Usar servidores de salto

O relatório de segurança produzido para a Contoso recomenda a implementação de servidores jump além do uso de PAWs. Depois de determinar como usar PAWs, você decide investigar mais os servidores de salto para descobrir como eles podem beneficiar a TI da Contoso.

O que são jump servers?

Um servidor jump é um servidor protegido usado para acessar e gerenciar dispositivos em uma zona de segurança diferente, como entre uma rede interna e uma rede de perímetro. O servidor jump pode funcionar como o único ponto de contato e gerenciamento.

Para organizações de médio porte, os servidores jump podem fornecer um meio de ajudar a melhorar a segurança em locais onde a segurança física é mais desafiadora. Por exemplo, em filiais onde não há datacenter. Para grandes organizações, os administradores podem implantar servidores de salto alojados em datacenter; Esses servidores JUMP podem fornecer acesso altamente controlado a servidores e controladores de domínio.

Os servidores Jump normalmente não têm dados confidenciais, mas as credenciais do usuário são armazenadas na memória e hackers mal-intencionados podem ter como alvo essas credenciais. Por esse motivo, os servidores de salto devem ser endurecidos.

Este servidor é executado em hardware dedicado que suporta recursos de segurança baseados em hardware e software, tais como:

• Windows Defender Credential Guard, para criptografar as credenciais de domínio na memória.
• Windows Defender Remote Credential Guard, para impedir que credenciais remotas sejam enviadas para o servidor de salto, em vez disso, usando tíquetes de logon único Kerberos versão 5.
• Windows Defender Device Guard:
  • Usando o Hypervisor Enforced Code Integrity (HVCI) para usar a segurança baseada em virtualização para impor componentes do modo kernel a seguir com a política de integridade do código.
  • Usando o Config Code Integrity para permitir que os administradores criem uma política de integridade de código personalizada e especifiquem software confiável.

Usando servidores de salto, com ou sem PAWs, você pode criar zonas de segurança lógicas. Dentro de uma zona, os computadores têm configurações de segurança e conectividade semelhantes. Você pode usar GPOs para definir essas configurações em um ambiente de domínio.

Implementar servidores de salto

O gráfico a seguir mostra um servidor de salto típico e uma implantação PAW. Um usuário administrativo usa um cartão inteligente para autenticar em uma estação de trabalho padrão usando uma conta padrão. O usuário pode acessar aplicativos padrão para executar tarefas diárias de produtividade do escritório. O administrador também tem uma conta administrativa e usa um cartão inteligente para autenticar em seu PAW administrativo. Isso, por sua vez, se conecta ao servidor de salto administrativo configurado, que tem acesso administrativo ao objeto apropriado.

Há várias considerações importantes ao implementar servidores jump, incluindo:

• Gateway de Área de Trabalho Remota. Se um administrador precisar se conectar diretamente a um servidor de destino (usando RDP), implemente o Gateway de Área de Trabalho Remota. Isso permite que você implemente restrições em conexões com o servidor de salto e com os servidores de destino que ele será usado para gerenciar.
• Hiper-V. Considere a implementação de VMs para cada administrador em seus servidores de salto. Cada VM pode ser configurada para permitir um subconjunto específico ou um subconjunto de tarefas administrativas. Portanto, você deve instalar o Hyper-V em seus servidores de salto.

• Recursos do servidor. Para implementar servidores de salto, os computadores servidores devem suportar os seguintes recursos:

  • Inicialização segura UEFI.
  • Suporte à virtualização.
  • Drivers de modo kernel assinados.

• Ferramentas de administração remota. Você deve sempre usar ferramentas de administração remota para gerenciar servidores. Instale o Windows Admin Center e as Ferramentas de Administração de Servidor Remoto (RSAT) nas VMs do administrador (ou no servidor de salto físico se você não implementar o Hyper-V).

  Atenção

  Você também deve impedir o uso de ferramentas de administração remota em computadores de uso geral.

• Conectividade RDP. Certifique-se de que os administradores se conectem usando RDP a suas VMs quando executam tarefas administrativas.