować się przy użyciu konta użytkownika standardowego na potrzeby codziennych zadań, a następnie wylogować się i wrócić jako administrator, gdy będą musieli zresetować hasło użytkownika. To czasochłonne i kłopotliwe. Aby rozwiązać ten problem, należy znaleźć sposób identyfikowania typowych zagrożeń bezpieczeństwa. Następnie należy zaplanować mniej uciążliwą zasadę najniższych uprawnień.
Identyfikowanie podmiotów zabezpieczeń
W środowisku lokalnym należy określić, które podmioty zabezpieczeń (użytkownicy i grupy) należą do grup administracyjnych. W usługach domena usługi Active Directory (AD DS) istnieje kilka wrażliwych grup administracyjnych. Zostały one opisane w poniższej tabeli.
| Grupuj | opis |
|---|---|
| Administratorzy przedsiębiorstwa | Ta uniwersalna grupa zabezpieczeń znajduje się w folderze Użytkownicy domeny głównej lasu usług AD DS. Członkowie mogą wykonywać dowolne zadania administracyjne w dowolnym miejscu w lesie. Istnieje kilka zadań zarządzania, które wymagają członkostwa administratorów przedsiębiorstwa. Domyślnie tylko konto użytkownika administratora z domeny głównej lasu należy do administratorów przedsiębiorstwa. |
| Administratorzy domeny | Ta globalna grupa zabezpieczeń znajduje się w folderze Użytkownicy każdej domeny w lesie usług AD DS. Członkowie mogą wykonywać dowolne zadania administracyjne w dowolnym miejscu w domenie lokalnej. Domyślnie tylko konto użytkownika administratora z domeny lokalnej należy do administratorów domeny. |
| Administratorzy schematu | Ta uniwersalna grupa zabezpieczeń znajduje się w folderze Users domeny głównej lasu. Członkowie mogą modyfikować właściwości schematu usług AD DS. Zmiany schematu są rzadkie, ale znaczące w ich efekcie. Domyślnie tylko konto użytkownika administratora z domeny głównej lasu należy do administratorów schematu. |
| Administratorzy | Ta lokalna grupa zabezpieczeń domeny znajduje się w folderze Builtin w usługach AD DS. Grupa lokalna Administratorzy istnieje również na wszystkich komputerach w lesie usług AD DS. Administratorzy mają pełny i nieograniczony dostęp do domeny (lub komputera). Zazwyczaj grupy Administratorzy przedsiębiorstwa i Administratorzy domeny są dodawane do grup Administratorzy na wszystkich komputerach w lesie. |
Uwaga
Schemat usług AD DS jest kolekcją obiektów i ich właściwości, czasami nazywanych również klasami i atrybutami.
Inne wbudowane grupy, które mają uprawnienia zabezpieczeń, to:
- Operatory kont.
- Operatory serwera.
- Administratorzy kluczy.
- Administratorzy kluczy przedsiębiorstwa.
Modyfikowanie członkostwa w grupach
Po określeniu, którzy użytkownicy i grupy należą do grup administracyjnych, możesz wprowadzić wszelkie niezbędne zmiany. Aby przyspieszyć ten proces, można użyć obiektów zasad grupy (GPO) w środowisku usług AD DS. Funkcja Grupy z ograniczeniami umożliwia kontrolowanie członkostwa grup na wszystkich komputerach, na których ma wpływ obiekt zasad grupy. Postępuj zgodnie z następującą procedurą:
- Otwórz zarządzanie zasadami grupy, a następnie utwórz i połącz obiekt zasad grupy z obiektem domeny.
- Otwórz obiekt zasad grupy do edycji.
- Zlokalizuj konfigurację komputera, zasady, ustawienia systemu Windows, ustawienia zabezpieczeń, grupy z ograniczeniami.
- Kliknij prawym przyciskiem myszy lub aktywuj menu kontekstowe grup z ograniczeniami i wybierz polecenie Dodaj grupę.
- W oknie dialogowym Dodawanie grupy dodaj wymaganą grupę.
- Dodaj członków do grupy lub dodaj grupę do innej grupy jako członka.
- Wybierz przycisk OK , aby ukończyć proces.
Określanie aktualnie przypisanych praw
Po zmodyfikowaniu podmiotów zabezpieczeń w środowisku należy określić, jakie prawa mają już te podmioty zabezpieczeń. Oczywiście, jeśli użytkownik należy do poufnej grupy administracyjnej, takiej jak Administratorzy, ten użytkownik może wykonać dowolne zadanie i wykonać dowolne prawo na komputerze lub domenie, w której istnieje grupa.
Uwaga
Prawo to możliwość wykonywania zadania administracyjnego. Uprawnienie to możliwość uzyskiwania dostępu do obiektu w systemie plików, w usługach AD DS lub gdzie indziej.
Jednak użytkownik może należeć do innych grup, które zostały przypisane prawa lub uprawnienia. Może to być również przypadek, że użytkownik ma bezpośrednio przypisane prawo.
Możesz użyć konsoli zasady zabezpieczeń lokalnych, aby określić, jakie prawa są przypisane. Postępuj zgodnie z następującą procedurą:
- Wybierz przycisk Start, a następnie wybierz pozycję Narzędzia administracyjne systemu Windows.
- Wybierz pozycję Zasady zabezpieczeń lokalnych.
- W obszarze Zasady zabezpieczeń lokalnych rozwiń węzeł Zasady lokalne, a następnie rozwiń węzeł Przypisywanie praw użytkownika.
- Przejrzyj i w razie potrzeby zmodyfikuj wartość Ustawienia zabezpieczeń dla każdej wymienionej zasady .
Napiwek
Zawsze przypisz zasady do grupy, a nie bezpośrednio do użytkownika. Pomaga to w ciągłym zarządzaniu. Gdy rola zadania zostanie zmieniona, musisz zmienić tylko członkostwo w grupach, a nie wrócić do wszystkich przypisań praw użytkownika przypisanych do konta użytkownika.
Implementowanie kontroli konta użytkownika
Kontrola konta użytkownika (UAC) to funkcja zabezpieczeń, która umożliwia użytkownikom ograniczenie stanu konta administracyjnego do konta użytkownika standardowego. Jeśli jednak użytkownik chce wykonać zadanie wymagające możliwości administracyjne, określane jako podniesienie uprawnień, zostanie wyświetlony monit o potwierdzenie tego podniesienia uprawnień. Domyślnie kontrola konta użytkownika monituje użytkownika podczas próby podniesienia uprawnień w następujący sposób:
- Jeśli użytkownik jest administratorem, zostanie wyświetlony monit o potwierdzenie podniesienia uprawnień.
- Jeśli użytkownik jest użytkownikiem standardowym, zostanie wyświetlony monit o podanie poświadczeń administracyjnych.
Możesz kontrolować monity i zachowanie kontroli dostępu użytkownika za pomocą obiektów zasad grupy.
- Otwórz odpowiednio połączony obiekt zasad grupy do edycji i przejdź do pozycji Konfiguracja komputera, Zasady, Ustawienia systemu Windows, Ustawienia zabezpieczeń, Zasady lokalne, Opcje zabezpieczeń.
- W przypadku kont administracyjnych otwórz kontrolkę konta użytkownika: zachowanie monitu o podniesienie uprawnień dla administratorów w ustawieniu Tryb zatwierdzania przez administratora, wybierz pozycję Zdefiniuj to ustawienie zasad, a następnie wybierz wymagane ustawienie.
- W przypadku użytkowników standardowych otwórz ustawienie Kontrola konta użytkownika: zachowanie monitu o podniesienie uprawnień dla standardowych użytkowników , wybierz pozycję Zdefiniuj to ustawienie zasad, a następnie wybierz wymagane ustawienie.
Implementowanie tylko wystarczającej liczby administracji
Just Enough Administration (JEA) to technologia administracyjna, która umożliwia stosowanie zasad kontroli dostępu opartej na rolach (RBAC) za pośrednictwem sesji zdalnych programu Windows PowerShell. Zamiast zezwalać użytkownikom na role ogólne, które często umożliwiają im wykonywanie zadań, które nie są bezpośrednio związane z ich wymaganiami służbowymi, narzędzie JEA umożliwia skonfigurowanie specjalnych punktów końcowych programu Windows PowerShell, które zapewniają funkcjonalność niezbędną do wykonania określonego zadania.
Usługa JEA umożliwia zablokowanie sesji administracyjnych, aby można było wykonywać tylko określony zestaw zadań za pośrednictwem zdalnej sesji programu Windows PowerShell. JeA zwiększa bezpieczeństwo, ograniczając zadania, które można wykonać. JeA można skonfigurować, tworząc i modyfikując pliki funkcji roli i pliki konfiguracji sesji.
Ważne
Usługa JEA obsługuje tylko komunikacji zdalnej programu Windows PowerShell.